P15 管理评审

责任部门：最高管理者、体系管理部门

过程流程

评审准备；输入；管理评审；输出；措施落实；跟踪验证

审核要点

是否明确管理评审过程的职责、权限及工作流程。
是否由最高管理者按照规定的时间间隔组织管理评审。
管理评审是否考虑组织的实际情况和管理体系运行需要。
是否确定管理评审的输入、输出及实施要求。
管理评审是否关注管理体系的持续适宜性、充分性和有效性。
是否评价管理体系与组织战略方向及经营目标的适宜性。
是否关注组织内外部环境的变化。
是否关注相关方需求和期望的变化。
是否关注法律法规、行业规范及其他要求的变化。
是否关注客户需求及市场环境变化。
是否关注组织机构、人员、业务范围及管理模式的变化。
是否关注技术、设备、信息系统及IT服务环境的变化。
是否关注影响管理体系运行的重大风险和机遇变化。
是否将内部审核结果作为管理评审输入。
是否将外部审核、认证审核及监督审核结果作为适当的输入。
是否将顾客满意度及客户反馈作为管理评审输入。
是否将投诉、退货、服务异常及客户需求变化等信息纳入评价。
是否将过程绩效及产品、服务符合性作为管理评审输入。
是否评价质量目标的完成情况。
是否评价环境目标及环境绩效的完成情况。
是否评价职业健康安全目标及职业健康安全绩效。
是否评价信息安全目标及信息安全绩效。
是否评价IT服务目标及服务绩效。
是否将绩效评价结果作为管理评审的重要输入。
是否将不符合、纠正措施及改进措施实施情况作为管理评审输入。
是否关注以往管理评审提出的改进措施落实情况。
是否评价管理体系运行中发现的问题及改进机会。
是否关注风险和机遇应对措施的实施及有效性。
是否评价资源是否满足管理体系有效运行的需要。
是否评价人员能力及人员配置是否满足实际业务需要。
是否评价基础设施、设备及信息技术资源是否适宜。
是否评价信息安全资源和技术能力是否满足管理需要。
是否评价IT服务资源及服务能力是否满足客户和业务需求。
是否关注供应商及外部提供过程的绩效。
是否关注环境绩效及环境管理措施的有效性。
是否关注职业健康安全绩效、事故事件及员工安全情况。
是否关注信息安全事件、漏洞、违规及安全控制措施运行情况。
是否关注IT服务重大事件、故障、服务级别及服务连续性情况。
是否评价管理体系运行是否达到预期结果。
是否评价体系是否仍然适合组织当前的业务和发展要求。
是否评价管理体系是否具备持续满足相关要求的能力。
是否根据管理评审结果确定改进机会。
是否根据管理评审结果确定管理体系变更需求。
是否根据管理评审结果确定资源配置需求。
是否对目标调整及管理措施调整作出决策。
是否对重大风险及重大问题作出管理决策。
是否对管理体系运行中的重大问题明确责任部门和处理要求。
管理评审输出是否形成明确的决定和措施。
管理评审决定是否明确责任人和完成期限。
是否对管理评审提出的措施进行跟踪。
是否验证管理评审决定的实施情况。
管理评审记录是否完整、真实并能够反映实际讨论和决策情况。
管理评审资料是否包括必要的输入信息和输出结果。
是否避免管理评审仅由管理人员签字，没有实际分析和决策。
是否避免管理评审与年度工作总结、经营会议简单重复。
是否确保管理评审关注管理体系绩效，而不仅仅是经营业绩。
是否将五个管理体系相关信息进行综合评价，避免相互割裂。
是否通过管理评审推动管理体系持续改进。

审核记录示例

现场与管理体系负责人及相关管理人员沟通管理评审过程，查阅管理评审计划、输入资料、会议记录及输出文件，了解组织管理评审的策划、实施及后续跟踪情况。组织能够按照规定的时间间隔组织管理评审，由最高管理层对管理体系运行情况进行综合评价。
抽查××年度管理评审资料，管理评审输入包括内部审核结果、顾客反馈、过程绩效、目标完成情况、纠正措施、风险和机遇、资源需求及组织环境变化等信息，相关资料能够反映管理体系实际运行情况。
结合组织内外部环境变化进行了解，管理评审能够关注市场环境、业务范围、组织机构、技术变化及客户需求等方面的变化，并根据变化情况评价其对管理体系运行的影响。
抽查顾客满意度及客户反馈相关资料，管理评审能够对客户满意度、客户投诉、服务反馈及客户需求变化进行分析，对于具有代表性的客户问题能够提出相应的处理和改进要求。
结合内部审核结果进行追溯，管理评审能够将内部审核发现的问题及审核结论作为输入，对体系运行中的不符合和薄弱环节进行评价，并根据问题的重要程度提出相应的改进措施。
抽查过程绩效及目标完成情况资料，管理评审能够对质量、环境、职业健康安全、信息安全及IT服务等方面的绩效指标进行综合分析，对未达到目标的情况关注其原因及后续措施。
结合质量管理绩效进行了解，管理评审能够关注产品和服务符合性、客户投诉、不合格、交付及过程绩效等信息，并根据实际情况评价质量管理体系的运行效果。
结合环境管理绩效进行了解，管理评审能够关注环境目标完成情况、重要环境因素控制、能源及资源使用、污染物排放及其他环境绩效信息，并根据评价结果确定相关改进要求。
结合职业健康安全绩效进行了解，管理评审能够关注事故、事件、未遂事件、安全检查、职业健康安全目标及风险控制情况，对重大职业健康安全问题进行分析并提出相应管理措施。
结合信息安全管理绩效进行了解，管理评审能够关注信息安全目标、信息安全事件、漏洞、违规访问、风险及安全控制措施运行情况，对重大信息安全问题能够形成相应的管理决策。
结合IT服务绩效进行了解，管理评审能够关注服务可用性、服务级别、重大事件、故障恢复、客户满意度及服务连续性等信息，并根据服务绩效情况评价IT服务管理体系运行效果。
抽查××重大IT服务故障的管理评审资料，相关故障信息进入管理评审输入，管理层对故障影响、原因分析、改进措施及资源需求进行了评价，并形成相关管理决定。
结合风险和机遇管理情况进行了解，管理评审能够关注组织风险和机遇的变化以及相关应对措施实施情况，对重大风险能够结合业务变化及实际控制情况进行评价。
抽查以往管理评审提出的措施，组织能够对上一次管理评审决定的实施情况进行跟踪，对未完成事项能够说明当前状态及后续处理安排。
现场查看管理评审输出情况，管理评审能够根据评价结果形成有关管理体系改进、资源配置、目标调整及相关管理措施的决定。抽查××管理评审输出，相关决定明确了责任部门及后续处理要求。
结合资源管理情况进行了解，管理评审能够根据人员、设备、基础设施、技术能力及信息资源等方面的实际情况评价资源是否满足管理体系运行需要，对资源不足的问题能够提出相应改进措施。
抽查管理评审提出的资源调整事项，针对××设备能力不足问题，管理层结合业务需求及绩效数据进行分析，并提出设备更新或资源配置要求，相关事项由责任部门进行后续落实。
现场了解管理评审决定的跟踪情况，组织能够对管理评审输出的措施进行跟踪，对已经完成的事项能够提供实施证据，对尚未完成的事项能够说明原因及后续安排。
结合管理评审会议记录进行了解，会议内容不仅包括各项数据汇报，也能够针对体系运行中的问题、风险、资源及改进机会进行讨论，并形成相应的管理决定。
现场抽查管理评审过程总体运行情况，组织能够由最高管理者按照规定组织管理评审，综合考虑组织环境、相关方要求、顾客反馈、过程绩效、目标完成情况、内部审核结果、风险和机遇、资源需求及改进情况，对质量、环境、职业健康安全、信息安全及IT服务管理体系的持续适宜性、充分性和有效性进行评价，并根据评价结果形成改进、资源配置及管理体系调整等决定，管理评审过程总体运行基本符合实际管理要求。

高频问题

管理评审没有按照规定的时间间隔实施。
管理评审只是为了满足认证要求。
管理评审由体系人员编写材料、领导签字完成。
最高管理者没有真正参与管理评审。
管理评审内容与实际管理工作脱节。
管理评审输入不完整。
没有分析组织内外部环境变化。
没有分析相关方需求和期望变化。
没有关注市场、客户及业务变化。
没有关注组织机构和人员变化。
内部审核结果没有作为管理评审输入。
顾客满意度、投诉及客户反馈没有纳入管理评审。
过程绩效数据没有进行分析。
五个体系的目标完成情况没有进行综合评价。
质量目标全部“完成”，但没有分析目标完成的实际情况。
环境、职业健康安全、信息安全及IT服务目标只报数字，没有分析原因。
管理评审只报告“完成率”，没有讨论问题。
对重大质量问题没有进行管理层评价。
对重大环境事件没有在管理评审中进行分析。
对职业健康安全事故、事件及未遂事件没有进行管理评审。
信息安全事件没有进入管理评审。
重大IT服务故障没有进入管理评审。
关键服务长期达不到服务目标，但管理评审没有讨论。
风险和机遇变化没有作为管理评审输入。
纠正措施长期未关闭，但管理评审没有关注。
上一次管理评审提出的问题在下一次评审中没有跟踪。
管理评审没有评价资源是否充分。
关键岗位人员能力不足，但管理评审没有提出资源或人员措施。
设备老化、系统能力不足，但管理评审没有形成决策。
信息安全技术能力不足，但管理评审没有提出改进措施。
IT服务能力不足，但没有通过管理评审进行资源调整。
管理评审输出只有“继续加强管理”“持续改进”等空泛表述。
输出没有明确责任部门和完成期限。
管理评审提出的措施没有跟踪验证。
管理评审记录与实际会议内容不一致。
管理评审资料全部由体系部门提前准备，会议没有实际讨论。
管理评审与经营分析会完全重复，没有体现管理体系评价。
会议记录只有汇报内容，没有形成管理决策。
管理评审没有形成对体系适宜性、充分性和有效性的明确评价。
五个体系分别进行管理评审，造成大量重复，缺少综合评价。