管理系統與稽核基礎觀念

關於管理系統稽核 (management system) 
# 提問  小組討論
M1

請您說明什麼是組織管理 (management)？與組織治理 (governance) 之不同？


參考資料：https://hiproficiency.com/governance-vs-management/ 

 1. 請列舉 5 項 [ 組織管理過程 (process) ]、透過那些 (關鍵/核心) 活動 (activities) 來完成、每項活動需要哪些資源 (resources)？

 
M2 請說明什麼是管理系統標準 (management system standard)？

 1. 請列舉 5 項常見的 [ 管理系統標準 ] ？
M3 請說明資訊安全管理 (information security management) 與 ISO/IEC 27001 之間的關係？

備考 1：請參閱  [ ISMS 條款要求 ] 



 1. 請列舉 5 項組織常見的 [ 資訊安全管理過程 (information security management process) ]？

2. 請說明在 ISO/IEC 27001 管理系統標準中，ISO 與 IEC 所扮演的角色是什麼？提出哪些要求事項？
M4 請說明什麼是管理循環管程 (計劃 - 執行 - 檢核 - 行動 (Plan-Do-Check-Act, PDCA) 與風險思維 (risk-based thinking)？


備考 1：請參閱 [ 資訊安全管理詞彙 ] 

備考 2：請參閱 [ 資訊安全管理系統概觀 ]

備考 3：請參閱 [ 風險管理詞彙 ] 與 [ ISO 31000 風險管理指引 ] 

 1. 請說明 [ 管理循環過程 (計劃 - 執行 - 檢核 - 行動 (Plan-Do-Check-Act, PDCA) ] 與 [ ISO 管理系統標準 ] 之間的關係？

2. 請說明 [ 風險思維 (risk-based thinking) 過程 ]？以及這些過程與 [ ISO 管理系統標準 ] 之間的關係？
M5 請說明組織如何決定管理系統的範圍 (management system scope)？


備考 1：請參閱 [ 資訊安全管理過程範例 ] 


案例研討 - Data Center 資料中心


 1. 請列舉 5 項組織應該考量哪些 [ 內部、外部議題 (issues) / 因素 (factors) ]？

2. 請列舉 5 項組織應該考量哪些 [ 內部、外部利益相關方 (interested parties) ]？是否包含具有 [ 相依性 (dependency) 的利益相關方 ]？包含但不限於：
        - 公用事業服務供應商，包含電力、水、電信公司、國際通訊海纜、衛星通訊等
        - 雲服務供應商、資料中心等
 

3. 請列舉 5 項組織 (法人機構) 採用管理系統標準時，應該考量哪些 [ 要求事項 (requirements) ]？

4. 請說明組織如何 (例如分析 (analysis) 與評估 (evaluation) 過程) 決定這些議題 (issues)、利益相關方 (interested parties)、要求事項 (requirements) 與組織 [ 相關 ]？

5. 請說明為什麼管理系統的實施，是組織的 [ 策略性決定 (strategic decision) ]？

6. 請說明什麼是 [ 組織目的 (purpose) ]？以及組織期望管理系統達成的 [ 成果 (results) ]？

7. 請說明組織如何在決定管理系統的 [ 範圍 (management system scope) ] 時，展現風險思維 (risk-based thinking)？

8. 請說明管理系統要求建立、實作、維持 [ 管理系統要求過程 (management system process) ] 以持續改善 [ 管理系統有效性 ]？

9. 請說明組織透過哪些機制，持續監督 (monitoring) 與審查 (review) 相關議題 (issues)、利益相關方 (interested parties)、要求事項 (requirements) 的 [ 變更 (change) ]？並且於適當時，更新管理系統的範圍。
M6 請說明組織如何規劃因應風險 (risk) 及機會 (opportunities) 的過程及控制措施？ 


備考 1：請參閱 [ 風險管理詞彙 ] 與 [ ISO 31000 風險管理指引 ] 

備考 2：請參閱 [ 附錄 A, 資訊安全風險控制措施參引 ] 


 1. 請說明組織是如何決定 [ 需要因應的風險 (risk) 及機會 (opportunities) ]？ 指的是哪些？

2. 請說明組織 [ 風險評鑑過程 (risk assessment process) ]？ 包含：
        - 如何 [ 識別風險 (identify the risk) ]？
        - 如何 [ 分析風險 (analysis of the risk) ]？
        - 如何 [ 評估風險 (evaluate the risk) ]？

3. 請說明組織 [ 風險處理過程 (risk treatment process) ]？ 包含：
        - 有哪些 [ 風險處理選項 (risk treatment options) ]
        - 如何 [ 選擇風險控制措施 (risk controls) ]
        - (如果適用) 風險控制措施之 [ 適用性聲明 (statement of applicability, SoA) ] 應包含那些內容？

4. 請說明組織是如何決定制訂 [ 資訊安全風險處理計畫 (risk treatment plan, RTP) ]？

5. 請說明組織是如何 [ 為各相關部門及層級建立資訊安全目標及其達成之規劃 ]？

6. 請說明組織如何在規劃因應風險 (risk) 及機會 (opportunities) 的過程及控制措施時，展現風險思維 (risk-based thinking)？
M7 請說明組織如何對管理系統進行變更管理 (change management)？

 1. 請說明管理系統 [ 變更管理過程 (change management process) ]？ 包含：
        - [ 一般變更 ]
        - [ 重大變更 ]
        - [ 緊急變更 ]

2. 請說明組織如何在規劃變更管理過程時，展現風險思維 (risk-based thinking)？
M8 請說明組織如何運作 (operation) 管理系統？ 1. 請說明組織如何在 [ 產品/服務生命週期管理過程 ] 中，因應風險 (risk) 及機會 (opportunities) 所決定之行動？

2. 請說明組織如何執行、監督 (monitoring) 與審查 (review) 規劃之變更？

3. 請說明組織如何管控管理系統相關 [ 外部所提供  (externally provided) 之過程、產品或服務 ]？

4. 請說明組織如何在管理系統運作 (operation) 時，展現風險思維 (risk-based thinking)？
 
M9 請說明組織應如何支持 (support) 管理系統運行？  1. 請說明組織如何在管理系統運作 (operation) 時，提供必要的[ 資源 (resources) ]？包含哪些？

2. 組織請說明組織如何確保在組織控制下執行工作的人員，皆具備 [ 必要之能力 ]？

3. 組織請說明組織如何確保於組織控管下，執行工作之人員認知管理系統政策、人員角色、責任與權限、達成管理系統有效性之貢獻與益處、未遵循要求事項之可能後果？

4. 組織請說明組織如何進行 [ 內部及外部溝通或傳達 ]？

5. 請說明組織如何在支持 (support) 管理系統運行時，展現風險思維 (risk-based thinking)？
M10 請說明組織應如何管理文件化資訊  (documented information)？
 1. 組織請說明組織管理系統 [ 文件化資訊的來源 ]？

2. 請說明組織如何進行 [ 文件化資訊生命週期 ] 過程管理？

3. 請說明組織如何管理 [ 外部來源 ] 之文件化資訊  (documented information)？
M11  請說明 [ 最高管理階層 (top management) ] 應如何在展現其在管理系統中的責任、領導與承諾？
 1. 請說明  [ 最高管理階層 (top management) ] 如何展現其對於管理系統的領導 (leadership) 與承諾 (commitment)？

2. 請說明組織如何建立適切 (adequate) 的 [ 管理系統政策 (management system policy) ]？

3. 請說明組織如何確保管理系統 [ 相關角色 ] 之責任 (responsibilities) 及權限 (authorities) 已於組織內指派並傳達？包含：
        - 最高管理階層 (top management) 
        - 管理階層 (manager)
        - 組織控管下，執行工作之人員 (例如 員工 (employee)、合約人員 (contractor))
        - 稽核員 (auditor)
        - 資產擁有者 (assets owner)
        - 風險當責者 (risk owner) 
        - 與組織存在相依性 (dependencies)，由外部提供過程、產品或服務之組織或人員，例如供應商 (supplier)
        - 其他利益相關方 (interested parties)

4. 請說明組織的 [ 最高管理階層 (top management) ] 在展現其對於管理系統的領導力 (leadership) 時，如何考量風險思維 (risk-based thinking)？
M12 請說明組織如何進行管理系統績效評估 (performance evaluation)？  1. 請說明組織如何對  [ 資訊安全管理過程 (information security management process) ] 及 [ 風險控制措施 ] 進行監督 (monitoring)、量測 (measurement)、分析 (analysis) 及評估 (evaluation)，確保管理系統之有效性？

2. 請說明組織如何透過 [ 管理系統績效評估之結果 ]，進行管理系統持續改善 (continual improvement)？

3. 請說明組織如何規劃、建立、實作及維持 “ 稽核方案 (audit programme(s)) “？

4. 請說明組織如何確保 [ 稽核過程之公正性 (impartiality) ] 及 [ 稽核結論 (audit conclusion) 之客觀性 (objectivity) ]？

5. 請說明組織如何透過 [ 稽核之結果 ]，進行管理系統持續改善 (continual improvement)？

6. 請說明組織如何審查組織之管理系統，以確保其持續的合宜性 (suitability)、適切性 (adequacy) 及有效性 (effectiveness) ?

7. 請說明組織如何透過 [ 管理審查之結果 ]，進行管理系統持續改善 (continual improvement)？

8. 請說明組織如何在評估管理系統統績時，考量風險思維 (risk-based thinking)？
M13 請說明組織如何進行持續改善 (continually improvement) ，以確保管理系統之合宜性、適切性及有效性？ 1. 請說明組織如何根據績效評估之發現，，進行管理系統 [ 持續改善 (continual improvement) ]？

2. 請說明當管理系統發生 [ 不符合事項 ] 時，組織應採取哪些作為？

3. 請說明組織如何在進行持續改善 (continually improvement) 時，考量風險思維 (risk-based thinking)？
     




關於管理系統稽核 (management system audit) 
# 提問 小組討論
A1  請說明稽核過程，相關角色‘的責任與權限？  1. 請說明組織如何確保稽核過程 [ 相關角色 ] 之責任 (responsibilities) 及權限 (authorities) 已指派並傳達？包含：
        - 受稽核方 (auditee)
        - 稽核員 (auditor)
        - 稽核組組長 (audit team leader)  
        - 陪檢人員 或 引導人員 (guide)
        - 觀察員 (observer) 或 培訓中稽核員 (auditor-in-trainee)  
        - 技術專家 (technical expert)
        - 翻譯 (interpreter) 
A2 請說明組織如何 [ 選擇稽核員 ]？ 



備考 1：請參閱下列相關資料，

        - 管理系統稽核員要求：[ 稽核員能力要求 ]

        - 驗證機構稽核與驗證人員能力一般要求，[ ISO/IEC 17021-1, 附錄 A  (規範性) - 所需的知識與技能 ]

        - 專門領域與特定產業適任性，例如，資訊安全管理系統 (ISMS) 稽核與驗證人員能力要求，[ ISO/IEC 27006, 附錄 A, 提供有關 ISMS 驗證人員能力要求彙總表 ] 



 1. 請說明組織如何確保稽核員的能力 (competence)？
  請說明管理系統稽核形式 (types)、原則 (principal) ?

 1. 請說明下列不同形式管理系統稽核，在 [ 稽核目標 (audit objectives) ]、[ 稽核員能力 ]、[ 稽核準則 ] 與 [稽核範圍 ] 之差異：
        - 第一方稽核
        - 第二方稽核
        - 第三方稽核
A3  請說明管理系統稽核之原則 (principal) ?


備考 1：請參閱 [ 稽核原則 ] 

 1. 以第三方驗證稽核為例，請說明稽核過程應遵循哪些原則 (principal)？
A4  請說明組織如何規劃稽核活動？


備考 1：請參閱 [ 管理稽核方案 ]

備考 2：請參閱 [ 執行稽核與驗證過程要求 ]


 1. 請說明組織在規劃稽核活動時，如何考量風險思維 (risk-based thinking)？

2. 以第三方驗證稽核為例，請說明：
        - [ 驗證前的工作 ]
        - [ 初始驗證 (initial certification audit) ]
        - [ 第一階段稽核 (stage 1 audit) ]
        - [ 第二階段稽核 (stage 2 audit) ]
        - [ 追蹤稽核 (survenlllance audit) ]
        - [ 重新驗證稽核 (re-certification audit) ]
A5  請說明如何準備第三方驗證稽核活動？


備考 1：請參閱 [ 執行稽核與驗證過程要求 ]

 1. 以第三方驗證稽核為例，請說明：
        - [ 文件化資訊審查 ] 
        - [ 稽核過程風險考量 ]
        - [ 稽核方案 (audit programme) ]
        - [ 稽核目標 (audit objectives) ]
        - [ 稽核計畫 (audit plan) ]
        - [ 稽核範圍 (audit scope) ]
        - [ 稽核準則 (audit criteria) ] 
        - [ 稽核方法 (audit methods) ] 
        - [ 稽核組安排 (audit team arrangement) ]
        - [ 準備稽核工作文件 ]
A6  請說明如何執行第三方驗證稽核活動？


備考 1：請參閱 [ 執行稽核與驗證過程要求 ]

 1. 以第三方驗證稽核為例，請說明下列稽核活動，包含： 
        - [ 起始會議 (opening meeting) ]
        - [ 稽核過程內部、外部溝通 ]
        - [ 蒐集與查證資訊 ]
        - [ 稽核證據 (audit evidence) ] 
        - [ 產生稽核發現 (audit finding) 過程 ]
        - [ 決定稽核結論 (audit conclusion) ]
        - [ 總結會議 (closing meeting) ]
A7  請說明如何準備與分發第三方驗證稽核報告 (audit report)？


備考 1：請參閱 [ 執行稽核與驗證過程要求 ]

 1. 以第三方驗證稽核為例，請說明：
        - [ 稽核報告 ]
A8  請說明如何完成第三方驗證稽核與執行第三方驗證稽核跟催 (audit follow-up)？


備考 1：請參閱 [ 執行稽核與驗證過程要求 ]

 1. 以第三方驗證稽核為例，請說明：
        - [ 矯正措施有效性之查證 (verification) 與驗核 (validation) ]
     


Last modified: Friday, 16 August 2024, 7:26 AM