01.哪些组织可以申请IATF16949认证？ 答：轿车、载货汽车、客车、摩托车及部件、配件的生产厂家。不包括工业（叉车）、农业（小货车）、建筑业（工程车）、矿业、林业等用车生产厂家。 02.混合性生产的企业，只有少部分产品是提供给汽车制造厂的，能否做IATF16949认证？ 答：可以。公司的所有管理都应按IATF16949执行，包括汽车产品技术方面。如果生产现场可区分开来，可只对汽车产品制造现场按IATF16949管理，否则整个工厂必须按IATF16949执行。 03.某汽车厂生产模具、夹具、工装之类，能否申请IATF16949认证？ 答：不能。模具产品生产厂尽管是汽车供应链厂家的供方，但所供产品不是用于汽车上的，因此不能申请IATF16949认证。类似的还有运输供方等。 04.按IATF16949体系运行多长时间才可申请认证？ 答：IATF规定，组织的运行业绩要有12个月，实际告诉我们要有12个月的运行记录。但12个月并非指体系文件发布后12个月，只要组织以往有足够的绩效记录满足了12个月也可以。非汽车产品生产运行记录只要3个月就可。 05.生产汽车零件的公司，主要供应维修市场，能否申请IATF16949认证？ 答：不能。汽车供应链是指所供产品必须装在整车厂出厂新车上的产品零部件，不包括维修市场产品。但如果是整车厂指定销售点并按整车厂的计划配送，还是可以申请认证的。 06.产品由本公司设计出来，但与顾客合同的开发协议中，设计责任是顾客，本公司是否有产品设计责任？ 答：公司是有产品设计功能的，但无产品设计责任。 07.本公司的产品设计是外包给汽车设计院设计出来的，那本公司是否有产品设计责任？ 答：有。正式审核时包括设计院在内。产品设计责任，如果不是顾客，就是组织自己，二者必居其一。 08.对于锻件毛坯的生产厂，顾客的要求是，在产品图纸的基础上，保证足够的金属切削余量，而锻件余量是由本公司自己设计出来的，请问本公司是否有产品设计责任？ 答：无产品设计责任。产品设计责任是针对终产品图样而言的，锻件毛坯图属工艺过程图，是制造过程设计。 09.组织的质量目标值很低是否能通过认证？ 答：目标设定和行业、加工工艺、公司的经营规划有关。目标设定要依据工厂实际，没有达成是允许的，只要有改善对策就可。但目标连续三个月都没有达成，就要考虑目标设定的合理性或者体系策划的有效性。 10.正在进行基础设施改造的公司，建造一座新的生产车间，是否能进行现场审核？ 答：可以。只要组织按IATF16949运行，完全符合标准要求就可以申请认证。但需要按照公司内部规定要求进行变更管理，包括新设施制造可行性评估，变更控制等内容，并在新生产场地开始生产前，按照变更管理进行验证和确认。 11.过程业绩和质量目标有何关系？ 答：组织的业绩是指组织终满足顾客要求的质量目标值，组织的过程业绩是指组织完成终目标的中间过程指标。过程业绩指标是为了完成质量目标而设定的。例如准时交货率，是采购准交率、委外准交率、生产计划达成率几个指标的实现，从而达到准时交货率这个指标的。 12.组织内部审核能否用按部门或按程序文件方式进行内审，而不用过程方法审核表？ 答：不可以。IATF组织发布的《审核检查表》，于2004年6月宣布停止使用，是为了强调过程方法的应用，在IATF16949中明确要求，不管在二方审核供应商体系还是在内部体系审核时，必须使用过程方法进行审核。 13.监视和测量资源是否都要进行周期检查？ 答：不一定。对测量设备的控制，不是对所有场合下使用的测量设备都必须实施，特别是校准和检定，仅对那些在需要确保产品质量合格的场合下使用的测量设备进行。对于其他场合使用的测量设备，组织考虑采用其他的方法，避免提高成本，例如万用表、卷尺、钢直尺等。纯粹用于监视过程的测量设备，也可不进行周期鉴定，因为它们不直接证实产品的符合性，如密封性试验的气压表，控制台上的电压表等。 14.服务要求指什么？ 答：服务的定义是：在组织(3.2.1)和顾客(3.2.4)之间需要完成至少一项活动的组织的输出(3.7.5) 注1：服务的主要特征通常是无形的。 汽车制造行业服务主要包括：安装，调试，维修，失效分析，备品备件供应，零件回收（ELV）等的要求，必要的时候可能存在售后服务中心。 15.通过认证后多长时间才能拿到？ 答：现场审核分为两个阶段，阶段审核称为文件审核，审核通过后的3个月内，进行第二阶段的正式审核。组织在3个月内对不符合项进行整改关闭，认证中心对整改完成情况进行验证，这种验证可能是书面的，也可能要到现场进行验证。验证完成后如果符合要求，则表示组织通过了IATF16949：2016认证，自此算起，一般不超过3个月就可拿到认证。注意，这只是通常情况，不同认证中心可能不一样。 16.监督审核多长时间进行一次？ 答：从第二阶段现场审核后算起，可以按照每6个月一次监督审核，或者每12个月进行一次监督审核，有两种，国内认证公司一般都用的后面一种每12个月审核一次。 17.公司在IATF16949：2016正式认证前，供方是否都要先通过ISO9001：2015的认证？ 答：IATF16949：2016中“8.4.2.3供方质量管理体系的开发”中要求，除非顾客同意，否则组织的供方必须通过经认可的第三方认证机构的ISO9001：2015第三方认证。但也要注意例外的情况，顾客有书面的认可，组织的供方也可不要求认证。但即使顾客允许，组织也应按公司规定的质量管理体系的开发要求，建计划进行体系开发，要有达到以上要求的计划，并对其进行监督检查，确保能按计划完成。 18.公司的供方有一些是十几个人的小企业，基础很差，怎样对他们进行质量管理体系开发？ 答：对供方管理体系开发的优先顺序，取决于供方的质量业绩等。如对供方进行培训、要求供方按ISO9001：2015实施、到供方现场进行二方质量管理体系审核等。 19.供方不按公司的要求实施质量管理体系，更换供方，采购成本又会提高，这怎么办？ 答：供方的质量管理体系，你不推，他是不会动的，应建立“与供方的互利的关系”的思想，采取多种方式方法，逐渐引导供方提高质量管理水平。对那些不求进步、供货质量又得不到保障的供方，考虑组织的长远稳定发展，应逐渐淘汰。 20.供方是特大型企业，怎样对其进行质量管理体系开发？ 答：如果供方是特大型企业，可以在风险评估时确定其风险状态，如果表明其风险较低且满足公司目标体系开发要求，可不要开发，但对于组织对其的特殊要求，组织仍应对其进行开发，如供方提交控制计划的编制，可通过辅导学习来实现开发。 21.本公司在供方处采购的产品量过小，如何进行供方的质量管理体系开发？ 答：依据供应商风险确定管理要求，至少供应商需要通过ISO9001,把那个确定目标体系要求，因此体系开发要求必须对供应商提出，或通过中间商向制造商提要求。 22.供方以技术保密为由，不提交PPAP怎么办？ 答：对供方进行PPAP培训，涉及技术保密的部分可以不提交，其他是一定要提交的。 23.公司产品没有特殊特性可以吗？ 答：顾客是否有要求？如果有，自然就有。如果顾客没有提出，则组织自己确定，需要有识别特殊特性的流程，包括初始特殊特性，产品特殊特性，产品和过程特殊特性。 24.什么是顾客的特殊要求？ 答：IATF16949：2016认证审核，一是颁发，符合IATF16949：2016质量管理体系要求的，二是符合顾客特殊要求。组织按标准要求完全做到了还不够，还要按不同顾客的个性要求去做到，才能真正意义上符合IATF16949：2016。顾客的特殊要求，新版IATF16949解释是客户对QMS特定条款的解释或补充，如、新产品开发的策划要求（APQP）、生产件批准要求（PPAP）、过程能力指数要求、量具的重复性再现性要求（GRR）和PPM要求等。 群互动群： 备注您想要加入的群：六西格玛、精益管理、质量体系、PMP项目管理（任选其一） 入群方式：加入小助手，拉入群（长按左图识别二维码） -THEEND- 讨教君碎碎念： 如果觉得我的文章对您有帮助，希望经常看到我的话，请看完文章后点右下角的“在看”或“星标”精益六西格玛大本营。 投稿征集 欢迎大家投稿给公众号，一经采纳会支付相应的稿费哦！主题可以是六西格玛，也可以是精益，也可以是质量的，体系的！欢迎各位成为我们的专栏作家，长期合作哈！

ISO27000认证信息风险评估FAQ 深圳ISO27000认证为什么要进行信息风险评估？ 　　通过风险评估，你可以知道组织范围内存在哪些重要的信息资产、信息处理设施及其面临的威胁，发现技术和管理上的脆弱点，综合评估现有综合资产的风险状况。 什么是信息风险评估？ 　　风险评估：对信息及信息载体、应用环境等各方面风险进行辨识和分析的过程，是对威胁、影响、脆弱性及三者发生的可能性的评估。它是确认风险及其大小的过程。 　　风险评估为管理层确定具体的策略，以及在“成本-效益”平衡基础上做决策服务；风险控制措施为组织实施信息的改进提供指导。 信息风险评估的实施的主体是什么？ 　　风险评估可分为自评估和检查评估两大类。自评估是由被评估信息系统的拥有者依靠自身的力量，对其自身的信息系统进行的风险评估活动。检查评估则通常是被评估信息系统的拥有者的上级主管或业务主管发起的，旨在依据已经颁布的法规或标准进行的，具有强制意味的检查活动，是通过行政手段加强信息的重要措施。 　　检查评估应该是具有一定资质的风险评估服务机构实施的。自评估可以在信息风险评估服务机构的咨询、服务、培训下，由系统所有者和评估服务机构共同完成。 信息风险评估的政策依据及标准依据？ 　　 信息化领导小组《关于加强信息保障工作的意见》(中办发[2003]27号文件)将信息风险评估作为一项重要的举措。国信办2005年5号文率先在北京、上海、黑龙江、云南等地，以及银行、税务、电力三个行业进行试点，根据试点经验，各省市建立信息风险评估管理制度。 　　 国信办标准草案《信息风险评估指南》、《信息风险管理指南》 　　 NIST SP800-30 《Risk Management Guide for Information Technology Systems》 信息风险评估包括哪几个主要实施阶段？ 　　风险评估可以分为资产识别、重要资产赋值、威胁分析、脆弱性识别、风险计算、风险控制措施提出等实施阶段。 信息风险评估的主要内容及方法？ 　　信息风险评估的实施主要有以下内容： 　　 （1）资产识别 　　 （2）资产的属性赋值及权重计算 　　 （3）威胁分析 　　 （4）薄弱点分析 　　 （5）威胁发生可能性及影响分析 　　 （6）风险计算 　　 （7）风险处理计划制定 　　 风险评估是一项综合的系统工程，既涉及到技术，又涉及到管理。风险评估过程中既需要采用技术的检测手段，又需要进行综合的归纳、总结和分析方法。 　　 风险评估中资产价值的判断、威胁判断、事件造成影响的判断标准都需要根据被评估实际情况，与被评估方共同确定。 信息风险评估是否会影响系统的业务正常运行？ 　　除针对服务器的漏洞扫描、诊断及渗透性测试外，风险评估不会对系统的业务运行造成影响。即使是渗透性测试，也仅仅是为了验证漏洞存在给系统可能造成的后果（如文件窃取、控制修改关键程序/进程等），而不是以破坏系统为目的。评估人员在执行渗透性测试前，会将详细的渗透测试方案与用户交流，包括渗透测试对象、测试强度、可能后果、提前备份等要求，并经用户认可后方能实施。 信息风险评估的结果形式是什么？ 　　信息风险评估在评估过程中将生成一系列的风险评估操作记录，包括：重要资产列表、脆弱性汇总表、资产威胁识别表、资产威胁风险系数表、信息资产综合风险值表等， 将生成三份评估结果： 　　 脆弱性评估报告：以资产为核心，描述该资产存在的薄弱点。 　　 风险评估报告：反映了风险评估整个过程、方法、内容及风险结果。 　　 风险处理计划：针对识别的风险，提出具体的控制目标和控制措施。 信息风险评估的周期有多长　 　　信息风险评估没有确定的时间周期，一般两年一次进行定期的评估，但当组织新增信息资产、系统发生重大变更、业务流程发生重大变化、发生严重信息事故等情况下应进行风险评估。 　　 此外，对系统规划、扩建时也需要进行风险评估，为需求、策略的制定提供依据。 信息风险评估的收费标准　 　　根据评估对象的不同而不同。风险评估的对象可以是：单个独立的信息系统、支持组织业务的整体信息处理环境、整个组织范围。信息风险评估的费用主要依据以下几个方面进行核算： 　　 网络规模 　　 联网单位或客户端抽样比例 　　 被评估系统的多少 　　 被评估信息设备的多少 　　 被评估的组织范围大小