GB/T 27422-2019 合格评定 业务连续性管理体系审核和认证机构要求

犐犆犛３５．０４０

犔８０

／—

犌犅犜２７４２２２０１９

—

犆狅狀犳狅狉犿犻狋犪狊狊犲狊狊犿犲狀狋犚犲狌犻狉犲犿犲狀狋狊犳狅狉犫狅犱犻犲狊狉狅狏犻犱犻狀犪狌犱犻狋犪狀犱

狔狇狆犵

犮犲狉狋犻犳犻犮犪狋犻狅狀狅犳犫狌狊犻狀犲狊狊犮狅狀狋犻狀狌犻狋犿犪狀犪犲犿犲狀狋狊狊狋犲犿狊

狔犵狔

２０１９１２１０２０２００７０１

／—

犌犅犜２７４２２２０１９

目次

前言…………………………Ⅲ

引言…………………………Ⅳ

１范围………………………１

２规范性引用文件…………………………１

３术语和定义………………１

４原则………………………１

５通用要求…………………１

５．１法律与合同事宜……………………１

５．２公正性的管理………………………１

５．３责任和财力…………………………２

６结构要求…………………２

７资源要求…………………２

７．１人员能力……………２

７．２参与认证活动的人员………………３

７．３外部审核员和外部技术专家的使用………………４

７．４人员记录……………４

７．５外包…………………４

８信息要求…………………４

８．１公开信息……………４

８．２认证文件……………４

８．３认证资格的引用和标志的使用……………………５

８．４保密…………………５

８．５认证机构与其客户间的信息交换…………………５

９过程要求…………………５

９．１认证前的活动………………………５

９．２策划审核……………６

９．３初次认证……………６

９．４实施审核……………６

９．５认证决定……………６

９．６保持认证……………７

９．７申诉…………………７

９．８投诉…………………７

９．９客户的记录…………………………７

Ⅰ

／—

犌犅犜２７４２２２０１９

１０认证机构的管理要求……………………７

（）………

附录Ａ资料性附录业务连续性管理体系审核及认证的知识８

（）……………………

附录资料性附录能力需求分析与评价

ＢＢＣＭＳ９

（）…………………

附录资料性附录认证审核时间确定指南

ＣＢＣＭＳ１１

参考文献……………………１４

Ⅱ

／—

犌犅犜２７４２２２０１９

前言

本标准按照／—给出的规则起草。

ＧＢＴ１．１２００９

。。

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别这些专利的责任

本标准由全国认证认可标准化技术委员会（／）提出并归口。

ＳＡＣＴＣ２６１

本标准起草单位：中国网络安全审查技术与认证中心、山东省标准化研究院、中国标准化研究院、中

国合格评定国家认可中心、广发银行股份有限公司信用卡中心、北京奇安信科技有限公司、中国认证认

可协会、中金金融认证中心有限公司、中国民航大学、北京华认企业管理咨询有限公司。

本标准主要起草人：魏军、尤其、王凤娇、王曙光、公伟、秦挺鑫、付志高、张桂明、鲍旭华、郝静、

谢宗晓、顾兆军、任天。

Ⅲ

／—

犌犅犜２７４２２２０１９

引言

／—《：》

合格评定管理体系审核认证机构要求第部分要求为机构对组织的

ＧＢＴ２７０２１．１２０１７１

管理体系实施审核和认证建立了准则。如果这类机构按照／《公共安全业务连续性管理

ＧＢＴ３０１４６

体系》（），／—

要求开展以业务连续性管理体系ＢＣＭＳ审核和认证为目的活动对ＧＢＴ２７０２１．１２０１７补

充一些要求和指南是必要的。本标准提供了这样的内容。

本标准正文遵循／—的结构，增加了针对业务连续性管理体系审核和认证机构

ＧＢＴ２７０２１．１２０１７

的专用要求，并与／—共同使用。

ＧＢＴ２７０２１．１２０１７

本标准的主要目的是使得认可机构在应用其评审认证机构所依据的标准时更有效地协调一致。

Ⅳ

／—

犌犅犜２７４２２２０１９

合格评定业务连续性管理体系

审核和认证机构要求

１范围

本标准规定了在／—和／—的基础上，业务连续性管理体系

ＧＢＴ２７０２１．１２０１７ＧＢＴ３０１４６２０１３

（），、

ＢＣＭＳ认证机构所遵循的原则和对ＢＣＭＳ认证机构的要求明确了ＢＣＭＳ审核与认证机构的能力

一致性和公正性的原则、认证相关活动的实施和管理要求等。

本标准适用于所有提供ＢＣＭＳ审核和认证的机构，这些机构需要在能力和可靠性方面证实其满足

本标准中的要求。

２规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文

件。，（）。

凡是不注日期的引用文件其最新版本包括所有的修改单适用于本文件

／—合格评定词汇和通用原则

ＧＢＴ２７０００２００６

／—：

合格评定管理体系审核认证机构要求第部分要求

ＧＢＴ２７０２１．１２０１７１

／公共安全业务连续性管理体系要求

ＧＢＴ３０１４６

３术语和定义

／—、／—、／界定的以及下列术语和定义适用于本

ＧＢＴ２７０００２００６ＧＢＴ２７０２１．１２０１７ＧＢＴ３０１４６

文件。

３．１

认证文件犮犲狉狋犻犳犻犮犪狋犻狅狀犱狅犮狌犿犲狀狋

表明客户的ＢＣＭＳ符合规定的ＢＣＭＳ标准及ＢＣＭＳ所要求的任何补充性文件的一类文件。

４原则

应符合／—中第章的要求。

ＧＢＴ２７０２１．１２０１７４

５通用要求

５．１法律与合同事宜

应符合／—中的要求。

ＧＢＴ２７０２１．１２０１７５．１

５．２公正性的管理

应符合／—中的要求，并且以下要求同时适用。

ＧＢＴ２７０２１．１２０１７５．２

认证机构可以从事以下工作，而不被视为咨询或具有潜在的利益冲突：

１

／—

犌犅犜２７４２２２０１９

），、

ａ安排培训课程并作为教师参与讲授如果这些课程涉及业务连续性管理有关的管理体系或审

核，，

认证机构应仅限于提供可公开获取的通用信息和建议即认证机构不应针对具体客户提供

那些违反下面ｂ）要求的建议。

），。

ｂ根据请求提供或发布认证机构对认证审核标准要求的解释性信息

），

ｃ仅以确定认证审核是否就绪为目的的审核前活动但是这些活动不应导致提供违反本条款的

。，

建议和意见认证机构应能够证实这些活动不违反本条款的要求且没有把这些活动作为减

少最终认证审核时间的理由。

ｄ）根据没有包含在认可范围内的标准或法规，实施第二方或第三方审核。

）在认证审核和监督审核过程中的增值活动，例如，在审核过程中，当改进机会明显时，识别改进

ｅ

机会但不推荐具体的解决方案。

认证机构不应为寻求认证的客户的ＢＣＭＳ提供内部业务连续性评审。此外，认证机构应独立于提

供ＢＣＭＳ内部审核的机构（包括任何个人）。

５．３责任和财力

应符合／—中的要求。

ＧＢＴ２７０２１．１２０１７５．３

６结构要求

应符合／—中第章的要求。

ＧＢＴ２７０２１．１２０１７６

７资源要求

７．１人员能力

７．１．１总则

应符合／—中的要求，并且中的要求同时适用。

ＧＢＴ２７０２１．１２０１７７．１７．１．２７．１．３

～

７．１．２总体考虑

为实施业务连续性管理体系认证，管理层应确保选择、提供和管理那些具备与受审核的活动和有关

的业务连续性管理事宜相适应的技能和综合能力的人员。

认证机构应对表中的每一项认证职能定义能力要求在定义这些能力

／—。

ＧＢＴ２７０２１．１２０１７Ａ．１

要求时，认证机构应考虑／—中指明的所有要求，和本标准和中的所有要求。

ＧＢＴ２７０２１．１２０１７７．１７．２

注：附录提供了对业务连续性管理体系认证职能所涉及人员能力要求的信息摘要。

Ａ

７．１．３能力准则的确定

认证机构应