ISO27001-2022风险和机遇评估分析表.xlsVIP

过程

类别：■IT服务■过程

序号

过程

风险和机遇内容

风险分析

管理措施

责任部门/人

时间

评价措施有效性

严重程度

发生概率

可探测性

RPN

风险级别

客户开发，合同评审过程

1.对市场需要产品的发展趋势判断失误。2.客户要求识别不完整。3.未能确保能够满足客户要求就签署合同。

一般风险

1.对市场需求产品的发展趋势分析应该经过反复论证。2.对客户的要求实施监视和测量。3.在确定与客户签署合同前落实合同评审事宜。

有效

实施计划

1.计划制定不合理，导致无法按时完成计划任务，从而延误产品或服务交付。

高风险

1.合理计算公司的实际交付能力。2.依据产品特点和本公司的实际交付能力合理安排实施计划。3.安排跟单员全程跟进实施计划的实现过程。

产品/服务交付

1.不能按时交付。2.交付的产品/服务不符合客户的要求。

顾客服务

1.顾客投诉未能有效解决。2.顾客满意度低，导致顾客丢失。

经营计划管理

1.和竞争对手相比的优劣势分析失误，导致业务萎缩。

内部审核

1.审核人员业务技能不熟悉，导致审核浮于表面。2.审核发现的不符合项目未能及时改善和更近，导致问题长期存在。

1.对内审员实施培训，经考核合格后获取内审证书。安排内审员时必须是获得内审员资格证书的人员。2.对内审开出的不符合项目，责任部门必须落实改善对策，审核员持续跟进，直至不符合项目关闭。

各部门

持续改进过程

1、不合格识别不充分。

2、改善意识不到位。

3、人员不具备改善的能力。

1.明确不合格的范围。

2.意识培训。

3.明确改善的流程和方法，并在组织内实施培训。

组织环境及相关方管理过程

1.组织环境识别不齐全。

2.相关方要求识别不完整。

1.定期进行监视和评审。

2.采取以对策。

应对风险和机遇过程

1.风险识别不齐全。

2.风险没有制订相应的措施。

3.措施没有得到有效的实施。

领导作用

1.领导对管理体系不重视，没有履行足够的承诺。2.未能配置足够的资源。

1.在管理体系中重点体现总经理的作用，确保总经理能够履行承诺。2.通过对体系的监视和测量，配置足够的资源。

总经理

管理评审

1.输入项目不全。2.输出项目未能有效落实。

1.管理评审计划要反复确认，将每一项输入落实到责任部门。2.总经理确保每一项输入均得到评审。3.输出项目需要执行“谁去做？”、“怎么做？”“什么时候完成？”，以确保管理评审的输出得到有效落实。4.每年的管理评审务必评审上年度输出的执行情况。

总经理各部门

数据分析

1.数据信息不准确，导致分析的结论不合理。

1.要求用于数据分析的数据必须保持准确。2.公司责成运营管理部负责对数据的真实性实施监督和验证。

服务管理体系策划

1.策划服务管理体系时，遗漏了的要求。2.策划的控制措施不能满足服务管理体系各项要求的控制。

1.策划服务管理体系时，应识别产品/服务要满足的所有要求，包括客户提出的、隐含的、以及法律法规或行业特定的要求。2.各项要求的控制措施要经过不断的讨论、改进，最终确定，以确保控制措施的有效性。3.策划各过程的控制要求必须依照PDCA过程发放展开。

信息交流

1.交流的对象不明确；2.交流的方法不当；3.交流未能保证最终结。

文件管理

1.需要遵守的外来文件识别不全，导致出现不符合要求的情况。2.失效文件投入使用，导致引发不良后果。

1.建立外来文件清单，将需要使用的外来文件予以规范管理。