研究的必要性
? ? ? ?隨著“互聯網+”的廣泛應用，組織管理的信息化程度逐漸提高，管理體系的實施也得到更多信息技術的支撐，特別是信息安全管理體系、信息技術服務管理體系、數據安全管理、業務連續性管理體系等更是因為信息技術的發展而存在，組織的管理過程也更多依賴信息技術來實現。但這會導致審核證據的體現更隱蔽，需要通過專業技術手段獲取且需要花費大量的時間，傳統的認證模式和審核員能力均無法滿足認證審核的需要。因此，需要考慮通過優化認證模式來改善當前的認證現狀。
? ? ? ?新的認證模式增加自評價評審和技術驗證，可以更充分地獲取組織信息，也補充了審核人員技術能力的不足。除此之外，還可以提高認證信息的復用，降低申請認證組織的成本，提高認證的充分性，有助于組織管理能力的自主提升。
基于“互聯網+”的認證模式
? ? ? ?認證模式
? ? ? ?基于“互聯網+”的管理體系認證模式是在傳統認證模式的基礎上建立的綜合自評價評審、技術驗證、現場評審、證后監督的認證模式，其中自評價評審和技術驗證是基于“互聯網+”的認證模式新增的兩種方式，下面分別加以介紹：
? ? ? ? 1.自評價評審
? ? ? ? 自評價評審是建立在組織自評價基礎上進行的評審活動。所謂自評價就是組織依據認證依據（管理體系認證標準）對自身符合標準的情況進行評價，自評價的材料組織在提交申請材料的時候一起提交給認證機構，自評價主要考慮以下幾個方面：
? ? ? （1） 組織的規范化程度是否滿足標準要求，包括針對標準要求建立規范化制度或工具是否充分和適宜，主要體現在提供制度和工具描述；
? ? ? （2） 組織的制度和工具的運行情況，包括制度和工具是否得到執行，執行是否規范和有效，主要體現在運行證據的提供；
? ? ? （3） 組織的資源保障情況，包括識別出所需要的資源和資源提供情況，主要體現在資源保障相關證據上；
? ? ? （4） 組織的技術應用情況，包括使用的系統、平臺、工具和技術方法，組織需要提供技術功能和配置描述。
? ? ? ?組織完成自評價后，將自評價材料同認證申請材料一同提交認證機構，認證機構將在申請評審后、現場審核之前安排自評價評審，對組織的管理體系建設運行情況進行初步了解。
? ? ? ?自評價評審是認證組織對自評價的結果和相關證據進行評審的活動，并給出評審結論。
通過自評價，組織可以了解自身體系的運行情況，可以促進組織管理能力的自主提升；通過自評價評審，認證機構可以更充分地了解和獲得審核證據，提高審核證據的充分性。
? ? ? ?2.技術驗證
? ? ? ?技術驗證通過人工或技術手段對認證申請組織的管理體系的技術實現情況進行審核，由專業的技術人員在現場審核之前獨立進行，形成技術驗證報告，在技術驗證過程中如果發現技術實現無法滿足管理目的甚至無法滿足管理要求，可以給組織一定的時間進行整改完善。技術驗證的結果可作為現場審核的輸入，由于技術驗證過程中，部分技術實現的管理要求已經得到了驗證，同時技術驗證獲得的審核證據對后續的現場審核工作具有輔助作用（例如技術無法實現管理目的，可能是技術能力問題也可能是技術管理的問題），現場審核時審核員可以進一步跟蹤從而更具體和深入地獲得審核證據，從而可以充實審核組現場審核的取證內容和減少取證時間，同時可以提高審核證據的充分性和效用。
? ? ? ?認證工具
? ? ? ?認證程序的變化需要得到認證工具的支持才能更好地實施，傳統的認證工具多以檢查表的方式出現，需要組織和認證審核人員進行填寫，由于時間精力有限，檢查表的內容通常都比較簡單，很難實現審核結論的追溯，證據也不能很好地體現。為了解決這些問題，基于“互聯網+”的認證工具需要實現以下幾個目的：
? ? ? ?建立管理體系的組織容易理解和執行的自評價；
? ? ? ?認證機構能夠對獲得的自評價信息進行評審和整理；
? ? ? ?自評價和審核信息能夠很好地得到復用，逐年降低自評價和審核的難度和復雜度；
? ? ? ?評價方式合理，能夠自動產生評價結果；
? ? ? ?易操作和使用。
? ? ? ?基于上述目的，我們設計了管理體系評價工具，由于組織信息的保密程度不同，工具考慮了云模式和內網模式。
? ? ? ?工具的重點在知識庫的建立，包括：
? ? ? ?標準庫，也就是認證依據；
? ? ? ?自評價信息庫，用于指導組織完成自評價工作，自評價信息庫可以采用設置問題的方式，組織通過回答問題，提交證據來完成自評價；
? ? ? ?評價模型，通過對自評價的答案或審核結果進行評價，得出評價或審核結論，評價的方式可以是評分或者給出結論的方式進行。
? ? ? ?在知識庫的基礎上，工具需要實現以下主要功能：
? ? ? ?組織角色設置；
? ? ? ?組織自評價任務管理；
? ? ? ?組織自評價及評價結果匯總分析；
? ? ? ?自評價評審；
? ? ? ?審核計劃生成；
? ? ? ?審核記錄；
? ? ? ?審核信息匯總分析，形成結論；
? ? ? ?審核報告生成。
? ? ? ?云模式下的工具，上述功能生成的信息通過互聯網進行傳遞；內網模式下的工具，可以通過其他加密的方式進行信息的傳遞。
? ? ? ?認證實施
? ? ? ?基于“互聯網+”的管理體系認證模式并不是從簡化認證的角度出發，更多是通過“互聯網+”的手段，提高認證的價值和意義，因此在認證實施過程中根據組織情況和涉及的體系不同，可以靈活增加更多的審核方式，以確保審核的充分性。
? ? ? ?1.認證程序
? ? ? ?基于“互聯網+”的管理體系認證模式的實施主要包括：認證申請、 申請評審、自評價評審、技術驗證、現場審核安排及實施、認證決定、證后監督和再認證，其中監督審核和再認證與初次認證的過程一致。
新認證模式的實施程序主要是增加了自評價評審和技術驗證，減少了傳統的一階段審核。
? ? ? ?2.自評價評審實施
? ? ? ?組織完成自評價后，需向認證機構提交自評價的結果和相關證據，由認證機構進行自評價評審，在自評價評審的過程中，評審人員可以根據組織提供信息準確程度、完整程度、可信程度和風險級別確定相關條款現場審核方式和程度，如果組織提供的信息準確、完整、可信且風險比較低，那么相關條款就可以不再進行現場審核，其他的證據可以根據情況分別進行補充取證、重新取證或現場驗證的方式進行現場審核。
? ? ? ?3.技術驗證實施
? ? ? ?技術驗證在自評價評審結束以后開展，認證機構根據組織在自評價材料中提供的信息，確定技術驗證的范圍和對象，確定技術驗證方案和指標，從而有針對性地進行技術驗證工作，形成技術驗證報告。
? ? ? ?4.現場審核實施
? ? ? ?通過自評價評審，認證機構已經掌握了管理體系一階段審核除現場確認外要收集的所有信息，也為現場審核提供了充分的輸入，認證機構不必再分成兩個階段進行審核。對于一階段不去現場帶來的風險可以用兩種方式來解決：一種方式是認證組織可以通過聲明、合同等方式將風險轉移給申請組織，由此帶來的損失由組織承擔；另一種方式是組織可以建立誠信檔案，對于誠信度高的組織可以多采信從而降低費用的方式進行鼓勵。
? ? ? ?對于現場審核，由于已經獲取了大量的證據，認證機構可以根據自評價評審的結論對不同條款選擇不同方式進行審核，包括以下幾種：
? ? ? ?直接采用組織的證據不再審核；
? ? ? ?在組織提供證據的基礎上，補充取證；
? ? ? ?在組織提供證據的基礎上，對證據進行現場驗證；
? ? ? ?在組織提供證據的基礎上，重新進行審核，獲取證據。
? ? ? ?通過上述方式，可以不同程度地減少現場審核的內容，申請認證的組織和認證機構都可以從中獲益。
對基于“互聯網+”的管理體系認證模式的思考
? ? ? ?基于“互聯網+”的管理體系認證模式還存在著一定的不足，其便利性和安全性是下一步考慮的重點。目前各種監控系統和數據抓取工具已經相對比較成熟，如果認證工具能夠更好地與這些工具結合，通過數據獲取和分析，可以更好地對組織的管理體系運行情況進行了解和提供服務。當然這對于認證機構和受審核組織來說都將是很大的挑戰，如何設計數據獲取的方式和內容，如何保證數據的安全性，如何避免組織的商業秘密泄露，無疑將成為認證機構和受審核組織雙方需要考慮的問題。推動改革的是認證機構服務的對象，但改革的引導責任還應該在認證機構身上，因此，基于“互聯網+”的管理體系認證模式的發展任重而道遠。
? ? ? ?技術的發展不僅改變了管理體系的認證模式，也將改變管理體系認證的意義。隨著互聯網和大數據的發展，作為傳遞信任的認證行業也將迎來變革，基于“互聯網+”的管理體系認證模式的探索僅僅是個開始，隨著應用和推廣、優化和改進，一定可以更好地服務社會。