（五）認(rèn)證審核，接受quanwei檢驗(yàn)
- 文件審核先行：認(rèn)證機(jī)構(gòu)收到企業(yè)的認(rèn)證申請和相關(guān)材料后，對企業(yè)提交的信息安全管理體系文件進(jìn)行嚴(yán)格審核。檢查文件是否符合 ISO27001 標(biāo)準(zhǔn)要求，是否完整覆蓋企業(yè)的信息安全管理活動，文件之間是否協(xié)調(diào)一致、邏輯嚴(yán)謹(jǐn)。認(rèn)證機(jī)構(gòu)根據(jù)文件審核結(jié)果，提出詳細(xì)的修改意見和建議，企業(yè)需認(rèn)真對待，對管理體系文件進(jìn)行修改完善后，提交認(rèn)證機(jī)構(gòu)審核，直至文件審核通過。
- 現(xiàn)場審核深入：文件審核通過后，認(rèn)證機(jī)構(gòu)安排專 業(yè)審核組對企業(yè)進(jìn)行現(xiàn)場審核。現(xiàn)場審核分為第 一階段審核和第二階段審核。第 一階段審核主要是了解企業(yè)的基本情況、信息安全管理體系的策劃和建立情況，確定第二階段審核的重點(diǎn)和范圍。第二階段審核則是對企業(yè)信息安全管理體系的實(shí)際運(yùn)行情況進(jìn)行全面、細(xì)致的檢查和評價。審核組通過現(xiàn)場觀察信息系統(tǒng)運(yùn)行、查閱文件記錄、與員工進(jìn)行深入訪談、對關(guān)鍵流程進(jìn)行測試等方式，驗(yàn)證企業(yè)是否按照 ISO27001 標(biāo)準(zhǔn)要求實(shí)施和保持信息安全管理體系，是否有效控制信息安全風(fēng)險和問題。審核組在現(xiàn)場審核過程中，詳細(xì)記錄發(fā)現(xiàn)的不符合項(xiàng)，并與企業(yè)相關(guān)人員進(jìn)行充分溝通確認(rèn)。
- 不符合項(xiàng)整改落實(shí)：企業(yè)針對審核組提出的不符合項(xiàng)，制定詳細(xì)、可行的整改計(jì)劃。明確整改措施、責(zé)任人、整改期限等關(guān)鍵要素，確保整改工作有序推進(jìn)。企業(yè)要嚴(yán)格按照整改計(jì)劃認(rèn)真實(shí)施整改，采取切實(shí)有效的糾正措施，消除不符合項(xiàng)產(chǎn)生的根源，防止類似問題發(fā)生。整改完成后，企業(yè)及時向認(rèn)證機(jī)構(gòu)提交整改報(bào)告。
（六）認(rèn)證決定與發(fā)證階段
認(rèn)證機(jī)構(gòu)根據(jù)文件審核和現(xiàn)場審核結(jié)果，以及企業(yè)對不符合項(xiàng)的整改情況，做出認(rèn)證決定。如果企業(yè)的信息技術(shù)服務(wù)管理體系符合 ISO20000 標(biāo)準(zhǔn)要求，且對不符合項(xiàng)已完成有效整改，認(rèn)證機(jī)構(gòu)將頒發(fā) ISO20000 認(rèn)證證書。認(rèn)證證書的有效期通常為 3 年。
（七）監(jiān)督與復(fù)評階段
- 年度監(jiān)督審核：在認(rèn)證證書有效期內(nèi)，認(rèn)證機(jī)構(gòu)每年對企業(yè)進(jìn)行一次監(jiān)督審核，以確保企業(yè)的信息技術(shù)服務(wù)管理體系持續(xù)符合 ISO20000 標(biāo)準(zhǔn)要求并有效運(yùn)行。監(jiān)督審核的內(nèi)容包括企業(yè)信息技術(shù)服務(wù)管理體系的運(yùn)行情況、對上次審核中發(fā)現(xiàn)的不符合項(xiàng)的整改情況、法律法規(guī)的遵守情況等。企業(yè)應(yīng)積極配合認(rèn)證機(jī)構(gòu)的監(jiān)督審核工作，提供相關(guān)資料和信息。
- 再認(rèn)證審核：認(rèn)證證書有效期屆滿前，企業(yè)如需繼續(xù)保持認(rèn)證資格，應(yīng)在證書有效期屆滿前 3 - 6 個月向認(rèn)證機(jī)構(gòu)提出再認(rèn)證申請。再認(rèn)證審核的程序和要求與初次認(rèn)證審核類似，但重點(diǎn)關(guān)注企業(yè)信息技術(shù)服務(wù)管理體系的持續(xù)改進(jìn)情況和有效性保持情況。通過再認(rèn)證審核的企業(yè)，認(rèn)證機(jī)構(gòu)將換發(fā)新的認(rèn)證證書。
