為了(le)對(dui)“過程方法”有更好的理(li)解(jie)，我(wo)們首先應(ying)理(li)解(jie)以(yi)下幾個術(shu)語(yu)：

活動

人(ren)們(men)(men)在(zai)過程中協調配合，開展他們(men)(men)的(de)(de)日常活動(dong)。某些活動(dong)被預先規定并依靠對(dui)組織目標的(de)(de)理解，而另(ling)外(wai)一(yi)些活動(dong)則是通過對(dui)外(wai)界(jie)刺激的(de)(de)反應，以確定其性質并予以執行。

過程

利用輸入提供(gong)預期(qi)結果(guo)的相(xiang)互關聯或相(xiang)互作用的一組活(huo)動。

組(zu)織(zhi)擁有可被確定、測量和(he)改進的(de)過(guo)程(cheng)。這些(xie)過(guo)程(cheng)相互(hu)作(zuo)用，產(chan)生與組(zu)織(zhi)的(de)目(mu)標和(he)跨部(bu)門職(zhi)能相一致的(de)結(jie)果。某些(xie)過(guo)程(cheng)可能是關鍵的(de)，而(er)另(ling)外一些(xie)則不是。過(guo)程(cheng)具有內部(bu)相關的(de)活動(dong)和(he)輸入(ru)，以提供輸出。

過程方法

當活動被作(zuo)為相互(hu)關聯的功能(neng)連貫過程系統進行管(guan)理時，可更加(jia)有效和高(gao)效的始終得到預期的結果。

從這(zhe)3個(ge)概念中我們了解到：

一個過(guo)程(cheng)可能包括多(duo)個活動(dong)；過(guo)程(cheng)可以提供預期(qi)的(de)結果；把過(guo)程(cheng)的(de)相(xiang)關(guan)或從(cong)系(xi)統(tong)管理，可以使過(guo)程(cheng)提供的(de)預期(qi)結果更(geng)加有效。

ISO 9001：2015《質量管理(li)體(ti)系(xi)(xi) 要(yao)(yao)求》引言 0.1條款明(ming)確(que)指出(chu)，本標(biao)準采用(yong)(yong)過(guo)(guo)程(cheng)方法，該方法結合(he)了(le)PDCA（策(ce)劃、實施、檢查(cha)、處置）循(xun)環與基于(yu)風險的(de)思維(wei)。過(guo)(guo)程(cheng)方法能(neng)使組(zu)織(zhi)策(ce)劃其(qi)(qi)過(guo)(guo)程(cheng)及(ji)其(qi)(qi)相互作用(yong)(yong)。PDCA循(xun)環使得(de)組(zu)織(zhi)確(que)保對其(qi)(qi)過(guo)(guo)程(cheng)進(jin)行(xing)恰當管理(li)，提供充足資源(yuan)，確(que)定改進(jin)機(ji)會并采取行(xing)動。基于(yu)風險的(de)思維(wei)使得(de)組(zu)織(zhi)能(neng)確(que)定可能(neng)導致其(qi)(qi)過(guo)(guo)程(cheng)和質量管理(li)體(ti)系(xi)(xi)偏離(li)策(ce)劃結果(guo)的(de)各種因素，采取預防控制，最大限(xian)度(du)地降低不利(li)(li)影響，并最大限(xian)度(du)地利(li)(li)用(yong)(yong)出(chu)現的(de)機(ji)遇。結合(he)此要(yao)(yao)求，看(kan)看(kan)目前主流企業信息化(hua)系(xi)(xi)統的(de)情況。

目前主流的企業(ye)信息化系(xi)統(tong)(tong)主要有辦公自動化系(xi)統(tong)(tong)、企業(ye)資(zi)源(yuan)計(ji)劃系(xi)統(tong)(tong)、客(ke)戶關(guan)系(xi)管理(li)系(xi)統(tong)(tong)、電子商務系(xi)統(tong)(tong)。

辦(ban)(ban)公(gong)(gong)自動(dong)化(hua)（OA）是將現代化(hua)辦(ban)(ban)公(gong)(gong)和計算機(ji)網絡功能結合起來的(de)(de)(de)一種新型的(de)(de)(de)辦(ban)(ban)公(gong)(gong)方式。辦(ban)(ban)公(gong)(gong)自動(dong)化(hua)沒有(you)統一的(de)(de)(de)定義，凡是在(zai)傳(chuan)統的(de)(de)(de)辦(ban)(ban)公(gong)(gong)室(shi)中采用各(ge)種新技(ji)術(shu)、新機(ji)器、新設備從事(shi)辦(ban)(ban)公(gong)(gong)業務都屬(shu)于辦(ban)(ban)公(gong)(gong)自動(dong)化(hua)的(de)(de)(de)領(ling)域。在(zai)行政(zheng)機(ji)關(guan)中，大多把辦(ban)(ban)公(gong)(gong)自動(dong)化(hua)叫(jiao)做電子(zi)政(zheng)務，企事(shi)業單(dan)位稱為(wei)OA，即辦(ban)(ban)公(gong)(gong)自動(dong)化(hua)。OA軟(ruan)件的(de)(de)(de)核心應用是流程審批、協(xie)同工(gong)作、公(gong)(gong)文管(guan)(guan)理(li)（國企和政(zheng)府機(ji)關(guan)）、溝(gou)通工(gong)具、文檔(dang)管(guan)(guan)理(li)、信息(xi)中心、電子(zi)論壇(tan)、計劃管(guan)(guan)理(li)、項目管(guan)(guan)理(li)、任務管(guan)(guan)理(li)、會議管(guan)(guan)理(li)、關(guan)聯人員、系統集成(cheng)、門(men)戶定制、通訊(xun)錄(lu)、工(gong)作便簽、問(wen)卷調查、常用工(gong)具（計算器、萬(wan)年(nian)歷等）。

企業資(zi)源(yuan)計劃(hua)（ERP），由美國(guo) Gartner Group 公司于(yu)(yu)1990年提出。企業資(zi)源(yuan)計劃(hua)是一種基于(yu)(yu)“供應鏈(lian)”管理思想，把客戶(hu)需(xu)求(qiu)和企業的內部(bu)制造活(huo)動以及供應商的制造資(zi)源(yuan)整合在一起，體現了完全按用戶(hu)需(xu)求(qiu)制造的思想。可能(neng)包括生產資(zi)源(yuan)計劃(hua)、制造、財務、銷售、采購等功能(neng)，以及質量管理、實驗室管理、業務流程管理。

客戶關(guan)系(xi)管理(li)（CRM）是(shi)利用(yong)信(xin)息科學技術(shu)，實現市場營銷、銷售、服務等活(huo)動自動化，以提高客戶滿(man)意(yi)度(du)、忠誠度(du)為目的(de)的(de)一種管理(li)經營方式。客戶關(guan)系(xi)管理(li)既是(shi)一種管理(li)理(li)念，又是(shi)一種軟(ruan)件技術(shu)。以客戶為中(zhong)心的(de)管理(li)理(li)念是(shi)CRM實施(shi)的(de)基礎。

電(dian)子(zi)商(shang)(shang)務(wu)(wu)系統(tong)是保證以(yi)電(dian)子(zi)商(shang)(shang)務(wu)(wu)為(wei)基礎實現網上交易的(de)體系。狹(xia)義上講(jiang)，電(dian)子(zi)商(shang)(shang)務(wu)(wu)系統(tong)則是指企(qi)業(ye)(ye)、消費者、銀行、政府等(deng)(deng)在(zai)Internet和(he)其他(ta)網絡的(de)基礎上，以(yi)實現企(qi)業(ye)(ye)電(dian)子(zi)商(shang)(shang)務(wu)(wu)活(huo)動(dong)的(de)目標，滿足企(qi)業(ye)(ye)生產、銷售、服務(wu)(wu)等(deng)(deng)生產和(he)管(guan)理的(de)需要，支持(chi)企(qi)業(ye)(ye)的(de)對外業(ye)(ye)務(wu)(wu)協作(zuo)，從運作(zuo)、管(guan)理和(he)決策等(deng)(deng)層次全面提(ti)高(gao)企(qi)業(ye)(ye)信(xin)息(xi)化水平，為(wei)企(qi)業(ye)(ye)提(ti)供具備商(shang)(shang)業(ye)(ye)智(zhi)能的(de)計算機網絡系統(tong)。

那么(me)，如何對(dui)企業信息化系統實施審核？

在質量管理體(ti)系中(zhong)應用(yong)過(guo)(guo)程方法要(yao)考慮：理解并持續滿足要(yao)求(qiu)；從增(zeng)值的角度考慮過(guo)(guo)程；獲(huo)得有效(xiao)的過(guo)(guo)程績效(xiao)；在評價數據和(he)信息(xi)的基礎上(shang)改(gai)進過(guo)(guo)程。據此，管理信息(xi)系統(tong)的審核(he)思路主(zhu)要(yao)體(ti)現幾點：

1. 了(le)解組織目前(qian)管理(li)信(xin)息系統(tong)主要有哪些(xie)？了(le)解組織的背景，諸如(ru)是否(fou)隸屬于某(mou)個集(ji)團，集(ji)團對管理(li)信(xin)息化(hua)的要求(qiu)(qiu)有哪些(xie)，是否(fou)有信(xin)息系統(tong)和集(ji)團相關聯，其(qi)控制要求(qiu)(qiu)有哪些(xie)？

2. 公(gong)司是否建立臺賬、清單類(lei)文(wen)件管理信息系統？如果沒有(you)，抽查不同部門(men)的2~3人(ren)以了解(jie)證實員(yuan)工(gong)是否清楚？如有(you)，要求提供(gong)相關(guan)證據。

3. 了(le)解這些管理信息(xi)系統(tong)是(shi)否有編制操作說明書相關文件？如沒有，詢問如何確(que)保操作崗(gang)(gang)位人(ren)員了(le)解系統(tong)要(yao)求。根(gen)據受審(shen)核(he)方回答問題的情(qing)況，抽2~3個操作崗(gang)(gang)位人(ren)員求證(zheng)核(he)實(shi)。

4. 了(le)解公(gong)司的(de)網絡(luo)情況，抽查(cha)VLAN的(de)劃(hua)分、網絡(luo)拓撲圖以及(ji)IP地址管理、防火墻的(de)安全策略等。查(cha)看網絡(luo)的(de)安全設(she)置與管理信息系統(tong)的(de)管理風險級(ji)別是否(fou)匹配。

5. 了解(jie)管理信(xin)息系(xi)統(tong)的(de)硬件設備情(qing)況，IP地(di)址(zhi)是否符合公(gong)司的(de)信(xin)息化建設中安全策略，是否有獨立機房(fang)。巡查(cha)機房(fang)的(de)電源、UPS、空調、線纜情(qing)況。重點關注電源故障、UPS的(de)應(ying)急(ji)響(xiang)應(ying)等情(qing)況。

6. 了(le)解是否制定(ding)管(guan)理信(xin)息系統數(shu)據(ju)(ju)備(bei)份(fen)(fen)策(ce)略(lve)以及(ji)備(bei)份(fen)(fen)的(de)(de)方(fang)式、介(jie)質和頻次。根(gen)據(ju)(ju)數(shu)據(ju)(ju)備(bei)份(fen)(fen)策(ce)略(lve)抽查2次備(bei)份(fen)(fen)記錄。觀察存放(fang)數(shu)據(ju)(ju)的(de)(de)環境(jing)是否符合要(yao)求。

7. 現場抽查管理(li)信息系統(tong)的用戶情況及不(bu)同用戶的權(quan)限(xian)(xian)(xian)設(she)置，了(le)解(jie)、檢(jian)查權(quan)限(xian)(xian)(xian)設(she)置的文件規(gui)定及一些特殊權(quan)限(xian)(xian)(xian)的審(shen)批(pi)情況。在服(fu)務(wu)器(qi)端(duan)抽查2~3個不(bu)同級別(bie)人員的權(quan)限(xian)(xian)(xian)控制(zhi)與(yu)審(shen)批(pi)情況，了(le)解(jie)人員離職后(hou)如何處(chu)理(li)原賬戶及密碼。

8. 詢問遇(yu)到停電(dian)、斷網(wang)等(deng)突(tu)發事件如(ru)何處理？是否有(you)應急方案(an)？如(ru)有(you)，請提供(gong)。如(ru)沒(mei)有(you)，調系(xi)統日(ri)志(zhi)，查看(kan)故障日(ri)志(zhi)，根據其發生故障的風險，結合行業法(fa)律法(fa)規要求(qiu)來判(pan)斷編(bian)制應急預(yu)案(an)的必要性。

9. 了解(jie)管理信(xin)息系統是否允(yun)許員工在異地(di)訪問(wen)？（非(fei)公(gong)司環境下）如允(yun)許，要了解(jie)采(cai)取什么措施防范外部黑客、木馬等攻擊。有條件時，要求運行演示。

10. 了解(jie)如(ru)何對管理信息系(xi)統運(yun)行進行檢查監控(kong)并評價(jia)檢查監控(kong)措施的(de)適宜性。了解(jie)系(xi)統中是否有(you)對生產數(shu)據、質檢結果、不合格情況、供應、顧(gu)客滿意等(deng)內容的(de)分析(xi)與評價(jia)的(de)數(shu)據，抽查并確認(ren)核實。

11. 詢問當管理信息系(xi)統不滿足業務需求(qiu)時如何處(chu)理，是否建立定(ding)期評審機制(zhi)、軟(ruan)件(jian)更(geng)新(xin)(xin)機制(zhi)。如機制(zhi)已建立，應抽查1~2次的定(ding)期評審、軟(ruan)件(jian)更(geng)新(xin)(xin)的證據。

12. 根據企業(ye)管理信息(xi)系統覆蓋的業(ye)務模塊，結合業(ye)務流(liu)程要求(qiu)，檢查輸(shu)(shu)入、輸(shu)(shu)出、記(ji)錄、檢索查詢、統計等方面的情況。