认证认可信息化标准体系

认证认可信息化标准体系建设方案2011年09月目录TOC\o"1-3"\h\z1 项目背景介绍 21.1 认证认可行业介绍 21.1.1 中国认证认可行业发展历程 21.1.2 认证认可行业业务发展特点 31.1.3 认证认可行业组织架构体系 41.2 认证认可信息化建设现状分析 51.2.1 认证认可信息化建设取得的成就 51.2.2 认证认可信息化建设存在的问题 52 项目工作重要意义分析 73 项目目标与范围 83.1 项目目标 83.2 项目范围 83.3 术语说明 83.3.1 标准 83.3.2 标准体系 83.3.3 相关标准 83.3.4 认证认可信息化标准体系 93.4 认证认可信息化标准体系建设工作内容 94 项目流程与方法 104.1 现状调研与需求分析 104.2 标准体系设计 134.3 实施规划 184.4 征求意见与改进 22项目背景介绍认证认可行业介绍中国认证认可行业发展历程2001年初，党中央、国务院从积极应对加入世界贸易组织（WTO）的新形势出发，作出了改变我国认证认可工作分散管理的格局，成立国家认监委，统一管理、监督和综合协调全国认证认可工作的重要决定。几年来，国家认监委在国家质检总局领导和有关部门的大力支持下，以邓小平理论和“三个代表”重要思想为指导，坚持以人为本的科学发展观，全面贯彻落实党中央、国务院的指示精神，完成了组织机构、工作制度和工作机制等基本建设，认证认可开始进入规范工作、全面发展、发挥作用的新阶段。作为国际通行的产品、服务、管理体系的质量保证和管理手段，认证认可对国民经济和社会发展的促进作用日益显著。在十五期间，认证认可事业实现了：（一）中国特色的国家认证认可体系基本建立，（二）统一管理、共同实施的工作格局基本形成，（三）整顿规范认证市场秩序成效显著，（四）各有关方面对认证认可更加重视，（五）中国在国际认证认可界的影响不断提高。“十一五”期间是我国经济社会发展的重要战略机遇期，也是我国认证认可事业发展的重要战略机遇期。新形势对认证认可工作提出了更新更高的要求，认证认可工作面临机遇与挑战并存、机遇大于挑战的环境。这些新的形势包括：（一）全面建设小康社会对认证认可工作提出了新的要求，（二）加快转变经济增长方式为认证认可提供了大好机遇，（三）经济全球化为认证认可提供了广阔空间，（四）各项改革的深化为认证认可提供了发展动力。面对这些新形势，“十一五”期间认证认可事业的工作目标为：通过“十一五”期间的努力，形成一套较为健全的认证认可和合格评定法律法规、技术规范和标准体系，适应经济社会发展对质量和管理要求需要的强制性产品认证与自愿性认证相结合的认证制度，完善的检验检测资质认定体系和科学的检验检测体系规划建设的论证咨询机制；建立具有较高国际声誉的统一、权威的国家认可制度；建立结构合理、运转协调、行为规范、程序严密、执法有力、公正高效的认证认可行政执法体制，形成长效的认证认可市场监管机制；建立既能引导生产和消费又与国际接轨的食品和农产品认证认可体系；完善符合WTO/SPS规则要求的进出口食品和化妆品卫生注册登记制度；以实现国际互认为核心，开展积极的国际互动和合作；健全认证认可信息化业务网络和信息服务平台，实现信息资源共享和开发利用；建立一支适应业务发展需要，政治强、业务精、素质高的认证认可人才队伍，实现人才总量、结构和素质与认证认可事业发展需要相适应。认证认可行业业务发展特点政府主持，多方参与认监委作为政府机构，负责认证认可标准、业务规范的制定及监督管理；认监委直属和管理的各单位，全国各级质量技术监督局和检验检疫局，各认证机构、检测机构、检查机构、实验室等相关从业机构，均为我国认证认可事业发展做出了不懈努力和重要贡献；各认证认可部级联席会议成员单位遵循统一管理、共同实施的原则，在发挥各行业主管部门作用，共同推进认证认可工作，推动认证结果采信等方面发挥重要的作用；企业、各级政府、社会公众、新闻媒体在认证认可事业发展过程中起到了重要的促进和监督作用。业务发展快认证认可业务量日益增加，领域不断拓宽；从业机构和从业人数逐渐增多；社会各界对认证认可行业的正确认识不断提高；认证认可手段运用更加广泛；认证认可结果采信度逐步提升。业务范围广认证认可工作覆盖法律、法规、规章制定发布与组织实施，方针政策、制度和工作规则、标准研究与制定，认证培训与咨询，产品、体系、服务认证，合格评定，资质认定，实验室检测，卫生注册，国际合作等工作的开展及监督管理。IT手段对业务管理支持作用大IT手段对加强认证认可业务的全过程监管、实现信息的统一管理和共享、优化业务流程、培育具有公信力的社会环境等方面具有不可替代的优势。强调信息共享认证认可相关政策、法规、工作规则及标准，认证认可从业机构、从业人员、获证组织、产品信息，各类认证过程、结果及后续监管信息，强制性认证与安全质量许可制度的产品目录，合格评定、资格认定结果及监管信息，企业卫生注册登记等信息的共享是认证认可工作高效推进的重要条件，需要集成的信息化平台进行支撑。认证认可行业组织架构体系中国国家认证认可监督管理委员会（中华人民共和国国家认证认可监督管理局）（简称认监委）是国务院决定组建并授权，履行行政管理职能，统一管理、监督和综合协调全国认证认可工作的主管机构。认监委管理的单位包括三类：（一）内设部门属于认监委内部，包括认可监管部、认证监管部、注册管理部、实验室与检测监管部、国际合作部、科技与标准管理部等业务部门以及机关党委、办公室、财务管理部等综合部门，主要负责认证认可相关政策、法规、制度规范、工作规则与标准制定，认证认可相关工作的监督管理，进出口食品和化妆品生产、加工单位卫生注册登记的评审和注册，认证、检验、咨询、培训机构的资质审批和监督，国际合作等工作；（二）直属单位是认监委下辖事业单位，包括机关服务中心、信息中心和认证认可技术研究所，负责向认监委提供后勤服务、信息服务，进行认证、认可技术研究；（三）管理单位是独立运作和经营的事业单位、社会团体或组织，包括认可中心、认证认可协会、信息安全认证中心、中检集团、香港中检公司，承担认证认可执行工作，接受认监委的管理。此外，全国各级地方质量技术监督局和检验检疫局认证监管部门负责辖区内获证企业及产品的行政监管，由认监委审批成立的各认证机构、检查机构、检测机构、咨询机构、培训机构以及认监委授权和资质认定的实验室等相关从业机构具体负责产品、服务、体系的认证、检测及咨询、培训工作，他们接受认监委的业务指导；经国务院批准建立的认证认可工作部际联席会议，其成员单位覆盖认监委及22个相关部委（科技部、建设部、铁道部、信息产业部、农业部、卫生部、海关总署、国家环保总局、中国民航总局、国家林业局、国家食品药品监督管理局、国家旅游局等），按照统一管理、共同实施的原则交流和协调认证认可工作；认监委还与国外相关政府部门、国际组织加强合作，开展国际互认、国际标准制定等工作。 综上所述，赛迪顾问对认证认可行业的总体理解如下图所示：图SEQ图\*ARABIC1对认证认可行业的总体理解认证认可信息化建设现状分析认证认可信息化建设取得的成就近年来，认监委信息化工作取得了显著的成绩，为未来信息化可持续、健康发展奠定了坚实基础。第一，不断完善认证认可信息网络基础设施建设。构建安全、畅通、便捷的通信网络渠道，为认监委各职能部门及下属单位创造高效网上办公环境；第二，现已形成以“信息中心”为核心的信息化统一管控体系，集中开展信息化项目建设与IT运维服务，为信息化可持续发展奠定稳定的组织保障；第三，逐步拓展信息系统的业务覆盖面，不断深化信息系统功能应用，目前，已有几十个上线的系统；第四，完成了认证认可信息系统顶层架构设计，全面支撑认证认可业务操作、行政监管、政务公开、公共服务、社会监督、宏观决策、应急管理七大层面的高效运行。认证认可信息化建设存在的问题认监委信息化建设在取得以上成就的同时，还存在着一些不可回避的不足之处。应用系统建设方面：1、目前，信息系统主要采用面向业务架构（BOA技术）的模式，功能复用性差、调整不够灵活，且系统边界性过强；2、各业务系统之间相互独立，关联性不强；3、由于历史原因，每个系统建设以满足单项业务管理为主体，缺乏对整体信息系统功能架构进行统一设计，缺乏对各系统业务功能流程的统一梳理分析；4、面向公众和社会服务的电子政务建设水平不高。信息资源管理方面：1、随着信息系统数量增多，信息资源种类日益丰富，缺乏集中管理、统一利用的技术手段支撑，信息共享程度低；2、为领导层的综合查询、一站式统计分析功能尚无法实现。基础设施应用方面：1、服务器应用以满足单一系统服务为目标，造成整体服务器资源利用率不高；2、未采用虚拟化技术，服务器资源无法及时、动态调配。信息化组织优化方面：1、对开发商、集成商的项目管理机制有待进一步完善；2、绩效考核管理工作有待进一步完善；3、IT项目风险没有及时总结、分析，风险防范预案制定工作滞后。信息化标准体系建设方面：1、信息化建设过程中，各系统之间业务划分不清晰、业务流程不统一、数据模型与编码不统一、接口定义不统一等问题，严重影响到全行业信息共享和资源整合，并严重限制了信息化成果进一步发挥作用；2、标准建设缺乏规划，没有形成体系结构。

项目工作重要意义分析赛迪顾问认为，要解决当前认证认可信息化存在的问题，特别是接口定义不统一、业务流程不清晰、信息孤岛等问题，必须从信息化标准体系这个根本出发。建设信息化标准体系的重要意义如下图所示：图SEQ图\*ARABIC2建设认证认可信息化标准体系的意义赛迪顾问认为，信息化标准是支撑基于顶层架构的信息系统实施的最重要手段，是提升认监委在认证认可行业信息化建设影响力的重要途径，是认证认可行业信息化建设走向统一、协同的重要保证，而建设认证认可信息化标准体系，将为信息化标准建设提供方向性、框架性、操作性指引与服务，进一步引导认证认可信息化科学发展。

项目目标与范围项目目标在全面理解认证认可信息化标准体系建设工作要求的基础上，贯彻执行国家和质检总局的相关标准，结合行业信息化现状，按照“统一规划、统一管理、统一实施、统一标准”的原则，依据信息化建设与发展的需要，设计和建立一套科学合理的信息化标准体系，在体系中明确标准的分类、标准列表和标准建设要点，规划标准体系实施策略，为认证认可行业信息化标准建设提供方向性、框架性、操作性指引与服务，引导认证认可信息化科学发展。项目范围本项目设计认证认可行业信息化标准体系，业务范围主要包括认监委机关及其直属和管理的相关单位及相关业务，也会涉及到其他单位与认监委的业务交互部分。技术范围包括信息系统软件架构相关内容，不包括IT管理、信息安全与硬件相关标准。术语说明在信息化标准体系建设中，涉及到以下一些术语，在此说明。标准为在一定的范围内获得最佳秩序，经协商一致制定并由公认机构批准，共同使用的和重复使用的一种规范性文件。[GB/T20000.1-2002，术语和定义2.3.2]。标准体系是由一定范围内的标准按其内在联系形成的科学的有机整体。[GB/T13016-1991，定义1.1]。相关标准属其他体系（行业、专业）而受本体系直接采用并关系密切的标准，为本体系的相关标准。[GB/T13016-1991，定义1.5]。认证认可信息化标准体系由认证认可行业信息化建设范围内的具有内在联系的标准组成的科学的有机整体。认证认可信息化标准体系建设工作内容现状调研与需求分析认证认可标准现状调研；国内外标准体系建设最佳实践借鉴；构建信息化标准技术参考模型；需求汇总。2、标准体系设计搭建标准体系框架；建立标准体系框架结构的三维坐标模型；三维坐标属性分析；标准体系设计。3、实施规划实施策略；实施计划；实施保障措施。4、征求意见与改进标准体系意见征集；标准体系改进。

项目流程与方法赛迪顾问将根据本次咨询项目的具体要求，结合以往同类项目的经验，开展具体项目工作，在工作中，运用成熟的规划、设计方法论，保证项目成果能够满足认证认可信息化标准未来建设的需求。本项目总体咨询流程如下图所示：图SEQ图\*ARABIC3项目总体咨询流程图 现状调研与需求分析通过现状调研与需求分析工作，分析认证认可信息化标准建设现状，并借鉴国内外先进标准体系建设经验，结合各单位调研访谈结果，全面、准确的收集与整理未来认证认可信息化标准体系建设的需求，同时对需求的优先级进行排序，明确标准体系建设的每个阶段主要解决哪些需求问题。现状调研与需求分析阶段的工作流程如下图所示：图SEQ图\*ARABIC4现状调研与需求分析的工作流程图（1）现状调研在调研过程中，赛迪顾问咨询团队将采用调研访谈、问卷调查、网站问答、专题采访等多种方式，开展相关的调研工作，确保调研工作全面、深入、完整并真实有效。同时，根据本次项目要求，结合以往同类项目工作经验，本次项目的调研提纲根据不同的调研对象分别进行设计，现状调研如下图所示：图SEQ图\*ARABIC5现状调研（2）最佳实践借鉴在信息化标准体系建设前，项目团队将根据以往项目经验及相关文献，积极借鉴国内外先进标准体系建设经验，使得整个信息化标准体系建设工作，更加符合国家电子政务信息化标准体系建设的主流方向。（3）构建标准技术参考模型此阶段是现状调研与需求分析阶段工作的重点与难点，项目团队将充分利用顶层架构设计项目的经验，从IT总体架构的视角出发，对认证认可IT总体架构进行梳理与分析，通过建立IT总体架构与标准体系架构之间的关系构建标准技术参考模型，标准技术模型如下图所示：图SEQ图\*ARABIC6标准技术参考模型（4）需求汇总在此阶段，赛迪顾问将对获取的需求进行梳理、细化、分解，建立需求优先级判定指标权重体系，并对梳理后的需求进行优先级分析。现状分析与需求分析工具如下图所示：图SEQ图\*ARABIC7现状分析表图SEQ图\*ARABIC8需求分析表主要工作成果：《认证认可信息化标准体系现状分析报告》标准体系设计通过搭建标准体系框架，建立标准体系三维坐标模型及对三维坐标进行属性分析，完成标准体系设计工作，包括标准体系架构、标准体系明细表和应用场景说明等内容。标准体系设计阶段的工作流程如下图所示：图SEQ图\*ARABIC9标准体系设计的工作流程图（1）标准体系框架搭建在此阶段中，赛迪顾问将充分借鉴标准体系建设成熟的方法论，包括：基于IT架构的标准体系设计方法、应用标准体系设计方法、信息资源标准体系设计方法、软件技术标准体系设计方法等，为标准体系的设计工作做支撑。同时，将参考相关资料，给出标准体系的定义及建设依据和原则。标准体系是指一定范围内的标准按其内在联系形成的科学的有机整体[GB/T13016-1991]。标准体系表是指一定范围内的标准体系内的标准按照一定形式排列起来的图表[GB/T13016-1991]。本阶段赛迪顾问将制定标准体系建设的依据和原则，其中依据包括：GB/T13016-1991标准体系表编制原则和要求；GB/T13017-2008企业标准体系表编制指南。原则包括：科学性：标准体系表的结构要合理，纵向层次划分和横向模块划分一方面要体现信息技术自身的特点，另一方面也应符合认证认可信息化的实际。系统性：体系表中的标准之间的关系布局要合理、衔接自然、成组配套、协调一致。全面性：体系表中的标准应涉及认证认可信息系统架构的各个层面，如信息资源标准、应用标准等。兼容性：列入体系表中的标准，应与有关行标和国标保持一致，同时尽量要与国际标准接轨，为实现认证认可行业同外部的信息交流奠定基础。可优化性：标准体系的模块设置应留有余地，以便于体系的动态扩充和修改。（2）建立三维坐标模型在此阶段中，赛迪顾问将借鉴印度魏尔曼提出的标准体系表三维结构的思想，建立认证认可信息化标准体系三维坐标模型，如下图所示：图SEQ图\*ARABIC10三维坐标模型图（3）三维坐标属性分解在此阶段中，项目团队将对三维坐标模型进行各属性维的分解，分解的原则如下：共性形成的制定关系。该关系说明标准体系内各层次标准是如何从底层的个性标准（相对而言，任一上层标准都是其下层次标准的共性标准；反之，任一下层标准是上层次标准的个性标准）中找出共性特征，再将共性特征制订成共性标准集合而成的。指导制约和贯彻关系。我国标准有强制性和推荐性两种，后者较前者在约束性上有较多的灵活性，但总的来说，上层标准对下层标准都有指导制约作用，或者说，上层标准都必须贯彻到下层标准中去，下层标准只能在不违反上层标准的原则下，在贯彻时结合具体情况作一定的补充。互相补充关系。表现以下三种方面：下层对上层的补充。上层标准由于具有较大的通用性和综合性，必然不能或不完全反映出下层标准的个性。下层在贯彻上层标准时须结合具体情况作一定的补充，形成了下层对上层的补充关系。体系间的补充关系。共性标准间的相互补充。互相协调关系。所有上层标准最终都要贯彻到产品、过程、服务或者管理标准中去。因此，最后汇集到产品、过程、服务或者管理标准的所有上层标准都必须做到互相协调。分解的过程如下：在标准体系框架结构三维模型中，把各维的节点相互组合加以分析，就可以在我国相应的标准数据库中查找和筛选出需要的标准；按信息化标准体系结构的设置进行分层整理归类，就可以得到所需要的标准体系标准明细表，例如：将X轴的“行业标准”、Y轴的“网络基础设施”、Z轴的“业务管理信息系统建设”进行结合，通过分析、查找、筛选就可以得到诸如：《IP网络技术要求-网络总体》、《IP网络技术要求-网络性能参数与指标》等多项标准；如果当三个维的各节点相互组合后出现标准的空白，则表明在此领域中没有国家、行业、地方等类别的标准存在，这时可以根据信息化工作的实际情况，制定与之适应的内部规范；若现有规范未及时更新，或不足以支撑现有业务时，可以根据信息化工作的实际情况，在现有规范的指导下，制定与之适应的内部规范。（4）标准体系设计在此阶段中，项目团队将根据前期的项目成果，设计标准体系架构、标准体系明细表和应用场景说明。标准体系架构标准体系架构的推导如下图所示：图SEQ图\*ARABIC11标准体系架构推导图 标准体系框架说明如下：总体标准：包括标准规范目录、系统名词术语规范、工程标准化指南等认证认可行业信息化建设总体性、框架性、基础性的标准和规范。应用标准：包括应用系统业务划分规范、应用系统业务流程规范、认证认可信息系统平台应用规范、认证认可信息系统平台二次开发规范等认证认可行业信息化建设应用方面的标准和规范。信息资源标准：包括数据库设计规范、非结构化数据规范、行业编码规范、信息交换与共享规范、通用数据交换格式规范等认证认可行业信息化建设信息资源方面的标准和规范。软件技术标准：包括人机交换界面规范、软件编码标准规范、系统集成技术规范、技术平台应用规范等认证认可行业信息化建设软件技术方面的标准和规范。标准体系明细表标准体系明细表如下图所示：图SEQ图\*ARABIC12标准体系明细表设计示例图应用场景说明本部分主要描述标准体系建立后应用的典型案例场景，例如认证认可机构、地方两局通过标准体系进行标准索引等，目的是方便用户更好的使用标准体系，进而指导标准的制订，科学有序的推进信息化建设。主要工作成果：《认证认可信息化标准体系设计报告》实施规划通过实施规划工作，设计标准体系的实施策略、实施计划和实施保障措施，保障认证认可信息化标准体系的建设对认证认可标准的制订以及信息化的建设起到指引的作用。实施规划阶段的工作流程如下图所示：图SEQ图\*ARABIC13实施规划的工作流程图（1）实施策略在此阶段中，赛迪顾问将参考以往同类项目经验，结合认监委信息化标准的实际情况，分析信息化标准体系的发展模式，制定具有针对性的实施策略。认证认可信息化标准体系的建设内容并不是一成不变的，会随着行业的发展、技术的进步、理念的更新而不断发展和变化，因此，标准化体系建设一般采用PDCA的循环发展模式，如下图所示：图SEQ图\*ARABIC14发展模式图信息化标准体系的实施，关键是在标准化体系的指导下，建立以下两种模式：建立组织领导模式明确标准化管理部门；明确具体分管领导；设立专项资金保障标准化研究支撑；按照标准明细表进行信息化标准的资料收集，建立信息化标准专题数据库。形成整体规划、标准先行的系统建设模式标准体系为信息系统平台建设提供支撑。信息系统平台的建设需要标准的支撑，从而保证平台间信息共享与有效协同，因此信息系统平台建立前需要以标准体系为指导建立相关标准。标准体系为下属单位系统规划提供标准索引。在标准体系建立之后，行业内信息系统的建立应统一在标准体系指导下进行。从系统规划阶段应先检索标准体系中与所规划系统相关标准，包括应用、数据等各方面，如有相关标准应遵从。标准体系的实施策略如下图所示：图SEQ图\*ARABIC15实施策略图（2）实施计划在此阶段中，赛迪顾问将通过评估标准的优先级，制定未来标准体系建设的蓝图规划和实施路径，有效指导未来信息化标准的建设工作。优先级评估的示意图如下所示：图