ISO28000 供应链安全管理体系内审检查表

ISO28000供应链安全管理体系内审检查表适用标准：ISO28000:2022《安全与韧性安全管理体系要求》（AnnexSL高阶架构）内审适用范围：企业全链条供应链安全管理，涵盖采购、仓储、物流运输、货物装卸、外包服务、信息安全、人员安全、应急管控、合作伙伴安全管理全流程内审目的：验证企业供应链安全管理体系符合ISO28000标准条款要求、企业内部管理制度及行业合规规范，核查体系落地有效性、流程闭环性、风险管控充分性，识别体系运行偏差、潜在隐患及改进空间，保障供应链防盗窃、防破坏、防恐怖、防违规流通、防中断风险的全域管控能力，为管理评审、体系持续改进、外部认证审核提供客观依据。审核说明：本表为完整版专项内审检查表，覆盖ISO28000:2022全部核心条款，采用“标准条款-审核内容-审核方式-审核结果-问题描述-整改建议”标准化内审逻辑，适配生产企业、贸易企业、物流仓储企业、供应链服务商全行业使用，可直接用于年度内审、专项抽查、体系自查及认证前置审核。审核结果标注：√符合、△轻微不符合、×严重不符合、N/A不适用第一章范围、规范性引用、术语定义（第1-3章）4.1组织环境识别（对应标准通用架构）审核内容：1、企业是否精准识别供应链安全管理相关的内外部环境因素，包含政策法规、行业风险、供应链地缘风险、合作伙伴风险、物流链路风险、内部管理漏洞等；2、是否明确供应链安全管理体系的适用边界与覆盖范围，界定上下游合作、仓储运输、外包服务等管控边界；3、是否动态识别环境变化对供应链安全的影响，形成环境分析记录。审核方式：查阅组织环境分析报告、体系边界说明文件、年度风险环境复盘记录；访谈体系负责人、供应链管理负责人。审核判定依据：ISO28000:2022标准体系基础要求，组织需明确供应链安全管控场景与风险环境，无识别遗漏、无边界模糊问题。4.2相关方需求与期望识别审核内容：1、是否全面识别客户、供应商、物流服务商、监管部门、合作机构等相关方的供应链安全需求与合规要求；2、是否梳理相关方安全诉求，包含货物安全、运输合规、信息保密、反恐安全、溯源管理等；3、是否将相关方合理需求融入体系制度、管控流程与考核指标。审核方式：查阅相关方清单、需求识别记录表、体系文件修订记录；抽查客户合同、供应商合作协议中的安全条款。审核判定依据：组织需全面覆盖相关方安全诉求，建立常态化需求更新机制，杜绝相关方安全要求漏管。第二章领导作用、方针与职责（第5章）5.1领导作用与承诺审核内容：1、最高管理者是否明确供应链安全管理体系建设、实施、保持、持续改进的核心承诺；2、是否将供应链安全纳入企业战略管理、年度经营规划及安全重点工作；3、是否定期参与体系评审、风险研判、重大安全问题决策；4、是否杜绝重效益、轻供应链安全的管理偏差。审核方式：查阅管理评审报告、年度安全工作计划、高层会议纪要；访谈最高管理者、体系管理者代表。审核判定依据：高层需切实履行主体责任，体系建设有战略支撑、有决策落地、有工作部署。5.2供应链安全方针审核内容：1、企业是否制定正式、合规、适配自身业务的供应链安全方针，方针内容涵盖风险防控、合规经营、持续改进、全员参与、全链管控；2、方针是否与企业业务规模、供应链模式、风险等级相匹配；3、是否对全员进行方针宣贯，员工知晓率达标；4、方针是否定期评审更新，适配政策与业务变化。审核方式：查阅安全方针文件、宣贯记录、培训台账、方针评审记录；随机抽查岗位员工知晓情况。审核判定依据：方针文件规范有效、贴合实际、全员知晓、动态更新，无形式化、照搬模板问题。5.3岗位职责、权限与沟通审核内容：1、是否明确管理者代表、供应链、仓储、物流、人事、行政、应急等各部门、各岗位的供应链安全职责与权限；2、岗位职责是否清晰、无交叉、无空白，关键岗位安全职责全覆盖；3、是否建立内部、外部供应链安全沟通机制，包含异常上报、风险互通、问题反馈流程；4、是否明确跨部门协同管控机制，解决供应链安全协同漏洞。审核方式：查阅岗位职责文件、组织架构图、沟通管理制度、异常上报台账；访谈各部门岗位负责人。审核判定依据：权责清晰、分工明确、沟通顺畅、闭环上报，无岗位管控盲区。第三章资源、能力、意识与文件化信息（第7章）7.1资源保障审核内容：1、企业是否为供应链安全管理配置充足人力、物力、财力、技术资源；2、安全防护设施、监控设备、仓储安防、运输防护、溯源设备是否配齐且有效运行；3、是否预留专项安全培训、应急演练、隐患整改、设备维保经费；4、外包、外协环节资源管控是否同步落实。审核方式：查阅资源配置清单、设备台账、经费预算、采购记录；现场核查安防设施、监控系统、防护装备配置情况。审核判定依据：资源配置满足体系运行与风险防控需求，无资源缺失导致的管控失效问题。7.2人员能力管控审核内容：1、供应链安全关键岗位（仓储、物流、审核、风控、应急、采购）人员是否具备对应岗位能力；2、是否建立岗位能力评价、持证上岗、岗前考核机制；3、新员工、转岗员工、外包人员是否完成岗前安全培训与能力确认；4、年度能力复评、专项技能提升培训是否落实。审核方式：查阅人员档案、能力评价表、培训记录、考核台账、上岗证；抽查关键岗位人员实操能力与理论认知。审核判定依据：全员持证上岗、能力匹配岗位、培训全覆盖、无无证上岗、能力不足履职问题。7.3安全意识建设审核内容：1、是否常态化开展供应链安全、反恐安全、货物防盗防破坏、合规运输、信息保密等专项培训；2、员工是否知晓岗位安全风险、管控要求、异常处置流程；3、外包人员、临时人员、合作方驻场人员是否同步开展安全交底与意识培训；4、是否通过宣传、案例、演练强化全员安全意识。审核方式：查阅年度培训计划、培训课件、签到记录、考核结果、宣传资料；随机访谈一线员工、外包人员。审核判定依据：培训常态化、全覆盖、有实效，全员具备岗位安全风险防控意识与处置能力。7.4文件化信息管控审核内容：1、体系文件、管理制度、作业指导书、记录表单是否完整规范，贴合ISO28000标准要求与企业实际业务；2、文件发布、评审、修订、作废流程合规，版本有效、受控管理；3、各类审核记录、风险记录、整改记录、演练记录、管控台账真实完整、可追溯；4、电子文件、纸质文件同步管控，杜绝文件失效、随意涂改、缺失漏项。审核方式：查阅文件清单、受控文件台账、修订记录、各类过程表单；核查文件现场落地一致性。审核判定依据：文件体系完整、流程合规、记录可溯、现场与文件一致，无文件脱节、台账造假问题。第四章风险管控、运行策划与控制（第6、8章）6.1风险与机遇识别评估审核内容：1、是否建立供应链安全风险识别、分析、评价、处置的标准化流程；2、是否全面识别物理安全、人员安全、货物安全、运输安全、信息安全、外包安全、跨境流通、恐怖破坏、盗窃丢失、链路中断等全维度风险；3、风险评估是否定期开展，业务变更、链路调整、政策更新后是否及时复评；4、是否制定风险分级管控措施，高风险项专项管控、重点盯防；5、同步识别供应链安全管理机遇，优化管控体系。审核方式：查阅风险管理制度、风险清单、风险评估报告、风险处置方案、动态复评记录；核查高风险项管控落地证据。审核判定依据：风险识别全覆盖、评估科学、分级管控、动态更新、闭环处置，无重大风险漏判、失管。8.1运行策划与过程控制审核内容：1、供应链全流程作业是否制定标准化管控流程，采购、入库、仓储、装卸、出库、运输、交付、退货全环节受控；2、是否针对高风险环节制定专项管控方案，落实人防、物防、技防措施；3、作业过程是否严格执行制度要求，杜绝违规操作、简化流程；4、是否对外包、外协、第三方物流等外部过程实施严格管控；5、业务变更、流程调整前是否开展安全评审，确认风险可控。审核方式：查阅作业指导书、过程管控记录、第三方管控协议、变更评审记录；现场核查各环节作业合规性。审核判定依据：全流程标准化管控，内外环节全覆盖，过程可控、操作合规、变更有评审。8.2供应链专项安全管控（核心条款）审核内容：1、物理安全：厂区、仓库、装卸区域、办公区域分区隔离，门禁、监控、防盗、防护设施完好，限制区域专人管控，外来人员车辆登记管控到位；2、人员安全：入职背景筛查、在岗动态管理、离职人员权限注销、外包人员准入管控，杜绝无关人员接触货物与核心链路；3、货物安全：货物出入库核验、盘点溯源、封签管理、异常登记，防止货物丢失、调换、破损、夹带违规物品；4、运输安全：物流服务商资质审核、运输车辆管控、在途跟踪、封签交接、异常上报，保障运输链路安全；5、信息安全：供应链数据、客户信息、物流信息、货物资料加密管控，权限分级、防泄露、防篡改、可溯源；6、合作伙伴安全：供应商、物流商、合作方安全资质审核、准入评价、动态考核、退出机制。审核方式：现场核查安防设施、区域管控情况；查阅人员台账、货物溯源记录、运输跟踪记录、合作方评价档案、信息安全管控记录。审核判定依据：六大专项安全管控全面落地，无管控盲区、无流程漏洞、无安全隐患。8.3突发事件与应急准备响应审核内容：1、是否制定供应链安全突发事件应急预案，涵盖货物丢失、盗窃破坏、运输中断、信息泄露、疫情管控、灾害影响、合规风险事件等场景；2、是否配备应急物资、应急队伍，明确应急处置流程、岗位职责；3、是否定期开展应急演练，每年演练频次达标，覆盖核心风险场景；4、演练后是否开展复盘总结、问题整改、预案优化；5、突发事件发生后是否及时处置、上报、溯源、闭环整改。审核方式：查阅应急预案、应急物资台账、演练计划、演练记录、复盘报告、突发事件处置台账。审核判定依据：预案完善、物资充足、演练常态化、复盘整改闭环，具备突发事件处置能力。第五章绩效评价、内审与管理评审（第9章）9.1监视、测量、分析与评价审核内容：1、是否建立供应链安全绩效考核指标，包含安全事故率、未遂事件数量、隐患整改率、合规通过率、合作伙伴安全达标率等；2、是否定期开展数据监测、统计分析、绩效评价；3、是否针对绩效不达标项分析原因、制定改进措施；4、常态化排查体系运行偏差与潜在风险。审核方式：查阅绩效指标文件、月度/季度监测报表、数据分析报告、绩效整改记录。审核判定依据：绩效监测常态化、数据真实、分析到位、问题可追溯、改进有落地。9.2内部审核（核心内审条款）审核内容：1、企业是否按照策划间隔开展完整的ISO28000体系内部审核，每年至少1次，覆盖全部标准条款与所有业务部门；2、内审人员具备相应审核能力，独立客观、无自我审核情况；3、内审方案、审核计划、检查表、审核记录、不符合项报告、内审报告完整规范；4、对内审发现的不符合项及时整改、验证闭环，杜绝问题反复；5、内审结果真实反映体系运行状态，为管理评审提供有效输入。审核方式：查阅内审管理制度、年度内审计划、内审报告、不符合项整改台账、人员能力证明。审核判定依据：内审流程合规、覆盖全面、客观公正、整改闭环、资料完整有效。9.3管理评审审核内容：1、最高管理者每年至少主持1次供应链安全管理体系管理评审；2、评审输入包含内审结果、绩效数据、风险变化、相关方反馈、隐患问题、整改情况、政策更新、体系改进需求等；3、评审输出包含体系适宜性、充分性、有效性判定，明确改进措施、资源需求、优化方向；4、评审发现问题全部闭环整改，形成常态化改进机制。审核方式：查阅管理评审计划、评审会议纪要、评审报告、整改落实台账。审核判定依据：管理评审全面深入、输入充分、输出有效、整改闭环，持续优化体系运行质量。第六章不符合整改与持续改进（第10章）10.1不符合项管控与纠正措施审核内容：1、对内审、外审、日常检查、现场巡查发现的不符合项、安全隐患、违规问题是否统一登记台账；2、是否分析问题产生根本原因，杜绝表面整改、虚假整改；3、是否制定针对性纠正措施、预防措施，明确整改责任人、整改时限、验证标准；4、整改完成后严格验证，确保问题彻底闭环；5、举一反三开展同类问题排查，防范同类问题重复发生。审核方式：查阅不符合项台账、整改报告、原因分析记录、举一反三排查记录、整改验证资料。审核判定依据：问题全覆盖、原因分析透彻、整改彻底、验证有效、长效预防。10.2持续改进机制审核内容：1、企业是否建立供应链安全管理体系持续改进机制，常态化收集改进需求；2、结合政策更新、业务拓展、风险变化、审核问题、客户反馈持续优化制度流程；3、主动对标ISO28000最新标准与行业先进经验，提升供应链安全韧性；4、将持续改进纳入年度工作规划与绩效考核。审核方式：查阅年度改进计划、优化记录、制度修订台账、绩效改进资料。审核判定依据：体系动态优化、持续迭代、长效运行，具备自我完善、自我纠错能力。第七章内审总体评价与总结模板一、体系运行总体情况：本次内审覆盖ISO28000:2022全部标准条款及企业所有供应链相关业务部门，审核方式包含资料查阅、现场核查、人员访谈、记录核验，全面验证体系建设与运行有效性。二、符合项汇总：梳理体系合规运行亮点，包含制度完善、风险管控到位、应急管理规范、台账完整、全员培训落实、合作伙伴管控规范等优势内容。三、不符合项汇总：分类统计轻微不符合、严重不符合问题，明确问题分布部门、对应条款、风险等级。四、整改总体要求：所有不符合项限期完成整改、验证闭环，举一反三排查同类隐患，优化管理制度与作业流程，杜绝问题复发。五、体系结论：综合判定本次内审