ISO 27001 ISO 22301 双体系融合 风险评估一体化报告模板 中文版

ISO27001&ISO22301双体系融合风险评估一体化报告模板中文版版本信息版本号：V1.0发布日期：2026年06月26日生效日期：2026年07月01日适配依据：ISO/IEC27001:2022信息安全管理体系、ISO/IEC22301:2019业务连续性管理体系、ISO/IEC27005信息安全风险管理指南、ISO/IEC22313业务连续性风险管理指南、网络安全等级保护2.0、《数据安全法》《网络安全法》文档用途：实现信息安全风险与业务连续性风险一体化评估、一体化管控、一体化内审外审，解决双体系重复评估、标准割裂、管控脱节问题，支撑双体系认证审核、常态化合规运维、风险闭环管理、业务持续保障，留存标准化审计证据适用范围：全行业已建立或计划建立ISO27001、ISO22301双体系的组织，覆盖政企、金融、制造、医疗、互联网、政务、物流等所有需要开展信息安全风险、业务中断风险评估的主体，适配常态化评估、专项评估、变更评估、事件复盘评估场景审批权限：管理者代表、信息安全负责人、业务连续性负责人、企业最高管理者、合规内审负责人修订历史版本号修订日期修订内容修订人审批人V1.02026-06-26首次完整版发布，基于ISO27001、ISO22301双体系PDCA同源架构，融合信息安全风险与业务连续性风险评估流程，统一风险识别、量化、处置、复盘标准，配套全套一体化表单，完全适配双体系内审、外审、常态化合规管理要求体系合规部目录1.评估总则（编制目的、适配标准、评估范围、评估原则、触发场景）

2.双体系融合评估逻辑与方法论

3.评估组织架构与实施流程

4.模板1：双体系风险评估立项审批表

5.模板2：资产与业务全景梳理台账（双体系通用）

6.模板3：一体化风险识别与脆弱性分析表（安全+连续性）

7.模板4：风险量化评级与双体系合规校验表

8.模板5：风险处置、整改验证与闭环记录表

9.模板6：双体系一体化风险评估正式报告

10.模板7：常态化风险复盘与双体系运维台账

11.双体系融合评估核心合规指南

12.归档规范与长效管理要求1.评估总则1.1编制目的ISO27001信息安全管理体系与ISO22301业务连续性管理体系具备同源PDCA闭环架构、通用治理框架与管控流程，是企业安全合规与业务稳定运营的核心支撑。为解决传统双体系评估割裂、重复工作、风险管控脱节、标准不统一、审计证据碎片化等痛点，建立信息安全+业务连续性一体化风险评估体系。通过统一评估流程、统一风险量化标准、统一整改闭环机制、统一台账归档规范，全面识别资产安全风险、系统脆弱性、业务中断风险、流程管控漏洞，实现风险分级分类管控、精准处置、持续优化。既满足双体系认证审核、年度内审、监管核查的合规要求，又筑牢企业信息安全防线与业务持续运营能力，规避数据泄露、系统故障、突发事件导致的安全事故与业务停滞风险，构建一体化、常态化、长效化的风险管控合规体系。1.2合规适配依据ISO/IEC27001:2022信息安全管理体系要求（核心依据，规范信息安全风险识别、评估、处置、管控全流程）ISO/IEC22301:2019业务连续性管理体系要求（核心依据，明确业务中断风险评估、应急处置、持续运营管控标准）ISO/IEC27005信息安全风险管理指南（信息安全风险评估方法论、量化标准、处置规范）ISO/IEC22313业务连续性管理指南（业务影响分析、中断风险评估、恢复策略制定规范）《中华人民共和国数据安全法》《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》网络安全等级保护2.0标准体系、行业信息安全与业务连续性专项规范企业ISO27001、ISO22301体系文件、内部管理制度、应急处置预案1.3评估范围本次一体化评估覆盖企业全资产、全业务、全流程、全生命周期，无遗漏、无豁免。范围包含：企业软硬件资产、数据资产、业务系统、办公终端、网络设备、第三方合作资源；所有核心业务、辅助业务全流程运营活动；信息收集、存储、使用、传输、销毁全生命周期，业务发起、运行、流转、终止全运营链路；同时覆盖人为风险、技术风险、管理风险、环境风险、突发事件风险，同步完成ISO27001信息安全风险核查与ISO22301业务中断风险研判。1.4评估触发场景（法定&体系强制）常态化年度评估：每年至少开展1次双体系全面一体化风险评估，完成全量资产、全业务风险复核与隐患清零，适配年度内审、外审要求。体系变更专项评估：双体系文件更新、管控流程迭代、组织架构调整后，立即开展专项复评。业务系统变更评估：核心系统上线、迭代升级、架构调整、数据流转链路变更前，开展前置风险评估。风险事件后复盘评估：发生信息安全事件、系统故障、业务中断、数据异常等问题后，即刻开展专项复盘评估，闭环整改隐患。外部环境变更评估：法律法规、行业标准、监管要求更新，或第三方合作风险、外部攻击风险升级后，及时开展合规复评。1.5评估原则双融合一、协同管控：打破双体系壁垒，融合信息安全风险与业务连续性风险，统一评估标准、流程、台账，实现一次评估、双向适配、全域管控。全面覆盖、重点突出：全域排查所有风险隐患，聚焦核心资产、关键业务、高风险环节，优先处置高危安全风险与重大业务中断风险。客观量化、真实有效：依托标准量化模型，结合企业实际运营现状，杜绝主观判定、形式化评估，确保风险数据真实、研判精准、整改落地。闭环迭代、持续优化：遵循PDCA闭环逻辑，实现风险识别、量化、处置、验证、复盘、迭代全流程管控，动态适配业务与合规变化。合规适配、审计留痕：所有评估流程、表单、记录完全适配双体系审核要求，全程留痕、可查可溯、可核验可归档。2.双体系融合评估逻辑与方法论2.1双体系融合核心优势ISO27001与ISO22301采用完全一致的高阶架构与PDCA持续改进模型，治理逻辑、管理流程、审核标准高度互通，具备天然融合基础。传统分开评估存在流程重复、资源浪费、风险盲区、管控冲突等问题，一体化融合评估可实现一套资产台账、一次风险识别、一套量化标准、一套整改闭环、一套审计资料，同时满足双体系合规要求，大幅提升评估效率与风险管控全面性，既规避信息安全漏洞，又防范业务中断风险，实现安全与业务双向保障。2.2双体系风险界定与融合维度体系维度核心管控风险融合评估重点ISO27001信息安全资产保密性、完整性、可用性风险；数据泄露、篡改、丢失；权限滥用、非法访问、网络攻击、管理漏洞等安全风险聚焦资产安全管控、技术防护、权限管理、数据安全、合规落地，排查安全层面风险隐患ISO22301业务连续性突发事件、系统故障、人为失误、外部灾害导致的业务中断、服务停滞、恢复延迟、运营损失等风险聚焦核心业务影响分析、中断风险预判、应急恢复、容错备份、持续运营保障双体系融合安全风险引发业务中断、业务漏洞诱发安全事故的交叉耦合风险打通安全与业务关联，识别交叉风险，制定一体化防控与恢复措施2.3风险评估量化模型（双体系通用）本次评估采用5×5风险矩阵量化模型，统一适配双体系评估要求，通过「风险发生概率」+「风险影响程度」双重维度判定风险等级，杜绝主观判定偏差。2.3.1风险等级划分标准重大风险（一级）：概率极高/高，影响极大，可导致核心信息泄露、系统全面瘫痪、核心业务长期中断，违反双体系强制性要求，造成重大经济损失、舆情危机、监管处罚，需立即停工整改、全域管控。高风险（二级）：概率中高，影响严重，造成重要资产损坏、关键业务局部中断、合规瑕疵，需优先限期整改、专项督办。中风险（三级）：概率中等，影响一般，造成局部安全隐患、轻微业务波动，无重大损失，需常规优化整改。低风险（四级）：概率低，影响轻微，仅存在流程细节瑕疵，无实质性安全与业务风险，常态化优化即可。3.评估组织架构与实施流程3.1评估组织架构与分工成立双体系一体化风险评估专项小组，实现跨部门协同管控，明确分工、责任到人，适配双体系审核责任追溯要求。组长（管理者代表）：统筹整体评估工作，审批评估方案、风险报告、整改方案，对整体评估结果与双体系合规落地负责。副组长（安全/业务连续性负责人）：负责评估实施督导、风险研判复核、整改进度督办、跨部门协调。技术组：负责软硬件资产、系统、网络、数据安全风险排查，技术脆弱性识别、技术整改落地。业务组：负责业务流程梳理、业务中断风险识别、业务影响分析、业务侧整改优化。合规内审组：负责标准对标、合规校验、报告编制、台账归档、内审适配、审计对接。3.2一体化实施流程（PDCA闭环）本流程严格对标ISO27001、ISO22301双体系PDCA标准，实现全流程一体化、标准化、可审计。Plan（策划立项）：明确评估范围、场景、周期，组建专项小组，制定一体化评估方案，完成立项审批。Do（梳理识别）：全量梳理资产与业务台账，识别信息安全风险、业务中断风险、交叉耦合风险，分析脆弱性与管控短板。Check（量化研判）：通过通用风险矩阵量化风险等级，对标双体系标准完成合规校验，形成风险清单与问题台账。Act（整改闭环）：分级制定风险处置方案，落地整改优化措施，完成有效性验证，闭环问题隐患。Review（复盘迭代）：汇总评估结果，复盘管控短板，更新体系文件与台账，建立常态化复评机制，持续优化双体系管控能力。4.模板1：双体系风险评估立项审批表双体系一体化风险评估立项审批表立项编号ISO-PG-202X-XXX申请日期202X年X月X日申请部门项目负责人评估类型□年度常态化全面评估□双体系变更专项评估□业务系统迭代评估□安全/中断事件复盘评估□合规标准更新复评评估适配体系□ISO27001信息安全管理体系□ISO22301业务连续性管理体系□双体系融合一体化评估评估范围概述详细说明本次评估覆盖的业务范围、资产类型、系统设备、数据场景、运营流程，明确核心评估重点与风险排查方向。评估必要性说明依据ISO27001、ISO22301标准条款及国家合规法规，说明本次评估的体系认证、风险防控、业务保障、监管合规必要性，明确未评估的体系失效、安全事故、业务停滞风险。预估评估周期自XXXX年XX月XX日至XXXX年XX月XX日评估组长评估组员及分工列明技术、业务、合规、内审人员名单，明确资产梳理、风险识别、量化研判、整改督办、报告编制、台账归档分工。部门申请意见签字：__________日期：__________合规/内审部门审核意见签字：__________日期：__________管理者代表审批意见签字：__________日期：__________5.模板2：资产与业务全景梳理台账（双体系通用）资产与核心业务全景梳理台账（ISO27001+ISO22301通用）使用说明：全量摸排企业资产与业务资源，统一适配双体系管控要求，明确资产安全等级与业务重要等级，精准定位核心管控对象，为风险识别、量化研判、分级管控提供核心依据，禁止空白填报、笼统填报。序号资产/业务类型具体名称/内容归属部门资产安全等级业务重要等级核心用途/运营场景现有安全防护措施现有业务保障措施1数据资产□核心□重要□一般□关键□重要□普通2业务系统□核心□重要□一般□关键□重要□普通3软硬件设备□核心□重要□一般□关键□重要□普通4核心业务流程□核心□重要□一般□关键□重要□普通5第三方合作资源□核心□重要□一般□关键□重要□普通梳理人：__________双体系审核人：__________日期：__________6.模板3：一体化风险识别与脆弱性分析表（安全+连续性）双体系一体化风险识别与脆弱性分析表使用说明：结合资产与业务分级结果，同步识别ISO27001信息安全风险、ISO22301业务中断风险及交叉耦合风险，从技术、管理、人员、流程、环境、第三方六大维度深挖风险成因，杜绝表面化、形式化分析。序号关联资产/业务等级风险场景/问题描述风险归属体系根本成因分析安全危害后果业务中断后果现有管控短板1□核心资产/关键业务□重要资产/重要业务□一般资产/普通业务□ISO27001安全风险□ISO22301连续性风险□双体系交叉风险从制度流程、技术防护、人员能力、环境管控、第三方约束、应急机制维度深度剖析根本问题说明数据泄露、篡改、丢失、权限滥用、网络攻击等安全危害说明业务停滞、服务中断、恢复延迟、运营损失、客户投诉等后果2□核心资产/关键业务□重要资产/重要业务□一般资产/普通业务□ISO27001安全风险□ISO22301连续性风险□双体系交叉风险3□核心资产/关键业务□重要资产/重要业务□一般资产/普通业务□ISO27001安全风险□ISO22301连续性风险□双体系交叉风险评估人：__________体系复核人：__________日期：__________7.模板4：风险量化评级与双体系合规校验表风险量化评级、双体系合规校验与分级管控表使用说明：依托双体系通用5×5量化模型，完成风险等级精准判定，对标ISO27001、ISO22301标准条款逐项合规校验，明确管控要求与整改优先级，实现风险评级与体系合规双向匹配。序号风险编号/名称关联资产/业务等级发生概率影响程度综合风险等级双体系合规校验分级管控措施整改优先级1□核心/关键□重要□一般□高□中□低□高□中□低□重大□高□中□低列明适配ISO27001/ISO22301对应条款，标注合规/瑕疵/不合规匹配风险等级与双体系要求，制定安全防护+业务保障一体化管控措施□紧急□优先□常规□优化2□核心/关键□重要□一般□高□中□低□高□中□低□重大□高□中□低□紧急□优先□常规□优化量化判定人：__________双体系合规复核：__________日期：__________8.模板5：风险处置、整改验证与闭环记录表双体系风险处置、整改验证与闭环记录表使用说明：根据风险等级实行差异化处置（规避、降低、转移、接受），同步落实信息安全整改与业务连续性优化措施，留存完整整改证据，实现双体系风险问题全闭环，满足内审外审核查要求。整改单号ISO-ZG-202X-XXX对应风险编号风险归属体系□ISO27001□ISO22301□双体系交叉综合风险等级□重大□高□中□低责任部门/责任人整改截止日期202X年X月X日督办部门合规内审部/体系管理部复评周期一、问题概述与根本原因详细描述风险问题、体系违规事实、安全隐患、业务影响，结合双体系标准深挖制度、技术、流程、人员、应急管控根本短板。二、即时消险处置措施制定即时安全整改与业务止损措施，快速消除高危隐患、规避业务中断风险，附整改截图、配置记录、制度文件、应急处置记录等验证证据。三、双体系长效管控优化同步优化ISO27001安全防护机制与ISO22301业务连续性保障机制，完善制度流程、技术策略、应急预案、培训考核、第三方管控，杜绝同类风险复发。四、整改落地情况说明逐项说明措施落地进度、执行效果、风险缓释情况，明确是否存在遗留问题及阶段性管控方案。五、双体系联合验证结论□整改合格，风险完全闭环，双体系合规达标

□整改基本合格，低风险瑕疵常态化管控

□整改不合格，限期重新专项整改复评

验证说明：__________验证人签字__________闭环日期__________9.模板6：双体系一体化风险评估正式报告ISO27001&ISO22301双体系一体化风险评估正式报告报告编号：ISO-BG-202X-XXX

评估场景：XXXXXXXX资产安全与业务全流程运营

评估周期：202X年X月X日-202X年X月X日

评估部门：XXXXXXXX

编制人：__________

审核人：__________

审批人：__________

报告日期：202X年X月X日一、评估声明本报告严格依据ISO/IEC27001:2022、ISO/IEC22301:2019双体系标准及国家网络安全、数据安全相关法律法规编制，遵循PDCA持续改进原则，采用标准化一体化评估流程。本次评估通过资产业务梳理、风险识别、脆弱性分析、量化评级、合规校验、整改闭环全流程工作，客观、公正、全面排查企业信息安全风险与业务连续性风险。本报告结果真实有效，可作为企业双体系认证审核、年度内审、监管核查、合规运维、业务持续保障的法定留存依据，未经专项小组审批，不得篡改、删减。二、评估概述1.评估背景：说明本次评估触发原因（年度常态化评估、体系变更、业务迭代、风险事件复盘、合规标准更新等）。

2.评估目的：打通ISO27001与ISO22301管控壁垒，实现信息安全与业务连续性风险一体化排查、量化、处置、管控，补齐双体系合规短板，消除安全漏洞与业务中断隐患，构建安全可控、持续稳定的一体化风控体系，满足体系认证与常态化合规要求。

3.评估范围：覆盖企业全量资产、所有业务流程、软硬件系统、数据链路、第三方合作场景，全域排查安全风险、业务中断风险、交叉耦合风险。

4.评估方式：资产业务梳理+现场核查+技术检测+资料审阅+风险量化分析+双体系合规比对+整改验证复盘。三、资产业务与双体系管控现状1.资产业务概况：汇总企业核心资产、关键业务分布、运营模式、数据流转、系统架构整体情况。

2.分级管控结果：列明核心/重要/一般资产、关键/重要/普通业务的分级明细与管控优先级。

3.双体系落地现状：梳理现有ISO27001信息安全防护体系、ISO22301业务连续性保障体系的制度、技术、人员、应急机制落地情况，明确现有管控优势与短板。

4.合规整体现状：对标双体系标准条款，说明当前整体合规情况、存在的合规瑕疵与风险盲区。四、风险识别与量化研判汇总1.重大风险汇总：列明核心资产、关键业务对应的重大安全风险、业务中断风险，说明成因、危害、违规依据。

2.高风险汇总：梳理重要资产、重要业务的高等级隐患，明确管控短板与潜在损失。

3.中低风险汇总：罗列常规流程、普通资产的细节风险与优化空间。

4.交叉风险汇总：总结安全风险引发业务中断、业务漏洞诱发安全事故的耦合风险。

5.双体系合规校验结果：逐项校验双体系核心条款落地情况，分类列明合规项、瑕疵项、不合规项。

6.整体风险态势：总结企业整体风险等级、风险分布特征、高频问题、核心管控薄弱环节。五、风险整改闭环落实情况汇总所有等级风险的整改责任、整改措施、落地进度、验证结果；重点说明重大、高风险问题闭环情况，针对未完成整改的问题，明确阶段性管控方案、缓释措施、后续整改计划，确保高等级风险、核心业务风险100%可控闭环。六、双体系融合优化建议1.制度体系融合优化：整合双体系管理制度，统一风险评估、管控、复盘标准，消除制度冲突与管控盲区，完善一体化合规体系。

2.技术防护升级：强化核心资产安全防护、数据加密、访问审计、备份恢复能力，同步提升业务容错、应急切换、故障恢复能力。

3.人员与流程管控：建立双体系一体化培训、考核、权限核查机制，强化全员安全与业务连续性合规意识。

4.常态化风控机制：建立季度抽查、年度全评、变更前置评估的常态化机制，实现风险动态管控。

5.应急能力建设：整合信息安全应急预案与业务连续性预案，开展联合演练，提升突发事件处置与业务快速恢复能力。七、最终评估结论经双体系一体化全流程评估、风险量化研判与整改验证，本次企业整体评估结论如下：

□双体系整体合规、风险可控：无重大高危风险隐患，所有风险问题已闭环整改，信息安全防护与业务连续性保障体系完善，完全符合ISO27001、ISO22301标准要求，体系运行有效。

□基本合规、限期优化：整体风险可控，存在少量中低风险细节瑕疵，无重大合规违规问题，已制定长效优化方案，整改完成后可保障双体系持续有效运行。

□存在重大风险、体系运行失效：核心资产、关键业务存在重大高危风险，双体系管控缺失，合规不达标，未完成全面整改复评前，双体系不予合规有效认定。评估组长签字：__________

体系负责人签字：__________

单位盖章：__________

日期：__________10.模板7：常态化风险复盘与双体系运维台账双体系风险评估常态化复盘运维台账使用说明：用于年度常态化复盘、历次评估记录归档、风险动态追踪、双体系运维情况统计，支撑内审外审核查与体系持续改进。序号评估编号评估场景/业务评估类型评估日期整体风险等级重大/高风险数问题总数闭环数量未闭环问题下次复评日期双体系运行评价1台账维护人：__________更新周期：每月更新、年度全面复盘11.双体系融合评估核心合规指南11.1双体系融合核心合规逻辑ISO27001聚焦信息安全风控，解决资产保密性、完整性、可用性问题，防范外部攻击、内部泄露、权限滥用等安全风险；ISO22301聚焦业务持续运营，解决突发事件、系统故障、人为失误导致的业务中断问题。二者同源架构、互补共生，一体化评估可实现“安全防风险、连续保运营”的双重管控目标，规避单一体系评估的管控盲区，是当前企业双体系合规落地的最优模式。11.2融合评估核心避坑要点杜绝体系割裂：禁止