ISO27001认证体系信息业务连续性审核示便供参考。 ISO27001认证体系业务连续性审核目的 1）组织是否进行了关键业务分析; 2）组织是否分析了关键业务对信息资产的依赖程度; 3）组织是否建立了业务连续性框架; 4）组织确定的业务连续性信息管理方面的管理流程是否完整; 5）组织是否针对关键业务分别制定了业务连续性计划; 6）组织是否针对与关键业务密切相关的高风险信息资产制定了完整的信息业务连续性计划; 7）组织是否针对业务连续性计划制定了演练计划; 8）组织是否针对信息业务连续性计划制定了演练计划; 9）组织是否组织了业务连续性演练; 10）组织是否组织了信息业务连续性演练; 11）组织进行的信息业务连续性演练是否满足三年全覆盖要求; 12）组织是否进行了业务连续性演练分析; 13）组织是否进行了信息业务连续性分析; 14）组织是否依据信息业务连续性分析结果，对信息业务连续性演练计划、信息业务连续性计划、业务连续性信息管理方面的管理流程进行适当的调整; 15）组织是杏出现过引起关键业务中断的信息事件;如出现，是否依据信息、业务连续性计划实现了关键业务的恢复目标，特别是有没有关联信息资产影响恢复目标实现 上述内容既是ISO27001认证机构审核的目的，也应是企业实施ISO27001认证体系及内审参考。以下审核步骤 1.ISO27001认证体系业务连续性程序检查 a) 业务连续性管理程序完整性; b) 关键业务分析报告、业务连续性计划、业务连续性演练计划等的发布与控制 2.ISO27001认证体系业务连续性报告检查 a) 关键业务进行了分析; b) 关键业务对信息与信息系统的依赖程度分析; c) 信息对关键业务的连续性影响因素分析; d) 对所有影响因素制定了可操作的具体业务连续性保证计划; c)各种演练记录完整性; f) 各种演练分析报告完整性合理抽样审 3.ISO27001认证体系业务连续性演练检查 a) 演练计划; b) 演练方式; c) 演练内容; d) 演练记录; e) 演练分析 4.ISO27001认证体系业务连续性事件检查 a) 事件记录； b) 事件处理方式; c)事件影响分析: d) 业务连续性恢复记录

在确定组织的背景时，需要考虑以下三个方面关键因素是： a）利益相关方； b）外部问题； c）内部问题。 1.与IATF16949认证体系或ISO9001认证体系要求相关的利益相关方 利益相关者是指那些能够影响、保定满城当地受组织决策或活动影响或认为自己受组织决策或活动影响的人。组织 应确定哪些利害关系方是相关的。这些相关的相关方可以是外部的和内部的，并且可以影响组织实现持续? 成功的能力，包括客户。 组织应确定哪些利益相关方： A）如果不满足相关的需求和期望，则是其持续成功的风险； b）可以提供增强其持续的成功的机会。 相关利益相关方一旦确定，组织应： ——确定他们的相关需求和期望，确定应该解决的问题； ——建立必要的程序以满足相关方的需要和期望。 组织应该考虑如何与相关方建立持续的关系，以获得利益，例如改善绩效、保定满城附近对目标和价值的共同理解、保定满城 以及增强的稳定性。 2?与IATF16949认证体系或ISO9001认证体系相关外部和内部问题 2.1 外部问题是存在于实施IATF16949认证体系或ISO9001认证体系组织外部的可能影响组织实现持续成功的能力的因素，例如： a）法律和法规要求； b）特定领域的要求和协议； c）竞争； d）全球化； e）社会、保定满城同城经济、保定满城同城政治和文化因素； f）技术的革新和进步； g）自然环境。 2.2.内部问题是实施IATF16949认证体系或ISO9001认证体系组织内部存在的能够影响组织取得持续成功的能力的因素，例如： a）尺寸和复杂性； b）活动和相关过程； C）战略； d）产品和服务类型； e）性能； f）资源； g）能力和组织知识水平； h）成熟度； i）创新。 在考虑IATF16949认证体系或ISO9001认证体系外部和内部问题时，组织应考虑过去的相关信息、保定满城其现状和其战略方向。 组织应确定哪些外部和内部问题可能导致其持续成功的风险或增强其持续成功的机会。? 基于这些问题的确定， 管理层应该决定哪些风险和机会应该被处理，并开始建立、保定满城附近实施和维护必要的过程。 组织应考虑如何建立、保定满城当地实施和维持一个监测、保定满城本地审查和评估外部和内部问题的过程，同时考虑要采取行动的任何后果（见 7.2）。