ISO27001企業(yè)如何選擇正規(guī)認證機構(gòu)？這幾點不清楚你一定會后悔！

ISO27001認證機構(gòu)是指具有可靠的執(zhí)行認證制度的必要能力，并在認證過程中能夠客觀、公正、獨立地從事認證活動的機構(gòu)。即認證機構(gòu)是獨立于制造廠、銷售商和使用者（消費者）的、具有獨立的法人資格的第三方機構(gòu)，故稱認證為第三方認證。

01

認證是什么？

"認證"是指由可以充分信任的第三方證實某一經(jīng)鑒定的產(chǎn)品或服務(wù)符合特定標準或規(guī)范性文件的活動。第三方的角色可以由國家或政府的機關(guān)直接擔(dān)任，或者由國家或政府認可的組織去擔(dān)任，這樣的機關(guān)或組織就叫"認證機構(gòu)"。認證機構(gòu)是經(jīng)國家批準認可的能獨立開展第三方認證的機構(gòu)。

02

咨詢機構(gòu)是什么？

ISO27001咨詢機構(gòu)是為企業(yè)建立、運行體系提供幫助的中介服務(wù)機構(gòu)。當企業(yè)自己貫標存在困難或缺乏信心時往往求助于咨詢機構(gòu)的幫助，咨詢機構(gòu)則通過提供咨詢服務(wù)獲取利潤。咨詢機構(gòu)與企業(yè)的合作是一種商業(yè)行為。

國內(nèi)的大多數(shù)獲證企業(yè)是通過聘請咨詢機構(gòu)來指導(dǎo)實施貫標工作的，一個優(yōu)秀的咨詢機構(gòu)不僅能幫助企業(yè)順利地通過第三方認證，而且對企業(yè)提升自身管理水平很有幫助。為了確保第三方認證的公正性，國家明令禁"咨詢、認證一條龍服務(wù)"，一個機構(gòu)不能同時充當咨詢師和審核員的角色。

03

如何選擇咨詢機構(gòu)

  iso27001選擇咨詢機構(gòu)應(yīng)當注意以下幾點    

1.通盤考慮性價比

咨詢工作是一種商業(yè)行為，企業(yè)在選擇咨詢機構(gòu)時，不應(yīng)盲目追求低價位，而應(yīng)通盤考慮質(zhì)量價格比。一個正規(guī)的咨詢公司經(jīng)營成本中很大一塊是對咨詢?nèi)藛T的培訓(xùn)支出；由于聘請了高素質(zhì)的咨詢師而不得不支付高額的報酬；并且還需考慮咨詢的質(zhì)量和企業(yè)獲證后的一些其他服務(wù)。如果咨詢公司的報價很低，往往不能保證咨詢?nèi)藛T的素質(zhì)，在咨詢過程中偷工減料，給企業(yè)在以后的體系運行中埋下隱患。

2.咨詢幾個不能提供認證服務(wù)

ISO27001咨詢認證一條龍服務(wù)是國家明令禁止的。有許多企業(yè)由于不能正確認識咨詢和認證的提供咨詢認證一條龍服務(wù)，一般的咨詢合同都約定當企業(yè)獲證時和同終止。而對企業(yè)來說獲證只是企業(yè)貫標的一個前期的階段。咨詢機構(gòu)提供的服務(wù)在時間上比較短暫，企業(yè)把對認證機構(gòu)的期望強加給咨詢機構(gòu)，要求咨詢機構(gòu)做出超出其能力范圍的承諾（如保證通過初次認證、對審核組織的要求、認證費用等）是不可取的。企業(yè)的認證合同和認證費用都是同認證機構(gòu)直接交涉的。咨詢機構(gòu)可以向企業(yè)推薦認證機構(gòu)，或?qū)φJ證費用做出估價，但不能對咨詢、認證費用進行總承包。否則，咨詢機構(gòu)很有可能既攢工錢又攢料錢，搞暗箱操作。

3.適合ISO27001企業(yè)的幾個自身具備以下要求

1、技術(shù)力量雄厚。

2、注重培訓(xùn)，特別是質(zhì)量意識的培訓(xùn)。

3、派出的咨詢師不僅有廣泛的知識面，而且有相當?shù)膶I(yè)能力，與企業(yè)接觸后能很快掌握企業(yè)質(zhì)量管理的重點和難點。

4、尊重企業(yè)員工及其意見，尊重企業(yè)的傳統(tǒng)文化。在體系的建立和試運行階段不脫離實際，實事求是，追求實效。不故弄玄虛，不弄虛作假，不偷工減料。維護企業(yè)利益。

企業(yè)在選擇咨詢機構(gòu)時一定要慎重，選定的咨詢機構(gòu)應(yīng)能滿足企業(yè)的要求，必要時要貨比三家?？梢允紫炔榭醋稍儥C構(gòu)的資質(zhì)證明材料，然后通過認證過的企業(yè)側(cè)面了解該咨詢機構(gòu).

04

怎樣選擇認證機構(gòu)？

1、認證機構(gòu)經(jīng)批準或認可的業(yè)務(wù)范圍。

2、認證機構(gòu)的服務(wù)質(zhì)量。

3、由于各認證機構(gòu)大多數(shù)按國家規(guī)定的收費標準收取認證費用。

4、最好不要把選擇認證機構(gòu)的權(quán)力交給咨詢機構(gòu)。

2018年9月30日，中國國家認證認可監(jiān)督管理委員會發(fā)布了《關(guān)于加強認證監(jiān)測市場監(jiān)管認證的工作通知》，認證行業(yè)內(nèi)開始了整頓不正規(guī)機構(gòu)的行動，發(fā)現(xiàn)了很多的“問題”機構(gòu)存在“認證檢測亂象”的問題 。

“認證機構(gòu)則責(zé)令罰改”、“認證機構(gòu)資格吊銷、該機構(gòu)認證機構(gòu)發(fā)布的認證吊銷”、“某某審核員被撤銷審核資質(zhì)”，這些消息在接下來的一年時間里不斷被傳出。其中：北京中聯(lián)天潤、北京國認檢驗、北京朗信聯(lián)合認證，沒能躲過認監(jiān)委的法眼，原形顯露，最終直接被撤銷了認證資質(zhì)。

北京中聯(lián)天潤在經(jīng)營期間一直堪稱行業(yè)的標桿，而北京國認檢驗在3年多的時間更是發(fā)布了14831張證書，甩了很多老機構(gòu)幾條街，之前的北京中鼎恒昌在被撤銷資質(zhì)之前，也是著名的認證機構(gòu)。這些機構(gòu)的資質(zhì)撤銷之后，企業(yè)的證書也只能隨之被注銷，認證機構(gòu)跑路了，最后卻得讓企業(yè)來買單，讓眾多企業(yè)蒙受損失。

那么企業(yè)如何避免這種情況發(fā)生？企業(yè)又應(yīng)該如何選擇正規(guī)的認證機構(gòu)呢？其實在眾多的認證機構(gòu)里，我們可以從以下四個方面來判斷和決策：

1、查詢認證公司的認證資質(zhì)

　　首先我們可以登陸認監(jiān)委官網(wǎng)，查詢該認證機構(gòu)是否有相關(guān)的備案，無論該認證機構(gòu)注冊地在國外還是國內(nèi)，無論認證機構(gòu)的規(guī)模大還是小，在認監(jiān)委都是必須可查的。還要查詢認證公司的營業(yè)執(zhí)照，認監(jiān)委批準的證書和國家認可委的認可證書，以及認證機構(gòu)是否是合法運營。

2、查詢認證公司的經(jīng)營狀況

　　查詢認證公司的經(jīng)營時間，是否有正規(guī)的辦公場所，審核專家的人員配置，以及成立以來的發(fā)證數(shù)量是否穩(wěn)步增長。還可以在認監(jiān)委官網(wǎng)對認證查詢是否有不良記錄，是否有違規(guī)行為。尤其是在隨機抽查中是否為風(fēng)險機構(gòu)，如果該認證公司能夠長期通過認監(jiān)委的檢查而沒有問題，說明該認證公司是沒有什么問題的。

3、看認證的價格

　　如今是互聯(lián)網(wǎng)的時代，幾乎所有行業(yè)的價格都是透明的，隨著市場的波動，認證價格都只是在一個很小的區(qū)間內(nèi)。如果認證公司給出的價格明顯低于正常的市場價格，企業(yè)就得要好好商榷了。從最近幾個月被撤銷的大部分認證機構(gòu)來看，都具備這樣的一個特點，低價吸引客戶，大勢斂財而后被撤銷跑路，完全不管曾經(jīng)對企業(yè)的承諾，最后哭的還是企業(yè)。

4、看認證公司的認證流程

　　ISO27001認證公司做認證，根據(jù)一個企業(yè)的審核人數(shù)，審核范圍等，都是有嚴格的認證流程，審核人以及日期的具體安排，是否有一審和二審，詢問認證公司是否會安排專家現(xiàn)場審核。對于企業(yè)來說，最直接的辦法就是看審核計劃，正規(guī)的認證公司都會在專家入場審核之前，將審核計劃發(fā)送給企業(yè)。審核計劃中就包含了一審和二審的審核時間安排、審核專家的安排、以及審核專家的聯(lián)系方式等。不正規(guī)的認證公司多數(shù)都是低價認證，既然是非正規(guī)機構(gòu)，自然不是來搞慈善的為了節(jié)約成本，自然在審核計劃上做手腳。