T∕CCAA 36-2022 认证机构远程审核指南.pdf

ICS 03.120.20 CCS A 00 团体标准 T/CCAA 362022 代替 T/CCAA 362020 认证机构远程审核指南认证机构远程审核指南 Guidelines on remote auditing for certification bodies 2022 5 31 发布 2022 - 5 31 实施 中国认证认可协会 发布 全国团体标准信息平台全国团体标准信息平台T/CCAA 362022 I 目 次 前言 . II 引言 . III 1 范围 .1 2 规范性引用文件 .1 3 术语和定义 .1 3.1 .1 4 远程审核原则 .2 4.1 总则 .2 4.2 信息安全性与保密性 .2 4.3 基于风险的方法 .2 4.4 持续改进 .2 5 远程审核方案的管理 .2 5.1 总则 .2 5.2 实施远程审核的条件 .2 5.3 确定和评价远程审核的风险 .3 5.4 建立远程审核方案 .3 5.5 实施远程审核方案 .6 5.6 监视远程审核方案 .6 5.7 评审和改进远程审核方案 .6 6 远程审核的实施 .7 6.1 总则 .7 6.2 审核的准备 .7 6.3 审核的实施 .7 6.4 审核报告的编制 .8 6.5 审核的完成 .8 6.6 审核的后续活动 .8 7 远程审核能力 .8 7.1 总则 .8 7.2 基础设施与运行环境 .8 7.3 人员 .9 8 评价与改进 .10 附录 A（资料性）采用远程审核方式条件判断示例 . 11 附录 B（资料性）宜保留的与远程审核活动相关的成文信息 .13 附录 C（资料性）远程审核常用的信息和通信技术（ICT） .14 附录 D（资料性）应用 ICT 实施审核取证示例 .17 参考文献 .22 全国团体标准信息平台 全国团体标准信息平台T/CCAA 362022 II 前 言 本文件按照GB/T 1.12020标准化工作导则 第1部分：标准化文件的结构和起草规则的规定起草。 本文件代替T/ CCAA 36-2020认证机构远程审核指南，与T/CCAA 362020相比，除编辑性改动外，主要技术变化如下： a）提出了建立远程审核方案的考虑因素以及连续两次采用远程审核方式时宜保留的信息 （见5.4） ； b）删除了远程审核实施中通用及与附录重叠的部分， 扩充了远程审核相关的关注内容 （见第6章） ； c）扩充了实施远程审核的人员能力、基础设施及运行环境建议（见第7章）； d）增加了远程审核在信息安全方面的考虑（见4.2及第6章）； e）提供了更多的信息和通信技术（ICT）及其应用示例（见附录C及附录D）。 请注意本文件的某些内容可能涉及专利，本文件的发布机构不承担识别这些专利的责任。 本文件起草单位：广州赛宝认证中心服务有限公司、中国合格评定国家认可中心、北京埃尔维质量认证中心、中国质量认证中心、通标标准技术服务有限公司、中国网络安全审查技术与认证中心、兴原认证中心有限公司、中汽研华诚认证（天津）有限公司、北京军友诚信检测认证有限公司、中汽认证中心有限公司、杭州万泰认证有限公司、华夏认证中心有限公司、北京五洲恒通认证有限公司、北京大陆航星质量认证中心股份有限公司、北京恩格威认证中心有限公司、中知（北京）认证有限公司、英标管理体系认证（北京）有限公司、中国船级社质量认证公司、方圆标志认证集团有限公司、卓越新时代认证有限公司、 上海质量体系审核中心、 北京中建协认证中心有限公司、 北京中认科进技术服务有限公司、北京兴国环球认证有限公司、北京国建联信认证中心有限公司、浙江公信认证有限公司、北京海德国际认证有限公司、中国新时代认证中心、北京世标认证中心有限公司、国家市场监督管理总局认证认可技术研究中心、北京中经科环质量认证有限公司、北京中化联合认证有限公司、北京联合智业认证有限公司、北京九鼎国联认证有限公司、深圳市腾讯计算机系统有限公司、中标联合（北京）认证有限公司、长城（天津）质量保证中心、中标华信（北京）认证中心有限公司、北京东方纵横认证中心有限公司、泰尔认证中心有限公司、中煤协联合认证（北京）中心、北京国标联合认证有限公司。 本文件主要起草人：刘小茵、梁小峻、王索、秦红、刘彦龙、于文涛、肖定生、张剑、曲丽、郑燕、柯章勇、董德刚、于芳、贾岚、卢振辉、乔文龙、孙芳、潘蓉、李洋、彭新、杨雪娟、谭平、褚宝磊、张莉、王梅、曲光宇、严义君、肖飞、孙竹君、孟咏歌、郭喜宏、孟凯、胡新爱、孟建军、陈嫣红、黄学良、宋跃炜、陈健、徐超、汤丽娜、潘小利、延敬清、王永霞、李文远、王燕、李辰暄、周陶陶、胡越男、孙敏杰、张静。 全国团体标准信息平台全国团体标准信息平台T/CCAA 362022 III 引 言 为适应快速变化的环境，包含但不限于公共卫生事件、出行限制、自然灾害及其他限制性情况的发生，导致审核员无法到达受审核方场所实施审核的情况，认证机构在基于风险、信息安全、持续改进的原则下，应用远程审核手段提升、整合、重构认证机构的内外部资源，提升认证管理能力，赋能认证业务稳健创新。在适应新形势和顾客新需求的同时，符合政府监管部门、认可机构及其他相关方的要求，构建传统审核与远程审核相互补充的新生态，形成新动能，创造新价值，实现新发展。同时，信息和通信技术（ICT）的快速发展和广泛应用，也为远程审核提供了更多可能。 编制本文件的目的是确保远程审核的有效性和可信度。认证机构及相关方都需了解其在远程审核过程中的输入、预期输出以及风险等方面的作用，以期实现审核目标。 本文件结合最新的远程审核实践和ICT技术发展，为规范和指导认证机构开展远程审核活动，管理远程审核风险提供指南。 本文件在国际认可论坛（IAF）有关文件、国际标准化组织（ISO）相关标准框架下制定，是对IAF文件的有效补充和细化，以及对GB/T 190112021附录A1“远程审核方法”的补充，同时还进一步明确了GB/T 27021.12017附录A所述的认证过程中远程审核相关人员的能力。 本文件第1章至第3章给出了使用本文件的范围、规范性引用文件以及术语和定义，第4章阐述了远程审核原则， 这些原则体现了本文件的核心关注点。 第5章至第8章基于PDCA方法明确了远程审核的全过程，为认证机构通过建立管理体系来提高远程审核的有效性提供了可选择的途径。附录A给出了是否可采用远程审核方式的条件判断示例， 附录B列出了建议保留的与远程审核活动相关的成文信息， 附录C给出了远程审核的常用信息和通信技术，附录D列出了应用信息和通信技术实施审核取证示例。 全国团体标准信息平台 全国团体标准信息平台T/CCAA 362022 1 认证机构远程审核指南 1 范围 本文件为认证机构实施远程审核提供了审核原则、审核方案管理、审核实施、审核能力、审核评价与改进的指南。 本文件适用于认证机构开展管理体系认证、 产品认证和服务认证的远程审核活动， 也可供其他类型的审核活动参考使用。 注：远程审核的适用范围包含但不限于公共卫生事件、出行限制、自然灾害及其他限制性情况的发生，导致审核员无法到达受审核方场所实施审核的情况。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中， 注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 19000 质量管理体系 基础和术语 GB/T 190112021 管理体系审核指南 GB/T 23694 风险管理 术语 GB/T 27000 合格评定 词汇和通用原则 IAF MD4：2022 IAF 强制性文件 信息和通信技术（ICT）在审核/评审中的应用（IAF mandatory document for the use of information and communication technology （ ICT ） for auditing/assessment purposes） 3 术语和定义 GB/T 19000、GB/T 190112021、GB/T 23694、GB/T 27000、IAF MD4：2022 界定的以及下列术语和定义适用于本文件。 3.1 远程审核远程审核 remote auditingremote auditing 应用信息和通信技术（ICT） ，全部或部分的在受审核方实际场所以外任何地点获得客观证据、形成审核发现，以确定满足审核准则程度所进行的系统的、独立的并形成文件的过程。 注1：ICT是应用技术来收集、存储、检索、处理、分析和发送信息，它包括软件和硬件，例如：智能手机、手持设备、笔记本电脑、台式电脑、无人机、摄像机、可穿戴技术、人工智能及其他 IAF MD4：2022，0.2。 注2：远程审核可以是审核员在受审核方某一场所对其他场所的人员、 活动或过程进行的审核， 也可以是审核员不在受审核方场所对受审核方的人员、活动或过程进行的审核。 注3：GB/T 190112021的A.16对远程审核与虚拟场所审核进行了说明。 虚拟场所的审核有时称为虚拟审核。 关于虚拟审核，可参考GB/T 190112021中的有关内容。 全国团体标准信息平台T/CCAA 362022 2 4 远程审核原则 4.1 总则 本条款在 GB/T 190112021 第 4 章的基础上，对其进行了补充和说明。 注：本文件4.2、4.3是分别对GB/T 190112021第4章d)、g)的进一步说明，4.4是对GB/T 190112021第4章的补充。 4.2 信息安全性与保密性 应用 ICT 实施远程审核，确保电子信息或电子化传输信息的安全性、保密性和数据保护非常重要。认证机构宜考虑与安全性、 保密性和数据保护相关的法律法规和客户要求， 针对审核中应用 ICT 遵守信息安全与数据保护的措施和规则，在 ICT 应用于审核之前，与受审核方相互达成一致意见。 注：在某些情况下，出于信息安全性要求的考虑，审核过程不允许使用ICT，可能导致无法实施远程审核。 4.3 基于风险的方法 应用 ICT 实施远程审核，认证机构宜对实现审核目标有影响的风险加以识别、评估和管理。风险可能与下列方面有关，包括但不限于： 审核类型； 所审核活动/过程和场所的复杂性、代表性； ICT 的选择； ICT 所需的资源与条件； 审核组应用 ICT 获取审核证据的能力； 信息处理和分析的能力； 电子信息或电子化传输信息的真实性、完整性； 其他支持条件。 4.4 持续改进 认证机构宜根据远程审核活动评价的结果，持续改进远程审核的充分性、适宜性与有效性。 5 远程审核方案的管理 5.1 总则 认证机构宜建立远程审核方案，该方案在符合 GB/T 190112021 中 5.1 相关内容的同时宜考虑本文件对远程审核提出的特定因素的建议，这些因素包括但不限于： 与远程审核方案有关的风险（见 5.3）及应对措施； 远程审核的信息安全和保密原则（见 4.2） ； 实施远程审核的能力（见第 7 章） 。 注：认证机构宜不断监视和测量审核方案的执行情况（见5.6）,以确保实现其目标，并定期开展审核方案的审查工作，以便确定变化的需要和可能的改进机会（见5.7）。 5.2 实施远程审核的条件 当下列（但不限于）情况得到满足时，认证机构可实施远程审核： a) 实施远程审核所需的信息是充分的； 全国团体标准信息平台T/CCAA 362022 3 b) 远程审核的范围（审核内容和边界）已确定（产品认证除外）； c) 远程审核的方式/方法以及可行性得到确认； d) 双方实施远程审核活动的能力得到确认； e) 认证机构和受审核方之间任何已知的有关远程审核理解上的分歧已经得到解决。 适宜时，认证机构宜编制实施远程审核调查表，对受审核方实施远程审核的能力进行调查。调查内容可参考但不限于本文件的 7.2 和 7.3。 认证机构宜对所获得的远程审核相关信息实施评审，并与受审核方进行沟通，以便： a) 根据远程审核风险评价需要（见 5.3）评审受审核方是否满足实施远程审核条件； 注：开展远程审核的条件可参考附录A。 b) 确定认证机构自身的： 1) 认证范围及专业风险； 2) 实施远程审核的支持条件（见第 7 章） 。 注：认证机构可以适宜的方式与受审核方沟通远程审核的可行性、 远程审核的风险以及远程审核后的有效性评估及补充措施（适用时）等。 5.3 确定和评价远程审核的风险 在符合 GB/T 190112021 中 5.3 要求的基础上，认证机构在策划远程审核方案时，宜考虑第 4 章提及的远程审核原则，对可能影响远程审核有效性的认证项目，或认证项目中的活动/过程进行风险评价。对于评价结果为高风险的认证项目，或低风险认证项目中的高风险活动/过程，不适宜采用远程审核。策划宜： 保证实现远程审核的预期结果； 预防或降低远程审核风险； 实现远程审核活动的持续改进。 注：附录 A 给出了开展远程审核活动的适宜（不适宜）情形。 认证机构宜策划： a) 风险评估准则以及风险应对措施； b) 如何： 1) 在远程审核活动中实施这些措施； 2) 评价这些措施的有效性。 5.4 建立远程审核方案 认证机构在建立远程审核方案时，宜在考虑GB/T 190112021的5.4相关内容的基础上，同时考虑（但不限于）本文件5.4.1、5.4.2的相关内容。 5.4.1 与远程审核实施有关事项的沟通和确认 认证机构宜针对远程审核实施与受审核方进行充分的沟通，并就相关事项与受审核方进行确认并达成一致： 认证机构（含人员） 、受审核方及相关方（实施远程审核所使用的 ICT 的提供方，如第三方软件平台）的能力和责任； 信息安全风险及控制要求； 远程审核的范围及边界； 实施远程审核活动的资源、方式、方法； 全国团体标准信息平台T/CCAA 362022 4 应急响应（见 6.2）措施； 审核结果及有效性的评估。 5.4.2 远程审核方案策划 5.4.2.1 建立远程审核方案的原则 建立远程审核方案的原则是： 确保审核的完整性和有效性； 确保认证要求全部得到满足。 5.4.2.2 远程审核方案 远程审核方案宜考虑但不限于以下因素： a) 法律法规以及行业的相关要求； b) 认证项目的复杂程度及风险程度； c) 采用远程审核方式对所审核的活动/过程进行观察和获取证据的充分性； d) 其他因素，如有保密要求限制等； e) 风险评价结果。 5.4.2.2.1 对同一组织不宜连续两次采用完全远程审核的方式，如以该方式实施，宜保留相关的连续选择远程审核的依据、风险评价、控制措施及其有效性评价结果等信息。 注：远程审核可分为两种类型： 完全远程审核：是指远程执行的审核活动，覆盖受影响的审核的全部审核期间和审核范围； 部分远程审核：是指采用实地现场审核和远程审核相结合的方式完成一次完整审核活动。 5.4.2.2.2 对于有特定要求的认证制度，宜在相关要求得到遵守的前提下，依据认证风险及项目风险评价结果选择适宜的远程审核方式。 5.4.2.2.3 对于产品认证： a) 产品认证机构在确定包含远程检查的认证方案时，宜考虑认证风险与本文件 5.4.2.1、5.4.2.2.1 及 5.4.2.2.2 的有关内容； b) 认证机构应用远程方式实施产品抽样、一致性检查时，宜以适宜的方式方法，确保抽样和检查样本的真实性、代表性； c) 适宜的方式方法包括增加远程检查的频次， 利用适宜的 ICT 以获取远程产品抽样、 远程一致性检查样本的总体信息等； d) 认证机构宜依据产品认证相关要求，编制远程产品抽样实施指南、远程产品一致性检查指南，以确保远程产品抽样和产品一致性检查的效率及检查结果充分、清晰、可追溯。当产品要求变更时，认证机构宜评估产品抽样实施指南、远程产品一致性检查指南的充分性、适宜性及实施效果。 5.4.2.2.4 对于服务认证： 对于服务管理审核，可依据本标准阐述的通用要求进行远程审核的策划和实施： a) 对于服务特性的测评，可根据不同服务业态、接触方式和选择的不同模式，进行风险评估，以确定是否适宜远程审核， 并保留风险评估的结果。 经与受审核方协商后制定远程审核方案， 得到受审核方确认后实施； 全国团体标准信息平台T/CCAA 362022 5 b) 对实施远程审核的效果进行评估。 注：A.3 给出了服务认证可部分采用远程审核的情形。 5.4.3 成文信息 认证机构宜建立、 实施并保持远程审核过程控制的成文信息， 以确保远程审核的可追溯性和有效性。 5.4.3.1 成文信息的类型 远程审核成文信息的类型包括但不限于： a) 信息随实际变化的动态文件，如视频文件、音频文件； b) 信息不随实际变化的静态文件，如照片或截图等； c) 各种格式的文档信息，如 PDF、WORD、EXCEL 文件等。 注：附录B给出了建议保留的与远程审核活动相关的成文信息。 5.4.3.2 成文信息的控制 认证机构宜确保远程审核中获取、 收集、 传输、 保留和处置的成文信息完整、 清晰、 真实、 可追溯，具有安全性和保密性，并予以保护，防止非预期的更改和使用。 5.4.3.2.1 成文信息的获取和收集 成文信息的获取和收集需遵守法律法规和受审核方信息安全的有关规定，并宜注意下列事项： a) 事先获得受审核方许可，并考虑保密和安全事宜； b) 如确需访问受审核方数据信息如数据库时， 宜在受审核方授权的前提下进行， 并遵守受审核方相关的信息安全保护措施要求，防止未经授权的访问、不当使用、损坏和泄露； c) 对于由受审核方生成的成文信息，宜关注： 1) 信息生成的日期和时间； 2) 编排整理的方式方法； 3) 信息传输的方式方法； 4) 审核组接收信息的日期、时间和人员。 5.4.3.2.2 成文信息的传输 成文信息传输时，宜采取措施防止数据交换、访问过程中给受审核方带来信息安全风险，并确保电脑等信息处理设备已采取相应的保护策略（如设置开机密码、清空桌面、防止无人值守等），避免审核期间的信息泄露。 不宜在未采取防护措施的情况下， 直接在互联网及其他公共信息网络中临时存储、 处理含有敏感内容的成文信息。 5.4.3.2.3 成文信息的保留和处置 成文信息的保留宜注意下列事项： a) 远程审核成文信息的保留宜与现场审核成文信息要求一致； b) 宜在证实了受审核方的电子签名和电子章的使用有明确规则的情形下，在纸质文件上使用电子签名和电子章； c) 宜采取适宜的方式，对所保留的成文信息的分发、访问、检索设置权限，防止非预期使用； 全国团体标准信息平台T/CCAA 362022 6 d) 当使用网盘、移动硬盘等保留成文信息时，宜有备份。对于使用网盘保存方式的，还宜在签有保密协议的基础上加密存储； e) 远程审核所收集的资料，如涉及保密信息，认证机构宜要求受审核方进行脱密处理，并确保信息的完整性和充分性； f) 成文信息的处置宜注意下列事项： 1) 认证机构宜确保审核员在远程读取涉及保密信息时，不私自下载、保留这些资料。如有需要下载和保留的， 宜得到受审核方的许可， 并在审核结束并上交审核资料后进行彻底删除，且经受审核方确认； 2) 远程审核资料到保存期限后，认证机构宜按规定对这些资料进行销毁。 5.5 实施远程审核方案 5.5.1 实施远程审核前，认证机构宜就远程审核方案的相关内容与受审核方进行沟通，并取得一致，宜保留受审核方对远程审核方案确认的记录。 5.5.2 认证机构宜指定具有实施远程审核能力的审核组，以审核任务的形式将远程审核方案的相关要求传递给审核组长。对于监督/再认证项目实施远程审核的，审核组中宜至少有一名曾经参与该项目审核的熟悉受审核方体系情况的审核员。 5.5.3 审核组长宜根据受审核方提供的相关信息和审核方案的要求， 策划和制定远程审核计划， 以清晰地确定所要求的审核活动的具体安排。宜与受审核方就远程审核计划的有关事项达成一致。 5.5.4 审核组宜根据远程审核方案的安排， 向认证机构报告每次审核的审核发现和结论。 负责管理审核方案的人员对审核方案的实施结果进行评审，并记录评审结果，以作为改进审核方案的信息输入。 5.6 监视远程审核方案 认证机构宜对远程审核实施过程进行监视，以确保远程审核的有效性。 认证机构宜确定： a) 监视的内容，包括但不限于： 1) 审核组按审核计划实施远程审核的情况； 2) 审核方案的合理性； 3) 审核资源的充分性和适宜性，包括人员能力及 ICT； 4) 主要活动、过程和关键控制点的审核充分性； 5) 适用时，应急情况处理的适宜性； 6) 信息保密和安全措施的有效性； 7) 审核记录的充分性和适宜性； 8) 实现审核目标的风险是否得到识别、评估和管理； 9) 审核目标的达成情况。 b) 认证机构宜基于风险识别、评估的结果确定监视的频率。监视的方法包括但不限于： 1) 采用适当的 ICT，观察审核组的审核活动； 2) 对审核方案进行评审； 3) 对审核结果进行确认。 c) 监视结果的处理。 当监视发现审核过程未按审核方案实施或未达到审核目标时， 宜安排补充审核或采取其他补救措施。宜保留适当的成文信息作为监视的证据。 5.7 评审和改进远程审核方案 全国团体标准信息平台T/CCAA 362022 7 审核方案管理人员宜根据有关审核活动实施过程反馈的信息（包括审核组和认证复核及决定的反馈、受审核方反馈和认证规则要求的变化等）对远程审核方案策划的适宜性、充分性和当次审核实施的有效性进行评价，评价其是否达到预期目标以及可能存在的潜在风险。 远程审核方案的评价结果，作为远程审核方案持续改进的输入。 如果远程审核方案的评价结果显示所策划的远程审核活动没有达到预期结果、认证风险较大或存在降低认证结果可靠性时，则宜对远程审核方案进行调整。 远程审核方案的改进，包括但不限于： 对认证审核档案进行复核，并根据复核的结果制定改进方案； 对认证项目进行现场补充审核； 对本认证周期内后续审核的审核方案进行调整和完善； 输入本认证周期管理体系绩效评价，以在下一认证周期的审核方案策划时做出适当的调整。 6 远程审核的实施 6.1 总则 远程审核活动与典型审核活动的主要差异体现在信息源和收集信息的方式。认证机构宜根据具体审核的目标、范围及风险评价结果确定本章的适用程度。 6.2 审核的准备 根据远程审核方案制定审核计划， 对远程审核的资源需求和具体安排予以明确， 并征得受审核方同意。适用时，宜在审核实施前进行测试评估，确保双方沟通的有效性、安全性和保密性，以及获取的证据真实、可追溯。 准备工作包括但不限于： a) 测试相关资源和人员满足远程审核的要求（设备正常稳定工作，人员熟悉相应的技术，特别是在视频和音频通信及屏幕共享等方面）； b) 评估审核证据是否可以正常获得，包括受审核方的准备和配合程度； c) 根据审核工作分工安排与受审核方相关人员建立稳定的信息沟通渠道； d) 策划受审核方需要提供的信息和文件； e) 建立审核组内部沟通讨论渠道； f) 适用时，对应急方案进行演习和评估； g) 适用时，根据测试结果修正审核计划； h) 与受审核方进一步确认关于远程审核的安排，包括保密和安全方面。 6.3 审核的实施 审核组宜依据审核计划安排实施审核工作，本文件针对远程审核中常用的ICT及其局限性、风险、风险防控措施方法，以及应用ICT实施审核取证均给出了详细示例（见附录C和附录D），可结合具体情况参考应用。 远程审核实施宜关注的事项包括但不限于： a) 确认安全和保密事项； b) 审核证据的收集和保留，包括使用适宜的录音、扩展屏幕、屏幕截图和视频技术等，适用时包括组织场所位置信息； c) 审核任务与时间的合理安排，留出应对现场变化的灵活机动审核时间； 全国团体标准信息平台T/CCAA 362022 8 d) 沟通的方式和语言的有效性，以弥补肢体语言缺失的影响； e) 适用时，应急方案的准备，如突发网络故障等。 6.4 审核报告的编制 如审核中采用了远程审核方法， 宜在审核报告中予以明确说明。 审核报告除应符合通用内容要求外，还宜报告以下内容： a) 实施远程审核的概况（包括地点、范围、使用的设备/设施和工具等）； b) 与受审核方达成的信息安全协议，以及是否符合了受审核方对信息安全的要求（适用时）； c) 远程审核中使用的 ICT 的有效性，远程审核是否达到了审核目标； d) 远程审核中遇到的可能降低审核结论可靠性的障碍（包括远程审核方法的局限性），是否需要补充现场审核，以及补充审核时需关注的内容； e) 远程审核过程中遇到的影响按审核计划完成审核任务的突发事件及其处置措施（适用时），以及可能带来的风险。 6.5 审核的完成 当远程审核活动按策划得以实施并达成目的， 远程审核即告结束。 当出现了妨碍远程审核按计划实施的非预期情形时，远程审核即告暂停，适用时，认证机构宜启动相应的应急预案。 审核的相关成文信息宜根据认证监管要求、认可要求（适用时）和认证机构及其审核方案的要求予以保留或处置，以确保远程审核证据的可追溯性、有效性和保密性。 除非法律要求，若没有得到审核委托方和受审核方（适当时）的明确批准，审核组和审核方案管理人员宜在审核完成后立即清除无需保留的信息。 6.6 审核的后续活动 必要时，审核组根据审核任务和目标完成远程审核相关的后续活动： a) 纠正和纠正措施的有效性验证。 文件化信息证据不能充分验证有效性时， 可考虑远程方式验证； b) 补充审核。 审核组提供的信息不足以确定认证要求的满足情况和认证范围时， 可考虑远程审核方式补充相关证据信息； c) 系统评审远程审核实施过程及与方案管理人员共同改进远程审核方案。 7 远程审核能力 7.1 总则 远程审核过程依赖 ICT 相关的基础设施和运行环境，对审核过程的信心和实现审核目标的能力取决于参与审核人员的能力，认证机构宜确定远程审核所需的基础设施、物理环境和网络环境，识别与远程审核相关的认证审核人员、受审核方相关人员及其能力需求，与受审核方达成一致，确保符合远程审核的要求。使用外部人员实施系统开发和运维的，需要做出有约束力的安排。 7.2 基础设施与运行环境 7.2.1 基础设施 7.2.1.1 认证机构宜确定远程审核所需的 ICT 相关的基础设施，主要包括获取信息、数据加工、信息转换和电子文件阅读的工具和硬件设备， 以及即时通信工具、 数据传输的网络通信设备和存储设施及相关的平台和软件（详见附录 C），并确保审核证据的真实性、完整性、安全性。 全国团体标准信息平台T/CCAA 362022 9 7.2.1.2 认证机构宜明确 ICT 在远程审核中的应用范围，如： 通过音频、视频和数据共享等方式进行远程会议； 通过远程接入方式对文件和记录的审核； 通过静止影像截取、 视频或音频录制的方式记录信息和证据 （实施录音录像取证时宜告知并经受审核方确认）； 提供对生产场所、其他关键场所或潜在危险场所的视频或音频访问通道等。 7.2.2 运行环境 7.2.2.1 认证机构宜制定必要的信息安全和保密规则， 明确信息分级的要求， 制定相关信息安全策略，规定移动电子设备使用、密码设置、恶意软件防范、备份等方面的要求，防范远程审核相关信息获取、传输、存储和处置过程的信息安全风险。 7.2.2.2 认证机构宜就通信畅通和信息安全做出必要安排，如提供远程审核使用的网络、统一的通信工具、 存储介质和定制开发的软件等。 认证机构宜确保认证审核人员了解相关要求， 采取适当的防泄露、防篡改的保护措施， 包括使用音视频通信工具审核时所处环境宜保持安静和安全、 没有与审核无关人员在场等。 7.2.3 沟通和确认 7.2.3.1 认证机构宜就远程审核中应用 ICT 的范围和方式，确保设备设施、物理环境和网络环境的适宜性等与受审核方达成一致。双方宜确保审核期间能够保持网络稳定，有足够的带宽支持远程审核活动；认证机构宜就如何保护受审核方信息所采取的措施与其进行沟通和确认，并要求受审核方报告是否存在因包含保密性或敏感性信息而导致不能远程提供给审核组核查的信息。 7.2.3.2 在远程审核实施前，审核人员宜通过模拟测试等方式确定远程审核所需的基础设施、运行环境等条件均已具备，并确保审核人员在审核前知悉信息安全要求，取得必要的授权，并确定适时可获得受审核方 IT 人员的支持。审核人员宜与受审核方共同识别因敏感信息或保密场所审核受限、信号屏蔽或不稳定、危险场所不能使用 ICT 等可能造成的审核风险，以及可能导致远程审核中断的基础设施与运行环境问题，并制定相应预案。 7.3 人员 7.3.1 认证人员远程审核特定能力要求 认证人员宜具备远程审核相关的信息安全风险、 审核有效性风险的意识， 了解远程审核管理和相关基础设施使用的要求，以及信息安全和保密相关的法律法规知识。 此外，承担远程审核的审核人员宜具备以下特定能力： a) 了解受审核方的现场布局和业务流程、业务系统； b) 具有在审核时使用适当的电子设备和其他技术的能力，需要时包括远程接入方式进入受审核方电子信息系统或数据中心的能力； c) 知悉应用 ICT 对信息收集的有效性和客观性的影响，能够有效控制审核有效性风险； d) 知悉受审核方信息安全和保密的管理要求及适用的法律法规要求，具备识别和防范风险的能力； e) 具有应对审核活动受阻时（如中断访问），使用替代技术的能力。 7.3.2 审核人员能力确认、保持和提高 全国团体标准信息平台T/CCAA 362022 10 审核人员能力的确认宜包括对远程审核工具应用的熟练程度。 能力的保持和提高可通过 ICT 培训、参加研讨会、实施远程审核等方式来获得，持续的专业发展还需考虑 ICT 的发展、法律法规、标准和相关要求的变化等。 7.3.3 对支持远程审核的受审核方人员的能力要求 认证机构宜要求受审核方配置充分和适宜的远程审核支持人员，并具备以下特定能力： a) 良好沟通能力； b) 理解和应用 ICT 协助审核组获取审核证据的能力； c) 理解 ICT 可能带来的信息安全风险， 能够指导审核组遵守受审核方的信息安全规则， 并具备信息安全风险防范能力和补救能力； d) 当出现网络通信不畅等导致远程审核中断的基础设施与运行环境问题时，具备应急处理能力。 8 评价与改进 认证机构宜按照策划的时间间隔，或在特定情况下，对远程审核的充分性、适宜性和有效性进行系统性评价。评价的内容包括但不限于： a) 远程审核风险识别充分性及应对措施的有效性； b) 远程审核方案策划的合理性； c) 远程审核资源配备的充分性； d) 信息保密和安全措施的有效性； e) 审核目标达成情况； f) 必要时，还宜评估远程审核应急情况处理的适宜性。 注：特定情况，包括但不限于相关方要求、ICT技术进步、预期使用远程审核的环境发生变化等。 认证机构宜利用评价结果识别改进机会，包括对远程审核程序和方案的必要修订。 认证机构宜保留改进结果的成文信息。 全国团体标准信息平台T/CCAA 362022 11 附 录 A （资料性） 采用远程审核方式条件判断示例 A.1 概述 在认证项目（包括管理体系认证、产品检查及服务认证）实施过程中，认证机构可根据认证项目开展要求或项目的具体背景，策划审核方案，选择适当的审核方式。 本附录根据目前对远程审核方式的理解、 环境要求以及远程审核的风险评价， 给出了在进行远程审核方案策划时（见5.4.2）可考虑的适宜及不适宜情况。 A.2 管理体系/产品检查认证项目 A.2.1 适宜选择远程审核方式的情况 认证机构经过评估确认的低风险认证项目，或认证项目中的低风险活动/过程，当出现以下一项或几项情况时可选择远程审核的方式进行： a） 不适宜现场审核的情况，如出于安全原因、出行限制等； 示例：疫情、洪水、地震等。 b） 因需审核的场所的数量问题，难以在计划的审核时间内完成全部场所的现场审核； c） 因突发事件临时变更审核员而导致无法在既定的时间内到达审核现场，或受审核方的日程安排发生了不可避免的变化； d） 企业的记录、数据等均可在任何地点进行查看； e） 当原策划为现场审核的某项或多项活动不完整， 且延长现场审核并非最佳、 最经济的解决方案； f） 当发现原策划遗漏审核过程或发现审核的完整性有缺失， 审核组需返回现场进行补充审核， 但在短期内难以再安排一次现场审核； g） 其他适宜条件。 A.2.2 不适宜选择远程审核方式的情况 认证机构经过评估确认存在以下一项或几项情况时，不宜选择远程审核方式： a） 经机构评估，认为是认证风险高的项目，或低风险认证项目中的高风险业务过程/活动；或对于特定的认证制度，不适宜进行远程审核的项目或过程/活动； 注：高风险的界定可按照不同认证领域，同时考虑不同产品、活动/过程、技术、管理的特性及复杂程度。 b） 当受审核方近一年内曾发生下列不合格或负面事件且受到相应的处罚（如列入失信企业名单、处于责令停产整治期或罚款后未通过复查等）时： 1) 相关监管部门已公布产品不合格信息的； 2) 出现对受审核方的重大投诉，且系受审核方责任的； 3) 发生了质量、环境、安全等事故的； 4) 媒体负面曝光且系受审核方责任的。 c） 对认证对象的新设施、范围或重大变化的首次审核； d） 出于对信息安全及安全保密的需要，不适宜选择远程审核方式； e） 暂停恢复审核（超期暂停的情况除外） ； f） 其他不适宜远程审核的活动/过程或场所，或机构风险评估不适宜的项目； 全国团体标准信息平台T/CCAA 362022 12 g） 上次认证审核已采用完全的远程审核方式。 A.3 服务认证项目 服务认证项目在下列情况下可采用现场与远程审核相结合的方式： a） 对于服务多现场的评价活动，如针对汽车销售网点，汽车维保服务点等； b） 可通过电话和网络访问的暗访项目等。 服务认证项目中不适宜采用远程审核方式的情况，包括但不限于： a） 对于服务业态复杂、风险较大的服务组织； b） 对于面对面接触方式的接触过程； c） 对于暗访模式（除可通过电话和网络访问外）等。 全国团体标准信息平台T/CCAA 362022 13 附 录 B （资料性） 宜保留的与远程审核活动相关的成文信息 B.1 申请评审和审核方案策划阶段 此阶段宜保留的成文信息包括但不限于： a) 受审核方提交的实施远程审核调查表； b) 认证机构基于风险评估能否实施远程审核的评审记录； c) 认证机构对实施远程审核的认证人员能力评价和证实的记录； d) 适用时，认证机构与受审核方关于信息安全和保密问题达成一致后签署的保密协议、承诺书或其他记录； e) 认证机构针对远程审核制定的特有的审核方案，可能包括审核的过程、要素对应的审核方式（音频、视频、数据共享、远程接入方式等）。 B.2 远程审核实施阶段 此阶段宜保留的成文信息包括但不限于： a) 注明“采用远程审核方式”的审核任务书； b) 审核组与受审核方确认文件传输和保存的安全性和保密性的记录； c) 明确具体审核时间、地点、审核方式、使用的工具等内容的远程审核计划； d) 标明参会人员姓名和日期的首末次会议视频或截图照片（适用时，可替代签到表）； e) 说明 ICT 使用的程度、受审核方参加的人员、使用的设备及方式的远程审核记录； f) 必要的支撑审核发现的审核证据。 B.3 后续活动阶段 此阶段宜保留的成文信息包括但不限于： a) 对远程审核实施监视、评价和改进的记录； b) 适用时，远程审核应急措施及措施执行的记录。 全国团体标准信息平台T/CCAA 362022 14 附 录 C （资料性） 远程审核常用的信息和通信技术（ICT） 本附录给出了常用于远程审核的ICT及其局限性、风险、风险防控措施方法介绍（见表C.1）。 表 C.1 远程审核中常用的信息和通信技术（ICT）及局限性、风险、风险防控措施方法示例 常用 ICT 常用 ICT 承载平台 ICT 在审核中的常见应用示例 应用 ICT 的 局限性示例 应用 ICT 的 风险示例 风险的预防措施 和解决方案示例 影像录制 a)智能手机； b)平板电脑； c)数字音像设备； d)网络通信系统； e)无线通信设备