四、职能一体化满足原则 构建体系整合实施，应将管理职能的集中与分散进行结合，要充分考虑两套体系的标准差异，调整与优化组织结构，做到对标准的共性要求的集中管理与统一控制。 五、降本增效满足原则 两套体系整合后应在时效性与成本控制方面有明显的改进。 六、风险控制满足原则 确保在体系流程规划、实施与运行时，能够采取有效措施对各类风险进行有效控制。 七、全员参与满足原则 要求在体系实施与执行过程中，组织全体人员都参与进来，从而保证大家在思路上的共识。 八、体系运行模式满足原则 遵照PDCA 过程方法来对体系进行不间断的持续改进。 九、工具接口满足原则 如要对IT 服务管理与信息，要建设两个系统时，要求两个系统要设计详细的接口，并有专门的文档来记录接口定义。 整合可行性 通过以往的项目经验及对两套体系的研究，归纳与总结ISO20000与ISO27001 的体系对比，两套体系整合的可行性可能会存在以下几个方面，包括： 一、体系实施人员的整合 作为两套体系整合的 要素，也是整合重要的因素，只有对实施人员的统一管理与任务分派，才能更好的管理体系实施与改进。即使人员有很大变动时，也能保证正常的服务运营。 二、体系规范的整合 体系实施人员通过自身研究或借助咨询公司深入研究两套体系规范，找出其共性体系要素。如：ISO20000的“事件管理”与ISO27001的“信息事故管理”等。 三、法律法规的整合 企业从整体上应满足两套体系的法律、法规要求，这样可以保证符合法律的性。 四、流程建设的整合 ISO20000认证与ISO27001认证参照体系规范的模型与流程建设原则，可以规范内在管理与外在服务程序，使服务支持与服务提供紧密结合，并对成本投入进行有效控制，为组织提供事件处理的时效性、灵活性及风险控制性。通过体系中所阐述的考核指标与报表，可实现服务可计量。 五、体系实施文件编制的整合 当前，两套体系认证的文档体系框架主要都是以四级文档为准，并且划分的结构层次也有一定程度的相似之处。可以提炼出共用的模板与文件结构。 六、组织运维规划与职能的整合 组织的运维规划要从服务与风险控制两个主要方面来考虑，保证制定的战略符合未来的发展要求，依据详细的控制措施来保障整体的服务能力。并根据两套体系的标准差异，调整与优化组织结构，完善角色人员的职能化要求，从而实现职能一体化的建设。 七、内部与管理评审的整合 在管理评审的前期准备时，可以考虑其评审符合条件要素，审核后可根据审核机构的建议来统一进行改进与优化。审核机构应尽量选择同一家认证机构，保证认证及维护的一致性。

S7.1的理解： 一）资源的范围： 2011版注1：资源包括人力资源和专项技能、组织基础设施、技术和财力资源。 28002：在确定建立、实施和保持职业管理体系所需资源时，组织宜考虑： ——运行特需的财力、人力和其他资源； ——运行特需的技术； ——基础建设和设备； ——信息系统； ——专业技能和培训的需求。 综上：资源可以包括：人力资源（含人员的能力、资质和组织的知识管理）；基础设施（符合策划的专用建筑、设备、设施、ICT信息通信和技术）；资金。 二）如何确定是否“所需”（必须、适宜）： 1.合规性要求：生产法律法规（如评价、排污许可证、特种设备等）、职业法律法规（如职业卫生三同时、职业病危害因素评估和检测、职业病防治、有毒物品、个体防护等）等法规要求，以及与相关方签署的法律义务（如劳动时间、非歧视性申明）。——弹性较小。 2.与体系战略、经营计划、方针、目标、风险、危险源及相关的管理措施相对应的能力及其保持。——弹性较大。 3.与相关方满意为衡量标准的评价：顾客满意、雇员满意、合作方满意、股东满意、社区满意、工会满意、上级满意等。——弹性较大。 三）如何提供： 1.采购和配置所需资源，并列入公司资产统一管理； 2.租借部分资源（人或物，通常包含技能等）； 3.采用外包、承包的方式，由外部供方提供部分资源（人或物，通常包含技能等）并对资源实施管理； 4.财务部门提供资金预算和资金供给。 四）体系对S7.1的管理要求： 通过目标管理、内审、管理评审及日常运行监视，持续评审资源的充分性。“宜对资源及其配置通过管理评审来进行定期评审，以确保其足以实施包括绩效测量和监测在内的职业方案和活动。对于已建立职业管理体系的组织，通过比较计划实现的职业目标与实际结果，至少可对资源的充分性进行部分地评估。在评估资源的充分性时，还宜考虑到计划的改变和（或）新的项目和运行的出现。”——28002 如何审核S7.1：——基于认证风险的审核和评价 一）基于合规性要求的评价： 在管理层审核企业经营许可（评价、三同时、特种设备、职业危害因素检测等）、合规义务、合规性评价、不符合整改（包含外部验厂）等管理要素时，以正面取证与反面取证相结合的方式，获取企业的资源信息。评价标准：如果没有或失效，企业违法违规。 二）与方针、目标、风险、危险源及相关的管理措施相对应的能力评价： 在管理层及各现场审核时，在评价风险的控制能力时应关注资源提供的充分性及资源的有效性。评价标准：如果没有、不充分或失效，导致风险控制失效。 三）基于相关方满意（抱怨、投诉、事故事件、社会形象）的评价： 反面取证的方法：因相关方不满意，分析出体系资源不充分。 四）记录： 1）现场审核记录： 在管理层描述概貌；在各现场描述其充分性和能力的保持。 2）审核报告：4资源配置 管理体系运行过程所需资源配置情况评价，包括人员的能力/意识/满足能力，基础设施设备和特种设备管理，工作环境和知识等。资源变化情况（监督）。 可以描述：1）与合规义务相对应的资源的充分性、合规性（如特种设备安检、职业病防治等），以及资源保持的风险（如租赁或许可到期）；2）与人力资源有关的组织机构和职责、能力、意识，以及与运行有关的专业技能（资质）、知识等是否充分；3）企业的经营状态和资金保证能力（如体系资金预算）。

ISO9001认证保密要求方应严格保守各自及对方的经营和技术秘密，询人员必须对企业的经营和技术文件保密，用后立即归还，业未经许可，不可转借咨询所产生的结果性文件。 ISO9001不是指一个标准，而是一类标准的统称，是由TC176（TC176指质量管理体系技术委员会）制定的所有国际标准，是ISO12000多个标准中畅销、普遍的产品。ISO9001质量管理体系认证标准是很多，特别是发达多年来管理理论与管理实践发展的总结，它体现了一种管理哲学和质量管理方法及模式，已被上100多个和地区采用。 对于专职负责体系建立的人员要端正这样一个观点：你的重要工作不是如何写出实用的质量体系文件，而是积极的宣传和组织协调工作，宣传是让企业各级人员真正了解ISO90它不是一僵化和固定的模式来限制和阻碍工作流程的进行，而是一个系统的灵活的结合企业特点的机制来保证质量要求和规范的履行，而这些要求和规范都是过程拥有者根据企业的特性决定的可实现的和可改进的要求和规范，更有助于工作流程顺畅进行。因此协调是组织各部门的人员来清晰界定部门，过程的接口，确定质量控制的接收准则，使各部门达成共识，确保流程的运转，也包括一些改善措施的实施，其各部门应履行的职责。早在2006年12月8日，ISO就专门发表了一个APG（审核实践指南），其标题直接点明：“重要的是结果！”。不论是组织在实施ISO90还是审核员在执行认证审核，不能只是关注标准的每个单一条款的符合性，这只是手段。更重要的是关注QMS整体的结果。QMS的预期结果在标准一开始的条款“围”中，即：满足要求。包括顾客要求，适用的文文要求。增强顾客满意。只有更好，这应该是组织持续的，不断的追求。对QMS的预期结果的要求已经贯穿到新版标准的全过程。