ISO 28000 供应链安全管理体系

门禁记录了谁进入厂区，却未必能说明是谁批准了临时放行；货物已经签收，异常处理责任也可能仍不清楚。安全管理应从这些交接点着手，明确由谁决定、依据什么决定，以及发现问题后如何继续处理。

服务分类与标准定位

管理体系审核（Management System Auditing，MS）。根据组织范围和适用版本，可规划体系导入、内部审核、供应商审核或外部审核准备。认证证书由受理的独立认证机构按其程序决定。

本服务聚焦安全风险、供应链节点、访问保护、外部合作方及应急安排。

适用对象与启动时机

厂区、仓储、物流及其他有安全需求的组织，在新增据点、更换承运商或整合安保工作时，可先梳理场所与外部接口。适用性并不限于物流企业。

常见挑战

巡查和监控设备各自运行，安全信息却没有汇总；不同班次对可疑访客、封签异常或未经授权进入采取不同处理方式。若没有共同的判断原则和报告责任，相同缺口容易在其他场址重现。

方法与适用要求

ISO 28000:2022 及 2024 年修正案规定了供应链相关安全管理体系要求，适用于不同行业和规模的组织。其范围比单一物流作业或设备防护更广。ISO 官方目录

可讨论的项目包括：

**威胁、弱点与场所管控：**识别需要保护的重要区域和活动，核对人员、访客、车辆及货物的授权与检查安排。
**合作方与货物流转：**将承运、仓储和其他外包责任连接到交接条件，明确异常货物、数据差异和权限变更的报告方式。
**事件、恢复与内部检查：**规划隔离、联络、决策和恢复运营的路径；根据演练和巡查安排培训、审核与改善。

辅导内容与流程

走查一段进出流程

对照现场和程序，记录谁能批准放行、谁保存记录，以及哪些例外还没有明确负责人。

按风险安排控制

将高优先级弱点分配给场务、运营、安保或外部合作方，并明确确认和升级方式。

追踪交接与报告

选取具有代表性的访客、货物或权限变更记录进行试行，检查不同班次能否按同一原则管控。

演练后调整安排

检查信息是否传到决策人、恢复条件是否清楚，并跟踪措施及其在其他场址的适用性。

可讨论的成果包括场所与接口图、安全风险清单、授权和交接规则、事件流程及演练改善记录。检视时应能追溯异常由谁接收、如何处理、何时恢复运营。

企业需准备的资料

场址和重要区域示意图，以及人、车、货进出流程。
安保、承运和仓储合同及职责摘要。
授权、巡查、访客及货物交接记录样本。
安全事件、演练和既往改善资料。

初步沟通可先使用资料目录和去识别化样本；确认用途、访问人员和保存方式后，再提供项目所需资料。

时程与费用评估

场址、班次、交接模式和合作方数量会影响访谈及检视深度。门禁监控工程、安保委外运营和海关方案申请需另行界定；第三方认证另行安排。

常见问题

已有安保合同，还要检查什么？

确认合同覆盖哪些风险、例外由谁决定，以及组织与安保服务方如何交接责任。

制造业也可以采用吗？

可以按安全活动和责任界定范围，标准并未限定仅物流业适用。

ISO 28000 与 ISO 28001 如何分工？

ISO 28000 侧重整体安全管理体系；ISO 28001 针对国际供应链安全评估和计划提供要求与指南。

获得 ISO 证书就具备 AEO 或 C-TPAT 资格吗？

不能自动互认。海关及其他方案各有申请、评估和适用条件。

没有发生过事件，还需要测试吗？

可用风险情境检查平时未使用的报告与决策安排；事件少并不能单独证明控制有效。

搬到新仓库后可以直接复制程序吗？

应先比较动线、外部责任和风险差异，再决定哪些通用部分适合沿用。

谁决定是否颁发证书？

由所选第三方根据其方案和范围独立评估。管理体系规划不能替代该决定。