认证规则和程序

1.授予认证

中标华信（北京）认证中心秉承“公正 诚信 独立 权威”的方针，对作出的授予或拒绝、扩大或缩小范围、暂停及恢复、注销、撤销、更新的认证决定负责。

中标华信（北京）认证中心依照《中华人民共和国认证认可条例》，遵照我国认证认可制度框架内的认证规则、准则和规范开展相应领域的认证审核活动，严格按照所指定的认证程序进行全过程的管理和控制，确保认证审核过程有效。

1.1 授予认证的批准条件

1）申请方为具有法律地位的组织，或是具有法律地位组织的一部分；

2）当国家、地方或行业对申请方有许可资质要求时，申请方应具有规定的许可资质；

3）申请方所申请的认证范围应与营业执照的经营范围、许可资质准许范围一致，不得超过营业执照规定的经营范围和许可资质范围；

4）申请方提供的申请材料应真实、准确、有效；

a) 针对申请信息安全管理和信息技术服务管理体系认证的客户，要求客户组织需在认证前报告是否存在因包含保密性或敏感性信息而导致不能提供审核组核查的ISMS相关信息（例如ISMS记录或关于控制的设计与有效的信息）。认证机构应确定ISMS是否能在缺少这些信息的情况下得到充分审核。如果本机构的结论是若不核查已识别的保密性或敏感性信息就不能对ISMS进行充分的审核，那么认证机构则应告知客户只有在适当的访问安排获得许可后才能进行认证审核。

b) 针对申请信息安全和信息技术服务管理体系认证的客户，如果客户事先没有禁止认证机构接触某一信息，或未告知认证机构应满足的要求，但认证机构在认证过程中发现自己并不具备接触该信息的资格和条件，将会立即向客户提出。

c) 如果认证机构因为无法满足适用的要求而不能接触相关信息，那么认证机构应对审核和认证所受到的影响进行评估并采取相应的措施（例如终止审核、缩小审核和认证的范围等）。

如果客户事先没有禁止认证机构接触某一信息，或未告知认证机构应满足的要求，但认证机构在认证过程中发现自己并不具备接触该信息的资格和条件，应立即向客户提出。

d) 认证机构应与其信息安全和信息技术服务管理体系认证相关人员签订在法律上具有强制实施力的协议，以确保认证相关人员对审核和认证过程中接触到的客户的保密或敏感信息予以保密。认证机构还宜要求直接接触客户信息的认证人员（例如审核组成员）按照客户的保密要求与客户签署保密协议，或向客户做出保密承诺。

e）申请信息安全管理体系认证的组织应已知悉工信部联协[2010] 394号《关于加强信息安全管理体系认证安全管理的通知》文件要求，并确认组织符合该通知要求。

5）申请方已与本机构签署认证合同，承诺遵守认证的有关规定，并按照认证合同约定按时缴纳认证费用；

6）申请方建立和实施的管理体系符合相应管理体系标准的要求，执行情况良好且运行满三个月（EnMS六个月）；

7）产品的实物质量符合相关规定的要求；

8）申请方已按认证标准/规范要求建立了相关文件（如：产品实现过程的控制文件、产品验收准则、服务规范、服务提供规范和服务检验规范等）和过程，并有效实施；

9）申请方应遵守适用的法律法规和强制性要求，需要时能提供有法律效力的证据；

10）原管理体系认证证书发证机构被国家认监委撤销认证资质已满三个月；

11）申请QMS一年内申请认证范围内的产品未发生产品质量国家监督抽查不合格、未发生被行政监管部门责令停产停业整顿的重大质量事故，或发生产品质量国家监督抽查不合格但已按相关规定整改合格；申请EMS一年内未发生被行政监管部门责令停产停业整顿的突发环境事件、或与环境相关的行政处罚已按相关规定整改合格；申请OHSMS一年内未发生重大生产安全事故、一年内所发生的生产安全事故、职业病情况及与 OH&S相关的行政处罚已按相关规定整改合格；申请ISMS一年内未发生重大及以上级别的网络安全事件，一年内所发生的与网络安全相关的行政处罚以及整改情况已按相关规定整改合格。（适用时）

12）当前未被行政监管部门责令停产停业整顿；

13）当前未列入“国家企业信用信息公示系统”和“信用中国”发布的严重违法失信名单；

14）其他应具备的条件。

1.2 批准认证资格的程序

1）申请方已知悉并理解认证机构提供的公开文件；

2）申请方向认证机构正式提交《认证申请书》和相关附件，认证机构对申请资料进行评审确定是否受理，申请评审的依据为相应领域的法规要求、认证认可条例和相关规范或管理办法等的规定要求；

3）申请方与认证机构签署认证合同，并按规定缴纳认证费用；

4）申请方申请认证的管理体系文件/服务认证相关文件，覆盖申请认证范围，并符合认证标准的要求；

5）申请方申请认证的管理体系、服务，通过审核组的现场审核/审查、认证材料评审，并经认证机构总经理批准，签发管理体系认证/服务认证证书。

1.3 拒绝认证的条件

1）申请方不具备相关法定资质、资格；

2）申请方委托认证的产品、服务、管理体系等不符合相关法律法规的要求；

3）申请方被列入严重违法失信名单；

4）最高管理者不熟悉组织自身的方针、目标，未亲自参与并推动管理体系实施的。

申请方的有上述情况的，认证机构不得向其出具认证证书。

2.  保持认证

2.1 保持认证资格的条件

1）获证客户的法律地位、许可资质和强制性标准执行情况持续符合现行有效的法律、法规要求，认证范围与营业执照、许可资质、服务范围和服务内容以及审核组提供的审核证据相一致；

2）获证客户的管理体系、服务，持续符合认证标准的要求，并实现守法和持续改进的承诺；

3）获证客户持续遵守认证有关的规定，出现变化及时通报认证机构，并办理变更手续；

4）获证客户在证书有效期间内未发生重大事故，或违规行为；

5）获证客户在证书有效期间内未发生误用认证证书和认证标志的情况，或一旦发生能及时有效地采取纠正和纠正措施，将产生的影响消除或降至最小程度；

6）获证客户对顾客或相关方的重大投诉和抱怨能及时有效地进行处理；

7）获证客户能及时向认证机构报告与管理体系、服务有关的变化信息（包括重大事件、事故和国家检查不合格，及通讯地址、联系人的变化等）；

8）获证客户履行认证合同中规定的责任和义务，并按照认证合同规定缴纳认证费用。

2.2 持续保持认证资格的程序

1）获证客户在证书有效期内履约认证合同，自觉接受认证机构安排的监督审核、非例行检查等活动，并经认证机构确认符合认证标准和本规定2.1条款的各项条件，可通过再认证持续保持认证注册资格；

2）获证客户应在认证证书有效期结束前，提前90天向认证机构提出再认证申请，重新签订认证合同，并缴纳再认证费用；

3）申请再认证的客户与认证机构重新签订《认证合同》，经合同评审、现场审核、认证评定通过后，认证机构为客户重新颁发证书；

4）认证机构批准认证注册资格后，为再认证客户换发新的认证证书；

5）重新颁发的认证证书上应标有初次认证的日期和本次再认证周期的批准日期，以表明获证客户所处的认证周期和连续获得认证资格的年限。

3.  扩大认证范围

1）获证客户可根据需要对于新增加的管理体系认证范围向认证机构申请扩大认证范围；

2）获证客户向认证机构申请新扩大的认证范围时，需要提交所需的资料和按规定缴纳实际所需审核人日费用；

3）申请客户应提供与认证范围一致的设计、生产运作、服务提供等相关活动和场所，按照约定的日期接受审核组的现场审核/审查；需要时，申请扩大认证范围的审核/审查可与监督审核、再认证审核/审查一起进行；

4）经扩项审核/审查证实客户的管理体系、服务符合相关标准要求，认证机构按扩项后的范围换发认证证书；

5）申请客户接到新认证证书后，应将原证书及时寄回认证机构，做报废处理；

6）需要时，获证客户可与认证机构修订或重新签订认证合同。

4.  缩小认证范围

1）获证客户向认证机构提交缩小认证范围的申请，或审核/审查组提出缩小获证客户认证范围的理由，并附上相应的证据；

2）认证按程序规定审定、批准，并为获证客户换发认证证书；

3）获证客户接到新认证证书后，应将原证书及时寄回认证机构，做报废处理；

4）需要时，获证客户可与认证机构修订或重新签订认证合同。

5.  暂停及恢复认证

5.1 暂停认证资格的条件

经核证，当获证客户存在以下情况之一，认证机构应在获得相关信息并调查核实后暂停其认证注册资格：

1）客户的获证管理体系持续地或严重地不满足认证要求，包括管理体系文件与实际业务运作严重脱离，不符合有效性要求的；

2）获证客户不承担、履行认证合同约定的责任和义务的；

3）被有关执法监管部门责令停业整顿的；

4）持有的与相应认证领域管理体系范围有关的行政许可证明、资质证书、强制性认证证书等过期失效；

5）获证客户主动请求暂停的；

6）拒绝配合市场监管部门的认证执法监督检查，或者提供虚假材料或信息的；

7）不满足管理体系适用的法律法规要求，且未采取有效纠正措施的；

8）受到与质量、环境、OH&S、网络安全、信息技术服务、能源、食品等与相应领域相关的行政处罚，且尚未完成整改的；

9）发生重大质量事故、突发环境事件、较大生产全事故、重大及以上级别网络安全事件等，反映获证组织管理体系运行存在重大缺陷的；

10）不能按照规定的时间间隔接受监督审核的；

11）未按相关规定正确引用和宣传获得的认证证书和有关信息，包括认证证书和认证标志的使用；

12）发生与质量、环境、OH&S、网络安全、能源、食品等相应认证领域相关重大舆情的；

13）监督审核时发现的严重不符合的纠正措施未能在 3 个月内完成验证的。

14）其他应当暂停认证证书的。

5.2 暂停认证资格期间的规定

1）暂停期间，获证客户管理体系、服务的认证资格暂时无效，应立即停止认证证书和标志的宣传和使用；

2）暂停期间，获证客户应针对认证机构在暂停通知中明示的原因，在暂停通知中限定时间内进行整改，纠正造成暂停的问题，整改到位后应及时通知认证机构；否则认证机构将在暂停到期时撤销其认证资格，或缩小其认证范围；

3）多数情况下，暂停期限最长为6个月；当暂停期限不足6个月时，认证机构应在暂停通知中明示时限要求。

5.3 恢复认证的规定

1）获证客户已在认证机构规定的时限内消除造成暂停的原因，认证机构将按照恢复程序恢复被暂停的认证。如果获证客户未能在规定的时限内解决造成暂停的问题，本机构将撤销认证或缩小其认证范围。

2）认证证书的恢复，以书面形式通知获证组织。

6. 认证证书的注销

获证组织主动申请不再保持认证证书时，认证机构确认在不存在暂停或撤销情形后，注销认证证书，以书面形式通知获证组织。

7.  撤销认证注册资格

当获证客户存在以下问题之一，认证机构将按照认证规范的要求撤销其认证资格：

1）被注销或撤销法律地位证明文件的；

2）被“国家企业信用信息公示系统”和“信用中国”列入严重违法失信名单的；

3）认证证书的暂停期限已满，但导致暂停的问题未得到解决或有效纠正的；

4）经行政监管部门确认因获证组织违规而造成相应认证领域发生重大事件，如质量管理体系中产品和服务等重大质量安全事故的；环境管理体系中获证组织出现突发环境事件，经生态环境主管部门确认因获证组织违规而造成的；职业健康安全管理体系中组织发生重大安全事故的；

5）管理体系没有运行或者已不具备运行条件的；

6）其他应当撤销认证证书的。

8.  更新认证

在正常认证周期的监督、再认证活动中，由于认证要求、认可要求的变化、或认证客户管理体系要求的变化或更新引发更新认证，如：标准的转版等。

8.1 认证机构为认证客户提供并及时更新以下信息：

1）对认证活动全过程的说明及与收费有关的信息；

2）认证要求、认可要求的变化，及引发的必要安排及相关文件；

3）获证客户应遵守的认证规则和要求；获证客户通过审核/审查后，与认证决定有关的信息及认证证书；

4）获证客户引用认证资格的权利和责任要求；

5）与投诉和申诉处理程序相关的信息资料。

8.2 获证客户为认证机构提供并及时更新以下信息：

针对管理体系认证的获证客户：

1）与认证相关的基本信息，如企业名称、通信地址、员工人数、产品、认证范围及其变化情况等；

2）与认证有关的文件，如营业执照、组织机构代码、行政许可资质、支持认证结果的相关文件等；

3）证明遵纪守法的客观证据，如适用的法律法规清单等；

4）持续保持认证资格所必须的文件和信息，如不符合关闭材料、认证信息变更申请、再认证申请、证实认证信息变化的有效证据等；

5）认证机构按照主管部门规定和行业惯例向获证客户索要的其它证据和信息资料。

针对服务认证，还需包括以下方面：

1）申请人的基本情况，包括：

a. 申请人的名称、地址及其服务提供场所的必要信息；

b.涉及多个服务场所时，各场所的名称、地址及其服务内容；

c.证明其法律地位的文件及适用时从事服务的资质和任何行政许可。

2）申请认证的服务信息，包括：

a. 服务范围和服务内容；

b. 服务流程，以及适用时为服务运作提供支持的主要服务设施；

c. 影响服务符合性的任何外包过程的信息；

d. 申请人寻求认证的标准和或其他规范性文件；

e. 申请人已按认证标准/规范要求建立并实施的相关文件，如服务规范、服务提供规范和服务检验规范等；

f. 适用时的任何特殊要求（如特殊的语言、环境、安全要求等）；

g. 需要时的其他信息。

8.3 认证证书的换发

在证书有效期内发生以上情况，获证客户应向CSHCC提出申请及所需相关文件，认证评定批准变更、换发证书。

9.  认证后的监督和再认证要求

9.1 中标华信认证中心对获证客户在证书有效期内进行监督管理，监督审核/审查时应考虑获证客户涉及到的有关的产品的季节性和周期性，以验证获证客户持续满足认证标准的要求。

9.2 通常，认证证书有效期为三年。监督审核应至少每个日历年(应进行再认证的年份除外)进行一次。初次认证后的第一次监督审核应在认证决定日期（认证证书签发之日）起12个月内进行。再认证后的第一次监督审核应在认证证书签发之日起12个月内进行。此后，监督审核间隔不应超过12个月。在认证证书到期前，应完成再认证的所有相关工作。

9.3 获证客户在接到本机构监审通知后应及时交纳监审费用，作好监审的安排，对于不能及时交纳监审费用，不接受监审的获证客户，按公开文件暂停、撤销规定处理。

9.4 证书有效期满三年，获证客户如需继续保持认证注册资格，应在证书有效期结束前六个月内，向本机构提出书面申请，签订再认证合同，对其已运行一个周期的管理体系进行再认证。按照程序完成审核和认证批准后换证证书。

9.5 监督和再认证的程序同初次审核程序。

9.6 监督审核/审查次数的增加

9.6.1 获证客户在证书有效期内发生如下变化之一的，可增加监督审核/审查次数：

1）管理体系覆盖范围发生变化；服务范围和服务内容发生变化；

2）管理体系文件进行重大修改；服务标准进行重大修订；

3）发生了产品/服务重大质量事故、突发环境事件、安全事故、重大及以上级别网络安全事件或国家对其监督抽查不合格/违反国家法律法规等；

4）组织机构进行了重大调整（包括重要的人员、设备、设施或其他重要资源等）。

9.6.2 再认证审核/审查

再认证的目的是评价组织是否持续满足管理体系标准和/或服务标准及其他规范性文件的所有要求，确认获准认证的服务和管理体系作为一个整体的持续符合性和有效性以及认证范围的持续相关性和适宜性。中标华信认证中心策划和实施再认证审核/审查工作，确保本机构的获证客户组织的再认证审核程序的实施满足要求。

9.6.3 认证机构将根据上述情况决定是否需要增加非例行监督审核。

认证机构应对该组织实施提前较短时间通知的审核的情况：

1）为调查投诉、质量事故、突发环境事件、安全事故、重大及以上级别网络安全事件对变更做出回应或对被暂停的客户进行追踪，可能需要在提前较短时间或不通知获证组织的情况下进行审核；

2）获证组织认证范围内的产品在产品质量国家监督抽查中被查出不合格时，自市场监管部门发出通报起30日内，应对该组织实施提前较短时间通知的审核。

10.  申请转入与转出本机构的接受条件

10.1 申请转入本机构的接受条件：

1）申请转入本机构进行证书转移的组织应是持有现行有效且有带有CNAS认可标志或有IAF MAL互认组织认可标志的认证证书，转入时间在应监督审核时间前一个月。

2）发证机构具有CNAS认可资格或IAF MAL互认组织认可资格，原认证机构认证业务正常运行，不存在认可资格到期、被暂停或撤销的问题，应在着手转换前取得CNAS或认证认可行政主管部门的同意（如，按照CNAS、CNCA公告要求）。否则本机构将对证书转移工作视同初审对待并按照初审认证程序实施认证；

3）申请转入本机构颁发证书的组织，应按认可规范的要求履行申请方的义务，提交书面申请及相关资料。

10.2 转出本机构的条件：

持有本机构认证证书的组织在正常的情况下可以进行证书转换，但是有下列情况之一的，一般不予办理转换：

1）严重违反国家法律法规要求；

2）现场审核中不合格项未能关闭；

3）管理体系严重不符合标准，已被暂停认证资格；

4）产品质量/环境行为/安全健康管理/网络安全事件，被投诉或媒体曝光；

5）不按合同规定缴纳认证费用；

6）不能按时接受监督审核和再认证审核。