Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO 28004-3:2014 供应链安全管理——中小企业指南（非港口）
为非港口中小企业实施 ISO 28000 提供指导
ISO 28004-3:2014 为港口行业以外的小型和中型企业提供实施符合 ISO 28000 的供应链安全管理体系的量身定制指导。该标准认识到中小企业与大型组织相比面临显著资源约束，因此提供了一种可扩展且比例适中的安全管理方法，在保持有效性的同时最小化管理负担。该标准是 ISO 28004 系列的一部分，该系列为实施 ISO 28000 提供指导。
对于中小企业，ISO 28004-3 建议采用分阶段实施方法。先从评估最关键供应链节点的风险入手，而不是从一开始就试图全面覆盖。这种渐进式方法能够逐步建立动力并快速展示价值。
核心要求与基于风险的方法
该标准采用专门针对中小企业环境调整的 PDCA 模型。组织必须建立安全政策、进行风险评估、实施控制措施、监控绩效并追求持续改进。与完整 ISO 28000 实施的关键区别在于比例原则，即安全措施应与已识别的风险以及组织的规模、性质和复杂程度相称。这使得中小企业能够将其有限资源集中在最重要的安全威胁上。
| 实施阶段 | 关键活动 | 中小企业适配方法 | 典型时间 |
|---|---|---|---|
| 安全政策 | 定义范围、政策、目标、职责 | 涵盖核心承诺和职责分配的单页政策文件 | 1-2周 |
| 风险评估 | 识别威胁、漏洞、后果、可能性 | 简化版 3×3 风险矩阵方法；聚焦 10-15 个相关风险 | 3-4周 |
| 安全控制 | 实施物理、人员、信息、程序安全 | 利用现有基础设施的成本效益型控制；优先快速见效 | 4-8周 |
| 监测与评审 | 审核、测量绩效、纠正缺陷、改进 | 每年一次由所有者主导的自我评估，使用简化检查表 | 持续进行 |
| 管理评审 | 评估绩效、资源充足性、推动改进 | 每半年一次 30 分钟的管理简报，聚焦关键指标 | 每6个月 |
中小企业的常见误区包括过度文档化和试图模仿大型组织的安全部门架构。ISO 28004-3 明确承认中小企业需要较少正式程序，可以更多依赖直接管理监督。应关注运营有效性而非官僚化的完整性。
中小企业安全系统的工程设计见解
从工程角度来看，ISO 28004-3 鼓励中小企业将安全整合到现有运营流程中，而非创建并行系统。例如，库存管理系统可以纳入安全检查点，现有的质量管理审核可以包括安全审查要素，日常维护计划可以包括安全设备检查。这种整合显著降低管理成本同时保持有效性。该标准推荐系统工程方法，在流程设计阶段识别安全要求，而非事后添加。
该标准建议基于总拥有成本而非仅前期成本进行技术选择。对于小型仓库，带有审计追踪的电子门禁控制系统比简单的锁钥安排提供更好的长期价值，能够支持事件调查并遏制内部威胁。基于云存储的视频监控系统消除了现场录制设备和维护的需要。这些技术的投资回报通常在 12-18 个月内通过减少损失和保险费用降低得以实现。
人员安全对于人力资源有限的中小企业尤其具有挑战性。ISO 28004-3 为背景核实、安全意识培训和访问授权管理提供了可扩展的指南。该标准认识到正式背景调查对于非常小的企业可能不可行，并推荐替代方法，如推荐信核实和带有受限访问的试用期。
成功实施的中小企业通常在 6-9 个月内完成 ISO 28000 认证，配备一名兼职安全协调员，而大型组织需要 12-18 个月。ISO 28004-3 中的简化方法使拥有 10-15 名员工的组织也能获得认证。
文件与记录保持要求
ISO 28004-3 规定中小企业应维护证明有效安全管理所需的最少文件。这通常包括安全政策、风险评估记录、事件日志、培训记录、审核结果和管理评审纪要。该标准明确不鼓励增加无安全价值的过多文件。附录中提供了模板和示例，帮助中小企业在没有专业咨询支持的情况下创建适当的文件。
问：中小企业能否根据 ISO 28004-3 指南获得 ISO 28000 认证？
答：可以。ISO 28004-3 专为帮助中小企业获得 ISO 28000 认证而设计。该指南保留了所有强制性要求，同时提供适合资源有限的小型组织的灵活实施方法。
答：可以。ISO 28004-3 专为帮助中小企业获得 ISO 28000 认证而设计。该指南保留了所有强制性要求，同时提供适合资源有限的小型组织的灵活实施方法。
问：实施本标准的最低人员要求是什么？
答：ISO 28004-3 未规定最低人员数量。即使是只有兼职员工的个体经营者，也可以通过将安全职责分配给现有运营岗位来实施该标准，无需专门的安全人员。
答：ISO 28004-3 未规定最低人员数量。即使是只有兼职员工的个体经营者，也可以通过将安全职责分配给现有运营岗位来实施该标准，无需专门的安全人员。
问：应多久评审一次安全风险评估？
答：标准建议至少每年评审一次，并在运营、供应链结构、新威胁或安全事件发生后发生重大变化时进行额外评审。
答：标准建议至少每年评审一次，并在运营、供应链结构、新威胁或安全事件发生后发生重大变化时进行额外评审。
审核、认证与持续改进流程
ISO 28004-3 实施的一个关键组成部分是认证审核流程。寻求 ISO 28000 认证的中小企业必须经过由认可认证机构实施的两阶段认证审核。第一阶段涉及文件审查和准备状态评估。第二阶段是主要的认证审核，通过员工访谈、现场检查和记录审查来验证有效实施。该标准为各阶段的准备、认证机构的选择以及通过年度监督审核和三年再认证来维持认证提供了指导。
持续改进嵌入在 ISO 28004-3 的 PDCA 框架中。鼓励中小企业建立简单的纠正措施系统，记录安全事件、审核发现和改进机会，进行根本原因分析，并采取适当的纠正和预防措施。管理评审会议应评估安全绩效指标、审查事件趋势、评估资源充足性并为下一阶段设定改进目标。
问：中小企业获得 ISO 28000 认证的典型费用是多少？
答：认证费用因认证机构和组织复杂度而异，但中小企业通常花费 3,000-8,000 美元用于初始认证，包括审核费用和企业内部的体系开发和实施资源成本。
答：认证费用因认证机构和组织复杂度而异，但中小企业通常花费 3,000-8,000 美元用于初始认证，包括审核费用和企业内部的体系开发和实施资源成本。
问：可以利用现有的 ISO 9001 或 ISO 14001 体系吗？
答：可以，ISO 28004-3 强烈建议将安全管理与现有管理体系整合。已获得 ISO 9001 认证的组织可以扩展其质量管理流程以包括安全方面，显著减少实施工作量。
答：可以，ISO 28004-3 强烈建议将安全管理与现有管理体系整合。已获得 ISO 9001 认证的组织可以扩展其质量管理流程以包括安全方面，显著减少实施工作量。
