在質量管理、環境管理、職業健康安全管理、信息安全管理、信息技術服務管理、能源管理等各類管理體系認證中,“最高管理者”是繞不開的核心角色——審核必查、責任重大,卻也是很多企業最易混淆的環節。
新版認證規則進一步明確了最高管理者的認定標準和職責邊界,很多企業疑惑:最高管理者到底可以是哪些人?管理手冊、質量目標這類核心文件,必須由他親自批準嗎?
今天結合最新標準條款、全品類新版認證規則,一次性講清,附權威引用依據,幫你避開認證誤區,順利通過審核。
無論是ISO系列標準,還是國家認監委(CNCA)的各類新版認證規則,對最高管理者的定義始終統一,核心看“實際決策權”,而非頭銜高低。
最高管理者:在最高層指揮和控制組織(或體系覆蓋部分)的一個人或一組人。
- 質量管理體系 基礎和術語(ISO 9000:2015)3.1.1條款:明確最高管理者定義,同時備注:若管理體系僅覆蓋組織一部分,最高管理者指指揮和控制該部分的一個人或一組人,且擁有授權和調配資源的權力。
- 質量管理體系 要求(ISO 9001:2015)5.1.1條款:補充最高管理者需證實對體系的領導作用和承諾,對體系有效性承擔最終責任。
- 環境管理體系 要求及使用指南(ISO 14001:2015)5.1.1條款:與質量管理體系要求一致,明確最高管理者需對環境管理體系有效性負責,確保方針目標與組織戰略一致。
- 職業健康安全管理體系 要求及使用指南(ISO 45001:2018)5.1.1條款:強調最高管理者需展現對職業健康安全的承諾,制定方針目標、提供資源,推動全員參與。
- 信息安全管理體系 要求(ISO 27001:2022)5.1.1條款:明確最高管理者需建立信息安全方針和目標,確保資源供給,推動體系融入業務過程。
- 信息技術服務管理體系 要求(ISO/IEC 20000-1:2018)5.1.1條款:明確最高管理者需對信息技術服務管理體系的有效性負責,展現領導作用和承諾,確保體系與組織戰略一致,推動全員參與。
- 能源管理體系 要求及使用指南(ISO 50001:2018)5.1.1條款:要求最高管理者展現對能源管理的領導作用和承諾,制定能源方針、目標,推動能源績效持續改進。
- 新版認證規則(質量管理體系:CNCA-QMS-01:2025、環境管理體系:CNCA-EMS-01:2026、職業健康安全管理體系:CNCA-OHSMS-01:2026、信息安全管理體系:CNCA-ISMS-01:2026、信息技術服務管理體系:CNCA-ITSMS-01:2026、能源管理體系:CNCA-EMS-02:2026):補充規定:最高管理者是認證委托人申請認證范圍活動的主要負責人或決策者,需與認證范圍完全匹配。
新版規則嚴禁“名義最高管理者”:若審核發現最高管理者不熟悉方針目標、未實際參與體系推動,將直接判定嚴重不符合,不予通過認證。
認證審核中,最高管理者的認定不看頭銜(董事長、總經理、廠長等),只看“是否擁有最終決策權、能否調配資源、對體系有效性最終負責”,結合組織類型,常見人選如下,均符合各類新版認證規則要求:
1. 獨立法人企業
依據:CNCA各類新版認證規則要求,體系覆蓋全公司時,最高管理者必須是對全公司運營和體系有效性最終負責的人,需能審批方針目標、調配資源。2. 集團下屬事業部/子公司
依據:質量管理體系 基礎和術語(ISO 9000:2015)3.1.1注2、各類新版認證規則:若體系僅覆蓋事業部/子公司,無需以集團總部法人為最高管理者,以該業務單元的最高決策者為準即可。3. 合資企業
依據:各類新版認證規則:需能獨立決策合資公司體系相關事務,對合資公司的體系有效性承擔最終責任,無需經過母公司層層審批。4. 非營利組織
依據:ISO各類管理體系通用要求:以組織章程規定的最高決策人為準,需能批準方針目標、調配組織資源推動體系運行。5. 項目型組織
依據:質量管理體系 基礎和術語(ISO 9000:2015)3.1.1注2:若體系僅覆蓋特定項目,項目最高負責人即為最高管理者,需能調配項目資源、對項目的質量/安全/信息安全等負責。
6. 團隊形式(扁平化組織)
常見人選:管理層集體(如管理委員會、核心管理團隊)依據:質量管理體系 基礎和術語(ISO 9000:2015)3.1.1定義:允許最高管理者為一組人,但需明確分工,技術能力覆蓋體系全領域,且有書面決策機制(如會議紀要、決策簽字流程),審核時需提供相關證據。
這是認證中最常見的誤區,答案是:分文件類型,核心文件必須由最高管理者批準,部分文件可授權批準,具體結合各類標準和新版認證規則,整理如下:
- 質量管理體系 要求(ISO 9001:2015)5.2條款:質量方針由最高管理者制定并批準;- 環境管理體系 要求及使用指南(ISO 14001:2015)5.2條款:環境方針由最高管理者制定、實施并保持;- 職業健康安全管理體系 要求及使用指南(ISO 45001:2018)5.2條款:職業健康安全方針需經最高管理者批準;- 信息安全管理體系 要求(ISO 27001:2022)5.2條款:信息安全方針由最高管理者建立并批準;- 信息技術服務管理體系 要求(ISO/IEC 20000-1:2018)5.2條款:信息技術服務方針由最高管理者制定并批準,確保符合組織戰略和服務目標;- 能源管理體系 要求及使用指南(ISO 50001:2018)5.2條款:能源方針由最高管理者制定并批準;- 各類新版認證規則:審核必查最高管理者對方針內容的理解與宣貫情況,無最高管理者批準記錄,直接判定不符合。
依據:
- 質量管理體系 要求(ISO 9001:2015)6.2條款:最高管理者負責確保制定與戰略一致的質量目標;
- 信息安全管理體系 要求(ISO 27001:2022)6.2條款:信息安全目標需與方針一致,由最高管理者確保制定與批準; - 信息技術服務管理體系 要求(ISO/IEC 20000-1:2018)6.2條款:最高管理者負責確保信息技術服務目標的制定與批準,與方針保持一致,貼合服務需求; - 能源管理體系 要求及使用指南(ISO 50001:2018)6.2條款:最高管理者負責確保能源目標的制定與批準; - 各類新版認證規則:需提供最高管理者對目標的審批記錄,可授權分管領導制定,但最終批準權不可授權。
管理手冊
依據:各類管理體系標準均未強制要求“最高管理者親自批準手冊”,但需體現最高管理者對體系的承諾。實操中,可授權管理者代表或體系負責人編制并批準,但最高管理者必須簽署體系發布令,確認手冊內容符合組織戰略和標準要求,審核時需提供發布令記錄。
依據:質量管理體系 要求(ISO 9001:2015)7.5條款、信息安全管理體系 要求(ISO 27001:2022)7.5條款、信息技術服務管理體系 要求(ISO/IEC 20000-1:2018)4.2.4條款等各類體系文件控制要求:文件控制程序可明確授權分管領導、部門負責人批準,無需最高管理者逐一審批,審核時只需確認審批流程符合文件控制要求即可。結合2026年正式實施的各類新版認證規則,最高管理者相關的審核要點如下,缺一不可:
- 最高管理者需參加首末次會議,特殊情況需書面授權高級管理層成員參會,并說明理由,否則審核終止;
- 審核組將通過面對面訪談,核查最高管理者對體系方針、目標、資源保障、改進方向的熟悉程度,不熟悉者直接不予通過;
- 需提供最高管理者審批方針、目標的記錄,以及參與管理評審、資源決策的證據(如會議紀要、預算審批單);
- 若體系覆蓋組織部分區域,需提供最高管理者對體系范圍、邊界的確認記錄,確保最高管理者身份與認證范圍匹配;
- 正確做法:副總可作為授權代表參會,但最高管理者身份仍歸老板,且老板需對體系最終負責;老板需接受審核訪談,提供決策證據。
- 正確做法:子公司單獨認證時,必須以子公司負責人為最高管理者,與集團最高管理者區分,審核時需提供子公司最高管理者的任命文件。
- 正確做法:手冊需體現最高管理者承諾,至少要有最高管理者簽署的發布文件,審核需查最高管理者對體系范圍、邊界的確認記錄。
- 誤區4:“目標制定后就不管了” 正確做法:最高管理者需定期評審目標達成情況,推動改進,新版規則要求提供最高管理者參與管理評審的證據。
結合上述條款和各類新版認證規則,給大家3個實操建議,輕松應對審核:- 明確身份:在體系文件中清晰界定最高管理者,附上任命文件,明確其職責權限(參考質量管理體系 基礎和術語(ISO 9000:2015)3.1.1要求);
- 留存證據:整理方針、目標的審批記錄、首末次會議簽到表、管理評審紀要、資源決策文件,確保每一份都有最高管理者簽字或確認;
- 實際參與:最高管理者親自宣貫方針,定期檢查目標達成情況,解決體系運行中的重大問題,避免“只簽字、不參與”。
最高管理者的核心是“實際決策權”,而非頭銜;核心文件(方針、目標)必須由其最終批準,其他文件可按授權流程審批。1. 質量管理體系 基礎和術語(ISO 9000:2015)2. 質量管理體系 要求(ISO 9001:2015)3. 環境管理體系 要求及使用指南(ISO 14001:2015)4. 職業健康安全管理體系 要求及使用指南(ISO 45001:2018)5. 信息安全管理體系 要求(ISO 27001:2022)6. 信息技術服務管理體系 要求(ISO/IEC 20000-1:2018)7. 能源管理體系 要求及使用指南(ISO 50001:2018)8. 質量管理體系認證規則(CNCA-QMS-01:2025)9. 環境管理體系認證規則(CNCA-EMS-01:2026)10. 職業健康安全管理體系認證規則(CNCA-OHSMS-01:2026) 11. 信息安全管理體系認證規則(CNCA-ISMS-01:2026)12. 信息技術服務管理體系認證規則(CNCA-ITSMS-01:2026)13. 能源管理體系認證規則(CNCA-EMS-02:2026)