管理评审是什么
管理评审是最高管理者按策划的时间间隔，对信息安全管理体系的适宜性、充分性与有效性做的正式评审。它不是部门的汇报会，而是决策会：判断体系是否还适配当前业务与监管环境，并给出资源与方向的安排。评审的完整证据链是「会议通知 + 输入材料 + 会议记录 + 输出决议 + 后续跟踪」，其中输出决议必须包含可跟踪的行动项，否则评审在审核中没有说服力。
输入清单示例
输入清单示例
1 上次管理评审决议的落实情况
2 与体系相关的外部和内部因素的变化（业务调整、新技术、监管要求）
3 相关方的需求与期望变化（客户合同条款、监管检查要求）
4 信息安全绩效反馈：指标达成情况、不符合与纠正措施、监视和测量结果
5 风险评估结果与风险处置计划的执行状况
6 内审结果、外部审核与监督检查的结论
7 事件与投诉统计、事件处置与演练情况
8 资源的充分性、改进机会与资源需求输出清单示例
输出清单示例
体系改进决定（如新增第三方账号审批流程）
目标与指标调整（如把日志审阅频率由季度改为月度）
资源与预算安排（人员、工具、外部测评）
责任人与完成期限（每项决议必须有唯一责任人）
下次评审时间组织方式与频次
| 项目 | 做法 | 常见做法参考 |
|---|---|---|
| 主持人 | 最高管理者或其授权的管理者代表 | 由管理者代表主持，最高管理者出席并签署决议 |
| 参会人 | 安全、IT、业务、人力、法务、采购负责人 | 关键岗位缺席会导致决议无法落地 |
| 频次 | 按策划的时间间隔，至少每年一次 | 体系首次运行、重大变更或重大事件后可加开 |
| 输入准备 | 会前两周把材料发参会人预读 | 现场从零汇报会挤掉讨论时间 |
| 记录 | 通知、签到、材料、纪要、决议、跟踪表 | 决议跟踪表在下次评审首项复核 |
审核常见问法不是「开过会吗」，而是「上次评审决定做什么、做到哪一步、证据在哪」。决议跟踪表里每一行都应能指向一份具体记录——变更单、新制度、新配置或培训结果。