ISO 28000:2022 供應鏈安全管理系統內部稽核員培訓課程
ISO 28000:2022 供應鏈安全管理系統內部稽核員培訓課程
ISO 28000:2022供應鏈安全管理系統內部稽核員培訓課程，協助企業建立安全風險查核、營運控制及改善追蹤能力，確認人員、場域、貨物與外部合作流程受到適當管理。
課程適合製造、物流、倉儲、運輸及供應鏈相關組織的管理、保全、採購、資訊與內部稽核人員。當企業面臨貨物失竊、未授權進入、資訊遭竄改或交接失控時，需要能持續運作的管理系統，而非只增加設備或表單。
ISO 28000:2022是什麼？目前應採用哪些版本文件？
ISO 28000:2022是安全管理系統要求標準，範圍包含供應鏈相關安全，但不限於物流或反恐查核。它適用於希望建立、實施、維持及改善安全管理系統的各類型、各規模組織。
截至本文查核，應採用ISO 28000:2022，並納入Amd 1:2024氣候行動修訂。課程與內部稽核應同時確認本體及已發布修訂，避免沿用舊版教材。
為什麼課程名稱仍使用「供應鏈安全」？
供應鏈是常見應用情境，適合透過採購、收貨、儲存、運輸及交付進行演練。但實際管理範圍，仍須依組織活動、責任與安全需求界定。
ISO 28000與CTPAT、GSV、SCAN有什麼差異？
ISO 28000著重管理系統的持續有效性；其他方案則有各自的資格、查核與報告規則。共同控制可以整合，成果不能直接互換。
| 項目 | 主要定位 | 企業應確認 |
|---|---|---|
| ISO 28000 | 安全管理系統要求 | 範圍、風險、控制及改善 |
| CTPAT | 美國海關安全合作計畫 | 參與資格與正式程序 |
| GSV | 供應鏈安全評估方案 | 適用準則與買方接受條件 |
| SCAN | 共同安全稽核與報告分享方案 | 範圍、分享及改善規則 |
| 客戶安全查核 | 買方指定的供應商要求 | 契約與當次查核條件 |
取得ISO 28000驗證，不代表自動成為CTPAT會員，也不保證其他方案免查、客戶接單或海關免驗。
哪些人適合參加這門課程？
建議由風險管理、現場執行及改善決策人員共同參加，避免安全責任只落在保全或單一管理窗口。
| 適合對象 | 可應用的工作 |
|---|---|
| 管理系統與風險管理人員 | 整合政策、目標及安全責任 |
| 保全及行政人員 | 場域、出入、訪客與異常處理 |
| 倉儲及物流人員 | 貨物、裝運與交接控制 |
| 採購及供應商管理人員 | 商業夥伴及委外風險 |
| 人資及資訊人員 | 人員安全、權限及資料管理 |
| 內部稽核員及候選人員 | 規劃、抽樣、報告與改善追蹤 |
課程會培養哪些內部稽核能力？
課程應讓學員能從安全目標追查到風險、控制及實際成果。以下課綱可依產業、場域及供應鏈角色調整。
| 課程單元 | 學習重點 | 建議演練成果 |
|---|---|---|
| 標準與管理範圍 | 理解要求、邊界及氣候修訂 | 稽核依據表 |
| 安全風險評估 | 辨識威脅、弱點及可能後果 | 風險查核清單 |
| 營運控制 | 檢視人員、場域、貨物及資訊措施 | 現場查核紀錄 |
| 外部合作管理 | 查核供應商、承攬與交接責任 | 夥伴管理檢查表 |
| 績效與事件管理 | 分析異常、監測及改善 | 績效證據表 |
| 稽核實務 | 訪談、抽樣及發現撰寫 | 模擬稽核報告 |
安全風險評估應如何查核？
先確認需要保護什麼
組織應辨識管理範圍內的人員、設施、貨物、資訊及重要活動，不能只用一份通用風險表涵蓋全部場域。
同時檢視威脅、弱點與後果
例如，貨物可能遭未授權取走，弱點可能是裝卸區出入失控，後果則涉及財務、交付及客戶信任。稽核應確認這些判斷有合理依據。
| 查核項目 | 應回答的問題 |
|---|---|
| 評估範圍 | 是否涵蓋重要活動與交接點？ |
| 評估依據 | 是否考量事件、環境及合作模式？ |
| 風險判斷 | 方法與分級是否一致？ |
| 控制措施 | 是否回應實際弱點？ |
| 剩餘風險 | 是否經適當確認與管理？ |
| 更新機制 | 變更或事件後是否重新評估？ |
控制措施應與風險相稱
不能只因增加監視器，就認定風險已受控。還需確認涵蓋範圍、權限、維護、監看及異常處理是否有效。
現場稽核應優先檢查哪些流程？
優先查核影響較大、過往異常較多或近期變更的活動。以下為實務案例，不代表所有組織都必須採用相同設備或作法。
| 流程 | 稽核重點 | 可檢視的證據 |
|---|---|---|
| 人員及訪客出入 | 身分、授權、陪同與離場 | 出入及訪客紀錄 |
| 貨物收發與儲存 | 數量、區域及未授權接觸 | 收發、盤點及異常資料 |
| 裝載與交接 | 檢查、文件及責任連續性 | 裝運與交接紀錄 |
| 鑰匙及權限 | 發放、異動、回收與停用 | 權限及離職紀錄 |
| 資訊處理 | 存取、修改、備份與事件管理 | 帳號及系統紀錄 |
| 設施維護 | 安全設備與故障處理 | 檢查及維護資料 |
ISO 28000稽核不能取代法定檢查或專業技術測試。涉及資安或特定設備時，應配置相應能力或尋求專業支援。
委外與商業夥伴安全應如何管理？
契約應連結實際執行
企業應依風險，向相關夥伴傳達安全要求，確認異常通報、交接及改善責任。簽署承諾書，不等於完成全部監督。
轉包與變更應受到控制
承運商、倉儲或保全服務變更時，應確認實際執行者及控制安排。不能只管理簽約對象，卻不掌握現場人員或作業模式。
機密資料應適當分享
稽核報告、場域圖面及權限資料可能涉及安全敏感資訊，應設定存取與傳遞方式，避免為了查核而增加暴露風險。
氣候修訂與法規要求如何納入稽核？
課程應檢查組織是否判定氣候變遷與安全管理系統的相關性。例如，淹水可能影響邊界、門禁、貨物保管或替代路線，具體措施應依場域風險決定。
氣候修訂不等於一律要求碳盤查或相同減碳目標。稽核仍應對照修訂內容及組織判斷，確認相關風險是否適當處理。
法規則須依所在地及活動辨識，包括海關、運輸、保全、個資及其他適用要求。安全管理不能作為違法蒐集資料或不當限制人員的理由。
如何確認事件處理與安全績效有效？
沒有事件，不一定代表控制有效。企業也應檢查異常發現、通報、控制測試及重複問題，避免只以事故數量評估績效。
| 指標示例 | 可了解什麼 | 判讀注意事項 |
|---|---|---|
| 未授權出入事件 | 管制及發現能力 | 通報增加可能來自偵測改善 |
| 貨物差異或封條異常 | 交接與貨物完整性 | 應追查原因及重複情況 |
| 權限回收時效 | 人員異動控制 | 需明確定義起算與完成 |
| 安全設備可用性 | 控制設施可靠程度 | 不能只看維護簽名 |
| 演練缺口改善 | 應變能力提升情況 | 完成演練不等於缺口已解決 |
演練應受控，避免影響真實貨物或引發安全事件。發現問題後，應確認原因、措施及後續效果。
內部稽核應如何執行？
稽核方案應考量流程重要性、變更及過往結果，並確保稽核員具備能力與客觀性。小型組織也可採交叉查核，避免評核自己負責的工作。
| 階段 | 主要工作 | 預期成果 |
|---|---|---|
| 規劃 | 確認範圍、依據及抽樣 | 稽核計畫 |
| 準備 | 檢視風險、程序及事件資料 | 查核清單 |
| 執行 | 訪談、觀察與紀錄核對 | 客觀證據 |
| 報告 | 說明要求、事實與落差 | 稽核發現 |
| 改善 | 分析原因並執行措施 | 行動計畫 |
| 追蹤 | 確認控制與結果改善 | 有效性紀錄 |
課程需要多久？費用如何評估？
以下為培訓規劃建議，並非ISO規定時數。實際課綱、評量及費用，以ODI MORGAN確認的方案與報價為準。
| 培訓方式 | 建議時間 | 費用影響因素 |
|---|---|---|
| 標準基礎應用 | 1天 | 人數、語言及授課方式 |
| 內部稽核員培訓 | 2天 | 訪談、抽樣及報告演練 |
| 現場實作工作坊 | 依範圍安排 | 據點、流程及供應鏈複雜度 |
| 風險與演練專題 | 依需求安排 | 情境設計及追蹤需求 |
培訓、顧問、正式驗證、差旅及設施改善是否包含在報價內，應分項確認。
報名前常見的疑問有哪些？
沒有稽核經驗，可以參加嗎？
可以。建議先了解基本營運與安全流程，再透過案例建立能力；首次擔任稽核員者，宜選包含實作的方案。
已有其他ISO系統，需要重做文件嗎？
可整合文件、訓練、稽核及管理審查，再補足安全風險與營運控制需求，避免重複建表。
小型企業也適用嗎？
適用。制度可依規模與風險簡化，但責任、控制及執行證據仍需清楚。
完訓是否取得ISO官方資格？
一般完訓證明不等於ISO官方授權資格或第三方稽核員資格。課程評量與證明核發條件應事先確認。
可以保證通過驗證或客戶查核嗎？
不能。結果取決於實際制度、執行及證據，培訓不能替代必要改善。
還可以延伸閱讀哪些相關主題？
可依企業需求，搭配閱讀或安排相關課程：
CTPAT反恐供應鏈安全：理解海關計畫與客戶要求。
GSV與SCAN安全查核：熟悉不同方案範圍。
ISO 22301營運持續管理：強化中斷應變與復原。
缺失判定與矯正措施：提升原因分析與追蹤品質。
下一步如何執行？ODI MORGAN推薦哪些服務？
建議先整理管理範圍、場域、供應鏈流程、客戶要求、風險評估及近期事件，選定一項重要流程作為培訓演練主題。
推薦向ODI MORGAN洽詢ISO 28000:2022供應鏈安全管理系統內部稽核員培訓、企業內訓及風險評估工作坊。可依需求規劃標準與修訂解讀、現場查核、安全演練及改善追蹤，具體範圍以確認方案為準。
提供參訓人數、學員職務、授課語言及預計時程，即可進一步確認課綱與報價，建立可持續執行、可查核且能改善的安全管理機制。
