一、ISO/IEC 27701:2019 5.3 标准原文
原文摘要：5.3 下设 5.3.1 领导和承诺、5.3.2 方针、5.3.3 组织角色、职责和权限。标准明确指出，ISO/IEC 27001:2013 第5章相关要求以及本标准 5.1 中对“信息安全”的扩展解释适用。
二、条款解读说明
5.3是2019版27701里一个非常典型的“文字不多、但误读风险很高”的章节。标准没有像 5.2 或 5.4 那样给出一连串新增的 PIMS 特定要求，而是直接说：ISO/IEC 27001:2013 第5章的要求，以及本标准 5.1 对“信息安全”的扩展解释，均适用。这种写法并不是在告诉组织“这里不用改”，而是在告诉组织“你必须自己把既有领导条款翻译成隐私治理要求”。
这一组条款的核心逻辑是：既然 5.1 已经把“信息安全”扩展成“信息安全和隐私”，那么领导、方针、岗位职责和权限这些管理体系要求，也必须一并扩展。这意味着管理层不能只对信息资产安全负责，而应同时对 PII 处理活动中的隐私风险、角色边界、主体影响、合同履约和持续改进承担治理责任。条文没有重新写一遍，并不等于隐私事项可以继续挂在体系之外。
| 5.3子条款 | 27001原始关注点 | 27701语境下的扩展理解 |
|---|---|---|
| 5.3.1 领导和承诺 | 最高管理者推动管理体系有效运行 | 管理层要把隐私要求纳入经营和治理逻辑 |
| 5.3.2 方针 | 建立与组织宗旨一致的管理方针 | 方针需体现隐私承诺并支撑PIMS目标 |
| 5.3.3 角色、职责和权限 | 分配职责、明确权限和报告关系 | 职责与权限需覆盖PIMS符合性和隐私运行责任 |
5.3存在的价值，恰恰在于把“领导责任”与“隐私控制”连接起来。后面的第6章到第8章会出现很多看起来更具体的条款，如主体权利、分包、事件通知、返还处置、测试数据和分包商变更等。但如果管理层没有先在 5.3 层面建立方向、责任和资源安排，后面的这些要求很难稳定执行。换句话说，5.3 是整个 PIMS 的治理中枢，它决定组织是用项目化方式处理隐私，还是用体系化方式处理隐私。
从实践看，5.3最常见的两类问题非常典型。第一类是“管理层口头支持，但隐私仍被视为合规部门自己的工作”，结果业务、采购、研发和客服没有真正承担责任。第二类是“隐私工作有人做，但没有被纳入管理评审、目标管理和资源配置机制”，结果体系长期依赖少数关键人支撑。2019版虽未在 5.3 明写长篇补充条文，但只要 5.1 扩展解释适用，上述问题都应被视为领导条款落实不到位。
因此，读5.3不能只看“有没有新增条文”，而要看“有没有新增治理责任”。对组织而言，这一章的真正工作是把 ISO/IEC 27001 的领导要求主动转译为隐私语境：最高管理者如何表态、如何投入资源、如何推动跨部门协同、如何设定方针和目标、如何建立职责链、如何获取绩效反馈、如何在关键冲突场景中维持隐私底线。只要这些问题被认真回答，5.3虽然文字少，含金量却很高。
也正因为如此，5.3在项目推进中常常是一个“早做早受益”的章节。只要这一组条款先被理顺，后面无论进入风险、运行还是附录控制，组织都会更容易知道由谁拍板、谁来执行、谁来复盘。反过来，若领导条款始终模糊，后面的很多实施动作都会在跨部门协作上反复卡住。
三、实施要点
- 将5.3视为“隐私治理责任章”，不要因为条文短就把它当作无需实施的过渡段。
- 按 5.1 的扩展解释重新评估领导承诺、方针和职责分工是否已覆盖 PII 处理现实。
- 把管理层议程、资源分配、流程决策和绩效报告都纳入 5.3 评价范围。
- 对 5.3.1、5.3.2、5.3.3 分别形成可核查的证据，不要只停留在高层讲话或文件批准层面。
- 5.3的关键不是新增多少字，而是组织是否真的把隐私带入领导责任结构。
四、常用工具与实施方法
| 工具/方法 | 适用目的 | 关键输出 |
|---|---|---|
| 领导责任对照表 | 把27001第5章要求翻译成PIMS责任项 | 5.3实施清单 |
| 管理层议题地图 | 确认哪些隐私事项应进入高层决策 | 管理层治理议题库 |
| 方针与职责联动表 | 把方针、职责、绩效和资源联动起来 | 责任闭环说明 |
| 证据索引清单 | 为后续审核准备管理层责任证据 | 审核底稿目录 |
实际操作中，最有效的做法通常是先把 5.3 这组要求拆成几个审核问题，例如“管理层如何理解隐私目标”“谁对 PIMS 符合性负责”“隐私方针如何被内部沟通”“当业务和隐私发生冲突时由谁决策”。只要这些问题能被组织真实回答，5.3就不会流于空泛。
五、典型案例
- 把5.3当成“无需改造”的企业：某组织因为看到2019版5.3没有新增大段文字，便直接沿用原有 ISMS 领导机制，结果管理评审里几乎不讨论 PII 风险，职责矩阵中也没有隐私责任。后来在客户尽调中被指出体系缺少领导承诺证据，才回头补做5.3的隐私化翻译。
- 正确理解5.3的处理者组织：另一家处理者型服务商虽然条文不多，但先将 5.1 扩展解释落到管理层议程、方针文本和职责矩阵中，再推进后续条款实施，结果其第8章处理者控制比许多“先写控制再补管理”的组织更稳定。
这说明，5.3的真正区别不在于字数，而在于组织是否愿意主动承担“翻译责任”。只要把 27001 第5章按隐私逻辑重读，这一组条款就会成为非常强的治理支点。
从发布角度看，5.3这一篇不应被写成“由于没有新增要求，所以仍按27001执行”的一句话结论。真正负责的写法，应把隐私语境下领导、方针和职责为何仍然要重做解释写透。只有这样，读者才会知道本章虽然短，但绝不是可略过的空白章节。
也因此，5.3在整部2019版标准里承担着承上启下的作用：向前承接 5.1 的解释原则，向后为 5.4 规划、5.5 支持和 5.6 运行提供责任与方向基础。把这一章写实，后续章节的阅读和实施都会顺很多。
六、成文信息管理要求
| 建议保留文件 | 关键内容 |
|---|---|
| 5.3适用性说明 | 如何将27001第5章要求扩展到PIMS |
| 管理层责任证据 | 决策记录、会议纪要、资源投入和问题升级材料 |
| 方针与职责文件 | 方针文本、职责矩阵、报告路径和授权机制 |
| 审核问答底稿 | 围绕领导、方针和职责的访谈口径与证据索引 |
由于5.3在文字上较为简洁，这些说明性文件尤其重要。它们能帮助组织在审核时清楚解释：虽然2019版没有在本章增加大篇幅补充，但隐私语境下的领导责任已经通过 5.1 扩展解释被真正落实。
七、常见误区及踩坑提醒
| 误区 | 问题表现 | 正确做法 |
|---|---|---|
| 认为没有新增条文就无需改造 | 领导、方针和职责仍按旧ISMS口径运行 | 按5.1扩展解释重新审视整组条款 |
| 只补控制不补领导责任 | 后续条款靠隐私团队单独推动 | 先建立管理层与各岗位的治理责任 |
| 领导证据只停留在签字 | 缺少资源、决策和绩效反馈证据 | 形成可追溯的管理层治理记录 |