一、ISO 28000:2022 5.2 标准原文

二、条款解读说明

2.1 方针是供应链安全管理体系的方向声明

方针不是制度汇编的摘要，也不是宣传海报口号。对ISO 28000而言，方针的作用是明确组织对供应链安全的总体立场：组织为什么重视安全、准备守住哪些底线、用什么原则处理业务与安全之间的关系、如何看待相关方要求和持续改进。没有清晰方针，后续目标容易分散，执行层也难以判断什么情况下应该坚持、什么情况下需要升级报告。

2.2 一份有效的供应链安全方针通常包含五类核心承诺

2.3 方针必须与组织战略和业务模式匹配

供应链安全方针不能套用通用模板。跨境出口企业、危险品物流企业、医药冷链企业、电商仓配企业，其核心风险暴露面和相关方要求都不同，方针表述重点也应不同。比如跨境业务更强调通关合规和货物完整性，平台型物流更强调交接可追溯和合作方协同，冷链企业还要关注温控数据和运输连续性。方针只有贴近业务，才有可能转化为目标和行为。

2.4 方针要能向下转化为目标，向外传递给相关方

标准要求方针为目标提供框架，并在组织内部沟通、在适当时对相关方可获得。这意味着方针至少要具备两种能力：一是向内可拆解，能够转化为具体目标、职责和控制要求；二是向外可解释，能够让客户、合作方和监管方理解组织的安全原则。如果方针只适合挂在墙上、不适合写进流程和合同，就说明它还不够成熟。

2.5 方针需要保持而不是“一签了之”

供应链环境、客户要求和业务模式变化很快，方针也应在适当时被复审。组织新增高风险业务、进入新区域、发生重大事件或战略转型后，原方针可能不再足够。成熟组织会把方针复审纳入管理评审，确保其始终适合当前组织环境。

三、实施要点

3.1 以业务场景为基础起草方针

• 结合组织的货物类型、路线结构、关键节点、客户要求和外包比例确定方针重点。
• 避免照搬通用模板，确保方针能体现供应链安全特征。
• 使用简洁、明确、可被一线理解的表述。

3.2 把承诺写成可管理的内容

• 至少覆盖适用要求、风险管理、合作协同、持续改进等承诺。
• 避免使用“全面保障”“绝对安全”等无法兑现的表述。
• 让每项承诺都能对应到后续目标、措施或流程。

3.3 让方针进入关键业务流程

• 在供应商准入、承运商管理、装运交接、事件报告、数据保护等流程中映射方针要求。
• 对管理层、中层、班组和合作方分别转换成可执行语言。
• 通过流程和制度证明方针不是“挂图作战”。

3.4 建立分层沟通与理解确认机制

• 对内部员工开展分层宣贯，确保不同岗位理解其与本职工作的关系。
• 对关键外部相关方在适当情形下提供可获取版本，如客户审计、合作协议、官网公开信息。
• 通过访谈、抽查和演练检验人员是否真正理解方针。

3.5 定期复审并更新方针

• 在管理评审中确认方针是否仍与战略、风险环境和相关方要求一致。
• 重大事件、重大业务变化后应临时评审。
• 更新后要同步废止旧版并重新沟通。

四、常用工具与实施方法

五、典型案例

案例1：出口企业用方针统一客户要求和内部管理语言

1. 背景：企业面对多个客户的安全要求，内部人员常把要求理解成“客户临时加码”。
2. 做法：在方针中明确“货物完整性、可追溯交接和适用要求符合性”为核心承诺，并映射到装运、交接和异常报告流程。
3. 结果：现场执行逻辑更一致，客户要求不再被视为额外负担，而成为内部统一规则的一部分。

案例2：冷链物流企业通过岗位化宣贯提升方针落地性

1. 背景：方针发布后基层司机和仓管人员理解模糊，认为与自己关系不大。
2. 做法：将方针拆解为驾驶交接、温控设备检查、异常报告和身份核验等岗位行为卡。
3. 结果：方针从管理层语言转化为操作语言，执行一致性显著增强。

案例3：集团物流企业通过复审更新方针应对新业务模式

1. 背景：企业新增跨境电商业务后，原方针未覆盖数据接口和合作平台安全要求。
2. 做法：在管理评审中修订方针，增加信息完整性、合作方协同和持续追溯承诺。
3. 结果：新业务纳入体系更顺畅，方针与组织战略保持一致。

六、成文信息管理要求

5.2明确要求方针作为成文信息予以保持，并应有证据证明其已被批准、发布、沟通、获取和适时复审。

1. 建议保留的成文信息
   • 供应链安全方针文件及版本记录
   • 方针批准、发布和修订记录
   • 方针内部宣贯和理解验证记录
   • 方针对外可获取和沟通记录
   • 方针与目标映射及复审记录
2. 管理要求
   • 组织内应确保相关人员可获取到最新有效版本方针。
   • 旧版方针应及时回收或作废，避免并行使用。
   • 方针相关文件和记录控制应符合7.5条款要求。

七、常见误区及踩坑提醒