ICS 03.100.01 A 90 GB 中华人民共和国国家标准 GB/T 387022020/ISO 28001:2007 供应链安全管理体系 实施供应链安全、 评估和计划的最佳实践 要求和指南 Security management systems for the supply chainBest practices for implementing supply chain security,assessments and plans- Requirements and guidance (ISO 28001:2007,IDT) 2020-03-31发布 2020-09-01实施 国家市场监督管理总局 发布 国家标准化管理委员会 GB/T38702—2020/ISO28001:2007 目 次 前言 .. II 引信 ..IV 范围 2规范性引用文件 3术语和定义 4申请范围 5供应链安全保障过程 附录A（资料性附录）供应链安全过程 .8 附录B（资料性附录）安全风险评估方法和对策的制定 ...15 附录C（资料性附录)获取咨询建议和认证的指南 参考文献 22 I GB/T38702—2020/ISO 28001:2007 前言 本标准按照GB/T1.1—2009 给出的规则起草。 本标准使用翻译法等同采用IS028001:2007《供应链安全管理体系实施供应链安全、评估和计 划的最佳实践要求和指南》。 本标准由全国公共安全基础标准化技术委员会(SAC/TC351)提出并归口。 本标准起草单位：中国标准化研究院、北京城市系统工程研究中心、耀泰物流股份有限公司、福建你 他共创网络科技有限公司、中国质量认证中心、江苏辉源供应链管理有限公司、国网山东省电力公司、方 圆标志认证集团有限公司、中国网络安全审查技术与认证中心。 本标准主要起草人：秦挺鑫、王晶晶、叶耀华、潘英、白元龙、孙世军、宋跃炜、孙宏志、张超、曾耀、 魏军、陈伟、张剑、汪勇、吴琬光。 II GB/T38702—2020/IS028001:2007 引言 国际供应链中的安全事故已威胁到各贸易国的国际贸易和经济的发展，人员、货物、基础设施和设 备一一包括运输工具一一都要防止发生安全事件及其潜在的破坏性效应。总体而言，这种保护对经济 和社会等各个方面都是有利的。 国际供应链是高度动态的，由许多实体和业务伙伴组成。本标准识别了这种复杂性，组织可依据其 特定的商业模式和在国际供应链中的角色和作用应用本标准的要求。 本标准为组织在国际供应链及其组成部分中确定和记录合理的安全水平提供了选择，使得组织能 够基于国际供应链中的安全风险做出更好的决策。 本标准是多元化的，并意在协调和补充《世界海关组织(WCO）全球贸易安全和便利标准框架》。本 标准无意覆盖、替代或取代各海关机构的供应链安全方案、认证和验认要求。 本标准旨在帮助组织就其在国际供应链中控制的部分确定适当的安全水平。同时，也为内部或外 部审核员或使用国际标准作为供应链安全方案接收准则的政府机构提供了确认或验证组织当前供应链 安全水平的依据。客户、业务伙伴、政府部门和其他方可要求声称符合本标准的组织通过接受审核或确 认来证明这种符合性。政府部门可就由其他政府的部门实施的确认予以相互认可。如需由第三方组织 实施审核，组织宜考虑聘请一个由主管机构[国际认可论坛(IAF）成员]认可的第三方认证机构（参见附 录C)。 本标准无意重复政府要求和遵循《世界海关组织(WCO）全球贸易安全和便利标准框架》的相关供 应链安全标准。已经由互认的政府认证或确认的组织是符合本标准的。 本标准可以输出如下结果： 覆盖范围的表述：界定由安全计划所包含的供应链边界； 一一安全性评估：记录供应链脆弱点以定义安全威胁场景，并描述来自每个潜在安全威胁情境的合 理预期影响； 一安全计划：描述安全措施，其目的是管理由安全性评估识别的安全威胁场景； 一培训方案：陈述如何培训安全人员以符合与其任务相关的安全要求。 为了实施制定安全计划所需的安全评估，使用本标准的组织将： 识别产生的威胁（安全威胁场景）； 一一确定人员将通过安全性评估识别的安全威胁场景推进为安全事件的方法 通过评审供应链当前的安全状态做出决策。基于该评审的发现，采用专业判断来识别供应链遭受 每个安全威胁场景的程度。 如果认为供应链对于遭受的每个安全威胁场景的程度不可接受，则组织将制定附加程序或采取运 行调整以降低发生的可能性或产生的影响，或同时降低两者。这些都称为应对措施。基于优先原则，应 对措施需列入安全计划中，以将威胁降低到一个可接受的水平。 基于保护人员、财产和国际供应链任务的安全过程，附录A和附录B给出了风险管理说明性示例， 有助于组织针对复杂供应链采用宏观方法和/或针对供应链的局部采用更为离散的方法。 这些附录也旨在： 促进对此类方法的理解、采纳和实施，并可由组织按需调整； 为持续改进基础性安全管理提供指南； 一一帮助组织管理资源以解决既有和新显现的安全风险： IV GB/T38702—2020/IS0 28001:2007 一一表述对供应链（从原料配送到成品的存贮、制造和运输到市场）实施风险评估和减轻安全威肋 的可能的方法。 如果组织采用并实施了本标准，附录C为其获得咨询建议和认证提供了指南， V GB/T38702—2020/ISO 28001:2007 供应链安全管理体系实施供应链安全 评估和计划的最佳实践 要求和指南 1范围 本标准为处于国际供应链中的组织提供了要求和指南，以： 制定和实施供应链安全过程； 建立并记录供应链整体或部分的最低安全级别； 协助组织满足《世界海关组织标准框架》内适用的授权运营者（AEO）准则和符合国家供应链 安全方案。 注：只有参与该框架的各国海关机构才可以按照其供应链安全方案及相关的认证和验证要求指定组织作为授权经 营者(AEOs)。 此外，本标准确定了一些可作为验证的文件要求。 本标准的使用者将： 确定已建立安全的国际供应链的环节（见4.1）； 一一对供应链的该环节实施安全评估并制定适当的应对措施： 一制定并实施供应链安全计划； 一对安全人员进行安全职责的培训。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单)适用于本文件。 ISO/PAS20858船舶与航海技术海运港口设施安全评估和安全计划编制(Shipandmarine technologyMaritime port facility security assessments and security plan development) 国际海事组织国际海上生命安全公约(SOLAS),1974年，修正案[InternationalConvention for the Safety of Life at Sea(SOLAS),1974,as amended) 3术语和定义 下列术语和定义适用于本文件。 3.1 有关执法部门及其他政府官员 appropriate law enforcement and other government officials 对国际供应链或其环节拥有特定法定管辖权的政府和执法部门的人员。 3.2 资产asset(s) 工厂、机器、财产、建筑物、车辆、船舶、飞机、运输工具和其他基础设施，或工厂以及具有特定且可量 化的商业功能或服务的相关系统。 注：本定义包括安全交付必需的所有信息系统和安全管理应用程序。 GB/T38702—2020/ISO 28001:2007 3.3 授权经营者authorized economic operator 以经批准的任何职能参与国际货物运输并被海关当局认定符合世界海关组织或相应供应链安全标 准的一方。 注1:授权经营者是在世界海关组织标准框架中定义的一个术语。 注2：授权经营者包括其他的制造商、进口商、出口商、报关行、承运商、理货人、中间商、口岸、机场、货站经营者、综 合经营者、仓储业经营者、分销商。 3.4 业务伙伴 business partner 与组织签订合同并协助其成为供应链中的组织（3.15）的承包人、供应商及服务提供方。 3.5 货物运输单元 cargo transport unit 公路货运车、铁路货运车、货物集装箱、公路罐车、铁路罐车或便携储罐。 3.6 后果consequence 可合理被预期由组织在供应链中遭受的攻击或将供应链作为武器使用而造成的人员伤亡、财产损 失或经济破坏，包括对运输系统的破坏。 3.7 运输工具 conveyance 国际贸易中将货物从一个地点运送到另一地点的工具。 示例：货箱、货盘、集装箱、货物装卸设备、卡车、船舶、飞机和轨道车。 3.8 对策 countermeasure 为降低安全威胁场景发生的可能性以实现目标或减小安全威胁场景造成的可能的后果（3.6)所采 取的措施。 3.9 保管custody 供应链中的组织在一段时间内直接控制供应链中货物的制造、加工、装卸和运输以及与之相关的航 运信息。 3.10 下游downstream 供应链中货物不再受组织保管的情况下的搬运、加工和移动。 3.11 货物goods 供应链中在买方下单后为供买方使用或消费制造、加工、装卸或运输的零部件或原料。 3.12 国际供应链international supply chain 在某些环节上跨越国际或经济体边界的供应链。 注1：从订单执行到货物被目的地国家或经济体解除海关控制，供应链的所有环节都是国际性的。 注2：如果公约