什么是管理体系？简单说就是组织为了实现管理目的而建立的一系列相辅相成的管理过程，对组织的活动进行指导和控制。管理体系可大可小，也可简单也可复杂，一个全面的管理体系可以由多个单独的管理体系组成，其最终目的是实现组织的价值和战略目标。从这个角度来看，信息安全管理体系就是为了实现信息安全目的而建立的管理体系。随着国际标准化组织导则83的发布，对管理体系标准的基本结构提出了明确的要求，依据导则83编制的管理体系标准从章节设置和框架内容设置上都保持了高度一致，每个管理体系都是建立在同一个框架下。组织在建立管理体系的同时，也建立了一个基本的管理框架，这样一来，组织无论是建立其他管理体系还是为了实现某种管理目的建立管理制度时，都可以在这个基本管理框架下进行，所以，组织要建立ISMS应先从管理框架建起，这样可以达到事半功倍的效果。

那么，如何建立管理框架才能避免前面提到的三个问题呢？首先，从标准结构来看，管理体系的框架分7章节进行描述，分别为：组织环境、领导力、规划、支持、运行、绩效评价和持续改进。每一章节的内容都很简单，仅仅是提出了要求，却没有要求一定要怎样做，组织必须自己理解或者聘请有能力的人员来帮助完成这些管理过程的设计和实施。框架建立的质量将决定一个具体的管理体系设计实施的效果。现在，我们来了解一下管理框架的基本内容：

1.组织环境：组织需要建立组织环境管理的基本方法并识别组织的基本环境信息，其实所谓的组织环境也就是我们常说的组织的基本情况，例如组织业务及业务特点、来自外部的限制条件和约束、内部的限制条件和约束、相关方及其特点等，这些都会影响体系的设计效果，就像设计一个建筑要了解地质条件和人文环境一样重要。

2.领导力：没有管理层的支持就没有资源，因此要明确管理层的责任。管理体系要实现的组织管理目的其实就是管理层的管理目的，管理层在管理体系里面一个重要的责任就是要明确提出管理目的，也就是我们常说的确定方针，如果缺少这个环节，设计出的管理体系就不会得到管理层的支持。除此之外，为了实现管理目的，还需要管理层提供资源，分配职责和赋予权力。

3.规划：有了方针，自然要去实现它，管理体系的方针实现过程就是通过建立与方针保持一致的目标来实现，因此在规划阶段要建立逐级分解的目标，一般目标分为上层目标和下层目标，上层目标为下层目标提供方向，下层目标对上层目标进行支撑，分解为多少层与组织的组织架构和管理结构有直接关系，重点是要分解到可以通过活动来实现的层级。并不是每一个目标分解的层级都是一样的，需要根据实际情况来确定。在规划的环节，还应充分考虑组织的风险管理，在目标实现过程中，总是会有各种因素影响目标的实现，这些因素需要进行识别并得到有效控制。但这些因素的识别不要盲目采用那些所谓放之四海而皆准的列表，而是要结合组织自己的情况来针对性识别，也就是要充分利用识别的组织环境信息。基于上述活动，组织就可以建立起贴合实际的目标实现计划。

组织还需注意的是风险管理是动态的，随着组织环境的变化，风险也会变化，因此组织需要建立有效的风险管理过程和风险评估方法。

4.支持：从体系建设之初，对资源的需求就开始了，这一章正式提出了建立、运行、维护和持续改进管理体系所需要的支持，因此可以看出，标准的章节并不是按体系建设执行顺序来写的，不是要等规划完成后再考虑支持资源的提供和支持活动的建立。管理体系的支持主要从资源管理、人员能力管理、意识管理、沟通管理和文档管理等5个方面提出要求。这些方面，组织根据实际情况或者根据现有的管理情况确定管理过程即可。

5.运行：由于资源和能力限制，运行不一定要把规划好的活动和管理过程全部进行实施和投入运行。实际情况是，管理体系的建立和运行在不同规模的组织内需要1年到3年的时间才能够相对完善。因此建设运行计划很重要，组织需要根据组织的管理现状、资源限制情况、相关方要求的影响程度等多个方面，建立可行的建设运行计划。对于那些必须满足的要求、急需解决的问题、对组织有重大影响的风险，需要集中资源重点进行实施和运行；对于那些对业务影响比较大，需要反复论证和测试的，可以单独作为项目进行管理和实施；对于自我实现成本过高的可以通过外包的形式进行实现；对于时间要求不紧迫的方面，可以在时间表上缓一缓。一个好的建设运行计划，可以保证体系有条不紊地运行。

6.绩效评价：绩效评价设计的好坏，直接影响着管理体系在管理层心目中的形象。这个环节是否能够很好地进行设计和实施取决于规划环节目标对方针的支持程度和目标层级的设计是否合理，因为管理体系是否实现管理层的管理目的要看方针和目标是否得到实现。当然这只是一个方面，有了好的目标框架设计，还需要好的绩效评价方法和评估实施过程。很多组织会建立单独的绩效评价方法和过程，但实际上内部审核是非常好的绩效评价手段。所谓内部审核，就是组织对自己体系运行情况的评价活动，主要用来区别于第三方审核。组织可以任意设计内部审核的方式和频率，不需要每年一次，更不需要由几个人员来完成整个组织的内部审核工作。组织可以为每一个影响管理目标的管理过程和管理措施，甚至是活动和岗位，设计评价指标、评价方法、评价频率并指定评价人员。将管理体系的内部审核工作分散到各个部门、各个团队，定期或不定期地由相关人员提供信息和数据，然后由专门的部门或岗位对信息和数据进行汇总分析，从而实现绩效的评价。但需要注意的是，评价方法、抽样方式和频率、绩效计算公式等方面要进行详细、科学、合理的设计才会实现预期的目的。

管理评审也是绩效评价的一种方式，这种方式比较直接，由管理层直接做出评价。当然，管理层需要内部审核的结果和体系运行的其他信息来进行综合评价。管理层的评价很重要，直接决定接下来他是否会更好地支持管理体系的运行工作。

7.持续改进：绩效评价是持续改进的一个重要输入，对于存在的问题和无法实现预期目标的方面都要进行改进，这一方面很容易理解，不再赘述。

如果上述7个方面组织可以进行良好的设计和实施，则无论建立什么样的管理体系都可以先成功一半。