IT运维企业一边要满足客户合同中约定的服务级别和响应要求，一边要遵守数据安全、网络安全、个人信息保护等法定义务，还要应对客户定期的合规审查。这些要求如果散落在各个合同和制度里，就很难在审核时讲清楚。
ISO 20000体系要求组织识别适用的合规义务并评价符合性。本文按识别、评价、措施和更新四步说明合规义务清单应该怎么写才可用。
合规义务清单不是法规条文摘抄，而是把与企业实际服务相关的法律法规、合同约定和行业要求转成可执行、可核查的条目。
清单质量可以用下表几个角度来检验，避免做成一份放在柜子里的文件。
| 判断项 | 常见做法 | 容易出问题的做法 | 怎么判断 |
|---|---|---|---|
| 来源识别 | 法务与运维共同梳理适用条款 | 直接套用网络上的通用清单 | 抽查条目能否对应到具体合同或法规条款 |
| 责任落实 | 每条义务有责任部门 | 责任人一栏统一写“公司” | 看责任岗位是否具体到可访谈的人 |
| 符合性证据 | 每条义务有对应记录 | 只写“已满足”无证明材料 | 随机抽五条，看能否当天取出证据 |
只要有一条义务找不到证据，就说明清单与运行脱节，需要补充记录或说明未满足的原因和整改计划。
IT运维企业的合规来源通常包括网络安全与数据保护方面的法律规定、客户服务合同中的保密与审计条款、行业监管要求以及自身服务承诺。识别时应结合服务目录逐项判断影响。
建议由法务、安全、运维负责人共同过一遍服务目录，把涉及客户数据、远程接入、第三方外包的场景单独标出，这些场景的合规义务最容易被忽略。
符合性评价可以按完全满足、部分满足、不满足三级划分，并注明评价时间、评价人和支撑证据。部分满足的条目要写明缺口和计划完成时间。
等级划分标准应提前商定并在文件里写明，避免不同评价人给出不一致结论，导致清单前后矛盾。
对不满足和部分满足的条目，要制定措施、明确责任人和完成时间，并在下一轮评价中复核。措施可以是补签保密协议、增加日志留存、修订访问控制流程等。
常见的落地方式是把它并入服务改进计划，与其他改进事项一起跟踪，避免清单单独悬空。
合规环境变化很快，清单应设固定评审周期，并在合同续签、法规调整、业务范围变化时触发临时评审。评价结果应作为管理评审输入之一。
内审时可以把清单当检查工具，按条目抽取证据。服务目录和SLA的证据准备可参考ISO 20000服务目录和SLA证据。
没有固定条数，以覆盖企业实际适用的法规、合同和行业要求为准，几十条的大型企业和少量条目的中小企业都常见。
通常算，合同约定的服务级别、保密和审计要求需要纳入清单，并作为符合性评价依据。
常见做法由合规或安全负责人复核、管理者代表确认，再作为管理评审输入，具体以文件规定为准。
建议指定专人定期跟踪法规和合同变化，并在变化发生后触发清单临时评审。
合规义务清单写好了，处理客户审查和新法规时就能快速定位影响范围。关键在于把条文转成动作和证据，而不是追求清单看起来完整。同创云长期做 ISO 体系认证咨询与审核辅导，官网 https://www.shtcyun.com。具体认证要求、审核安排和证书状态，以认证机构及国家认监委（CNCA）官方最新通知为准。
如需了解监管要求的变化，可参考ISO 20000相关认证政策变化，也可浏览体系认证标准页和体系认证常见问题栏目。
本文由同创云体系认证研究中心整理，内容参考相关管理体系标准与认证认可通用规则；具体政策以认证机构和监管部门官方最新通知为准。