IATF16949：2016的更新条款（更新 SI21和SI22 于 2021年7月发布；)

编号

IATF16949参考

变更后的主要要求

变化点的说明

变更理由

SI22

7.2.1 能力–补充

为了减少或消除对组织的风险，培训和意识还应包括与组织工作相关的预防信息，

环境和员工的责任，例如识别可能的设备故障和/或试图进行过的网络攻击的症状。(SI 21 2021年7月)

在员工能力要求，增加需要对员工培训和意识的要求。主要增加了：预防管理的要求、环境管理、员工责任方面。例如，识别可能存在的设备故障，可能存在的网络被攻击

员工知识是防止问题变得重要的关键因素，包括确定

潜在的设备故障和网络攻击。

SI21

6.1.2.1 风险分析

组织应在风险分析中至少包含:

a)从产品召回、产品审核、使用现场的退货和修理、投诉、报废及返工中吸取的经验教训。

b)对信息技术系统的网络攻击威胁。(SI 20 2021年7月)

、本条款增加了对信息系统的网络攻击威胁

潜在的网络攻击对所有认证组织构成了风险。在他们的信息技术系统中。组织需要考虑潜在的网络攻击造成的风险。

SI3

6.1.2.3 应急计划

6.1.2.3 应急计划

组织应：

c) 准备应急计划，以在下列任一情况下保证供应的持续性，包括但不限于（SI3 2021年7月更新）：关键设备故障（另见第8.5.6.1.1条）；外部提供的产品、过程和服务中断；常见自然灾害；火灾；大型病染病（SI3 2021年7月更新）公共事业中断；对信息技术系统的网络攻击(SI3 2017年10月)；劳动力短缺；或者基础设施破坏;

e) 定期测试应急计划的有效性（如：模拟，视情况而定）；

对于网络安全（SI3 2021年7月更新）,网络安全测试可能包括网络攻击的模拟，对特定威胁的定期监视，试别相关性以及漏洞优先级。该测试适合于相关的顾客中断风险；

注：网络安全测试可以组织内部管理或适当分包(SI17 2019年10月)

h) 在应急计划中包括制定和实施适当的员工培训和意识（SI3 2021年7月更新）

1、应急计划应包括：公共卫生事件，流行病、对信息技术系统的网络攻击

2、对于网络安全（SI3 2021年7月更新）,网络安全测试可能包括网络攻击的模拟，对特定威胁的定期监视，试别相关性以及漏洞优先级。该测试适合于相关的顾客中断风险；

注：网络安全测试可以组织内部管理或适当分包(SI17 2019年10月)

3、在应急计划中包括制定和实施适当的员工培训和意识（SI3 2021年7月更新）

1、组织需要解决网络攻击的可能性，网络攻击可能会使组织组织生产运作、物流失效。

2、需要确保做好了网络攻击的准备。

3、网络安全是所有制造设施的制造可持续性要求；这个风险不断增加，包括汽车行业。应急测试也被组织和CBs确定为一个领域

3、认识到员工知识是有效应急计划的关键步骤。

SI10

7.1.5.3.2 外部实验室

— 如果使用未经认可的实验室（例如，但不限于：专业或集成设备、规范没有国际可追溯标准参考，或原始设备制造商），组织有责任确保有证据表明该实验室已经过评估，并满足IATF 16949第7.1.5.3.1条的要求。（SI10 2021年7月）

注：测量设备的集成自校准，包括使用专有软件，不符合校准要求（SI10 2021年4月）。

增加了：如果使用未经认可的实验室，组织必须有证据证明该实验室已经通过了评估

一些组织发现实验室认证要求

用于检验、测试或校准的外部/商业/独立实验室设施

服务混乱，需要澄清。明确实验室认证要求和

期望