企业的实验室是企业计量技术机构，绝大多数企业往往被管理层指定为承担测量管理体系的策划、建立和运行部门，楼主非常关心这情况下实验室又建立了实验室管理体系，如何处理两个管理体系之间的关系。我的看法如下：测量管理体系属于整个企业，实验室管理体系属于实验室自己。两个体系一个大（属于整个企业），一个小（仅属于实验室一个管理部门），《管理手册》这个“宪法”级文件就应各自独立。但实验室也是企业的一个组成部分，对企业而言其主要职责是测量过程的实施和/或测量设备的计量确认，为了处理好一大一小两个管理体系的关系，以企业全局来看，实验室管理体系的程序文件可以独立，但尽管独立也不能与企业测量管理体系程序文件相抵触。若实验室管理体系的程序文件适用于企业实验室以外的各单位，也可以直接纳入测量管理体系程序文件中，功能或名称完全相同的程序文件，测量管理体系不一定再另外再制定。上述这个原则也适用于处理与其它管理体系（质量管理、管理、环境管理、能源管理、设备管理、行政管理等等各种管理体系）的关系。其它管理体系也有文件管理、记录管理、管理评审、内部审核、纠正措施、……等一系列管理程序，对于这些各种管理体系都需要的程序文件，企业完全可以制作成“公用积木块”式文件。我的建议是体系“模块化”管理，有人称为管理体系的整合，我并不赞成，我认为还是称为管理体系的模块化为好。一个公用积木块文件可能适用于数十个管理体系，光整合后的体系名称在文件中就占据了大量篇幅，很不经济，甚至某些管理体系（如楼主所说的“听说”）不愿意与其它管理体系“整合”。企业各种体系模块化管理后，测量管理体系可直接采用“公用积木块”程序文件，不再另行制定，仅制定测量管理体系特殊的“专用积木块”程序文件即可，选择合适的“公用积木块”和测量管理体系“专用积木块”搭建企业测量管理体系这个“大厦”就很方便了。

ISO27001认证信息风险评估 目的：实施风险评估，识别不可接受风险，明确管理目标。 内容：风险评估是整个风险管理的基础，本阶段将根据前期策划的风险评估方法。 包括：a. 根据业务要求及信息的密级划分，对信息资产的重要程度进行判定，识别对关键核心业务具有关键 作用的信息资产清单;对重要信息资产从内部及外部识别其所面临的威胁; b. 根据威胁，从管理和技术两方面识别重要信息资产所存在的薄弱点; c. 根据风险评估的方法指南，对威胁利用薄弱点对重要信息资产所产生的风险在保密性、完整性、可 用性三方面所造成的影响进行评价;评价威胁利用薄弱点引发风险事件的可能性; d. 根据风险影响及发生的可能性评价风险等级; e. 根据信息方针，各核心业务流程的要求，与管理层进行沟通，确定不可接受风险等级的标 准; f. 针对不可接受的高风险，制定风险处理计划，从ISO27002及顾问的行业经验来选择适宜的风险管 控措施;实施所选择的控制措施，降低、转移或风险; g. 编写风险评估报告。