一页决议要求安全管理体系纳入网络风险的三件事（MSC.428(98)）
决议MSC.428(98)只有一页。它于2017年6月16日通过，没有改动ISM规则的一个字。没有增加新章节，也没有设立新证书。可是在这项决议之后，DOC年度审核上多了一个关于网络风险的问题。
原因在于决议指向现有条文的方式。决议写明ISM规则的目标已经包含对所有已识别风险的评估，并确认网络风险属于这些风险。这是确认现有义务的范围，而不是设立新义务，所以不需要修改规则。
本文依次看决议正文要求的三件事：要考虑的内容、期限、保密。然后补上主管机关指南A.1118(30)中年度审核如何看待安全管理体系的修改。
决议把网络风险挂在ISM规则现有的目标上
NOTING the objectives of the ISM Code which include, inter alia, the provision of safe practices in ship operation and a safe working environment, the assessment of all identified risks to ships, personnel and the environment, the establishment of appropriate safeguards, and the continuous improvement of safety management skills of personnel ashore and aboard ships,
这里写的目标就是ISM规则1.2所列的目标：安全的操作做法、对所有已识别风险的评估和适当的防护措施、人员安全管理技能的持续改进。风险评估这一措辞是MSC.273(85)在2010年作为1.2.2.2写入的，本决议沿用了它。
1 AFFIRMS that an approved safety management system should take into account cyber risk management in accordance with the objectives and functional requirements of the ISM Code;
这是第一项要求。经批准的安全管理体系应当考虑网络风险管理。标准是ISM规则的目标和功能要求。这句话不是要求另编一本网络手册，而是要求现有体系必须在处理这项风险。
期限是2021年1月1日之后的第一次DOC年度审核
2 ENCOURAGES Administrations to ensure that cyber risks are appropriately addressed in safety management systems no later than the first annual verification of the company’s Document of Compliance after 1 January 2021;
这是第二项要求。期限有三个参照点：2021年1月1日这个日期、其后的第一次年度审核、以及公司的DOC。依据是DOC的年度审核而不是SMC的中间审核，所以期限因公司而异。年度审核窗口是ISM规则13.4规定的周年日前后3个月，因此视DOC周年日的不同，期限可能落在那一年年初，也可能落在年末。
还要看句子的对象。决议是敦促主管机关而不是公司去确保。公司的义务通过主管机关在那次年度审核中核查网络风险的方式进来，所以查到什么深度因船旗国而异。
年度审核会看体系的全部要素和修改过的部分
The annual verification will address all the elements of the safety management system and the activities to which the requirements of the ISM Code apply. The purpose of these audits is to verify that the safety management system is functioning effectively and that any modifications made to the safety management system comply with the requirements of the ISM Code.
这是A.1118(30)的4.4.1。年度审核覆盖安全管理体系的全部要素，核实体系是否有效运作，以及所做的修改是否符合规则要求。纳入网络风险的程序正是这种修改。所以必须能通过修订历史显示在哪里加了什么。
As a basis for planning the audit, the auditor should review the safety management manual to determine the adequacy of the safety management system in meeting the requirements of the ISM Code. If this review reveals that the system is not adequate, the audit will have to be delayed until the company undertakes corrective action.
4.10是审核准备阶段的文件审查。审核员先读安全管理手册，判断体系是否符合规则要求。不足的话审核会推迟。如果手册里哪儿都没有网络风险，在现场审核之前就会卡在这一步。
指南是MSC-FAL.1/Circ.3，叠加在现有风险管理流程之上
BEARING IN MIND MSC-FAL.1/Circ.3 on Guidelines on maritime cyber risk management approved by the Facilitation Committee, at its forty-first session (4 to 7 April 2017), and by the Maritime Safety Committee, at its ninety-eighth session (7 to 16 June 2017), which provides high-level recommendations for maritime cyber risk management that can be incorporated into existing risk management processes and are complementary to the safety and security management practices established by this Organization,
决议所指的指南是MSC-FAL.1/Circ.3，由便利运输委员会于2017年4月、海上安全委员会于同年6月批准。决议从两方面描述这份指南的性质：它是高层次的建议，可以纳入现有的风险管理流程，并与IMO确立的安全和保安管理做法互为补充。它不是要求另建一套体系。
指南的正文不在本文范围之内。这里只写决议如何定位这份指南。
决议承认有些部分需要保密
3 ACKNOWLEDGES the necessary precautions that could be needed to preserve the confidentiality of certain aspects of cyber risk management;
这是第三项要求。网络风险管理的一部分是一旦公开就会变成弱点的信息。决议承认为保护这部分的机密可能需要预防措施。所以不要读成可以不给审核员看，而要读成事先定好哪些信息、在什么范围内、以什么方式出示。
4.17.2 Personnel participating in the verification are responsible for complying with the requirements governing the verification, ensuring confidentiality of documents pertaining to the certification and treating privileged information with discretion.
A.1118(30)也给审核一方设了义务。审核人员要对发证相关文件保密，并审慎处理特许信息。公司的保密需要与审核员的保密义务是面对面的结构。
需要确认的事
本文只讨论MSC.428(98)正文和A.1118(30)的审核程序。MSC-FAL.1/Circ.3的内容及其后续修订版不在讨论范围内。决议是以建议性措辞写成的，船旗国以何种方式核查要看该船旗国的程序。那家公司的DOC周年日是哪天、安全管理体系的哪一个修订版纳入了网络风险、那一版是否已经下发到船上，才是实际判断的起点。
可以直接查阅所引用的原文
以下链接指向本文所述文件的官方发布机构。请核对文中注明的版本与条款，并在实际适用前确认后续修订及船旗国的实施要求。
可以继续查阅相关业务说明
纳入网络风险的程序是对安全管理体系的修改，年度审核要看这项修改是否符合规则。Bellbook把SMS文件按修订版保存，哪一版改了什么、船上现在是哪一版，都在同一个画面上。
免费开始使用