文件管制流程圖
文件管制流程圖，設有撰寫人、審閱人、審批人、文件管理員與最終用戶五條泳道：起草、審批、發放與定期檢討。
甚麼是文件管制流程
文件管制，就是一個機構把那些管治工作如何進行的文件保持正確、現行並集中在一處的方式。它涵蓋一個完整的生命周期：有人發現某項需要或者提出一次變更，撰寫人寫出草稿，一位具備能力的同事審閱，一位具名審批人批准它投入使用，文件管理員帶着版本號和生效日期把它發放出去，已作廢的副本被撤出流通，而這份文件會在一個預定的日期回來接受檢討。ISO 9001:2015 第 7.5 條訂明了哪些方面必須受控——包括發放前的審閱與批准、分發與存取、版本管理以及保存與處置——但並沒有規定具體的程序。本圖就是一套滿足這些要求、行得通的程序。
文件管制出問題，多數是分發環節出問題，而不是撰寫環節出問題。獲批的版本存在，內容亦正確，但上一版仍然貼在機器上，仍然留在入職資料包裡，或者在內聯網搜尋時仍然排在第一條。有兩個步驟可以防住這一點，而且在這裡都各自成為一個獨立的方框：在發放的那一刻收回已作廢的副本，以及一個記錄誰已經看過新版本的簽認步驟。兩者都會產生證據——審核員問「你們怎樣知道大家是按現行版本工作的」，其實要的就是這個。
團隊最常略過的那一半，是按計劃進行的檢討。一份六年沒有人看過的受控文件，是風險而不是控制措施：它描述的流程早已改變，並且在無聲地與大家實際的做法相矛盾。「文件是否仍然有效？」這道判斷會強制得出三個明確結果之一，於是沒有任何一份文件會以狀態不明的樣子留在登記冊裡。要麼記錄這次檢討並訂定下一個到期日，要麼這份文件按同一條變更申請路徑回去做修訂，要麼它被停用並收回。
本流程圖涵蓋的內容
本範本包含
- 五條泳道對應真正承擔這項工作的角色——撰寫人、審閱人、審批人、文件管理員與最終用戶——橫跨五個階段：申請，起草與審閱，審批，發放與發布，以及使用中與定期檢討。
- 受理與起草：識別出一項文件需要或一次變更，作為文件變更申請提出，寫清改甚麼、為甚麼改，然後由撰寫人編寫或修訂，於是新文件和修訂走的是同一條路而不是兩條。
- 審閱意見的迴路：技術審閱引出「是否有意見需要了結？」這道判斷，它把草稿退回撰寫人修改並重新審閱，只有在沒有任何未了結事項時才把它放行到審批。
- 正式審批：審批人就適宜性審閱該草稿，隨後「是否批准發放？」要麼把它放行給文件管理員，要麼把它作為否決退回同一個修改與重新審閱的迴路，而不是就此結束這次申請。
- 文件管理員泳道中的發放與發布：分配版本號和生效日期，更新主文件登記冊，發布到受控位置，然後把已作廢的副本撤出使用，包括工作現場的印本。
- 推行與檢討周期：「這次變更是否需要培訓？」這道判斷把最終用戶導向培訓或者一個閱讀並簽認的步驟；而一次按計劃觸發的檢討會引出「文件是否仍然有效？」，它有三條分支——保留並記錄下一個到期日、透過一次新的變更申請進行修訂，或者停用並收回。
何時使用本範本
- 你們要為品質管理體系或資訊保安管理體系編寫或重寫一份文件管制程序，希望現成的結構已經涵蓋審閱、審批、發放、收回與定期檢討
- 已作廢的版本反覆出現在使用現場，你們需要說明收回發生在哪裡、由誰負責，以及必須查核哪些分發點
- 審批發生在電郵裡，沒有人還原得到當前生效的版本是誰批准的，也講不出它是幾時開始生效的
- 你們正在把文件管制由共用磁碟搬進一套系統，希望在設定工作流程、權限和檢討提示之前，先把流程達成共識
- 新上任的品質經理、文件管理員或流程負責人需要看到完整的生命周期，包括定期檢討到期時會發生甚麼
運作方式
把泳道改成你們真實的角色
把撰寫人、審閱人、審批人、文件管理員與最終用戶，換成你們實際擁有的角色，並按角色而不是按人名命名，這樣圖才經得起人員離職和組織重組。如果你們的品質經理既是審閱人又是文件管理員，就把這兩條泳道合併，而不是扮作它們是分開的。如果技術審閱和法規審閱確實是兩個不同的人，就把審閱人這條泳道拆開。
定義甚麼算是受控文件
把適用範圍寫在流程的起點旁邊。政策、程序、工作指引、表格與範本通常是受控的；填妥的表格屬於紀錄，它們要被保存並防止更改，而不是被修訂。另外要決定你們如何處理外來文件，例如標準和供應商手冊——這些要被識別和管制，但不是由你們編寫的。
定下你們的版本與生效規則
在「分配版本號和生效日期」這一步，固定一套編號方法並堅持下去，例如整數用於已發放的版本、小數用於草稿。決定生效日期需要多長的提前期，好讓培訓跑得完、舊副本收得回；並寫明每一頁上必須出現甚麼：文件編號、版本、生效日期與審批人角色。
寫明受控位置以及所有收回點
文件管制之所以有效，前提是現行版本有且只有一個可以存放的地方。記下那個地方在哪裡，然後逐一列出舊版本可能存活下來的每一處：告示板、機台工位、共用磁碟、內聯網頁面、入職資料包，以及在供應商和客戶手上的副本。正是這份清單，令「把已作廢的副本撤出使用」這一步由一句願望變成一件做得到的事。
確定甚麼時候必須培訓，以及你們保留甚麼證據
把培訓判斷背後的規則定下來。改一個錯別字通常甚麼都不需要；改動一個安全關鍵或受規管的步驟，通常需要培訓並記錄出席情況。介乎兩者之間的，通常是閱讀並簽認。決定這份簽認存放在哪裡，因為證明大家是按現行版本工作的，正是它。
按風險訂定檢討周期，並為每份文件指定負責人
一刀切的周期，要麼把文件管理員壓垮，要麼令關鍵文件放到過期。按風險訂定周期，例如安全關鍵的工作指引每年一次、支援性政策每兩至三年一次，並在日曆之外加上由事件驅動的觸發條件：事故、審核發現與流程變更。即使甚麼都沒有改，亦要記錄檢討結果——經過檢討而未作改動的文件是受控的，未經檢討的則不是。
常見問題
甚麼是文件管制流程？
它是管治那些訂明工作如何進行的文件的整個生命周期的程序：一份新文件或一次變更如何被提出，誰去起草，誰去審閱，誰批准它投入使用，它如何帶着版本號和生效日期發放，已作廢的副本如何撤出流通，以及它如何被定期檢討，直至被修訂或者被停用。重點不在於文書工作，而在於任何一個做這項工作的人都找得到現行版本，並且沒有人會不小心照着舊版本去做。
有了這張流程圖，我們就符合 ISO 9001 嗎？
任何一張圖都不足以單獨做到這一點，但它對應上了第 7.5 條的要求。ISO 9001:2015 要求成文資訊在發放前經過審閱和批准以確認其適宜性和充分性，要被識別和描述，在有需要的地方可取得且適用，在分發與存取方面受控，實行版本管理，並有保存與處置的規定。本圖為上述每一項都配了一個步驟或一道判斷。請留意，2015 版取消了 2008 版關於必須有一份成文的文件管制程序的要求，所以書面程序本身不是強制的——但你們仍然必須證明得到管制是存在的。審核員檢驗的是每一步留下的證據，而不是流程圖。
受控文件應該多久檢討一次？
ISO 9001 沒有訂明周期，所以這是一個需要你們自己給出理由的決定。按風險訂定：涵蓋安全關鍵、受規管或人手流轉大的活動的文件每年一次，很少變動的支援性政策每兩至三年一次。有些框架更嚴格，例如 ISO/IEC 27001 期望政策在計劃的時間間隔以及發生重大變化之後接受審閱。在日曆之外再加上由事件驅動的觸發條件，因為一次事故、一項審核發現或一次流程變更，都是比一個日期更好的檢討理由。
受控文件和紀錄有甚麼分別？
受控文件告訴大家該做甚麼，而且預期它會改變：它會被修訂、以新版本重新發放，舊版本則被收回。紀錄是某件事在某一刻發生過的證據，例如一份填妥的檢查表、一份培訓簽到或一份已簽署的審批，它要被保存並防止更改，而不是被修訂。兩者的管理方式不同，把它們混為一談是常見的混淆來源：版本管理屬於文件，保存期限屬於紀錄。本流程兩者都會產生，因為它生成的登記冊條目和簽認本身就是紀錄。
如果我只需要版本管理，而不是整個文件管制流程呢？
這張圖是更完整的生命周期：橫跨五條泳道的申請、起草、審閱、審批、發放與定期檢討。如果你們只需要版本編號機制本身，/yue/templates/文件版本控制範本 是一張只圍繞這一點而建的較窄圖表。如果你們需要的是版本之間改動的紀錄，而不是圍繞它的整個生命周期，/yue/templates/文件修訂紀錄範本 涵蓋這一點。如果你們正在撰寫整套程序，就從本頁開始；一旦較闊的流程已經達成共識，而版本編號或修訂紀錄是仍然缺少的那一塊，再往下採用其中一張較窄的圖。