（1）编制评审计划

信息安全主管部门拟定体系评审计划，提交给最高管理者批准之后，提前通知参加评审人员。

（2）准备评审资料

信息安全主管部门组织有关部门按照评审计划的要求准备体系评审输入所要求的各方面评审资料，评审资料应尽可能充分、全面。

（3）召开评审会议

最高管理者主持管理评审会议，评审会议应采用开放的形式，充分听取与体系有关的各方面的意见与建议，由信息安全主管部门记录评审会议结果并编制评审报告。

（4）评审报告分发与保存

评审报告经最高管理者批准后，分发给参加评审的人员和相关部门。评审记录及报告由主管部门按照规定的保存期限予以保存并归档。

（5）评审后要求

对于评审报告中有关决议和措施要求（包括预防/纠正措施），责任部门应在规定的时间内予以实施，信息安全主管部门应对实施的结果进行验证。