信息安全管理体系（ISMS）是组织依据GB/T22080/ ISO/IEC27001（信息技术安全技术信息安全管理体系要求）的要求，是组织整体管理体系的一个部分，是基于风险评估，来建立、实施、运行、监视、评审、保持和改进信息安全等一系列的管理活动，是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。

ISO/IEC27001是建立和维护信息安全管理体系的标准，它要求组织通过一系列的过程如确定信息安全管理体系范围，制定信息安全方针和策略，明确管理职责，以风险评估为基础选择控制目标和控制措施等，使组织达到动态的、系统的、全员参与的、制度化的、以预防为主的信息安全管理方式。

( 1 )对低贿赂风险以上的特定项目、交易、活动,计划建立或维持相关业务关系的商业伙伴,特定岗位的员工开展尽职调查。

( 2 )实施充分的财务控制措施,包括同一人不能同时拥有提出和批准付款的权利、付款审批实行梯度授权制度(需要更高级别领导审批)、付款审批要求有两人以上签名、采取有效的现金控制方法等。

(3)在采购、运营、销售、业务、人力资源法律和监管活动等非财务方面加强控制,包括分包商和供应商资格预审、执行公开透明的招投标制度、至少两人评估投标和批准签订合同、不在合同签订前后等敏感时间点向对方付款等。

(4 )确定并实施礼物、招待、赞助费、捐赠和类似利益的标准和规定,对相关利益进行系统全面的识别,并进行严格管控和审批。

( 5 )确保管辖内的组织,如下属机构、子公司等符合反贿赂管理体系要求。对低贿赂风险水平以上的商业伙伴,应提出实施反贿赂措施、进行反贿赂声明等要求。

(6 )建立并实施汇报程序。

( 7 )建立并实施贿赂调查和处置程序。

(8 )对特定交易、项目、活动或商业伙伴关系展开风险评估后,发现现有措施无法管理风险时,要根据实际情况及时采取应对措施。