Процессы проведения аудита

Первичная сертификация

Первичный сертификационный аудит проводится в два этапа (1-й этап аудита и 2-й этап аудита). При этом на 2-ом этапе осуществляется проверка всех применимых требований стандарта. 

На основании кодов экономической деятельности, присвоенных сертифицируемой организации, для проведения аудита формируется и утверждается команда по аудиту из числа признанных аудиторов, ведущих аудиторов и технических экспертов. Членами команды по аудиту не могут быть лица, осуществлявшие консультирование организации-заказчика в течение 2 лет до проведения соответствующего аудита, или имеющие с организацией-заказчиком конфликт интересов.

Заказчик получает информацию о сформированной команде по аудиту при направлении ему плана аудита и должен письменно подтвердить согласие с командой или направить в Орган по сертификации мотивированно обоснованные возражения, которые рассматривает Орган по сертификации и, при необходимости, принимает решение об изменении состава команды по аудиту и повторном согласовании ее с заказчиком.

Команда по аудиту получает уведомление об аудите, на основании которого руководителем команды разрабатываются планы аудита (вначале 1-го этапа аудита, затем – 2-го этапа), направляемые заказчику за две недели до начала каждого из этих аудитов на согласование.

На каждом аудите в общем случае анализу подлежит вся заявленная область применения.

Заблаговременно, до начала любого аудита руководитель команды по аудиту должен узнать у Заказчика необходимость наличия у членов команды по аудиту средств индивидуальной защиты или принятия других мер, обеспечивающих безопасность членов команды во время аудита, и, в соответствии с положениями договора на сертификацию, совместно с руководством Органа по сертификации и аудитируемой организации решить вопрос об обеспечении членов команды по аудиту такими средствами на все время проведения аудита.

Планирование 1-го и 2-го этапов сертификационного аудита

Минимальный интервал между 1-ым и 2-ым этапами аудита обычно должен составлять не менее 14 календарных дней и не может превышать 6 месяцев, в противном случае результаты 1-го этапа аудита аннулируются.

Если в результате 1-го этапа аудита потребуется внести изменения в сроки и содержание уже запланированного 2-го этапа аудита, то план 2-го этапа аудита должен быть по согласованию с Заказчиком соответствующим образом откорректирован. 

Проведение сертификационного аудита

Первоначальный сертификационный аудит проводится в два этапа.

В состав работ на 1-ом этапе сертификационного аудита входит:

• анализ документированной информации системы менеджмента Заказчика;
• оценка специфических условий, связанных с производственными площадками заказчика, и проведение бесед с персоналом Заказчика для установления степени готовности ко 2-му этапу аудита;
• анализ состояния, в котором находится Заказчик, и понимания им требований стандарта, в особенности тех, которые относятся к идентификации ключевых видов деятельности или существенных аспектов, процессов и целей, а также к функционированию системы менеджмента;

• получение необходимой информации относительно области применения системы менеджмента, включая:
• отдаленные обособленные подразделения и производственные площадки;
• применяемые процессы и оборудование;
• уровень применяемых средств и методов управления (в особенности в случае Заказчиков, у которых несколько отдаленных обособленных подразделений и производственных площадок);
• применимые законодательные и нормативные требования;
• анализ наличия ресурсов, необходимых для проведения 2-го этапа аудита, и согласование с заказчиком деталей 2-го этапа аудита;

• обеспечение правильной расстановки акцентов при планировании 2-го этапа аудита на основе четкого понимания системы менеджмента заказчика и деятельности, осуществляемой на его производственных площадках, с точки зрения стандарта на систему менеджмента;
• оценка того, были ли запланированы и проведены внутренние аудиты системы менеджмента и анализы ее функционирования со стороны руководства и является ли степень внедрения системы менеджмента достаточной, чтобы считать Заказчика готовым к проведению 2-го этапа аудита;
• документирование несоответствий и указание на выявленные слабые места.

По решению Органа по сертификации 1-й этап аудита может проводиться с проведением части аудита с выездом «на место» либо полностью дистанционно с применением информационно-коммуникационных технологий.

В конце 1-го этапа аудита руководитель команды по аудиту дает оценку готовности организации к сертификации.

Результативность всех корректирующих действий по выявленным несоответствиям проверяется на 2-ом этапе сертификационного аудита.

Организация-заказчик получает отчет о 1-ом этапе аудита совместно с отчетом о проверке документации.  

Цель 2-го этапа сертификационного аудита – оценка функционирования, включая результативность, системы менеджмента Заказчика. Он должен проходить на территории Заказчика и включать аудитирование, как минимум, следующего:

• соответствия всем применимым требованиям стандарта на систему менеджмента и получение свидетельств этого соответствия;
• деятельности Заказчика по проведению мониторинга, измерений, ведению отчетности и проведению анализа ключевых показателей целей и задач (согласованных с ожиданиями применяемого стандарта на систему менеджмента);
• способности системы менеджмента Заказчика и показателей его деятельности обеспечивать соответствие применимым законодательным, нормативным и контрактным требованиям;
• управления Заказчиком своими процессами;
• проведения внутренних аудитов системы менеджмента и анализа ее функционирования со стороны руководства;
• ответственности руководства в отношении политик Заказчика;
• оценка результативности корректирующих действий в отношении несоответствий, выявленных в ходе 1-го этапа аудита.

По итогам 2-го этапа аудита Заказчик получает отчет об аудите.

Критические и некритические несоответствия, потенциал улучшений

Результаты аудита, признанные несоответствиями, регистрируются в сопоставлении с конкретными требованиями и должны содержать четкое заявление о несоответствии вместе с подробными свидетельствами того, на чем основано данное несоответствие. Несоответствия должны быть обсуждены с Заказчиком, чтобы обеспечить уверенность в том, что доказательства несоответствия точны и что содержание несоответствия понято. При этом аудиторы должны воздерживаться от высказывания предположений о том, что является причиной несоответствия или как ее устранить.

Выявленные в ходе аудита несоответствия фиксируются в отчетах о несоответствиях и отражаются в отчете об аудите.

При проведении анализа итоговых документов по аудиту Орган по сертификации может пересмотреть классификацию критических и некритических несоответствий, сделанную командой по аудиту.

Организация должна спланировать коррекцию, провести анализ причин и разработать корректирующие действия в отношении зафиксированных несоответствий в течение 2-х недель после аудита, отразить это в отчетах о несоответствиях, частично оформленных по завершении аудита, и представить эти предложения руководителю команды по аудиту.

Руководитель команды по аудиту оценивает адекватность коррекции, причин несоответствий и разработанных корректирующих действий и, при положительной оценке, подтверждает это своей подписью в отчетах о несоответствиях. При отрицательной оценке предложения организации с соответствующими комментариями направляются на доработку, для чего организации дается еще 2 недели. При нарушении первичных или дополнительных сроков представления заказчиком указанных предложений или окончательной отрицательной оценке адекватности этих предложений действия по сертификации завершаются с отрицательным результатом.

В соответствии с п. 3.12 ISO/IEC 17021-1:2015 / ГОСТ Р ИСО/МЭК 17021-1-2017 критическим несоответствием является несоответствие, которое влияет на способность системы менеджмента получать намеченные результаты. Несоответствие квалифицируется как критическое, если:

• Отсутствует документированная информация, установленная соответствующим стандартом в качестве обязательной.
• Не выполнено в полном объеме уникальное требование соответствующего стандарта.
• Существует большое сомнение в том, что управление процессом осуществляется результативно или что продукция или услуга будут соответствовать установленным требованиям.
• Несколько (три и более) некритических несоответствий, относящихся к одному и тому же требованию или вопросу, указывают на их системный характер.
• Несоответствие, зафиксированное в ходе предыдущего аудита, не устранено и/или реализованное корректирующее действие признано нерезультативным.
• Выявлена потенциальная опасность для жизни или здоровья сотрудников (при сертификации СМБТиОЗ).

Критические несоответствия могут (это устанавливается руководителем команды по аудиту) привести к дополнительному аудиту и/или предоставлению новых документальных доказательств.  Решение о выдаче или продлении действия сертификата может быть принято только после представления и проверки доказательств устранения критического несоответствия и реализации корректирующих действий.

При получении от руководителя команды по аудиту отчетной документации об аудите с информацией о наличии не устраненных критических несоответствий Орган по сертификации принимает решение о приостановке действия сертификата до представления доказательств их устранения и письменно информирует об этом Заказчика.

Срок осуществления коррекции и корректирующих действий после 2-й ступени сертификационного аудита, наблюдательного, повторного и других аудитов – максимум 6 месяцев с даты окончания соответствующего аудита. Если данный срок превышен, результат проведенного аудита признается отрицательным и сертификат не выдается/аннулируется.

Несоответствие фиксируется как некритическое, если оно:

• не влияет негативно на способность системы менеджмента достигать намеченных результатов;
• не ведет к отказу системы менеджмента и не отражается на способности системы обеспечивать качество процессов и продукции;
• касается какой-то части документации системы менеджмента;
• отражает отдельные недостатки в приведении доказательств выполнения отдельного требования соответствующего стандарта / процесса / элемента.

При наличии только некритических несоответствий команда по аудиту может рекомендовать Органу по сертификацию выдачу сертификата / продление срока действия сертификата. При этом сертификат может быть выдан или срок его действия может быть продлен только после того, как руководителем команды по аудиту будут положительно оценены адекватность предложенных организацией предложений по коррекции, анализу причин и  корректирующим действиям в отношении всех некритических несоответствий.

Реализация коррекции, корректирующих действий и результативность корректирующих действий в отношении некритических несоответствий проверяются в ходе следующего аудита.  

Если корректирующие действия признаны нерезультативными, то:

• новые несоответствия квалифицируются как критические и с ними поступают как с критическими несоответствиями. При этом команда по аудиту должна подойти с особым вниманием к оценке адекватности причин новых несоответствий и новых корректирующих действий;
• руководитель команды по аудиту делает рукописную запись о нерезультативности корректирующих действий в оформленном ранее отчете о несоответствии со ссылкой на номер отчета о новом несоответствии в текущем аудите.

Возможности для улучшения могут быть выявлены командой по аудиту и зафиксированы в отчете об аудите. Вместе с тем, результаты аудита, которые являются несоответствиями, не могут быть зафиксированы в качестве возможностей для улучшений.

Высказанные командой по аудиту предложения по улучшению не являются для организации обязательными для исполнения.

Дополнительный аудит

Дополнительный аудит может проводиться при выявлении критических несоответствий, результативность устранения которых не может быть верифицирована только на основе анализа представленных Заказчиком документов и требует анализа состояния дел непосредственно на месте.

Решение о проведении дополнительного аудита принимает руководитель команды по аудиту.

Для проведения дополнительного аудита составляется план, предусматривающий анализ соответствия требованиям в отношении тех процессов (видов деятельности) и/или разделов/пунктов стандарта, по которым в предыдущем аудите были зафиксированы критические несоответствия. Сроки проведения дополнительного аудита согласовываются с Заказчиком.

Перед проведением дополнительного аудита организация должна предоставить в Орган по сертификации свидетельства реализации коррекции и корректирующих действий в отношении всех критических несоответствий.

Руководитель команды по аудиту составляет отчет о дополнительном аудите с оценкой результативности реализованных коррекций и корректирующих действий.

Сертификат может быть выдан только после завершения дополнительного аудита с положительным результатом и положительной оценкой результативности коррекций и корректирующих действий.

В случае выявления в ходе дополнительного аудита новых критических несоответствий сертификат не выдается или аннулируется. Новый дополнительный аудит не разрешен. Сертификация возможна только при оформлении нового заказа.

Надзорная деятельность

Надзорная деятельность со стороны Органа по сертификации за сертифицированной системой менеджмента включает:

• проведение наблюдательных аудитов «на месте», в ходе которых оценивается степень выполнения системой менеджмента сертифицированной организации требований стандарта(ов), на соответствие которому была проведена сертификация;
• запросы Органа по сертификации сертифицированной организации о различных аспектах, связанных с сертификацией, и анализ полученной информации;
• анализ заявлений организации относительно его деятельности (например, рекламных материалов, веб-сайтов);
• запросы Органа по сертификации сертифицированной организации о предоставлении документированной информации (на бумажном или электронном носителе).

Наблюдательные аудиты

Наблюдательные аудиты представляют из себя аудиты, проводимые «на месте», но не обязательно охватывающими всю систему менеджмента.

В ходе наблюдательного аудита проводится, как минимум, анализ:

• проведения внутренних аудитов системы менеджмента и анализа ее функционирования со стороны руководства;
• действий, предпринятых в отношении несоответствий, выявленных во время предыдущего аудита;
• обращений с претензиями;
• результативности системы менеджмента с точки зрения достижения целей сертифицированной организации и получения результатов, намеченных соответствующей системой(ами) менеджмента;
• хода реализации запланированной деятельности, нацеленной на постоянное улучшение;
• непрерывности управления операциями;
• всех изменений в организации и системе(ах) менеджмента;
• использования сертификата Органа по сертификации.

Наблюдательный аудит проводится, как минимум, один раз в календарном году, за исключением года повторного аудита. Дата первого наблюдательного аудита после первоначальной сертификации не может быть позже 12 месяцев с даты принятия решения о сертификации.

В течение одного календарного года не могут быть проведены два следующих друг за другом наблюдательных аудита.

Если плановый наблюдательный аудит в течение установленного срока не проводится, то сертификат приостанавливается или аннулируется. Для перенесения наблюдательного аудита на более поздние сроки требуется решение руководителя Органа по сертификации.

При необходимости сроки проведения наблюдательных аудитов можно скорректировать, чтобы приспособить их к таким факторам, как сезонность работ или проведение сертификации систем менеджмента в условиях ограничений на ее продолжительность (например, в случае временных строительных площадок).

Не позже чем за 1 месяца до наступления запланированного срока проведения наблюдательного аудита сертифицированному Заказчику направляют письмо с просьбой сообщить об изменениях, которые могут повлиять на сертификацию его системы менеджмента. 

Если у Заказчика произошли существенные изменения по сравнению с теми, которые учитывались при составлении существующей программы аудитов (например, изменилось количество сотрудников в сравнении с предыдущим аудитом, расширилась область применения, включены новые или исключены какие-то обособленные подразделения, возникли изменения в законодательстве и т.п.), то Орган по сертификации осуществляет соответствующую коррекцию существующей программы аудитов и информирует об этом Заказчика.

Распределение пунктов стандарта между двумя наблюдательными аудитами в течение одного сертификационного цикла осуществляется таким образом, чтобы по завершении 2-го наблюдательного аудита были проаудитированы все применимые требования стандарта. При этом для каждого стандарта установлены требования, которые должны подвергаться аудиту при каждом наблюдательном аудите.

По итогам наблюдательного аудита Заказчику направляется отчет об аудите.

Ресертификация

Ресертификация, включая принятие решения о сертификации, должна быть осуществлена до истечения срока действия сертификата. 

Примерно за 3 месяца до истечения срока действия сертификата у Заказчика запрашиваются актуальные данные, оформляемые им в виде новой заявки на сертификацию по соответствующей форме.  

На основе анализа актуальных сведений о Заказчике принимается соответствующее решение и, если проведение ресертификации представляется возможным, составляется новая программа аудитов для следующего 3-летнего цикла и вместе с новым проектом договора на сертификацию направляется Заказчику для подписания.

В общем, при проведении ресертификации можно не проводить 1-го этапа аудита. Однако, если в системе менеджмента, у Заказчика или в контексте (в условиях), в которых функционирует система менеджмента, произошли существенные изменения (например, изменения в законодательстве), то может потребоваться проведение 1-го этапа аудита.

Если Орган по сертификации не успевает завершить ресертификационный аудит или не способен верифицировать реализацию коррекций и корректирующих действий в отношении критических несоответствий до истечения срока действия сертификата, решение о ресертификации не может быть принято и признание у организации статуса сертифицированной организации продлено быть не может. В этом случае в течение 6 месяцев после истечения срока действия сертификата Орган по сертификации может восстановить признание у организации статуса сертифицированной организации при условии, что неосуществленная деятельность по ресертификации полностью завершена.

Повторный аудит

Повторный аудит, в рамках которого происходит ресертификация, должен включать в себя аудит «на месте», в ходе которого анализируется следующее:

• результативность системы менеджмента в целом в свете внутренних и внешних изменений, а также то, насколько она продолжает быть подходящей и применимой к области сертификации;
• демонстрируемое выполнение обязательств по поддержанию результативности системы менеджмента и совершенствовании системы менеджмента в целях улучшения показателей деятельности организации в целом;
• результативность системы менеджмента в достижении целей сертифицированной организации и получении результатов, намеченных соответствующей системой(ами) менеджмента.

На повторном аудите проверяются все применимые требования стандарта.

Использование компьютерных технологий при проведении аудитов

В отдельных случаях (например, при проверке документации, корректирующих действий, для проведения видеоконференций) по решению руководителя Органа по сертификации и по согласованию с Заказчиком допускается использование компьютерных технологий при проведении аудита.

Аудит временных обособленных подразделений

При наличии временных обособленных подразделений проведение анализа их деятельности должно учитываться соответствующим образом в программе аудита.   Необходимость их посещения зависит от степени значимости этих обособленных подразделений в отношении области сертификации.  

Специальные аудиты

Расширительный аудит  

Если в соответствии с заявкой сертифицированной организации требуется расширить уже сертифицированную область, это делается в рамках расширительного аудита.  Расширительный аудит может быть проведен как вместе с наблюдательным аудитом или повторным аудитом, так и отдельно от них в специально для него назначенные сроки. 

Расширение области сертификации может включать в себя:

• расширение оснований для сертификации (сертификация еще по одному или нескольким стандартам);
• расширение области применения уже сертифицированной системы/систем менеджмента;
• существенные изменения в системе менеджмента, в том числе включение ранее неприменимых требований, например, деятельности по проектированию и разработке;
• включение новых обособленных подразделений.

При этом Орган по сертификации проводит анализ информацию об изменениях и заново осуществляет калькулирование работ. Подготовленные изменения в заключенный ранее договор на сертификацию с уточненной программой аудитов направляются на согласование и утверждение Заказчику

Сертификация по дополнительному стандарту(ам)

При дополнительной сертификации еще одному стандарту аудит проводится в две ступени с охватом сотрудников, которые включены в систему менеджмента по новому стандарту. Если речь идет об интегрированной системе менеджмента, то охватываются все сотрудники, охваченные интегрированной системой.

Расширение области применения

В случае проведения расширительного аудита автономно, он рассматривается как первичная сертификация. Спланированный ранее режим проведения наблюдательных и повторных аудитов не меняется, но уже с включением новой область применения. При увеличении численности сотрудников, охваченных системой менеджмента, проводится уточнение трудоемкости работ.

При объединении расширительного аудита с наблюдательным аудитом (проведение так называемого наблюдательно-расширительного аудита) проводится калькулирование дополнительных трудозатрат на основе количества сотрудников, которые задействованы в расширенной области применения.

Если при расширении области применения общее число сотрудников по сравнению с действующей программой аудитов не изменилось, дополнительные трудозатраты определяются с учетом необходимости проверки в расширяемой области всех применимых требований всех стандартов и посещения новых мест выполнения работ, при этом дополнительная трудоемкость не может быть менее 1 аудито-дня.

Существенные изменения в системе менеджмента

Существенные изменения в системе менеджмента могут повлечь увеличение трудоемкости работ, например, если в систему менеджмента будет включены не применявшиеся ранее требования стандарта (например, относящиеся к проектированию и разработке).  В этом случае трудозатраты рассчитываются заново в соответствии с правилами калькулирования работ по стандарту.

При сокращении числа проверяемых требований трудоемкость может сократиться в зависимости от правил калькулирования работ по стандарту. 

Включение новых обособленных подразделений

Уточнение трудоемкости и планирование работ при включении в систему менеджмента новых обособленных подразделений осуществляется в соответствии с положениями процедуры о проведении аудита организаций с несколькими обособленными подразделениями.

Аудиты с краткосрочным предварительным уведомлением и аудиты без предварительного уведомления

У Органа по сертификации может возникнуть необходимость провести у сертифицированного Заказчика аудит, интервал времени между уведомлением о проведении которого и его фактическим началом будет очень коротким, или провести аудит вообще без объявления (внезапно) в целях:

• исследования обоснованности жалоб;
• оценки степени влияния существенных изменений в системе менеджмента и в процессах организации;
• определения возможности восстановления сертификата после приостановки его действия.

Условия проведения таких аудитов описываются в договоре на сертификацию. При этом Орган по сертификации берет на себя обязательство уделить особое внимание вопросу назначения команды по аудиту, учитывая, что у Заказчика может не быть возможности опротестовать членов команды по аудиту.

В случае краткосрочного предварительного уведомления Орган по сертификации  запрашивает у организации необходимые документы, определяет объем трудозатрат на проведение аудита, элементы, которые должны быть проаудитированы, и состав команды.  Данная информация доводится до сведения Заказчика. Результаты аудитов с краткосрочным предварительным уведомлением документируются в отчете об аудите.

В том случае, когда Орган по сертификации решает провести в организации аудит без предварительного уведомления, трудоемкость (объем) аудита определяет руководитель Органа по сертификации. Аудитируемые элементы определяются на основании причин такого аудита. Результаты аудитов без предварительного уведомления документируются в отчете об аудите.

После утверждения отчетной документации Заказчик получает от Органа по сертификации отчет об аудите и, при необходимости, изменение к договору на сертификацию и измененный сертификат.