Перечитав несколько раз сформулированное несоответствие, в качестве наиболее вероятного с моей точки зрения, я увидел в нем следующее.
Проанализировав программу внутренних аудитов (скорее всего, на текущий год), аудиторы обнаружили, что при ее разработке НЕ БЫЛ УЧТЕН ряд факторов, которые ДОЛЖНЫ были быть учтены. А именно: организация не смогла продемонстрировать, что в этой программе проведение внутренних аудитов «обычных» процессов и подразделений хоть ЧЕМ-ТО отличается от проведения внутреннего аудита процессов и подразделений, которые:
а) по результатам каких-то других проверок и/или анализов проявили себя не с лучшей стороны, т. е. к ним были предъявлены обоснованные претензии, либо
б) были признаны организацией особо важными.
Тем самым организация не смогла продемонстрировать, что при разработке своей программы внутренних аудитов она учла статус и важность процессов и областей, подлежащих аудиту, чего требуется в разд. 8.2.2 стандарта ISO 9001:2008 и в аналогичном разделе ГОСТ Р ИСО 9001–2008.
Для правильной оценки данной ситуации следует отталкиваться от смысла приведенного требования, который очевиден: при выявлении СЛАБЫХ или ОСОБО ВАЖНЫХ процессов и подразделений их очередной внутренний аудит должен проводиться с ПОВЫШЕННЫМ вниманием и с ОСОБОЙ ТЩАТЕЛЬНОСТЬЮ.
Это может быть реализовано разными способами, например путем:
Конечно, в стандарте НЕ УСТАНАВЛИВАЮТСЯ критерии «слабости» или «важности» процесса или подразделения, это право предоставляется самой организации. Это, безусловно, важный методический момент, но при этом не менее важно другое.
Содержание обсуждаемого требования из разд. 8.2.2 ОЧЕВИДНЫМ образом предполагает: КАЖДЫЙ РАЗ перед началом разработки программы внутренних аудитов организация с помощью СВОИХ критериев ДОЛЖНА установить, ИМЕЮТСЯ ЛИ у нее слабые и/или важные процессы и подразделения. И, если таковые в организации будут выявлены , УЧЕСТЬ должным образом этот их СТАТУС («слабость» и/или «важность») при разработке этой программы.
Как следует из смысла зафиксированного несоответствия:
а) аудиторы установили, что в организации ИМЕЛИСЬ процессы и подразделения, определенные ею как слабые и/или важные, при этом
б) к некоторым из них при планировании аудита ничего из вышеперечисленного (или чего-то аналогичного) при разработке программы внутреннего аудита организация НЕ СОБИРАЛАСЬ применять и НЕ ПРИМЕНЯЛА.
А это означает невыполнение требований разд. 8.2.2, что говорит об ОБОСНОВАННОСТИ претензий аудиторов третьей стороны.
Заключение. С учетом «реконструкции» наиболее вероятного развития событий, описанных в письме, считаю претензии аудиторов обоснованными. Организации следует:
1. В дополнение к описанным в письме критериям (возможно, расширив и/или уточнив их) установить в своем стандарте по проведению внутренних аудитов положения, определяющие:
а) порядок выявления на основе установленных критериев слабых и/или особо важных процессов и областей (подразделений), подлежащих аудиту;
б) конкретные дополнительные приемы, делающие проведение внутреннего аудита целевым (т. е. проводимым с повышенным вниманием и с особой тщательностью), например приемы, предложенные выше;
в) порядок выбора конкретного вида целевого аудита применительно к каждому из процессов и областей (подразделений), признанных слабыми или важными.
2. Провести ранжирование процессов и областей (подразделений), подлежащих аудиту, на основе установленных критериев и определить их статус.
3. Если в результате будут выявлены слабые и/или важные процессы (подразделения), пересмотреть программу внутренних аудитов, переведя внутренние аудиты этих процессов и областей (подразделений) из категории обычных аудитов в категорию «целевых».
4. Провести дополнительные «целевые» внутренние аудиты процессов и областей (подразделений), которые уже были проведены ранее без учета изменений, внесенных в программу аудитов в соответствии с предыдущим пунктом.
5. В дальнейшем при разработке программ внутренних аудитов следовать откорректированной процедуре.
Необходимое послесловие. Считаю, что в данной организации должны быть учтены и другие методические ошибки, проявившиеся в приведенной цитате. Первая из них касается той части высказанных организацией «доказательств» выполнения требований разд. 8.2.2, которые связаны с информацией, учитываемой при составлении программы внутренних аудитов.
Здесь организация осуществила прямую подмену желаемого действительным.
В представленной авторами письма цитате описаны критерии, по которым действительно можно (и целесообразно) проводить «взвешивание» процессов и подразделений на предмет оценки их «слабости» или «значимости». Но в ней НИЧЕГО не говорится ни о том, КАК эти критерии применять, ни о том (что для нас самое главное), КАК результаты этой оценки должны затем УЧИТЫВАТЬСЯ при разработке программ внутренних аудитов. На этот КЛЮЧЕВОЙ вопрос в процитированном отрывке никакого ответа не содержится, поэтому его в качестве аргумента в споре с аудиторами использовать нельзя.
Вторая группа ошибок связана с последним абзацем из процитированного отрывка.
Во-первых, содержание этого абзаца к рассматриваемой коллизии НИКАКОГО отношения НЕ ИМЕЕТ, поскольку учет результатов предыдущих аудитов является САМОСТОЯТЕЛЬНЫМ требованием, действующим в ДОПОЛНЕНИЕ к требованию учитывать статус и важность процессов и областей, подлежащих аудиту (см. разд. 8.2.2 стандарта ISO 9001:2008).
Во-вторых, фраза «Подразделения, в которых... включаются в программу аудита следующего года и их аудитпроводится по всем требованиям ГОСТ Р ИСО 9001, относящимся к их деятельности» означает, что при планировании программы внутренних аудитов:
а) в нее могут быть не включены какие-то подразделения, охваченные СМ К, например те, в которых не выявлено несоответствий или в которых число выявленных несоответствий — не самое большое;
б) внутренний аудит каких-то подразделений может предусматривать охват НЕ ВСЕХ требований, относящихся к их деятельности.
Из этого следует, что в данной организации при разработке программ внутренних аудитов ИЗНАЧАЛЬНО НЕ ПЛАНИРУЕТСЯ проведение ПОЛНОГО внутреннего аудита СМ К, который предусматривает проведение анализа соответствия ВСЕМ требованиям ISO 9001:2008 ВО ВСЕХ местах их применения. А без этого НЕВОЗМОЖНО сделать вывод о том, адекватна ли СМ К, без чего, в свою очередь, ее анализ со стороны высшего руководства будет НЕПОЛНЫМ.
Если все это действительно будет иметь место, то при очередном аудите третьей стороны должно быть расценено как несоответствие требованиям ISO 9001:2008. Подробное обоснование этого содержится в моей статье «Что такое «пригодность, достаточность и результативность СМК»?» (ММК, 2007, № 4).