Процессы проведения аудита

Первичная сертификация

Первичный сертификационный аудит проводится в два этапа (1-й этап аудита и 2-й этап аудита). При этом на 2-ом этапе осуществляется проверка всех применимых требований стандарта. 

На основании кодов экономической деятельности, присвоенных сертифицируемой организации, для проведения аудита формируется и утверждается команда по аудиту из числа признанных аудиторов, ведущих аудиторов и технических экспертов. Членами команды по аудиту не могут быть лица, осуществлявшие консультирование организации-заказчика в течение 2 лет до проведения соответствующего аудита, или имеющие с организацией-заказчиком конфликт интересов.

Заказчик получает информацию о сформированной команде по аудиту при направлении ему плана аудита и должен письменно подтвердить согласие с командой или направить в Орган по сертификации мотивированно обоснованные возражения, которые рассматривает Орган по сертификации и, при необходимости, принимает решение об изменении состава команды по аудиту и повторном согласовании ее с заказчиком.

Команда по аудиту получает уведомление об аудите, на основании которого руководителем команды разрабатываются планы аудита (вначале 1-го этапа аудита, затем – 2-го этапа), направляемые заказчику за две недели до начала каждого из этих аудитов на согласование.

На каждом аудите в общем случае анализу подлежит вся заявленная область применения.

Заблаговременно, до начала любого аудита руководитель команды по аудиту должен узнать у Заказчика необходимость наличия у членов команды по аудиту средств индивидуальной защиты или принятия других мер, обеспечивающих безопасность членов команды во время аудита, и, в соответствии с положениями договора на сертификацию, совместно с руководством Органа по сертификации и аудитируемой организации решить вопрос об обеспечении членов команды по аудиту такими средствами на все время проведения аудита.

Планирование 1-го и 2-го этапов сертификационного аудита

Минимальный интервал между 1-ым и 2-ым этапами аудита обычно должен составлять не менее 14 календарных дней и не может превышать 6 месяцев, в противном случае результаты 1-го этапа аудита аннулируются.

Если в результате 1-го этапа аудита потребуется внести изменения в сроки и содержание уже запланированного 2-го этапа аудита, то план 2-го этапа аудита должен быть по согласованию с Заказчиком соответствующим образом откорректирован. 

Проведение сертификационного аудита

Первоначальный сертификационный аудит проводится в два этапа.

В состав работ на 1-ом этапе сертификационного аудита входит:

• анализ документированной информации системы менеджмента Заказчика;
• оценка специфических условий, связанных с локациями заказчика, и проведение бесед с персоналом Заказчика для установления степени готовности ко 2-му этапу аудита;
• анализ состояния, в котором находится Заказчик, и понимания им требований стандарта, в особенности тех, которые относятся к идентификации ключевых видов деятельности или существенных аспектов, процессов и целей, а также к функционированию системы менеджмента;

• получение необходимой информации относительно области применения системы менеджмента, включая:
• удаленные локации;
• применяемые процессы и оборудование;
• уровень применяемых средств и методов управления (в особенности в случае Заказчиков, у которых несколько отдаленных обособленных подразделений и производственных площадок);
• применимые законодательные и нормативные требования;
• анализ наличия ресурсов, необходимых для проведения 2-го этапа аудита, и согласование с заказчиком деталей 2-го этапа аудита;

• обеспечение правильной расстановки акцентов при планировании 2-го этапа аудита на основе четкого понимания системы менеджмента заказчика и деятельности, осуществляемой на его производственных площадках, с точки зрения стандарта на систему менеджмента;
• оценка того, были ли запланированы и проведены внутренние аудиты системы менеджмента и анализы ее функционирования со стороны руководства и является ли степень внедрения системы менеджмента достаточной, чтобы считать Заказчика готовым к проведению 2-го этапа аудита;
• документирование несоответствий и указание на выявленные слабые места.

По решению Органа по сертификации 1-й этап аудита может проводиться с проведением части аудита с выездом «на место» либо полностью дистанционно с применением информационно-коммуникационных технологий.

В конце 1-го этапа аудита руководитель команды по аудиту дает оценку готовности организации к сертификации.

Результативность всех корректирующих действий по выявленным несоответствиям проверяется на 2-ом этапе сертификационного аудита.

Организация-заказчик получает отчет о 1-ом этапе аудита совместно с отчетом о проверке документации.  

Цель 2-го этапа сертификационного аудита – оценка функционирования, включая результативность, системы менеджмента Заказчика. Он должен проходить на территории Заказчика и включать аудитирование, как минимум, следующего:

• соответствия всем применимым требованиям стандарта на систему менеджмента и получение свидетельств этого соответствия;
• деятельности Заказчика по проведению мониторинга, измерений, ведению отчетности и проведению анализа ключевых показателей целей и задач (согласованных с ожиданиями применяемого стандарта на систему менеджмента);
• способности системы менеджмента Заказчика и показателей его деятельности обеспечивать соответствие применимым законодательным, нормативным и контрактным требованиям;
• управления Заказчиком своими процессами;
• проведения внутренних аудитов системы менеджмента и анализа ее функционирования со стороны руководства;
• ответственности руководства в отношении политик Заказчика;
• оценка результативности корректирующих действий в отношении несоответствий, выявленных в ходе 1-го этапа аудита.

По итогам 2-го этапа аудита Заказчик получает отчет об аудите.

Критические и некритические несоответствия, потенциал улучшений

Выявленные в ходе аудита несоответствия фиксируются в отчетах о несоответствиях и документируются в отчете об аудите.

Организация должна спланировать коррекцию, провести анализ причин и разработать корректирующие действия в отношении зафиксированных несоответствий в течение 2-х недель после аудита, отразить это в отчетах о несоответствиях и представить эти предложения руководителю команды по аудиту.

Руководитель команды по аудиту оценивает приемлемость коррекции, причин несоответствий и разработанных корректирующих действий и, при положительной оценке, подтверждает это своей подписью в отчетах о несоответствиях. При отрицательной оценке предложения организации с соответствующими комментариями направляются на доработку, для чего организации дается еще 2 недели. При нарушении первичных или дополнительных сроков представления заказчиком указанных предложений для критических несоответствий или окончательной отрицательной оценке адекватности этих предложений для всех видов несоответствий это приводит, в зависимости от вида аудита, к приостановке или невыдаче сертификата.

Руководитель команды по аудиту должен верифицировать и зафиксировать реализацию коррекции и корректирующих действий, а также их результативность.

При проведении анализа итоговых документов по аудиту на предмет оценки соответствия требованиям стандарта Орган по сертификации может пересмотреть классификацию несоответствий, сделанную командой по аудиту. В этом случае руководитель команды по аудиту информирует заказчика о пересмотре классификации несоответствий.

Критическим несоответствием является несоответствие, которое влияет на способность системы менеджмента получать намеченные результаты.

Несоответствие квалифицируется как критическое, если:

- отсутствует документированная информация, установленная стандартом в качестве обязательной;

- не выполнено требование стандарта, которое может быть проверено только на примере одного свидетельства;

- процесс, направленный на реализацию логически связанных и нацеленных на определенный результат требований стандарта, постоянно нерезультативен и организация не предоставила убедительных доказательств реализации мероприятий, направленных на повышение результативности процесса;

- система менеджмента постоянно (в течение последних 3-х лет) нерезультативна и организация не предоставила убедительных доказательств реализации мероприятий, направленных на повышение результативности системы;

- несколько (три и более) некритических несоответствий, относящихся к одному и тому же требованию или вопросу, указывают на их системный характер;

- некритическое несоответствие с предыдущего аудита выявлено повторно;

- коррекция и/или корректирующее действия в отношении несоответствия не были реализованы (критическое несоответствие относится к пункту стандарта по управлению корректирующими действиями);

- продукция или услуга постоянно (почти непрерывно) не соответствуют законодательным, нормативным правовым или договорным требованиям к качеству (при аудите системы менеджмента качества);

- продукция или услуга постоянно (почти непрерывно) не соответствуют законодательным, нормативным правовым или договорным экологическим требованиям (при аудите системы экологического менеджмента);

- выявлена прямая угроза для жизни или здоровья вследствие нарушения законодательных и нормативных правовых требований в области охраны труда (при аудите системы менеджмента охраны здоровья и обеспечения безопасности труда);

- сертификат и/или сертификационный знак используется с нарушением установленных Органом по сертификации правил его пользования.

Руководитель команды по аудиту определяет дальнейшие действия, необходимые для верификации согласованных мероприятий по коррекции и корректирующим действиям. Это может быть проверка посредством анализа предоставленной документации или проведением дополнительного аудита. Оценка результативности корректирующих действий проводится на следующем аудите.

Срок реализации мероприятий по коррекции и корректирующим действиям для критических несоответствий для 1-й и 2-й ступени сертификационного аудита, наблюдательного и расширительного аудита – максимум 6 месяцев с даты окончания соответствующего аудита. Срок реализации мероприятий по коррекции и корректирующим действиям для критических несоответствий при ресертификационном аудите (включая время, необходимое для их верификации) - до истечения срока действия сертификата.

Если срок превышен, результат проведенного аудита признается отрицательным и сертификат не выдается/аннулируется.

Решение о выдаче или продлении действия сертификата может быть принято только после того, как коррекции и корректирующие действия по всем критическим несоответствиям были проанализированы, признаны приемлемыми и верифицированы.

Несоответствие фиксируется как некритическое, если оно:

- не влияет негативно на способность системы менеджмента достигать намеченных результатов;

- не ведет к отказу системы менеджмента и не отражается на способности системы обеспечивать качество процессов и продукции;

- касается какой-то части документации системы менеджмента;

- отражает отдельные недостатки в приведении доказательств выполнения отдельного требования соответствующего стандарта / процесса / элемента.

При наличии только некритических несоответствий и приемлемости разработанных организацией коррекции и корректирующих действий команда по аудиту рекомендует Органу по сертификацию выдачу сертификата / продление срока действия сертификата.

Решение о выдаче или продлении действия сертификата может быть принято только после анализа того, что коррекции и корректирующие действия по всем некритическим несоответствиям были проанализированы и признаны приемлемыми.

Верификация коррекции и корректирующих действий, а также оценка их результативности осуществляются в ходе следующего аудита.

Возможности для улучшения могут быть выявлены командой по аудиту и зафиксированы в отчете об аудите. Вместе с тем, результаты аудита, которые являются несоответствиями, не могут быть зафиксированы в качестве возможностей для улучшений.

Высказанные командой по аудиту возможности для улучшения не являются для организации обязательными для исполнения.

Дополнительный аудит

Дополнительный аудит может проводиться при выявлении критических несоответствий, результативность устранения которых не может быть верифицирована только на основе анализа представленных Заказчиком документов и требует анализа состояния дел непосредственно на месте.

Решение о проведении дополнительного аудита принимает руководитель команды по аудиту.

Для проведения дополнительного аудита составляется план, предусматривающий анализ соответствия требованиям в отношении тех процессов (видов деятельности) и/или разделов/пунктов стандарта, по которым в предыдущем аудите были зафиксированы критические несоответствия. Сроки проведения дополнительного аудита согласовываются с Заказчиком.

Перед проведением дополнительного аудита организация должна предоставить в Орган по сертификации свидетельства реализации коррекции и корректирующих действий в отношении всех критических несоответствий.

Руководитель команды по аудиту составляет отчет о дополнительном аудите с оценкой результативности реализованных коррекций и корректирующих действий.

Сертификат может быть выдан только после завершения дополнительного аудита с положительным результатом и положительной оценкой результативности коррекций и корректирующих действий.

В случае выявления в ходе дополнительного аудита новых критических несоответствий сертификат не выдается или аннулируется. Новый дополнительный аудит не разрешен. Сертификация возможна только при оформлении нового заказа.

Надзорная деятельность

Надзорная деятельность со стороны Органа по сертификации за сертифицированной системой менеджмента включает:

• проведение наблюдательных аудитов «на месте», в ходе которых оценивается степень выполнения системой менеджмента сертифицированной организации требований стандарта(ов), на соответствие которому была проведена сертификация;
• запросы Органа по сертификации сертифицированной организации о различных аспектах, связанных с сертификацией, и анализ полученной информации;
• анализ заявлений организации относительно его деятельности (например, рекламных материалов, веб-сайтов);
• запросы Органа по сертификации сертифицированной организации о предоставлении документированной информации (на бумажном или электронном носителе).

Наблюдательные аудиты

Наблюдательные аудиты представляют из себя аудиты, проводимые «на месте», но не обязательно охватывающими всю систему менеджмента.

В ходе наблюдательного аудита проводится, как минимум, анализ:

• проведения внутренних аудитов системы менеджмента и анализа ее функционирования со стороны руководства;
• действий, предпринятых в отношении несоответствий, выявленных во время предыдущего аудита;
• обращений с претензиями;
• результативности системы менеджмента с точки зрения достижения целей сертифицированной организации и получения результатов, намеченных соответствующей системой(ами) менеджмента;
• хода реализации запланированной деятельности, нацеленной на постоянное улучшение;
• непрерывности управления операциями;
• всех изменений в организации и системе(ах) менеджмента;
• использования сертификата Органа по сертификации.

Наблюдательный аудит проводится, как минимум, один раз в календарном году, за исключением года повторного аудита. Дата первого наблюдательного аудита после первоначальной сертификации не может быть позже 12 месяцев с даты принятия решения о сертификации.

В течение одного календарного года не могут быть проведены два следующих друг за другом наблюдательных аудита.

Если плановый наблюдательный аудит в течение установленного срока не проводится, то сертификат приостанавливается или аннулируется. Для перенесения наблюдательного аудита на более поздние сроки требуется решение руководителя Органа по сертификации.

При необходимости сроки проведения наблюдательных аудитов можно скорректировать, чтобы приспособить их к таким факторам, как сезонность работ или проведение сертификации систем менеджмента в условиях ограничений на ее продолжительность (например, в случае временных строительных площадок).

Не позже чем за 1 месяца до наступления запланированного срока проведения наблюдательного аудита сертифицированному Заказчику направляют письмо с просьбой сообщить об изменениях, которые могут повлиять на сертификацию его системы менеджмента. 

Если у Заказчика произошли существенные изменения по сравнению с теми, которые учитывались при составлении существующей программы аудитов (например, изменилось количество сотрудников в сравнении с предыдущим аудитом, расширилась область применения, включены новые или исключены какие-то обособленные подразделения, возникли изменения в законодательстве и т.п.), то Орган по сертификации осуществляет соответствующую коррекцию существующей программы аудитов и информирует об этом Заказчика.

Распределение пунктов стандарта между двумя наблюдательными аудитами в течение одного сертификационного цикла осуществляется таким образом, чтобы по завершении 2-го наблюдательного аудита были проаудитированы все применимые требования стандарта. При этом для каждого стандарта установлены требования, которые должны подвергаться аудиту при каждом наблюдательном аудите.

По итогам наблюдательного аудита Заказчику направляется отчет об аудите.

Ресертификация

Ресертификация, включая принятие решения о сертификации, должна быть осуществлена до истечения срока действия сертификата. 

Примерно за 3 месяца до истечения срока действия сертификата у Заказчика запрашиваются актуальные данные, оформляемые им в виде новой заявки на сертификацию по соответствующей форме.  

На основе анализа актуальных сведений о Заказчике принимается соответствующее решение и, если проведение ресертификации представляется возможным, составляется новая программа аудитов для следующего 3-летнего цикла и вместе с новым проектом договора на сертификацию направляется Заказчику для подписания.

В общем, при проведении ресертификации можно не проводить 1-го этапа аудита. Однако, если в системе менеджмента, у Заказчика или в контексте (в условиях), в которых функционирует система менеджмента, произошли существенные изменения (например, изменения в законодательстве), то может потребоваться проведение 1-го этапа аудита.

Если Орган по сертификации не успевает завершить ресертификационный аудит или не способен верифицировать реализацию коррекций и корректирующих действий в отношении критических несоответствий до истечения срока действия сертификата, решение о ресертификации не может быть принято и признание у организации статуса сертифицированной организации продлено быть не может. В этом случае в течение 6 месяцев после истечения срока действия сертификата Орган по сертификации может восстановить признание у организации статуса сертифицированной организации при условии, что неосуществленная деятельность по ресертификации полностью завершена.

Повторный аудит

В ходе ресертификации при проведении аудита «на месте» анализируется следующее:

• результативность системы менеджмента в целом в свете внутренних и внешних изменений, а также то, насколько она продолжает быть подходящей и применимой к области сертификации;
• демонстрируемое выполнение обязательств по поддержанию результативности системы менеджмента и совершенствовании системы менеджмента в целях улучшения показателей деятельности организации в целом;
• результативность системы менеджмента в достижении целей сертифицированной организации и получении результатов, намеченных соответствующей системой(ами) менеджмента.

На ресертификационном аудите проверяются все применимые требования стандарта.

Использование компьютерных технологий при проведении аудитов

В отдельных случаях (например, при проверке документации, корректирующих действий, для проведения видеоконференций) по решению руководителя Органа по сертификации и по согласованию с Заказчиком допускается использование компьютерных технологий при проведении аудита.

Аудит временных локаций

При наличии временных локаций необходимость их посещения зависит от степени значимости этих локаций в отношении области сертификации.

Возможно добавление временных локаций в приложение к сертификату, если они были включены в программу аудита.  

Специальные аудиты

Расширительный аудит

Если в соответствии с заявкой сертифицированной организации требуется расширить уже сертифицированную область, это делается в рамках расширительного аудита. Расширительный аудит может быть проведен как вместе с наблюдательным аудитом или ресертификационным аудитом, так и отдельно от них в специально для него назначенные сроки.

Расширение области сертификации может включать в себя:

• расширение критериев для сертификации (сертификация еще по одному или нескольким стандартам);
• расширение области применения уже сертифицированной системы/систем менеджмента;
• существенные изменения в системе менеджмента, в том числе включение ранее неприменимых требований, например, деятельности по проектированию и разработке;
• включение новых локаций.

При этом у заказчика запрашивается и подвергается анализу информацию об изменениях и заново проводится калькулирование работ, включая, при необходимости, и последующие аудиты. Подготовленные изменения отражаются в соглашении на сертификацию и направляются заказчику.

Дополнительная сертификация еще одному стандарту

Калькулирование трудоемкости работ как при отдельной сертификации по новому стандарту, так и в ходе наблюдательного аудита, калькулируется по схеме первичной сертификации и основывается на количестве сотрудников, которые включены в систему менеджмента по новому стандарту, включая подготовку и проведение 1-й ступени аудита. Если речь идет об интегрированной системе менеджмента, то при калькулировании работ учитываются все сотрудники, охваченные интегрированной системой.

Расширение области применения

В случае проведения расширительного аудита автономно, он калькулируется по нормам ресертификационного аудита и не требует проведения 1-й ступени аудита. Для расчета берется численность производственного персонала в расширяемой области, а также высшего руководства и поддерживающего персонала.

При ее положительных итогах оформляется новый сертификат с указанием в нем дополнительной области применения и с сохранением срока действия предыдущего сертификата. Спланированный ранее режим проведения наблюдательных и ресертификационных аудитов не меняется, но уже с включением новой область применения. При увеличении численности сотрудников, охваченных системой менеджмента, проводится уточнение трудоемкости работ.

При совмещении расширительного аудита с наблюдательным аудитом (проведение так называемого наблюдательно-расширительного аудита):

• составляется единый план наблюдательно-расширительного аудита с суммарной трудоемкостью работ;
• составляется единый отчет об аудите с расширенной областью применения;
• при отрицательных итогах сертификации в расширяемой области действующий сертификат сохраняется в силе.

Существенные изменения в системе менеджмента

Существенные изменения в системе менеджмента могут повлечь увеличение трудоемкости работ, например, если в систему менеджмента будет включены не применявшиеся ранее требования стандарта (например, относящиеся к проектированию и разработке). В этом случае трудозатраты рассчитываются заново в соответствии с правилами калькулирования работ по стандарту.

При сокращении числа проверяемых требований трудоемкость может сократиться в зависимости от правил калькулирования работ по стандарту.

Включение новых локаций

Уточнение трудоемкости и планирование работ при включении в систему менеджмента новых локаций осуществляется в соответствии с положениями процедуры о сертификации организаций с несколькими обособленными подразделениями.

Аудиты с краткосрочным предварительным уведомлением и аудиты без предварительного уведомления

У Органа по сертификации может возникнуть необходимость провести у сертифицированных заказчиков аудиты, интервал времени между уведомлением о проведении которых и их фактическим началом будет очень коротким, или провести аудиты вообще без объявления (внезапно) в целях:

• исследования обоснованности жалоб;
• оценки степени влияния существенных изменений в системе менеджмента и в процессах организации;
• определения возможности восстановления сертификата после приостановки его действия.

Условия проведения таких аудитов описываются в соглашении на сертификацию. При этом Орган по сертификации берет на себя обязательство уделить особое внимание вопросу назначения команды по аудиту, учитывая, что у заказчика может не быть возможности опротестовать членов команды по аудиту.

В случае проведения аудита с краткосрочным предварительным уведомлением Орган по сертификации запрашивает у организации необходимые документы, определяет объем трудозатрат на проведение аудита, элементы, которые должны быть проаудитированы, и состав команды. Результаты аудита с краткосрочным предварительным уведомлением документируются в отчете об аудите.

В том случае, когда Орган по сертификации решает провести в организации аудит без предварительного уведомления, трудоемкость (объем) аудита определяет руководитель Органа по сертификации. Аудитируемые элементы определяются на основании причин такого аудита.

Результаты аудитов без предварительного уведомления документируются в отчете об аудите.

После утверждения отчетной документации заказчик получает от Органа по сертификации отчет об аудите и, при необходимости, изменение к соглашению на сертификацию и измененный сертификат.