ISO 9001-audit: hvad sker der, trin for trin

En ISO 9001-audit er en uafhængig kontrol af, at dit kvalitetsstyringssystem lever op til standarden og fungerer i praksis. De fleste organisationer møder flere typer: deres egne interne audits, certificeringsaudit i to trin, og de opfølgnings- og recertificeringsaudits, der holder et certifikat i live. Denne vejledning gennemgår hver enkelt type, hvad en auditor ser på, hvordan fund vurderes, og hvordan du forbereder din første certificering.

Typer af ISO 9001-audit

• Intern audit. Din egen kontrol, som kræves i punkt 9.2. Du planlægger et program, auditerer dine processer op mod standarden og dine egne procedurer og handler på det, du finder. Et certificeringsorgan forventer at se mindst én gennemført intern auditcyklus, før det certificerer dig.
• Certificeringsaudit. Udføres af et akkrediteret certificeringsorgan i to trin. Trin 1 kontrollerer, om du er klar. Trin 2 kontrollerer, at systemet virker. Certifikatet kommer efter et vellykket trin 2.
• Opfølgningsaudit. Et kortere besøg i hvert af de to år efter certificeringen. Her stikprøves dele af systemet for at bekræfte, at det stadig vedligeholdes.
• Recertificeringsaudit. En mere omfattende audit, inden certifikatets treårige periode udløber. Den fornyer certifikatet for endnu en cyklus.
• Second-party audit. En kunde, der auditerer dig som leverandør. Det er ikke en certificering, men følger ofte samme logik. Se interne, eksterne og second-party audits.

Trin 1: gennemgang af, om du er klar

Trin 1 er en gennemgang af dokumentationen. Auditoren bekræfter, at dit kvalitetsstyringssystem findes på papir og dækker kravene i ISO 9001. Auditoren læser din kvalitetshåndbog eller en tilsvarende beskrivelse af omfanget, dine dokumenterede processer og strukturen i dine registreringer. Auditoren kontrollerer også, at du har defineret certificeringens omfang og fundet de processer, der ligger inden for det.

Auditoren leder efter huller, ikke efter perfektion. Forvent en liste over fund, som du skal lukke inden trin 2. Almindelige fund på trin 1 er et manglende program for intern audit, en ledelsens evaluering, der ikke er gennemført, eller mål, der er formuleret, men ikke kan måles. Trin 1 fastlægger også tidspunktet for trin 2, typisk nogle få uger til nogle få måneder senere.

Trin 2: certificeringsauditten

Trin 2 tester, om medarbejderne følger de processer, du har beskrevet. Auditoren interviewer folk på tværs af de funktioner, der er i omfanget, iagttager arbejdet og sporer registreringer tilbage til det krav, de opfylder. Auditoren tager stikprøver. Siger du, at du kalibrerer udstyr efter en fast plan, beder auditoren om kalibreringsregistreringerne og kontrollerer datoerne.

Sådan foregår selve auditdagen

En certificeringsaudit følger en offentliggjort plan. Den indledes med et kort møde, der bekræfter omfang, tidsplan og hvem auditoren skal tale med. Derefter arbejder auditoren planen igennem: interviewer folk i hver funktion i omfanget, observerer arbejdet og beder om de registreringer, der viser, at et krav er opfyldt. Forvent, at auditoren tager stikprøver frem for at læse alt, og at auditoren følger en tråd fra et krav til en procedure til en registrering og tilbage igen.

Auditoren noterer fund undervejs og fremlægger dem på et afsluttende møde. Har du stillet spørgsmål i løbet af dagen, bør intet på det afsluttende møde komme bag på dig. Inden mødet slutter, aftaler I fristen for at svare på eventuelle afvigelser.

Afvigelser, og hvordan du lukker dem

Fund vurderes efter alvor. En mindre afvigelse er et enkelt fejltrin: én proces, der ikke blev fulgt, én registrering, der mangler. En større afvigelse er et krav, der ikke er opfyldt, eller som systematisk ikke bliver overholdt, og den holder dit certifikat tilbage, indtil du retter op og dokumenterer det. Auditorer noterer også observationer og forbedringsmuligheder, som ikke kræver et formelt svar, men er værd at handle på.

At lukke en afvigelse kræver mere end at rette den enkelte sag. Certificeringsorganet forventer tre ting: korrektionen (hvad du gjorde ved denne sag), årsagen (hvorfor det skete) og den korrigerende handling (hvad der forhindrer, at det sker igen), med dokumentation for, at handlingen blev udført. Regn med mindst ét mindre fund ved en første audit. En ren første audit er sjælden.

Lav en gap-analyse først

Lav gap-analysen, inden du booker nogen af trinene. Tag hvert punkt i ISO 9001 fra punkt 4 til punkt 10 og noter tre ting: hvad punktet kræver, hvad du gør i dag, og forskellen. Giv hvert hul en ansvarlig og en dato. Det er det mest nyttige dokument, du kan lave, for det er det samme kort, auditoren bruger, blot lavet af dig først.

Vær opmærksom på de punkter, som førstegangscertificerende undervurderer. Punkt 6.1 om risici og muligheder kræver dokumentation for, hvordan du identificerer dem og handler på dem. Punkt 9 kræver en gennemført intern auditcyklus og mindst én ledelsens evaluering inden trin 2. Punkt 7.5 regulerer din dokumenterede information, herunder versionsstyring og opbevaring.

Se også vores oversigt over ISO 9001.

Tjekliste for dokumentation

Hav dette klar og opdateret inden trin 1:

• En beskrivelse af omfanget, der definerer, hvad kvalitetsstyringssystemet dækker.
• Kvalitetspolitik og målbare kvalitetsmål.
• Procesbeskrivelser for aktiviteterne i omfanget.
• Et register over risici og muligheder.
• Roller og ansvar.
• Procedure for dokument- og registreringsstyring, med versionshistorik.
• Program, tidsplan og rapporter for intern audit.
• Referat af ledelsens evaluering med input og output.
• Registreringer af korrigerende handlinger.
• Kompetence- og uddannelsesregistreringer for medarbejderne i omfanget.
• Styring af leverandører og outsourcede processer.
• Dokumentation for overvågning, måling og eventuel kalibrering.

Uddannelsesregistreringer er ofte den svageste mappe ved en første audit. Auditoren spørger, hvem der blev uddannet, i hvad og hvornår, og forventer dateret dokumentation. Saml den dokumentation ét sted, knyttet til hver rolle, så fjerner du en hel kategori af fund.

Efter certificeringen: opfølgning og recertificering

Et certifikat er ikke en engangsforeteelse. Det løber i tre år, med en opfølgningsaudit i hvert af de to mellemliggende år og en recertificeringsaudit, inden det udløber. Opfølgningsaudits tager stikprøver af systemet, så enhver proces kan komme op, og auditoren spørger, hvad der har ændret sig siden sidste besøg, og hvordan du lukkede de tidligere fund.

De organisationer, der synes opfølgning er let, er dem, der blev ved med at bruge systemet mellem besøgene: interne audits efter planen, ledelsens evalueringer afholdt, korrigerende handlinger lukket. Dem, der synes det er svært, brugte året efter certificeringen på ikke at kigge på det.

Sådan passer ComplyTrain ind

ComplyTrains kvalitetsstyringssystem er bygget op omkring ISO 9001, så dine dokumenter, dit program for intern audit, dine ledelsens evalueringer og dine uddannelsesregistreringer ligger i ét system i stedet for spredt ud over drev. Det holder styr på, hvor hver standard står, fra gap-analyse gennem trin 1 og trin 2 til opfølgning og recertificering, og lader dig give certificeringsorganet én samlet pakke med dokumentation. Hver kunde kører i en isoleret tenant (schema, bucket og user pool pr. tenant), hostet i EU på AWS eu-central-1 i Frankfurt. For at gøre det klart: ComplyTrain certificerer dig ikke. Det gør certificeringsorganet. Platformen hjælper dig med at producere og finde den dokumentation, de beder om.

Se, hvordan den kører et auditprogram, på siden om auditstyring, og book derefter en gennemgang med vores team for at planlægge din første audit.