Аудит ISO 9001: що відбувається на кожному етапі

Аудит ISO 9001 - це незалежна перевірка того, чи відповідає ваша система управління якістю стандарту і чи працює вона на практиці. Більшість організацій проходять кілька видів аудиту: власні внутрішні, двоетапний сертифікаційний, а також наглядові й ресертифікаційні, які підтримують чинність сертифіката. У цьому матеріалі ми пояснюємо кожен із них: що перевіряє аудитор, як класифікують невідповідності і як підготуватися до першої сертифікації.

Види аудиту ISO 9001

• Внутрішній аудит. Ваша власна перевірка, якої вимагає пункт 9.2. Ви складаєте програму, перевіряєте свої процеси на відповідність стандарту і власним процедурам, а потім реагуєте на виявлене. Орган із сертифікації очікує побачити щонайменше один завершений цикл внутрішнього аудиту, перш ніж вас сертифікувати.
• Сертифікаційний аудит. Його проводить акредитований орган із сертифікації у два етапи. Етап 1 перевіряє готовність, етап 2 - чи працює система. Після успішного етапу 2 видають сертифікат.
• Наглядовий аудит. Коротший візит у кожному з двох років після сертифікації. Аудитор вибірково перевіряє частини системи, щоб підтвердити, що її й далі підтримують.
• Ресертифікаційний аудит. Ґрунтовніша перевірка перед завершенням трирічного строку сертифіката, яка поновлює його на наступний цикл.
• Аудит другою стороною. Замовник перевіряє вас як постачальника. Це не сертифікація, але логіка часто та сама. Див. внутрішні, зовнішні аудити та аудити другою стороною.

Етап 1: перевірка готовності

Етап 1 - це перевірка документації. Аудитор підтверджує, що ваша СУЯ існує на папері і охоплює вимоги ISO 9001. Він читає вашу настанову з якості або рівнозначну заяву про сферу застосування, ваші задокументовані процеси і структуру записів. Аудитор також перевіряє, чи ви визначили сферу сертифікації і чи виокремили процеси, які до неї входять.

Аудитор шукає прогалини, а не досконалість. Очікуйте, що він перелічить невідповідності, які потрібно усунути до етапу 2. Типові знахідки на етапі 1: відсутня програма внутрішнього аудиту, незавершений аналіз з боку керівництва або цілі, які задекларовані, але їх не можна виміряти. На етапі 1 також узгоджують дату етапу 2 - зазвичай через кілька тижнів або місяців.

Етап 2: сертифікаційний аудит

Етап 2 перевіряє, чи працівники дотримуються задокументованих процесів. Аудитор спілкується з людьми з підрозділів, що входять до сфери, спостерігає за роботою і простежує записи до вимоги, якій вони відповідають. Перевірка вибіркова. Якщо ви заявляєте, що калібруєте обладнання за графіком, аудитор попросить записи про калібрування і звірить дати.

Що відбувається в день аудиту

Сертифікаційний аудит проходить за оприлюдненим планом. Він починається з короткої зустрічі, на якій узгоджують сферу, час і перелік людей, з якими спілкуватиметься аудитор. Далі аудитор працює за планом: спілкується з людьми в кожному підрозділі зі сфери аудиту, спостерігає за роботою і просить записи, що підтверджують виконання вимоги. Очікуйте, що він перевірятиме вибірково, а не читатиме все, і простежуватиме ланцюжок від вимоги до процедури, від процедури до запису і назад.

Аудитор фіксує знахідки по ходу і подає їх на заключній зустрічі. Якщо ви ставили запитання протягом дня, на цій зустрічі не має бути несподіванок. До її завершення узгодьте строк відповіді на будь-які невідповідності.

Невідповідності та як їх закрити

Знахідки класифікують. Незначна невідповідність - це поодинокий недогляд: один процес не виконано, один запис відсутній. Значна невідповідність - це вимога, яку не виконують зовсім або систематично. Вона затримає ваш сертифікат, доки ви її не виправите і не надасте докази. Аудитори також фіксують спостереження і можливості для покращення: формальної відповіді вони не потребують, але на них варто зважати.

Закрити невідповідність - це більше, ніж усунути окремий випадок. Орган із сертифікації очікує три речі: корекцію (що ви зробили в цьому випадку), корінну причину (чому це сталося) і коригувальну дію (що не дасть цьому повторитися), з доказами, що дію виконано. Розраховуйте щонайменше на одну незначну знахідку на першому аудиті. Бездоганний перший аудит - рідкість.

Спершу проведіть аналіз прогалин

Проведіть аналіз прогалин, перш ніж бронювати будь-який з етапів. Візьміть кожен пункт ISO 9001 від пункту 4 до пункту 10 і зафіксуйте три речі: що вимагає пункт, що ви робите зараз і в чому різниця. Призначте для кожної прогалини відповідального і дату. Це найкорисніший документ, який ви можете підготувати, бо це та сама карта, якою користується аудитор, тільки складена вами наперед.

Зверніть увагу на пункти, які новачки недооцінюють. Пункт 6.1 про ризики і можливості потребує доказів того, як ви їх виявляєте і як на них реагуєте. Пункт 9 вимагає завершеного циклу внутрішнього аудиту і щонайменше одного аналізу з боку керівництва до етапу 2. Пункт 7.5 регулює вашу задокументовану інформацію, зокрема контроль версій і зберігання.

Перегляньте також наш огляд ISO 9001.

Контрольний список документації

Підготуйте ці документи в актуальному вигляді до етапу 1:

• Заяву про сферу застосування, що визначає, на що поширюється СУЯ.
• Політику якості і вимірювані цілі у сфері якості.
• Описи процесів для видів діяльності зі сфери застосування.
• Реєстр ризиків і можливостей.
• Ролі та обов'язки.
• Процедуру контролю документів і записів з історією версій.
• Програму, графік і звіти внутрішнього аудиту.
• Протоколи аналізу з боку керівництва із вхідними та вихідними даними.
• Записи про коригувальні дії.
• Записи про компетентність і навчання працівників зі сфери застосування.
• Засоби контролю за постачальниками і переданими на аутсорс процесами.
• Докази моніторингу, вимірювання і будь-якого калібрування.

Записи про навчання часто найслабша папка на першому аудиті. Аудитор запитає, кого навчали, чого і коли, і чекатиме доказів із датами. Якщо тримати ці докази в одному місці, прив'язаними до кожної ролі, ви прибираєте цілу категорію знахідок.

Після сертифікації: нагляд і ресертифікація

Сертифікат не разова подія. Він діє три роки: у кожному з двох проміжних років проводять наглядовий аудит, а перед завершенням строку - ресертифікаційний. Наглядові аудити перевіряють систему вибірково, тож у поле зору може потрапити будь-який процес, а аудитор запитає, що змінилося з попереднього візиту і як ви закрили попередні знахідки.

Нагляд легко дається тим організаціям, які підтримували роботу системи між візитами: внутрішні аудити за графіком, проведені аналізи з боку керівництва, закриті коригувальні дії. Важко тим, хто рік після сертифікації до системи не повертався.

Чим допомагає ComplyTrain

СУЯ у ComplyTrain побудована за структурою ISO 9001, тож ваші документи, програма внутрішнього аудиту, аналізи з боку керівництва і записи про навчання зберігаються в одній системі, а не розкидані по дисках. Система відстежує стан кожного стандарту від аналізу прогалин через етапи 1 і 2 до нагляду і ресертифікації і дає змогу передати органу із сертифікації один впорядкований пакет доказів. Кожен замовник працює в ізольованому середовищі (окрема схема, бакет і пул користувачів на кожного клієнта), розміщеному в ЄС на AWS eu-central-1 у Франкфурті. Зауважте: використання ComplyTrain не сертифікує вас. Це робить орган із сертифікації. Платформа допомагає підготувати і надати докази, яких він вимагає.

Подивіться, як вона керує програмою аудиту, на сторінці управління аудитами, а потім забронюйте демонстрацію з нашою командою, щоб спланувати ваш перший аудит.