Ресертификационный аудит

Ресертификационный аудит — это процедура периодической оценки системы менеджмента организации (например, системы менеджмента качества, экологического менеджмента, менеджмента информационной безопасности) на соответствие требованиям определённого стандарта (ISO 9001, ISO 14001, ISO 27001 и др.), проводимая органом по сертификации с целью подтверждения действия ранее выданного сертификата соответствия. Ресертификационный аудит является обязательным этапом в цикле сертификации, который следует за первичным (сертификационным) аудитом и последующими инспекционными (надзорными) аудитами.

Цели и задачи

Основная цель ресертификационного аудита — подтверждение того, что система менеджмента организации продолжает соответствовать требованиям стандарта, эффективно функционирует и постоянно улучшается. В отличие от инспекционных аудитов, которые проводятся ежегодно (или с иной периодичностью, установленной схемой сертификации) и носят, как правило, выборочный характер, ресертификационный аудит является более глубоким и всесторонним. Он призван оценить не только текущее состояние системы, но и её способность обеспечивать стабильные результаты в долгосрочной перспективе.

Ключевые задачи ресертификационного аудита включают:

• оценку результативности системы менеджмента за весь период действия сертификата (обычно три года);
• проверку выполнения корректирующих и предупреждающих действий по результатам предыдущих аудитов;
• анализ изменений в организации (внутренних и внешних), которые могли повлиять на систему менеджмента;
• оценку выполнения политики и достижения целей в области качества, экологии, информационной безопасности и т.д.;
• подтверждение соответствия деятельности организации требованиям законодательства, в том числе в области охраны труда, промышленной безопасности и экологии.

Периодичность и сроки

Ресертификационный аудит проводится до истечения срока действия сертификата. В соответствии с международными правилами (например, требованиями IAF MD 2 — документ Международного форума по аккредитации), ресертификационный аудит должен быть завершён до даты истечения срока действия сертификата. Если аудит завершён после этой даты, сертификат может быть аннулирован, и для его восстановления потребуется проведение полного первичного аудита.

Типичный цикл сертификации составляет три года. В течение этого периода проводятся:

• сертификационный аудит (первичный);
• инспекционные аудиты (обычно ежегодно, на 1-м и 2-м году);
• ресертификационный аудит (на 3-м году, до истечения срока сертификата).

В некоторых схемах сертификации (например, для систем менеджмента безопасности пищевой продукции по стандарту ISO 22000) периодичность может быть иной, но общий принцип сохраняется.

Этапы проведения

Ресертификационный аудит, как и любой другой аудит системы менеджмента, состоит из нескольких последовательных этапов.

Планирование

Орган по сертификации на основе анализа информации о деятельности организации (результатов предыдущих аудитов, жалоб, изменений в законодательстве) разрабатывает план аудита. В плане указываются:

• цели и объём аудита;
• критерии аудита (требования стандарта, внутренние документы организации);
• даты и продолжительность аудита;
• состав аудиторской группы;
• проверяемые подразделения и процессы.

Проведение аудита на месте

Аудит проводится непосредственно на территории организации. Он включает:

• Вводное совещание — представление аудиторской группы, подтверждение плана, обсуждение процедур.
• Сбор и проверка информации — аудиторы изучают документацию (политики, процедуры, записи), проводят интервью с персоналом, наблюдают за выполнением процессов, осматривают производственные и офисные помещения.
• Формирование выводов — на основе собранных доказательств аудиторы определяют, соответствуют ли проверяемые процессы требованиям стандарта. Выявляются несоответствия (критические, значительные, малозначительные) и возможности для улучшения.
• Заключительное совещание — аудиторская группа представляет руководству организации предварительные результаты аудита, включая перечень выявленных несоответствий.

Анализ результатов и принятие решения

После завершения аудита на месте орган по сертификации анализирует все полученные данные. Если выявлены значительные несоответствия, организация должна разработать и реализовать корректирующие действия в установленный срок (обычно 30–90 дней). После проверки выполнения этих действий (документальной или на месте) принимается решение о подтверждении сертификата.

Выдача нового сертификата

При положительном решении орган по сертификации выдаёт новый сертификат соответствия сроком на три года. В некоторых случаях (например, при незначительных несоответствиях, не влияющих на результативность системы) сертификат может быть продлён без выдачи нового бланка, но с внесением соответствующей записи в реестр.

Особенности и отличия от других видов аудита

Ресертификационный аудит имеет ряд отличий от первичного и инспекционного аудитов.

• От первичного аудита — ресертификационный аудит проводится на основе уже функционирующей системы менеджмента. Аудиторы обладают информацией о предыдущих проверках, что позволяет им сосредоточиться на оценке динамики изменений и результативности улучшений. Первичный аудит, напротив, начинается с нуля и требует более детальной проверки всей документации и процессов.
• От инспекционного аудита — инспекционный аудит, как правило, охватывает лишь часть системы менеджмента (выборочно процессы или подразделения). Ресертификационный аудит является более полным и всесторонним, он должен подтвердить, что система в целом сохраняет свою работоспособность и соответствие требованиям стандарта. В ходе ресертификационного аудита обязательно проверяются все элементы системы, которые не были охвачены инспекционными аудитами за предыдущий период.

Значение для организации

Прохождение ресертификационного аудита имеет для организации несколько важных аспектов.

• Подтверждение соответствия — сертификат является документальным свидетельством того, что система менеджмента организации соответствует международным или национальным стандартам. Это необходимо для участия в тендерах, заключения контрактов с крупными заказчиками, выхода на международные рынки.
• Повышение доверия — наличие действующего сертификата повышает доверие со стороны потребителей, партнёров, контролирующих органов и инвесторов.
• Стимулирование улучшений — подготовка к ресертификационному аудиту и сам аудит выявляют слабые места в системе менеджмента, что побуждает организацию к их устранению и постоянному совершенствованию.
• Соблюдение законодательства — в некоторых отраслях (например, в нефтегазовой, химической, атомной промышленности) наличие сертифицированной системы менеджмента является обязательным требованием лицензий или разрешений.

Критика и ограничения

Несмотря на широкое распространение, ресертификационный аудит подвергается критике. Основные замечания связаны с тем, что процедура может носить формальный характер, особенно если орган по сертификации заинтересован в сохранении клиента и не предъявляет жёстких требований. Также отмечается, что подготовка к аудиту отвлекает значительные ресурсы организации (время персонала, финансовые затраты) от основной деятельности. Кроме того, некоторые организации воспринимают ресертификацию как рутинную обязанность, а не как инструмент для реального улучшения.

Источники

• ISO 19011:2018 «Руководящие указания по аудиту систем менеджмента»
• IAF MD 2:2017 «Mandatory Document for the Transfer of Accredited Certification of Management Systems»
• ГОСТ Р ИСО 9001-2015 «Системы менеджмента качества. Требования»
• ГОСТ Р ИСО 14001-2016 «Системы экологического менеджмента. Требования с руководством по применению»
• «Аудит систем менеджмента» / под ред. В. А. Качалова — М.: Издательство «Дело и Сервис», 2019