"ГОСТ Р 54318-2021. Национальный стандарт Российской Федерации. Определение времени аудита системы менеджмента качества, системы экологического менеджмента, а также системы менеджмента охраны здоровья и безопасности труда"
(утв. и введен в действие Приказом Росстандарта от 27.04.2021 N 292-ст)

1 ПОДГОТОВЛЕН Федеральным автономным учреждением "Национальный институт аккредитации" (ФАУ НИА) на основе собственного перевода на русский язык англоязычной версии документа, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 079 "Оценка соответствия"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 27 апреля 2021 г. N 292-ст

4 Настоящий стандарт идентичен международному документу IAF MD 5:2019 "Обязательный документ IAF по применению ИСО/МЭК 17021-1 при определении времени аудита системы менеджмента качества, системы экологического менеджмента, а также системы менеджмента охраны здоровья и безопасности труда" (IAF MD 5:2019 "Mandatory Document for the Application of ISO/IEC 17021-1 for Determination of audit time of quality, environmental, and occupational health & safety management systems", IDT)

5 ВЗАМЕН ГОСТ Р 54318-2011

Международный форум по аккредитации (International Accreditation Forum, Inc. [IAF]) способствует торговле и оказывает поддержку регулирующим органам за счет международной системы взаимного признания среди органов по аккредитации (ОА), практикуемой для обеспечения всемирного признания результатов, выданных органами по оценке соответствия (ООС), которые имеют аккредитацию членов IAF.

Аккредитация снижает уровень риска для бизнеса и его клиентов, гарантируя им, что аккредитованные органы по оценке соответствия (ООС) компетентны в выполняемой ими деятельности в рамках своей области аккредитации. Органы по аккредитации (ОА), которые являются членами IAF, и аккредитованные ими органы по оценке соответствия (ООС) должны соблюдать требования соответствующих международных стандартов и применимых обязательных документов IAF для последовательного применения этих стандартов.

Органы по аккредитации, являющиеся членами Многостороннего соглашения о признании IAF (MLA), регулярно проходят равноправную оценку назначенной группой экспертов, чтобы гарантировать уверенность в функционировании их программ аккредитации. Структура и область IAF MLA подробно описаны в документе IAF PR 4 "Структура IAF MLA и перечень одобренных нормативных документов".

IAF MLA структурировано по 5 уровням. Уровень 1 устанавливает обязательные критерии, применимые ко всем ОА, ИСО/МЭК 17011. Сочетание видов деятельности уровня 2 и соответствующих нормативных документов уровня 3 является основной областью MLA, а сочетание соответствующих нормативных документов уровня 4 (если применимо) и уровня 5 представляет собой подобласть MLA.

- Основная область MLA включает в себя такие виды деятельности, как сертификация продукции, и соответствующие обязательные документы, например ИСО/МЭК 17065. Аттестации, проведенные ООС на уровне основной области, считаются одинаково надежными.

- Подобласть MLA включает в себя требования к оценке соответствия, например, ИСО 9001 и специальные требования схемы, где применимо, например, ISO TS 22003. Аттестации, проведенные ООС на уровне подобласти, считаются эквивалентными.

IAF MLA предоставляет уверенность, необходимую для признания результатов оценки соответствия на рынке. Аттестация, выданная в рамках области IAF MLA органом, аккредитованным органами по аккредитации, являющимися участниками IAF MLA, может иметь мировое признание, что таким образом способствует развитию международной торговли.

Настоящий стандарт является обязательным к постоянному применению соответствующих пунктов ИСО/МЭК 17021-1 для определения времени аудита системы менеджмента качества (СМК), системы экологического менеджмента (СЭМ), а также системы менеджмента охраны здоровья и безопасности труда (СМБТиОЗ). Все пункты стандарта ИСО/МЭК 17021-1 остаются в силе, при этом настоящий стандарт не заменяет собой требования указанного стандарта. Хотя численность персонала (штатного, временного и внештатного) организации заказчика рассматривается как отправная точка при определении времени аудита систем менеджмента, это не единственный предмет рассмотрения, также необходимо учитывать и другие влияющие на время аудита факторы, включая перечисленные в ИСО/МЭК 17021-1.

Корректное определение времени аудита первоначальной сертификации (этап 1 + этап 2) является неотъемлемой частью анализа заявки любой организации-клиента.

Настоящий стандарт обеспечивает орган по оценке соответствия (ООС) обязательными положениями и руководством для того, чтобы они разрабатывали свои собственные документированные процедуры по определению времени аудита клиентов разных размеров и сложности, занятых во всех сферах деятельности. Предполагается, что это приведет к согласованности определения времени аудита как между ООС, так и между похожими клиентами одного и того же ООС. ООС должны определять время 1-го этапа и 2-го этапа первоначального аудита, надзорных аудитов и ресертификационных аудитов для каждого заявителя и сертифицированного клиента.

Настоящий стандарт определяет рамки, которые будут использованы в процессах ООС для определения соответствующего времени аудита систем менеджмента с учетом особенностей клиента, подлежащего аудиту.

Несмотря на то что настоящий стандарт разработан для сертификации СЭМ/СМК/СМБТиОЗ, некоторые его элементы могут быть использованы для других схем сертификации, основанных на ИСО/МЭК 17021-1. Примерами таких элементов являются продолжительность времени аудита или день аудита и эффективный персонал.

Независимо от руководств, предоставляемых настоящим стандартом, время, отведенное на проведение конкретного аудита, должно являться достаточным для планирования и проведения полного и результативного аудита системы менеджмента клиента.

В настоящем стандарте используются следующие термины к обязательным документам IAF:

"следует" - использован, чтобы указать признанные методы выполнения требований стандарта. ООС может удовлетворять этим требованиям равноценным способом при условии, что это может быть продемонстрировано органу по аккредитации;

"должен" - использован в стандарте, чтобы указать те положения, которые, отражая требования стандарта, являются обязательными.

Настоящий стандарт устанавливает требования к времени аудита систем менеджмента качества и систем экологического менеджмента, а также систем менеджмента охраны здоровья и безопасности труда с целью единообразного подхода органов по сертификации к применению ИСО/МЭК 17021 в части требований к установлению времени, необходимого для планирования, а также полного и результативного завершения аудита системы менеджмента заказчика.

Стандарт предназначен для применения органами по сертификации систем менеджмента качества и систем экологического менеджмента, системы менеджмента охраны здоровья и безопасности труда, органами по аккредитации, организациями, претендующими на получение сертификатов соответствия систем менеджмента, организациями - держателями сертификатов соответствия.

Стандарт не устанавливает минимальной или максимальной продолжительности сертификации, а формирует основу для расчета, которая должна быть использована органами по сертификации при составлении внутренних документированных процедур для определения соответствующего времени проведения аудита с учетом специфики проверяемой организации.

В настоящем стандарте использована нормативная ссылка на следующий документ. Для датированных ссылок применяют только указанное издание ссылочного документа, для недатированных - последнее издание (включая все изменения).

IAF MD 5:2019, Determination of audit time of quality, environmental, and occupational health & safety management systems (Определение времени аудита системы менеджмента качества, системы экологического менеджмента, а также системы менеджмента охраны здоровья и безопасности труда).

Для целей настоящего стандарта используют следующие определения:

3.1 схема сертификации систем менеджмента (management systems certification scheme): Система оценки соответствия, относящаяся к системам менеджмента, применительно к которым установлены одинаковые требования, определенные правила и процессы.

3.2 организация-клиент (client organization): Юридическое лицо или определенная часть юридического лица, действующие в системе менеджмента.

3.3 постоянное место (permanent site): Местонахождение (физическое или виртуальное), где организация-клиент (3.2) осуществляет работы или оказывает услуги на постоянной основе.

3.4 виртуальное место (virtual site): Виртуальное место расположения организации, где организация клиента выполняет работу или предоставляет услуги, используя интерактивную (онлайн) среду, которая позволяет осуществлять работу независимо от фактического местоположения.

Примечания

1 Виртуальное место не принимается во внимание в том случае, если процессы должны выполняться в физической среде (например, складирование, производство, физические испытательные лаборатории, установка или ремонт физической продукции).

2 Виртуальное место (например, сеть "Интернет" компании) считается одним местом при определении времени аудита.

3.5 временное место (temporary site): Месторасположение (физическое или виртуальное), где организация-клиент (3.2) осуществляет определенные работы или оказывает услуги на временной основе и которое не предназначено для использования в качестве постоянного места (3.3).

3.6 время аудита (audit time): Время, необходимое для планирования и проведения полного и результативного аудита системы менеджмента организации-клиента.

[ИСО/МЭК 17021-1, 3.16, измененный]

3.7 продолжительность сертификационных аудитов систем менеджмента (duration of management system certification audits): Часть времени аудита (3.6), затрачиваемого на осуществление деятельности по аудиту от вступительного совещания до заключительного совещания включительно.

Примечание - Деятельность по аудиту, как правило, включает в себя:

- проведение вступительного совещания;

- осуществление анализа документов в ходе проведения аудита;

- обмен информацией в ходе аудита;

- распределение обязанностей и ответственности сопровождающих и наблюдателей;

- сбор и верифицирование информации;

- формирование результатов обнаружений аудита;

- подготовку заключений по аудиту;

- проведение заключительного совещания.

3.8 день аудита (audit day): Продолжительность дня аудита обычно составляет 8 ч и может (или не может) включать перерыв на обед в зависимости от местного законодательства.

3.9 эффективная численность персонала (effective number of personnel): Эффективная численность персонала состоит из всего персонала (постоянного, временного и занятого на неполный рабочий день), охваченного областью сертификации, включая работающих каждую смену. При условии включения в область сертификации также непостоянного персонала (например, подрядчиков).

Для СМБТиОЗ эффективная численность персонала должна также включать персонал подрядчиков и субподрядчиков, выполняющий работу или связанную с деятельностью, которая находится под контролем организации, что может повлиять на результаты деятельности организации в СМБТиОЗ.

Для подсчета эффективной численности персонала см. 4.3.

3.10 категории риска (только для СМК) (risk category (QMS only): Для СМК положения, указанные в настоящем стандарте, основаны на трех категориях в зависимости от рисков выпуска продукции или оказания услуги клиентам организации. Эти категории могут быть рассмотрены как высокий, средний и низкий риск. Деятельность, относящаяся к высоким рискам (например, ядерная и пищевая промышленности, медицина, фармацевтика, строительство), обычно требует больше времени на аудит. Деятельность, относящаяся к средним рискам (например, несложное производство), вероятнее всего, потребует среднее количество времени на проведение результативного аудита, а деятельность, относящаяся к низким рискам, - меньше всего времени (см. приложение A, таблица СМК - 2).

3.11 категория сложности (только для СЭМ) (complexity category (EMS only): В отношении систем экологического менеджмента, положения, указанные в настоящем стандарте, основаны на пяти основных категориях сложности по количеству и значимости экологических аспектов организации, которые существенно влияют на время аудита (см. приложение B, таблица СЭМ - 2).

3.12 категория сложности (только для СМБТиОЗ) (complexity category (OH&SMS only): В отношении СМБТиОЗ положения, указанные в настоящем стандарте, основаны на трех категориях сложности, основанных на типе, количестве и значимости рисков в области БТиОЗ для организации, которые существенно влияют на время аудита (см. приложение C, таблица СМБТиОЗ).

4.1.1 Время аудита для всех типов аудиторских проверок включает в себя общее время, проведенное на месте организации клиента (фактической или виртуальной) (3.7), и время, проведенное вне места при планировании, анализе документов, взаимодействии с персоналом клиента и написании отчета.

4.1.2 Продолжительность сертификационного аудита систем менеджмента (3.7), как правило, не должна составлять менее 80% времени аудита, подсчитанного согласно методологии, приведенной в разделе 5. Это относится к первоначальному, надзорному и ресертификационному аудитам.

4.1.3 Время в пути (в дороге или между местами), а также какие-либо перерывы не включаются в продолжительность сертификационных аудитов систем менеджмента на месте.

Примечание - См. 3.8. Может существовать местное законодательство, требующее включения перерывов на обед.

4.2.1 В таблицах СМК - 1, СЭМ - 1 и СМБТиОЗ представлено среднее время аудита сертификационных аудитов систем менеджмента, рассчитываемое в аудито-днях. Может потребоваться корректировка количества дней для обеспечения соответствия действующему законодательству относительно количества времени на проезд, обеденные перерывы и рабочие часы, для достижения того же самого общего количества дней проведения аудита, как указано в таблицах СМК - 1, СЭМ - 1 и СМБТиОЗ - 1.

4.2.2 Количество рассчитанных аудито-дней на этапе планирования не допускается уменьшать за счет увеличения длительности рабочего дня аудитора. Для осуществления результативного аудита возможно осуществление деятельности посменно, что может потребовать увеличения продолжительности рабочего дня.

4.2.3 Если в результате расчета получается десятичное число, количество дней необходимо округлить до ближайшей половины рабочего дня (например, 5,3 аудито-дня округлять до 5,5; 5,2 аудито-дня округлять до 5 аудито-дней).

4.2.4 Чтобы обеспечить результативность аудита, ООС должен также учитывать состав и размер аудиторской группы (например, 1/2 дня при работе 2 аудиторов может быть не настолько результативной, как один аудито-день при работе 1 аудитора; а 1 аудито-день при работе одного ведущего аудитора и одного технического эксперта результативнее, чем 1 аудито-день без участия технического эксперта).

Примечания

1 ОА могут потребовать от ООС демонстрации того, что среднее время аудита указанных клиентов не отличается значительно в большую или меньшую сторону от времени аудита, подсчитанного согласно таблицам СМК - 1, СЭМ - 1 и СМБТиОЗ - 1.

2 Среднее значение времени аудита клиентов, преимущественно работающих в областях промышленности с высоким уровнем риска или сложности, скорее всего будет выше, чем отражено в таблицах; а среднее значение времени аудита клиентов, преимущественно работающих в областях промышленности с низким уровнем риска, скорее всего будет ниже, чем отражено в таблицах.

4.3.1 Эффективная численность персонала, как определено выше, используется как основа для расчета времени аудита систем менеджмента. При определении эффективной численности персонала необходимо также учитывать персонал с частичной занятостью, персонал, работающий посменно, административный персонал и все категории офисных работников, аналогичные или повторяющиеся процессы (см. 4.3.4) и использование большого количества неквалифицированного персонала в некоторых странах.

В случае сезонных работ (например, на уборке урожая, в дачных поселках и отелях и т.д.) расчет эффективной численности персонала должен основываться на персонале, обычно присутствующем во время пиковых периодов сезонных работ.

Сокращения, вызванные занятостью большого количества неквалифицированного персонала, не должны производиться без учета связанного с этим риска в области БТиОЗ (см. 4.3.6).

4.3.2 Обоснование определения эффективной численности персонала должно быть доступно для анализа организацией-клиентом и органом по аккредитации в ходе проведения их оценок и по запросу органа по аккредитации.

В зависимости от отработанных часов, число персонала с частичной занятостью и сотрудников, частично входящих в область, может быть сокращено или увеличено и преобразовано в число, эквивалентное количеству персонала с полной занятостью (например, 30 сотрудников с частичной занятостью, работающих 4 часа в день, эквивалентны 15 сотрудникам с полной занятостью).

Для СМК и СЭМ, когда высокая процентная доля персонала выполняет определенный род деятельности, занимая одинаковые должности (например, уборщики, охранники, транспортная служба, отдел продаж, работники колл-центра и т.д.), допускается сокращение количества персонала, которое соответствует нормам, применяющимся на всех предприятиях в области сертификации. Методы, внедренные для сокращения количества персонала, должны быть документально оформлены с учетом оценки рисков, связанных с деятельностью/должностью.

В отношении СМБТиОЗ:

a) Когда высокая процентная доля персонала выполняет определенный род деятельности, занимая должности, считающиеся одинаковыми или идентичными и подвергая персонал аналогичным рискам в области БТ и ОЗ (например, уборщики, охранники, продавцы, работники колл-центра и т.д.), допускается сокращение количества персонала, которое соответствует нормам, применяющимся на всех предприятиях в области сертификации. Методы, внедренные для сокращения количества персонала, должны быть документально оформлены с учетом оценки рисков, связанных с деятельностью/должностью.

b) Для групп работников, выполняющих одинаковые работы, которые в случае снижения концентрации внимания могут повысить связанный с этим уровень риска в области БТ и ОЗ (например, монтаж, сборочное производство, упаковка, сортировка и т.д.), методы, внедренные для возможного сокращения количества персонала должны быть документально оформлены с учетом оценки рисков в области БТ и ОЗ, связанных с деятельностью/должностью работников.

ООС должен определить продолжительность и распределение времени проведения аудита, которое позволит наилучшим образом оценить результативное внедрение системы менеджмента в отношении всей деятельности клиента, включая необходимость проведения аудита за пределами нормальной продолжительности рабочего времени и различные графики сменности. Это должно быть согласовано с клиентом.

ООС должен отработать так, чтобы любое изменение в отношении времени аудита не ставило под угрозу эффективность аудита (см. также 6.7).

Как правило, этот пункт применим к организациям с низким уровнем развития техники, где временный неквалифицированный персонал может быть нанят в большом количестве для замены автоматизированных процессов.

В отношении СМК и СЭМ в таких условиях может применяться сокращение эффективной численности персонала. Поскольку важнее учитывать процессы, нежели саму численность персонала, это сокращение является необычной практикой, и его обоснование должно быть документировано и доступно ОА.

В отношении СМБТиОЗ это сокращение в принципе следует рассматривать как неприменимое, поскольку привлечение временного неквалифицированного персонала может быть источником рисков в области БТиОЗ. Если в исключительных случаях производится сокращение, то его обоснование должно быть задокументировано и доступно ОА.

5.1 Методика, используемая как основа для расчета времени первоначального аудита систем менеджмента (этап 1 + этап 2), включает в себя рассмотрение таблиц и рисунков, приведенных в приложении A для аудита СМК, в приложении B для аудита СЭМ и в приложении C для аудита СМБТиОЗ соответственно. Приложение A (СМК) основывается на эффективной численности персонала (см. 4.3) и уровне риска, но не указывает минимальное или максимальное время аудита. Кроме эффективной численности персонала, приложение B (СЭМ) основывается также на экологической сложности организации и не указывает минимальное или максимальное время аудита, приложение C (СМБТиОЗ) основывается на эффективной численности персонала и категории сложности риска в области БТиОЗ, связанного со сферой деятельности организации, и не указывает минимальное или максимальное время аудита. Таблица СМБТиОЗ - 2 показывает связь между сферами деятельности и категориями сложности БТиОЗ на основе рисков в области БТиОЗ.

Примечание - Нормальной практикой считается, что время, затраченное на проведение этапа 2, превышает время, затраченное на проведение этапа 1.

5.2 При помощи подходящего коэффициента, эти таблицы и рисунки можно использовать в качестве базиса для расчета времени надзорного (пункт 7) и ресертификационного (пункт 8) аудитов.

5.3 ООС должен иметь процедуры, обеспечивающие соответствующее распределение времени на проведение аудита важных процессов клиента. Опыт показывает, что время, необходимое для проведения результативного аудита как СМК, так и СЭМ и СМБТиОЗ, зависит также от других факторов помимо численности персонала. Эти факторы подробно рассматриваются в разделе 10.

5.4 Настоящий стандарт перечисляет положения, которые необходимо учитывать при определении времени, которое необходимо для проведения аудита. Эти и другие факторы необходимо оценить на предмет потенциального воздействия на определение времени аудита, вне зависимости от типа аудита, в ходе процесса анализа заявки ООС и после проведения этапа 1, а также на протяжении сертификационного цикла и в ходе повторной сертификации. Таким образом, соответствующие таблицы, рисунки и диаграммы по СМК, СЭМ и СМБТиОЗ, демонстрирующие взаимосвязь между эффективной численностью персонала и сложностью организации, не могут быть использованы по отдельности. Данные таблицы и рисунки дают основу для дальнейшего планирования аудита и, таким образом, необходимые корректировки для определения времени аудита для всех типов аудитов.

5.5 Для аудитов СМК рисунок СМК - 1 предоставляет визуальное руководство по внесению корректировок в основное время аудита, рассчитанное по таблице СМК - 1, и предоставляет основу для процесса, который необходимо использовать при планировании аудита посредством определения исходной точки на основе общей эффективной численности персонала во всех сменах.

5.6 В отношении аудита СЭМ при расчете времени аудита целесообразно основываться на эффективной численности персонала организации, а также природе, количестве и сложности экологических аспектов стандартной организации в данной отрасли. Таблицы СЭМ - 1 и СЭМ - 2 предоставляют основу для процессов, которые необходимо использовать при планировании проведения аудита. Время аудита систем менеджмента затем должно быть скорректировано с учетом значительных факторов, относящихся только к организации, подлежащей аудиту.

В отношении аудита СМБТиОЗ при расчете времени аудита целесообразно основываться на эффективной численности персонала организации, а также на природе, количестве и серьезности рисков в области БТиОЗ стандартной в данной отрасли. Таблицы СМБТиОЗ - 1 и СМБТиОЗ - 2 предоставляют основу для процессов, которые необходимо использовать при планировании аудита. Время аудита систем менеджмента затем должно быть скорректировано с учетом значительных факторов, относящихся только к организации, подлежащей аудиту.

5.7 Исходная точка отсчета для определения времени аудита систем менеджмента должна быть идентифицирована, основываясь на эффективной численности персонала, а затем откорректирована с учетом существенных для аудируемого клиента факторов, с дополнением или исключением определенных показателей для изменения базовой цифры. В каждом случае необходимо зафиксировать основу для расчета времени аудита систем менеджмента, включая все внесенные корректировки. ООС должен проконтролировать, чтобы любые изменения во времени аудита не повлияли на результативность аудита.

В отношении СМК и СЭМ, если процессы реализации продукции или услуг осуществляются посменно, объем аудита каждой смены ООС зависит от процессов, выполняемых в каждую смену и от уровня контроля каждой смены, продемонстрированного клиентом. Для осуществления аудита результативности внедрения должен быть проведен аудит как минимум одной смены. Основания отсутствия аудита других смен (например, смен, деятельность которых осуществляется вне обычных рабочих часов) должны быть документально оформлены.

В отношении СМБТиОЗ, если процессы реализации продукции или услуг осуществляются посменно, объем аудита каждой смены ООС зависит от процессов, выполняемых в каждую смену, принимая во внимание связанные риски в области БТиОЗ, и от уровня контроля над каждой сменой, продемонстрированного клиентом. Для проведения аудита эффективности внедрения, по крайней мере одна из смен, деятельность которой осуществляется в обычные рабочие часы, и одна из смен, осуществляющих свою деятельность вне рабочих часов, должны проверяться в течение первого цикла сертификации. В ходе надзорных аудитов последующих циклов ООС может принять решение не проводить аудит второй смены на основании признанной зрелости СМБТиОЗ организации. По мере возможности, рекомендуется вносить коррективы в связи с задержкой начала проведения аудита, с тем, чтобы охватить обе смены в течение аудито-дня. Обоснование отказа от проведения аудита других смен должно быть документально оформлено с учетом риска невыполнения этого требования.

5.8 Время аудита систем менеджмента, определяется с использованием таблиц или рисунков приложений A, B и C не должно учитывать время работы стажеров, наблюдателей или технических экспертов.

5.9 Сокращение времени аудита систем менеджмента не должно превышать 30% от времени, указанного в таблицах СМК - 1, СЭМ - 1 и СМБТиОЗ - 1.

Примечание - Пункт 5.9 может не применяться к ситуациям, описанным в IAF MD 1 для отдельных площадок при производстве на нескольких местах. В этом случае на таких местах доступно ограниченное количество процессов, и применение всех соответствующих требований стандарта(-ов) систем менеджмента может быть верифицировано.

6.1 Определение времени аудита систем менеджмента, связанных с объединенными видами деятельности, осуществляемых за пределами места (см. 4.1), не должно сокращать общую продолжительность аудита на месте менее 80% от времени, подсчитанного с использованием таблиц, основанных на методологии, приведенной в разделе 5. Если возникает необходимость в дополнительном времени для планирования и (или) составления отчета, то это не является основанием для сокращения продолжительности сертификационных аудитов систем менеджмента на месте.

6.2 Таблица СМК - 1, таблица СЭМ - 1 и таблица СМБТиОЗ - 1 дают исходное значение для подсчета времени первоначального аудита (этап 1 + этап 2) СМК, СЭМ и СМБТиОЗ соответственно.

6.3 Время аудита, определенное органом по сертификации, и обоснование этого расчета должны быть документально зафиксированы. Этот расчет должен включать подробную информацию о времени, определенном для охвата всей области сертификации.

6.4 ООС должен предоставить расчет времени аудита и его обоснование организации-клиенту в рамках контракта и соответствующие документы по запросу своего органа по аккредитации.

6.5 Сертификационные аудиты могут включать дистанционные методы проведения аудита, такие как интерактивная совместная работа через Интернет, веб-совещания, телеконференции и (или) анализ электронных документов по процессам клиента. Если ООС планирует аудит, в отношении которого используется дистанционная работа, то он должен применять требования, определенные в IAF MD 4. Эта работа должна быть определена в плане аудита, и время, потраченное на эту работу, может рассматриваться как вклад в общую продолжительность аудита систем менеджмента.

В отношении СМБТиОЗ эта работа должна ограничиваться анализом документов/записей и опросом персонала и работников. Кроме того, в отношении СМБТиОЗ контроль процессов и контроль рисков в области БТиОЗ не могут быть проанализированы с использованием методов дистанционного аудита.

В период первоначального трехлетнего сертификационного цикла время надзорных аудитов для данной организации должно быть пропорционально времени, затраченному на первоначальный сертификационный аудит (этап 1 + этап 2); при этом общее количество времени, ежегодно отводимого на проведение надзорного аудита, должно составлять 1/3 от времени, затраченного на первоначальный сертификационный аудит. В качестве части каждого надзорного аудита ООС должен получить и актуализировать данные об организации-клиенте, относящиеся к ее системе менеджмента. Запланированное время надзорного аудита должно пересматриваться по крайней мере во время каждого надзорного и ресертификационного аудита, чтобы учесть изменения в организации, зрелость системы и т.п. Свидетельства пересмотра, включая какие-либо корректировки времени аудита систем менеджмента, должны быть документально зафиксированы.

Примечание - Маловероятно, что продолжительность надзорного аудита будет менее 1 (одного) аудито-дня.

Время ресертификационного аудита должно рассчитываться на основе обновленных данных о клиенте и обычно составляет 2/3 от времени, которое понадобилось бы для проведения первоначального сертификационного аудита организации (этап 1 + этап 2), если бы такой аудит проводился во время ресертификации (т.е. не 2/3 от исходного времени первоначального аудита). При определении времени аудита систем менеджмента необходимо учитывать результаты анализа показателей работы системы (ИСО/МЭК 17021-1). Анализ показателей работы системы не является частью времени аудита для ресертификационных аудитов.

Примечание - Маловероятно, что продолжительность ресертификационного аудита будет менее 1 (одного) дня аудита.

Для проведения второго и последующих сертификационных циклов ООС может разработать программу по индивидуальному надзорному аудиту и ресертификации (см. IAF MD 3 "Передовые надзорные и ресертификационные процедуры" - ASRP), утвержденную органом по аккредитации. Если подход с использованием ASRP не выбран, тогда время аудита систем менеджмента рассчитывают согласно разделам 7 и 8. В отношении СМБТиОЗ эти требования не применяют.

Дополнительные факторы к рассмотрению включают, но не ограничивают:

I) Факторы, увеличивающие время аудита всех систем менеджмента:

a) Сложная логистика организации, включающая несколько зданий или площадок, где проводится работа, например, когда должно быть проверено отдельное конструкторское бюро.

b) Наличие нескольких рабочих языков в организации [требуется(ются) переводчик(и) или невозможность работы каждого аудитора индивидуально].

c) Очень большие размеры мест для данного количества персонала (например, лесное хозяйство).

d) Высокая степень законодательного регулирования (например, пищевая промышленность, фармацевтика, аэрокосмическая промышленность, ядерная энергетика и т.д.).

e) Система включает процессы высокой сложности или относительно большое количество уникальных процессов.

f) Процессы, требующие посещения временных площадок для подтверждения процессов постоянного(ых) места (мест), где проводится сертификация системы менеджмента.

II) Увеличение времени аудита систем менеджмента (только для СМК):

g) Деятельность с высоким уровнем риска (см. приложение A, таблица СМК - 2).

h) Функции или процессы, переданные на аутсорсинг.

III) Увеличение времени аудита систем менеджмента (только для СЭМ):

a) Повышенная чувствительность принимающей среды по сравнению с типичной для данного промышленного сектора.

b) Мнения заинтересованных сторон.

c) Косвенные аспекты, требующие увеличения времени аудита.

d) Дополнительные или необычные экологические аспекты или регулируемые условия для данного промышленного сектора.

e) Риски возникновения экологических аварий и воздействий, которые возникают или могут возникнуть в результате инцидентов, несчастных случаев и потенциальных чрезвычайных ситуаций в возникновении которых участвовала организация.

f) Аутсорсинговые функции или процессы.

IV) Увеличение времени аудита систем менеджмента (только для СМБТиОЗ):

a) Точка зрения заинтересованных сторон.

b) Уровень несчастных случаев и профессиональных заболеваний выше среднего по сфере деятельности.

c) В случае, если представители общественности присутствуют на объекте организации (например, в больницах, школах, аэропортах, портах, вокзалах, общественном транспорте).

d) Организация сталкивается с судебными разбирательствами, связанными с БТиОЗ (в зависимости от серьезности и воздействия связанного риска).

e) Временное широкое присутствие многих компаний подрядчиков/субподрядчиков и их сотрудников, вызывающее увеличение сложности или рисков в области БТиОЗ (например, периодические остановки или планово-предупредительный ремонт нефтеперерабатывающих заводов, химических заводов, сталелитейных заводов и других крупных промышленных комплексов).

f) Если опасные вещества присутствуют в количествах, подвергающих предприятие риску возникновения крупных промышленных аварий, в соответствии с применимыми национальными нормативами и (или) документацией по оценке риска.

g) Организация с объектами, включенными в область охвата аудита в других странах, кроме страны, в которой находится материнский объект (если законодательство и язык не изучены).

V) Факторы, уменьшающие время аудита систем менеджмента:

a) Организация клиента не несет ответственности за проектирование или другие элементы стандарта, не включенные в область распространения (только для СМК).

b) Малые размеры объекта для данного количества персонала (например, только офисные помещения).

c) Зрелость системы менеджмента.

d) Осведомленность о системе менеджмента организации-клиента (например, организация была ранее сертифицирована этим же ООС на соответствие требованиям другого стандарта). В отношении СМБТиОЗ это означает, что она уже сертифицирована в соответствии с другой добровольной схемой СМБТиОЗ.

e) Готовность организации-клиента к сертификации (например, когда организация уже сертифицирована или признана схемой третьей стороны). В отношении СМБТиОЗ это означает, что государственный орган уже проводит периодические аудиты на предмет выполнения обязательной государственной схемы СМБТиОЗ.

Примечание - Если аудит проводится в соответствии с IAF MD 11, это обоснование недействительно, т.к. сокращение рассчитывают исходя из уровня интеграции.

f) Высокий уровень автоматизации (неприменимо в отношении СМБТиОЗ).

g) Персонал включает в себя людей, работающих "вне места", т.е. продавцов, водителей, обслуживающий персонал и т.п., и соответствие их деятельности системе можно проверить посредством анализа записей (неприменимо в отношении СМБТиОЗ).

Деятельность с низким уровнем риска не применима в отношении СМБТиОЗ. См. примеры в приложении A, таблица СМК - 2 - для СМК, и в приложении B, таблица СЭМ - 2 - для СЭМ. Необходимо учитывать все характерные свойства системы организации-клиента, процессов и продукции/услуг и вносить корректировки по тем факторам, которые могут обосновать необходимость большего или меньшего времени для проведения результативного аудита. Увеличивающие факторы могут быть компенсированы уменьшающими факторами.

Любое решение, принятое в связи с требованиями настоящего пункта, должно быть обосновано и зафиксировано.

Примечания

1 Уменьшающие факторы могут быть использованы только один раз в отношении каждого расчета по каждой организации-клиенту.

2 Дополнительные факторы, которые необходимо учитывать при подсчете времени аудита интегрированных систем менеджмента, рассматриваются в IAF MD 11.

11.1 В тех случаях, когда организация, подавшая заявку на сертификацию, или сертифицированный клиент предоставляют свои услуги или продукцию на временных производственных площадках, такие площадки должны быть включены в программы аудитов.

11.2 Временные производственные площадки могут варьироваться от крупных площадок для управления проектами до небольших обслуживающих/монтажных площадок. Необходимость посещения этих площадок и объем выборки должны основываться на оценке рисков неспособности СМК контролировать выпуск продукции или предоставление услуг, или рисков неспособности СЭМ контролировать экологические аспекты и воздействия, или рисков неспособности СМБТиОЗ контролировать риски в области БТиОЗ, связанные с деятельностью клиента.

Для СМК и СЭМ выборка площадок должна представлять объем области сертификации клиента, потребности в компетентности и разнообразие услуг, учитывая размеры и виды деятельности, а также различные этапы текущих проектов и связанных с этим экологических аспектов и последствий.

Для СМБТиОЗ площадки, включенные в выборку, должны представлять область сертификации клиента, размеры и виды деятельности и процессов, тип связанных с ними опасностей и связанных с ними рисков в области БТиОЗ, а также этапы текущих проектов.

11.3 Как правило, на временных производственных площадках необходимо проводить аудит на месте. Однако в качестве альтернативы аудитам на месте можно рассмотреть следующие методы:

I) собеседование или совещания с клиентом и (или) его потребителем о ходе работ лично или посредством конференц-связи;

II) анализ документов, определяющих деятельность временных производственных площадок;

III) дистанционный доступ к электронной площадке, которая содержит записи или иную информацию, связанную с оценкой системы менеджмента и временных производственных площадок;

IV) использование средств видеоконференц-связи и других технических средств для проведения результативного дистанционного анализа.

В отношении СМБТиОЗ вышеприведенные методы могут рассматриваться в качестве альтернативы для замены только тех частей аудиторских проверок на площадке, которые не связаны с контролем процесса и другим контролем рисков СМБТиОЗ.

11.4 В любом случае метод проведения аудита должен быть документально оформлен и обоснован исходя из его эффективности.

12.1 Если система менеджмента функционирует на нескольких местах, то важно установить, допускается ли применение выборки.

В отношении СМБТиОЗ решение о том, допускается ли применение выборки на месте, должно основываться на оценке уровня рисков в области БТиОЗ, связанных с деятельностью и процессами, осуществляемыми на каждом месте, включенной в область сертификации. Отчеты о таких оценках и обоснование принятых решений предоставляются в распоряжение ОА.

12.2 Требования в отношении сертификации систем менеджмента нескольких площадок изложены в IAF MD 1 "Обязательный документ IAF для аудита и сертификации системы менеджмента организации с несколькими местами".

13.1 Если организация передает на аутсорсинг часть своих функций или процессов, то в обязанности ООС входит получение свидетельств о том, что организация результативно определила тип и объем обеспечения того, чтобы процессы аутсорсинга не оказывали негативного влияния на результативность СМ, включая способность организации постоянно поставлять своим потребителям соответствующие услуги и продукцию или управлять своими экологическими аспектами, своими рисками в области БТиОЗ и на приверженности к соответствию законодательным требованиям.

13.2 В отношении СМК и СЭМ ООС проводит аудит и оценивает результативность системы менеджмента клиента при управлении какой-либо предоставляемой деятельностью и риском, который она представляет для достижения целей, требований потребителей и требований соответствия. Это может включать в себя обратную связь в отношении уровня результативности от поставщиков. Однако проведение аудита системы менеджмента поставщика не требуется, учитывая что в область системы менеджмента организации входит только контроль предоставляемой деятельности, а не выполнение самой деятельности. Любое дополнительное время аудита должно быть определено исходя из понимания риска.

13.3 В отношении СМБТиОЗ ООС проводит аудит и оценивает результативность СМБТиОЗ организации при управлении какой-либо предоставляемой деятельностью и риском, который она представляет для производительности в области БТиОЗ собственной деятельности и процессов, а также соответствия требованиям.

a) Это может включать в себя сбор отзывов от поставщиков об уровне результативности на основе:

- критериев, применяемых организацией для оценки, отбора, мониторинга эффективности и переоценки этих внешних поставщиков, исходя из их способности обеспечивать функции или процессы в соответствии с установленными требованиями и с требованиями законодательства;

- риска того, что внешние поставщики могут отрицательно повлиять на способность организации управлять своими собственными рисками в области БТиОЗ.

b) Если проведение аудита системы менеджмента поставщика не требуется, то ООС должен проводить аудит средств управления, внедренных организацией для процессов или функций, входящих в область СМБТиОЗ организации, которые были переданы внешним поставщикам для планирования и выполнения результативного аудита.

Персонал подрядчика, работающий в помещениях организации по процессам, включенным в область СМБТиОЗ организации, должен пройти собеседование для оценки его осведомленности о БТиОЗ.

c) ООС должен иметь возможность определить это во время подготовки программ аудита и дополнительно проверить ее в ходе первоначального аудита, а также перед каждым надзорным и ресертификационным аудитом.

Эти категории рисков не определены окончательно, они являются исключительно примерами, которые ООС может использовать при определении категории риска аудита.

В случаях, когда отказ в работе продукции или услуги вызывает экономическую катастрофу или угрожает жизни. Примеры включают (но не ограничиваются): пищевые продукты; фармацевтическую продукцию; воздушные суда; судостроение; силовые компоненты и конструкции; комплексное строительство; электрическое и газовое оборудование; медико-санитарное обслуживание; рыболовство; ядерное топливо; химические вещества, химические продукты и волокна.

В случаях, когда отказ в работе продукции или услуги вызывает травму или заболевание. Примеры включают (но не ограничиваются): несиловые компоненты и конструкции; простая строительная деятельность; недрагоценные металлы и сборная продукция; неметаллическая продукция; мебель; оптическое оборудование; досуг и бытовые услуги.

В случаях, когда сбой в работе продукта или предоставления услуги скорее всего не вызовет травму или заболевание. Примеры включают, но не ограничиваются: текстильные товары и одежда; целлюлоза, бумага и бумажная продукция; издательское дело; офисные услуги; образование; розничная торговля, отели и рестораны.

Примечания

1 Ожидается, что экономическая деятельность, в отношении которой категория риска определена как низкая, может потребовать меньшего времени аудита, чем время, рассчитанное с использованием таблицы СМК 1; аудит деятельности, в отношении которой категория риска определена как средняя, займет время, рассчитанное с использованием таблицы СМК - 1; а аудит деятельности, в отношении которой категория риска определена как высокая, займет больше времени.

2 Если компания предоставляет комбинацию видов экономической деятельности (например, строительная компания, строящая простые конструкции, - средняя категория риска, и мосты - высокая категория риска), корректное определение времени аудита остается на усмотрение ООС, учитывая количество персонала, участвующего в каждом виде деятельности.

Указанные в настоящем стандарте положения базируются на пяти основных категориях сложности типа и значимости экологических факторов, которые существенно влияют на время аудита. К ним относятся:

высокая категория - экологические факторы со сложной природой и значимостью (как правило, организации производственного и перерабатывающего типа со значительным воздействием на некоторые экологические аспекты);

средняя категория - экологические факторы со среднесложной природой и значимостью (как правило, организации производственного типа со значительным воздействием на некоторые экологические аспекты);

низкая категория - экологические факторы с незначительной природой и значимостью (как правило, организации объединенного типа с некоторыми важными аспектами);

ограниченная категория - экологические факторы с ограниченной природой и значимостью (как правило, организации офисного типа);

особая категория - данные факторы требуют дополнительного и специфического рассмотрения на стадии планирования аудита.

Таблица СЭМ - 1 охватывает четыре вышеприведенные категории сложности: высокую, среднюю, низкую и ограниченную. Таблица СЭМ - 2 показывает связь между пятью указанными выше категориями сложности и видами экономической деятельности, которые обычно попадают в эту категорию.

ООС должен признать, что не все организации одного определенного сектора экономики всегда подпадают под одинаковую категорию сложности. ООС должен проявлять гибкость при анализе заявки, чтобы обеспечить рассмотрение конкретных видов деятельности организации в процессе определения уровня сложности. Например, несмотря на то, что многие предприятия в химической промышленности нужно классифицировать как "высокосложные", организации, чья деятельность связана со смешением, но не связана с химической реакцией, выбросами химикатов и/или торговлей, может быть классифицирована как "средний уровень" или даже "низкий уровень сложности". ООС должен документально оформить все случаи снижения уровня сложности для организаций определенных секторов экономики.

Таблица СЭМ - 1 не охватывает "особую категорию сложности", и в подобных случаях время аудита систем менеджмента должно рассчитываться и обосновываться в индивидуальном порядке.

Указанные в настоящем стандарте положения базируются на трех основных категориях сложности рисков в области БТиОЗ, основанных на типе и значимости рисков в области БТиОЗ, которые существенно влияют на время проведения аудита. К ним относятся:

высокая категория - риски в области БТиОЗ со сложной природой и значимостью (как правило, строительная промышленность, тяжелое машиностроение или организации перерабатывающего типа);

средняя категория - риски в области БТиОЗ со среднесложной природой и значимостью (как правило, организации, занимающиеся легким производством с некоторыми значительными рисками);

низкая категория - риски в области БТиОЗ с незначительной природой и значимостью (как правило, офисные организации).

Таблица СМБТиОЗ - 1 охватывает три вышеприведенных уровня сложности рисков в области БТиОЗ.

Таблица СМБТиОЗ - 2 показывает связь между тремя указанными выше категориями сложности рисков БТиОЗ и видами экономической деятельности, которые обычно попадают в эту категорию.

ООС должен признать, что не все организации одного определенного сектора экономики всегда подпадают под одинаковую категорию риска в области БТиОЗ. ООС должен проявлять гибкость при анализе договора, чтобы обеспечить рассмотрение конкретных видов деятельности организации в процессе определения категории сложности рисков в области БТиОЗ.

Например, несмотря на то, что многие предприятия в судостроительной промышленности нужно классифицировать как "высокую категорию риска", организации, чья деятельность связана с небольшими судами из углеродного волокна с менее сложной деятельностью, могут быть классифицированы как "средняя категория риска".

ООС должен документально оформить все случаи снижения уровня сложности рисков в области БТиОЗ для организаций определенных секторов экономики.

Примечание - Категория сложности риска в области БТиОЗ для организаций также может быть связана с последствиями неспособности СМБТиОЗ контролировать риск:

- высокая категория - в случаях, когда неспособность управлять риском может поставить под угрозу жизнь или привести к серьезной травме или болезни;

- средняя категория - в случаях, когда неспособность управлять риском может привести к серьезной травме или болезни;

- низкая категория - в случаях, когда неспособность управлять риском может привести к незначительной травме или болезни.