Коллизии аудита. Журнал «Методы менеджмента качества», 2012, № 9

Согласно п. 8.2.2 стандарта ISO 9001:2008 требования к внутренним аудиторам сформулированы в короткой фразе: «Отбор аудиторов и проведение аудитов должны обеспечить объективность и беспристрастность процесса аудита». При этом нигде не говорится, что внутренние аудиторы должны быть обучены и, тем более, что должны быть записи об их обучении. Тем не менее, при очередном аудите нашей СМК команда по аудиту потребовала представить документы, подтверждающие квалификацию внутренних аудиторов. У нас есть протокол проведения обучения внутренних аудиторов в 2011 г. приглашенным консультантом, и он был принят внешними аудиторами как доказательство их подготовки. Проблема возникла, когда речь зашла о нашем главном внутреннем аудиторе. Дело в том, что во время проведения обучения внутренних аудиторов он еще не работал в нашей организации и, естественно, в протокол не попал. Внешние аудиторы хотели оформить это как несоответствие. Наши аргументы против этого заключались в следующем. При поступлении к нам на работу выяснилось, что этот человек в 2006 г. успешно закончил курсы по подготовке ведущих аудиторов по ISO 9001:2000, аккредитованные IRCA, и обладал семилетним опытом работы менеджером по качеству. Мы знаем, конечно, что через три года срок действия сертификата IRCA истек, да и версия стандарта в 2008 г. претерпела изменения. Но мы посчитали, что знания, полученные на этих авторитетных курсах, никуда не делись, а большой стаж работы менеджером по качеству позволяет предположить, что человек не может не знать изменений в главном для своей работы стандарте. Это и было ключевым аргументом, когда наш уполномоченный по СМК, познакомившись с ним поближе, предложил ему стать главным внутренним аудитором без какого-то дополнительного обучения. И не ошибся, что доказывает успешная деятельность данного сотрудника в этом статусе в течение более года. Мы информировали о наших соображениях внешних аудиторов, которые после долгих споров между собой решили не фиксировать несоответствия, заменив его рекомендацией о прохождении им нового обучения на курсах по подготовке аудиторов СМК. В связи с этим, хотелось бы узнать у уважаемых экспертов: стоит ли прислушиваться к рекомендациям внешних аудиторов и отправлять человека на весьма недешевые курсы или лучше потратить эти средства на то обучение, которое принесет ему какие-то новые знания, а не будет повторением уже пройденного материала?

Перед тем, как дать ответ непосредственно на заданный вопрос, считаю необходимым предпослать свое мнение рассмотрением двух важных проблем, проявившихся в ходе описанного в письме аудита.

Проблема первая

В чем, собственно, заключается «коллизия» данного аудита?

Проблема порождена тем, что заданный в письме вопрос напрямую никак не касается самого аудита, хотя на самом деле во время его проведения «коллизия» имела место. Суть ее в следующем: внешние аудиторы вначале посчитали, что у одного из внутренних аудиторов отсутствуют доказательства его адекватного обучения, и решили зафиксировать это как несоответствие (правда, не указав, какие именно требования стандарта ISO 9001:2008 при этом они считают невыполненными), но затем отказались от этого решения, заменив его рекомендацией о проведении дополнительного обучения.

Поэтому, если придерживаться тематики рубрики, вопрос должен был бы звучать не так, как сформулирован в письме, а по-другому: «Обоснованным или необоснованным является решение внешних аудиторов отказаться от признания в качестве несоответствия наличие у главного внутреннего аудитора устаревших доказательств его обучения в качестве аудитора?». А поскольку обращение было адресовано все же рубрике «Коллизии аудита», имеет смысл вначале разобрать именно «коллизию».

Авторы письма НЕ ПРАВЫ, заявляя, что нигде не говорится, что внутренние аудиторы должны быть обучены и, тем более, что должны быть записи об их обучении. Действительно, в самом п. 8.2.2 ISO 9001:2008 НИКАКИХ требований на этот счет не содержится¹. Там на самом деле ничего не говорится ни о необходимом уровне образования внутренних аудиторов, ни о каких-либо других компонентах их компетентности как аудиторов. Но об этом говорится в ДРУГИХ местах ISO 9001:2008 — в п.п. 6.2.1 и 6.2.2. Более того, установление требований к компетентности лиц, привлекаемых к планированию, организации, проведению, документированию внутренних аудитов и анализу их результатов, а также обеспечение СООТВЕТСТВИЯ этим требованиям является ОБЯЗАТЕЛЬНЫМ.

Это определено тем, что внутренние аудиторы действуют в этом качестве лишь потому, что данная деятельность предусмотрена моделью системы менеджмента качества. И, отметим особо, не выходит за рамки СМК. Иными словами, внутренние аудиторы осуществляют свою работу в рамках системы менеджмента качества. Но тогда, с учетом примечания к п. 6.2.1, они должны быть компетентны на основе соответствующего образования, подготовки, навыков и опыта (см. п. 6.2.1 ISO 9001:2008).

По этой причине организация, теперь уже в соответствии с требованиями п. 6.2.2, должна для каждого из них соответствующие требования к компетентности УСТАНОВИТЬ, в том числе и для главного внутреннего аудитора (далее — ГВА). А также установить записи, которые должны подтверждать наличие необходимой компетентности.

Правильные действия аудиторов в зависимости от ситуации

				Правильные действия команды аудиторов	Примечания
Да	Да	Да	Да	Зафиксировать: положительные свидетельства аудита по п.п. 6.2.1 и 6.2.2	Возможны рекомендации о развитии компетентности
Да	Да	Да	Нет	Зафиксировать: положительное свидетельство аудита по п. 6.2.1; несоответствие требованиям п. 6.2.2 (в части ведения записей)	Возможны рекомендации о развитии компетентности
Да	Да	Нет	Да	Зафиксировать: положительное свидетельство аудита по п. 6.2.2; несоответствие требованиям п. 6.2.1
Да	Да	Нет	Нет	Зафиксировать несоответствие требованиям п.п. 6.2.1 и 6.2.2 (в части ведения записей)
Да	Нет	Да	—	Зафиксировать: положительное свидетельство аудита по п. 6.2.1; несоответствие требованиям п. 6.2.2 (в части ведения записей)	Возможны рекомендации о развитии компетентности
Да	Нет	Нет	—	Зафиксировать несоответствие требованиям п. 6.2.1
Нет	—	—	—	Зафиксировать несоответствие требованиям п. 6.2.2 (в части установления требований к компетентности ГВА и ведения соответствующих записей)

С выяснения именно ЭТОГО и должны были начать свое исследование внешние аудиторы. Но, как видно из письма, они этого, скорее всего, не сделали. А здесь могут быть варианты (таблица).

Из текста письма однозначно следует, что в организации ФАКТИЧЕСКИ:

• как минимум, УСТАНОВИЛИ требования к компетентности ГВА в части (а) подготовки, касающейся понимания требований ISO 9001 и проведения аудитов СМК, и (б) опыта деятельности, связанной с менеджментом качества (то, что это сделано не в письменном виде, в данном случае значения не имеет), и назначенный ГВА этим требованиям СООТВЕТСТВУЕТ;
• УСТАНОВИЛИ требования к записям, доказывающим наличие установленной компетентности ГВА в частях (а) и (б) (то, что это сделано не в письменном виде, в данном случае опять не важно), и представленные ГВА свидетельства (сертификат и трудовая книжка) наличие этих записей ПОДТВЕРЖДАЕТ.

Это означает, что само по себе мнение внешних аудиторов о том, что пройденного ранее ГВА обучения недостаточно, никакого влияния на результаты аудита оказывать не должно. Организация УСТАНОВИЛА требования к подготовке и опыту ГВА (включая требования к наличию соответствующих записей) и они ВЫПОЛНЕНЫ. И хотя мнение организации о достаточности установленных требований разошлось с мнением внешних аудиторов, это влиять на положительную оценку ситуации НЕ МОЖЕТ.

Из всего этого, по идее, должна вытекать положительная оценка действий внешних аудиторов: СОГЛАСИВШИСЬ в конечном счете с достаточностью имеющейся подготовки ГВА и представленных им свидетельств этого, они поступили ПРАВИЛЬНО. Если бы аудиторы остались на своей позиции и зафиксировали несоответствие, то поступили бы необоснованно, поскольку здесь НИКАКОЕ требование стандарта ISO 9001:2008 не нарушено.

Однако такой взгляд на «коллизию» будет лишь поверхностным.

Мы не должны забывать, что компетентность определяется не только подготовкой и опытом. Есть еще и другие обязательные компоненты — уровень образования и навыки. Но о них в письме ничего не говорится. А это не позволяет В ПОЛНОЙ МЕРЕ применить к описанной ситуации ни одну из тех, которые представлены в таблице.

ПОЛНОСТЬЮ ОБОСНОВАННЫМ принятое аудиторами решение можно признать только В ОДНОМ случае: когда в организации были В ПОЛНОМ объеме установлены требования к компетентности ГВА (включая требования к его образованию и навыкам) и к соответствующим записям об этом, и когда эти требования в отношении ГВА были В ПОЛНОМ ОБЪЕМЕ выполнены.

Но, к сожалению, об этом в письме ничего не сказано. Поэтому ОДНОЗНАЧНО положительно оценить действия команды внешних аудиторов нельзя.

Заключение к «коллизии аудита». Сам по себе отказ внешних аудиторов от фиксации указанного несоответствия является правильным, поскольку никакого нарушения требований стандарта ISO 9001:2008, касающихся подготовки и опыта ГВА, в описанной ситуации нет. Но в целом действия аудиторов по оценке компетентности ГВА оценить не представляется возможным, поскольку в письме отсутствует информация о том, как ими была проведена оценка выполнения требований, касающихся других обязательных компонентов компетентности ГВА, а именно: его образования и навыков. При получении такой информации дать окончательную оценку действиям команды аудиторов поможет приведенная таблица.

Проблема вторая

Какие требования должны предъявляться к внутренним аудиторам?

Она, в свою очередь, имеет две стороны. Первая из них — формальная или, выражаясь точнее, ОФИЦИАЛЬНАЯ.

С одной стороны, как сказано выше, реализуя требования п. 6.2.2 ISO 9001:2008, организация ДОЛЖНА установить требования к компетентности внутренних аудиторов. С другой — в самом стандарте НИКАКИХ конкретных требований или рекомендаций на этот счет не содержится. Поэтому проблема заключается в том, чтобы определить: КАКИЕ именно образование, подготовка, навыки и опыт должны быть у сотрудника, чтобы он мог результативно исполнять функции внутреннего аудитора, в том числе главного внутреннего аудитора.

Вряд ли для авторов письма и читателей будет открытием, что соответствующие важные «подсказки» на этот счет содержатся в стандартах ISO 19011:2011 [2] и ISO/IEC 17021:2011 [3]. Весь вопрос в том, ДОЛЖНА ли организация воспринимать эту информацию как ТРЕБОВАНИЯ.

Ответ на этот вопрос — а в нем ключ к решению рассматриваемой проблемы с официальной точки зрения — следующий: НЕТ, не должна.

Организация в рамках СМК, построенной на основе положений стандарта ISO 9001:2008, этого делать НЕ ОБЯЗАНА. Поскольку, в отличие от аудиторов третьей стороны, для которых изложенные в этих двух стандартах требования к их компетентности являются ОБЯЗАТЕЛЬНЫМИ, для организаций, внедряющей СМК на основе ISO 9001:2008, указанные требования по отношению к ее внутренним аудиторам могут рассматриваться лишь как рекомендации. Даже ссылка на ISO 19011 в примечании к п. 8.2.2 ISO 9001:2008 ничего в этом утверждении не меняет, поскольку примечания к разделам стандарта НЕ ЯВЛЯЮТСЯ требованием (см. разд. 0.1 ISO 9001:2008).

А рекомендации (включая, в дополнение к рекомендациям, содержащимся в этих двух стандартах, рекомендации и из других источников, в том числе высказанные аудиторами третьей стороны в ходе описанного аудита) организация вправе как учитывать при установлении собственных требований к компетентности своих внутренних аудиторов, так и отклонить — частично или полностью. Это на результаты сертификации влиять НЕ ДОЛЖНО, так как в стандарте ISO 9001:2008 здесь требуется ДРУГОЕ: нужно, чтобы были установлены требования как таковые, которые при этом должны быть ПОЛНЫМИ, т. е. включать в себя требования и к образованию, и к подготовке, и к навыкам, и к опыту. Относительно же СОДЕРЖАНИЯ этих требований в ISO 9001:2008 НИЧЕГО не говорится.

Поэтому, если организация в том или ином объеме (но в отношении ВСЕХ компонент компетентности) эти требования УСТАНОВИЛА, и они по отношению (в нашем случае) к ГВА выполнены, то ОФИЦИАЛЬНО никаких несоответствий требованиям ISO 9001:2008 никто зафиксировать не вправе.

На основании вышесказанного и любые последующие решения относительно каких-то дополнительных действий по повышению компетентности главного внутреннего аудитора также должны быть ИСКЛЮЧИТЕЛЬНО собственным решением самой организации.

Первый практический вывод. При построении СМК на основе стандарта ISO 9001:2008 не существует каких-либо обязательных требований к компетентности внутренних аудиторов, в том числе главных внутренних аудиторов. Организация вправе устанавливать их содержание самостоятельно. Важно только, чтобы они включили в себя требования и к образованию, и к подготовке, и к навыкам, и к опыту.

Вторая сторона проблемы — неформальная, а выражаясь точнее, МЕТОДИЧЕСКАЯ.

Она, если говорить по существу, может быть гораздо более важной, чем официальная, так как определяется тем, насколько в организации признают ЗНАЧИМЫМИ те действия, которые осуществляют ее сотрудники в качестве внутренних аудиторов внедренной СМК.

Если руководство действительно заинтересовано в результативности внутренних аудитов, есть прямой смысл воспользоваться рекомендациями относительно целесообразного уровня компетентности тех, кто будет эти аудиты проводить, поскольку именно от их компетентности в основном и зависит успешность внутренних аудитов. Рекомендации же эти содержатся как в указанных выше стандартах, так могут быть высказаны и другими заслуживающими доверия лицами и организациями.

Воспользоваться рекомендациями не означает обязательно их 100%-ное внедрение, тем более, что это зависит не только от желания, но еще и от финансовых и других возможностей организации. Но, как минимум, имеет смысл со всеми такими рекомендациями познакомиться. Ведь совершенно очевидно, что те специфические компоненты компетентности, которые целесообразно иметь внутреннему аудитору, до внедрения СМК на основе стандарта ISO 9001 не были известны ни кадровой службе организации, ни руководящему составу, и уже по одной этой причине такие требования НЕ ФОРМУЛИРОВАЛИСЬ и ни к кому НЕ ПРЕДЪЯВЛЯЛИСЬ. Да и предъявлять их было незачем, поскольку подобные функции в организации не были востребованы.

Но при внедрении СМК на основе требований ISO 9001:2008 институт внутреннего аудита становится НЕОТЪЕМЛЕМОЙ частью СМК, и, конечно же, организации следует стремиться организовать его так, чтобы он действовал результативно.

В данной организации проведение внутренних аудитов поручено внутренним аудиторам, которым для выполнения своих специфических функций результативным образом, конечно же, следует иметь СООТВЕТСТВУЮЩУЮ компетентность. Поэтому, чтобы «не изобретать велосипеда», вполне разумно воспользоваться имеющимися на этот счет рекомендациями.

Второй практический вывод. Если организация решает внедрить СМК в соответствии со стандартом ISO 9001:2008 не «для бумажки», она сталкивается с проблемой обеспечения результативности механизма внутренних аудитов, что, в первую очередь, связано с необходимостью установления адекватных требований к ее внутренним аудиторам. Решить эту проблему с методической точки зрения будет значительно легче, если для установления этих требований использовать соответствующие положения стандартов ISO 19011:2011 и ISO/IEC 17021:2011, а также рекомендации других авторитетных сторон.

Теперь можно перейти к ответу непосредственно на заданный в письме вопрос.

Ответ на заданный вопрос. К сожалению, ОДНОЗНАЧНО ответить на него невозможно.

С одной стороны, рекомендация аудиторов разумна, поскольку со времени предыдущего обучения главного внутреннего аудитора действительно произошли изменения в содержании стандарта ISO 9001, с которыми целесообразно (как минимум — полезно) познакомиться в интерпретации компетентных специалистов-консультантов.

C другой — сами изменения не так уж многочисленны и существенны, и освоить их можно не только на специфических курсах, аккредитованных в IRCA (при том, что это действительно не дешево). Вполне возможно найти и другие, разумные по цене, возможности для соответствующего изучения особенностей новой версии ISO 9001. Не говоря уже о том, что разобраться со смыслом изменений главному внутреннему аудитору, имеющему достаточно высокую степень и теоретической, и практической подготовки (и здесь трудно не согласиться с мнением авторов письма), вполне по силам и самому.

С третьей стороны, давайте вспомним комментарии к официальной стороне вышеописанной второй проблемы: организация должна САМА устанавливать требования к своим внутренним аудиторам и обеспечивать, чтобы их фактическая компетентность им соответствовала.

Поэтому обоснованный ответ на вопрос о том, обучать дополнительно главного внутреннего аудитора на курсах по подготовке аудиторов или не обучать, зависит от соотношения в этой организации следующих обстоятельств:

1. степени признания важности института внутренних аудитов СМК;
2. установленных в организации требований к компетентности ГВА;
3. фактической компетентности ГВА;
4. имеющихся у организации возможностей выбрать приемлемую обучающую организацию и выделить для обучения соответствующие ресурсы.

Из письма же, к сожалению, все эти обстоятельства описаны лишь частично, что не позволяет дать четкого ответа на заданный вопрос. В одних обстоятельствах реализовать рекомендацию аудиторов будет целесообразно, в других — нет. А вот в чем нельзя не поддержать авторов письма, так это в том, что любое организуемое обучение действительно должно приносить какие-то новые знания , а не быть повторением уже пройденного материала.

Список использованной литературы

1. ISO/TS 16949:2009. Quality management systems. Particular requirements for the application of ISO 9001:2008 for automotive production and relevant service part organizations (ИСО/ ТС 16949:2009. Системы менеджмента качества. Особые требования по применению ИСО 9001:2008 для организаций-производителей серийных и запасных частей для автомобильной промышленности).

2. ISO 19011:2011. Guidelines for auditing management systems (ИСО 19011:2011. Руководящие указания по проведению аудитов систем менеджмента).

3. ISO/IEC 17021:2011. Conformity assessment. Requirements for bodies providing audit and certification of management systems (ИСО/ МЭК 17021:2011. Оценка соответствия. Требования к органам, проводящим аудит и сертификацию систем менеджмента).

_________

¹ Заметим, что в некоторых других стандартах на системы менеджмента в разделе, касающемся внутренних аудитов, напрямую указано на необходимость установления требований к компетентности внутренних аудиторов. Например, в Технической спецификации ISO/TS 16949:2009 [1] имеется специальный подраздел 8.2.2.5 «Квалификация внутренних аудиторов», где заявлено: «Организация должна иметь внутренних аудиторов, которые квалифицированы для проведения аудита соответствия требованиям настоящей Технической спецификации».

Автор:  Качалов В.А.