Об аудите требований по управлению документированной информацией

Документы к публикации

Журнал «Методы менеджмента качества», 2020, № 6

Доля несоответствий, связанных с невыполнением требований раздела 7.5 «Документированная информация»¹ действующих стандартов на системы менеджмента, продолжает оставаться в числе самых «урожайных». Так, среди всех несоответствий, зафиксированных аудиторами ООО «Интерсертифика-ТЮФ» в 2019 г., каждое пятое или шестое относится именно к этому разделу.

О том, как избежать методических ошибок и снизить долю таких несоответствий рассказывает автор данной статьи.

ПОСТАНОВКА ПРОБЛЕМЫ

Понятно, что разбираться с причинами появления такого количества несоответствий — задача самих организаций — заявителей аудита. Однако с этим фактом связана и другая проблема.

Сталкиваясь по работе с отчетными материалами о проведенных аудитах (как разных органов по сертификации и их филиалов, так и внутренних аудитов самих организаций), автор обнаружил, что среди несоответствий, отнесенных к разделу 7.5, очень часто встречаются НЕОБОСНОВАННЫЕ. При этом доля таких методических ошибок среди других, вслед за долей самих несоответствий по разделу 7.5, тоже оказалась очень высокой.

Безусловно, нельзя не заметить, что в конечном счете организациями — заказчиками аудита все несоответствия были признаны официально, включая и те, которые были ошибочными. Но это не может служить оправданием отнесения к этому разделу НЕПРАВИЛЬНЫХ несоответствий.

Ниже автор на основе анализа конкретных примеров высказывает предложения по вопросу о том, как избежать методических ошибок и тем самым снизить долю необоснованных несоответствий требованиям стандартов к управлению документированной информацией.

О СУТИ ПРОБЛЕМЫ

Ее хорошо иллюстрируют примеры из материалов аудитов систем менеджмента качества (СМК) на соответствие требованиям ISO 9001:20152. В ходе этих аудитов были зафиксированы следующие несоответствия:

1. Эталон… не включен в перечень эталонов, подлежащих метрологическому надзору.

2. В маршрутно-операционной технологической карте №… не указано наименование (тип, модель) оборудования, на котором выполняется операция «Токарная» при изготовлении изделия…

3. В технологической инструкции по сварке ТИ №… приведена ссылка на устаревшую редакцию документа…

Ранее, применительно к ISO 9001:2008, все эти несоответствия были бы без каких-либо сомнений отнесены к разделу по управлению документами, а именно к 4.2.3. Но это был аудит по ISO 9001:2015, и несоответствия были отнесены к следующим пунктам: № 1 — к 7.5.1, № 2 — к 7.5.2, № 3 — к 7.5.3.

В других аудитах были зарегистрированы еще три несоответствия:

3. Журнал авторского надзора по объекту… заполняется не в полном объеме (графы 3 и 4 не заполнены).

4. Запись о проведенном ремонте изделия… не содержит установленную информацию о времени ремонта.

5. Сопроводительный лист на партию плат… не содержит информации о дате формирования партии и ответственном лице, сформировавшем партию.

Ранее, применительно к ISO 9001:2008, все они были бы, как и в предыдущем случае, отнесены к пункту требований по управлению записями — к 4.2.4. Но это был аудит по ISO 9001:2015, и несоответствия были отнесены к следующим пунктам: № 4 — к 7.5.1, Если посмотреть на все эти формулировки с содержательной точки зрения, то обнаружим, что ВСЕ ШЕСТЬ приведенных свидетельств аудита действительно имеют основание для признания их несоответствиями и что оно (а это самое главное) у всех ОДИНАКОВОЕ.

Скажем точнее: основание у всех ОДНО И ТО ЖЕ! А именно при СОЗДАНИИ каждой из перечисленной документированной информации НЕ БЫЛО ОБЕСПЕЧЕНО проведение анализа и утверждение этой документированной информации с точки зрения ее пригодности и адекватности3. А это требование п. 7.5.2.с. Поэтому ВСЕ эти несоответствия при своей регистрации должны были иметь ОДНУ И ТУ ЖЕ для всех ссылку — на п. 7.5.2. Поскольку во всех случаях оказалось невыполненным ОДНО И ТО ЖЕ требование из этого блока.

Итог: из шести приведенных примеров в четырех случаях аудиторы допустили методическую ошибку.

ИСТОЧНИК СОБЫТИЙ

Всплеск таких ошибок не должен удивлять, поскольку предпосылки для этого ожидаемо создали сами новые редакции стандартов ИСО.

В предыдущих изданиях всех стандартов требования к управлению документацией были сконцентрированы в двух тематических блоках. Первый из них включал некие ОБЩИЕ требования к документации системы менеджмента — в ISO 14001:2004, например, это был п. 4.4.4. Во второй блок входили:

а) требования к управлению НОРМАТИВНЫМИ ДОКУМЕНТАМИ: руководствами, стандартами организации, процедурами, регламентами, правилами, инструкциями, планами и т. п. (в ISO 9001:2008, например, это были пп. 4.2.2 и 4.2.3);

б) требования к управлению ЗАПИСЯМИ (в OHSAS 18001:2007, например, это был п. 4.5.4).

Такая структура фактически исключала ошибки при регистрации несоответствий: невыполнение ЛЮБОГО требования по управлению записями аудиторы АВТОМАТИЧЕСКИ относили к тому разделу стандарта, который отвечал за управление записями. Ровно так же они поступали и с регистрацией невыполнения требований по управлению нормативными документами: автоматически относили такое несоответствие к «своему» хорошо известному разделу.

С 2015 г. структура и состав этих требований в стандартах начали меняться.

Во-первых, понятия «нормативные документы» и «записи» исчезли. Их заменило понятие «документированная информация».

Во-вторых, все требования к управлению документами системы менеджмента были объединены в общий раздел 7.5 «Документированная информация». Но если при этом общие требования к управлению документами по-прежнему остались сконцентрированными в самостоятельных подразделах (пп. 7.5.1 и 7.5.3.1), то содержание второго блока требований претерпело кардинальное изменение.

Ранее это были группы требований (а) к нормативным документам и (б) к записям. Теперь они оказались разделенными на основе принципиально ИНОГО подхода — по границе жизненного цикла документированной информации, образовав при этом:

• группу требований к деятельности по СОЗДАНИЮ документированной информации (п. 7.5.2);

• группу требований к деятельности по УПРАВЛЕНИЮ СОЗДАННОЙ документированной информацией (п. 7.5.3.2).

Появившийся после этого всплеск ошибок при оформлении несоответствий этим требованиям показал, что «переварить» осуществленную реструктуризацию оказалось «по зубам» далеко не всем аудиторам. У ряда из них новые требования породили просто «чехарду» во взглядах на то, к какому именно пункту раздела 7.5 относить теперь то или иное свидетельство аудита. Притом даже в тех случаях, которые ранее были очевидны и не вызывали никаких проблем.

Вместе с тем нам нельзя согласиться, что доля подобных ошибок при оформлении такого рода несоответствий никак не приближается к нулю, даже после накопления более чем трехлетнего опыта сертификации на соответствие новым требованиям.

А причина этого, как представляется, в том, что во всех таких случаях аудиторами было нарушено базовое ПРАВИЛО документирования несоответствий.

ДОКУМЕНТИРОВАНИЕ НЕСООТВЕТСТВИЙ

В одной из своих предыдущих статей [1] автор подробно обсуждал упомянутое правило, поэтому здесь приведет лишь его наиболее важные положения.

ЛЮБОЕ свидетельство аудита может быть признано несоответствием ТОЛЬКО тогда, когда четко и однозначно будет указано САМО связанное с ним невыполненное ТРЕБОВАНИЕ. Именно это положение закреплено в нормативных и методических документах ИСО по проведению аудитов систем менеджмента.

Так, в ISO 17021-1:2015 [2] установлено, что выявленное несоответствие должно быть зарегистрировано в сопоставлении с КОНКРЕТНЫМ ТРЕБОВАНИЕМ [1, п. 9.4.5.3].

Аналогичное положение декларируется в рекомендации на тему «Документирование несоответствий» от 13.01.2016 г. из комплекта рекомендаций Группы по анализу практики проведения аудитов соответствия требованиям ISO 9001 [3]. В нем группа рекомендует исходить из следующего: Хорошо документированное несоответствие содержит три части:

• свидетельство аудита, чтобы поддерживать полученные аудитором результаты;

• запись требования, относительно которого обнаружено несоответствие;

• формулировка несоответствия.

И если свидетельство аудита зафиксировано, то следующий шаг, который нужно будет сделать аудитору, — это идентифицировать и записать КОНКРЕТНОЕ ТРЕБОВАНИЕ, которое не выполняется.

К этому группа сделала не менее важное примечание, имеющее к обсуждаемому вопросу самое непосредственное отношение:

• ISO 9001 содержит разделы, которые включают более одного требования. Важно, чтобы аудитор идентифицировал и записал конкретное требование, четко относящееся к несоответствию, например выписывая из стандарта точный текст требования, которое применимо к свидетельству аудита.

Еще в одном документе, ISO 19011:2018 [4], заявлено:

• Свидетельства аудита следует оценить по отношению к критериям аудита… [4, п. 6.4.8].

Если в этой фразе понятие «критерии аудита» заменить его определением из [4, п. 3.7], включающим совокупность требований… то она будет выглядеть так:

• Свидетельства аудита следует оценить по отношению к ТРЕБОВАНИЯМ…

Обобщая этот обзор, нетрудно заметить, что все изложенное выше действительно логично, понятно и не вызывает никаких вопросов:

ОСНОВАНИЕМ для несоответствия может быть ТОЛЬКО невыполнение КОНКРЕТНОГО ТРЕБОВАНИЯ стандарта. Более того, эксперты подчеркивают: Помните, что несоответствие — это невыполнение требования, поэтому, если аудитор НЕ МОЖЕТ идентифицировать требование, он НЕ МОЖЕТ признать наличие несоответствия [3].

Возвращаясь к приведенным выше примерам несоответствий, становится понятным, ПОЧЕМУ аудиторы НЕ МОГЛИ (а точнее, НЕ ДОЛЖНЫ были) относить свидетельства № 1, 3, 4 и 6 к несоответствиям. Потому что никакие требования из указанных ими ссылочных пунктов ISO 9001:2015 при этом нарушены НЕ БЫЛИ. Просто потому, что в них таких требований НЕТ.

Несоблюдение указанного правила НЕ МОГЛО не привести к описанным ошибкам.

Если на всю их совокупность посмотреть внимательнее, то они делятся на три группы.

ТИПИЧНЫЕ ОШИБКИ

К первой группе автор отнес ошибки⁴, связанные с тем, что отнесенные к разделу 7.5 свидетельства несоответствия, кроме самого УПОМИНАНИЯ в их текстах какой-то документированной информации, на самом деле ни к одному из его требований никакого отношения НЕ ИМЕЛИ. Как, например, в следующем несоответствии, отнесенном к п. 7.5.3:

• Как отражено в рапорте аппаратчика подготовки сырья от… фактическая температура в хранилище… находилась в диапазоне… в то время как в соответствии с требованиями «Постоянного технологического регламента…» она должна находиться в диапазоне…

К этой же группе автор отнес несоответствия, из текста которых вообще невозможно понять, в чем, собственно говоря, дело. Как, например, в этом несоответствии, которое было отнесено к п. 7.5.2:

• Свидетельства выполнения этапов разработки изделия… в том числе «Акт выполнения пусконаладочных работ», были оформлены без признаков актуальности.

Вместе с тем причины ошибок этой группы очевидны, поскольку здесь налицо чисто методические «проколы» и/или неумение выразить свои мысли. Приятно отметить, что таких грубых ошибок буквально единицы.

Ко второй группе автор отнес ошибки, источником которых было недостаточное понимание аудиторами ДРУГИХ положений стандартов. В результате несоответствие ИЗНАЧАЛЬНО было необоснованным.

В ПРИНЦИПЕ. Например:

• В технологической инструкции № ТИ… не установлен диапазон давления в линии подачи азота (несоответствие отнесено к 7.5.2).

Вопрос: «А почему аудиторы ВМЕСТО организации решили, что данные показатели в этой инструкции должны быть?» Ведь в соответствии с ТРЕМЯ пунктами стандарта (пп. 4.4.2.а, 7.5.1.b, 8.1.е) организация САМА устанавливает документированную информацию, которую она считает необходимой для обеспечения функционирования своих процессов и результативности своей СМК. А ведь какие-либо ссылки на решение организации «установить диапазон» в тексте этого несоответствия отсутствуют.

Да, не исключено, что при этих конкретных обстоятельствах аудиторы могли посчитать, что ТАК будет лучше, но тогда они должны были это ПОРЕКОМЕНДОВАТЬ, а не фиксировать как несоответствие.

• Не представлено объективных доказательств актуальности ГОСТ 8.611—2013, применяемого в конструкторско-технологическом бюро (несоответствие отнесено к 7.5.3).

А КАКИЕ нужны доказательства? Есть НОМЕР стандарта с указанием ГОДА его принятия, ОДНОЗНАЧНО его идентифицирующие.

Если бы этот стандарт был ОТМЕНЕН или он был ранее актуализирован и в момент аудита действовала бы его ДРУГАЯ редакция, еще можно было хоть как-то понять основания для фиксирования этого несоответствия. Но в тексте нет НИКАКИХ свидетельств его НЕАКТУАЛЬНОСТИ, а значит, несоответствие признать обоснованным нельзя.

Ошибки такого типа указывают на недостаточную методическую подготовку соответствующих аудиторов. К счастью, такие примеры встречаются тоже нечасто.

Наиболее многочисленной является третья группа примеров, в которых само по себе свидетельство аудита объективно ПОКАЗЫВАЕТ невыполнение одного из требований раздела 7.5, а вот сформулированное несоответствие при этом оказывается НЕОБОСНОВАННЫМ, поскольку отнесено НЕ К ТОМУ пункту.

Вот характерные примеры таких ошибок, дополняющие приведенные выше.

Так, к п. 7.5.1 было отнесено несоответствие:

• В протоколах регистрации несоответствий №… отсутствуют подписи лиц, установленные формой этого протокола.

На самом деле это несоответствие должно быть отнесено к п. 7.5.2, ибо свидетельствует о невыполнении требований п. 7.5.2.b о соблюдении установленного ФОРМАТА документированной информации при ее создании.

К п. 7.5.2 были отнесены несоответствия:

• Возможности не оформлены документально (ISO 14001:2015).

Данный факт демонстрирует невыполнение требований совсем не п. 7.5.2, а п. 7.5.1.а. Потому что именно в нем говорится, что организация должна иметь документированную информацию, требуемую ISO 14001:2015, а требование о документировании возможностей — прямое требование п. 6.1.1 этого стандарта (мы сейчас не обсуждаем то, что данное несоответствие было рациональнее отнести сразу к 6.1.1. Об этом см. в [1]).

• В обращении находится неактуализированная версия инструкции № И-…

И опять здесь не выполнены требования совсем не п. 7.5.2, а п. 7.5.3.2.с, требующего обеспечить управление изменениями в документированной информации.

К п. 7.5.3 были отнесены несоответствия:

• В журнале «Анализ конструкторской документации» отсутствуют записи по проекту «Разработка…».

Такие записи организация обязана вести в соответствии с требованиями п. 8.3.4.f, но НЕ ВЕДЕТ, а это невыполнение требований совсем не п. 7.5.3, а п. 7.5.1.а (хотя рациональнее это несоответствие отнести к 8.3.4.f — см. [1]).

• В документе… указаны требования по хранению подшипников по температуре и влажности, не соответствующие требованиям ГОСТ 520—2011, принятого организацией в качестве обязательного для применения.

В данном случае описанный факт никак не относится к требованиям п. 7.5.3, поскольку указывает на невыполнение требования п. 7.5.2.с к обеспечению адекватности утверждаемых документов.

В совокупности ошибки третьего типа являются наиболее распространенными.

Их появление, с точки зрения автора, вызвано совокупностью двух факторов:

• недостаточным уровнем методической подготовки, не позволяющим аудитору четко провести для себя ГРАНИЦУ между направленностью и содержанием каждого из подразделов требований к управлению документированной информацией;

• недостаточным опытом проведения аудитов, не позволяющим при появлении отчетливог

о ощущения, что в каком-то объективно наблюдаемом событии или установленном факте «что-то не так», быстро сориентироваться и НАЙТИ то самое требование, которое действительно нарушено и подтверждает появившееся предположение о несоответствии.

КАК ИЗБЕЖАТЬ ОШИБОК

Что касается ошибок первого и второго типа, то они хотя и в каком-то смысле неизбежны, но встречаются редко. Поэтому автор считает необходимым сосредоточиться на рекомендациях о том, как избежать самых многочисленных ошибок из третьей группы.

С одной стороны, в целом ответ на этот вопрос уже озвучен. Он универсален и приведен выше: для исключения ошибки несоответствие должно быть зарегистрировано в СОПОСТАВЛЕНИИ с КОНКРЕТНЫМ требованием.

Поэтому решение обсуждаемой проблемы, по существу, сводится к тому, как НЕ ОШИБИТЬСЯ с указанием этого самого КОНКРЕТНОГО требования.

Фактически нужна подсказка о том, КАК можно быстро сориентироваться и НАЙТИ соответствующее требование, когда аудиторское чутье генерирует ощущение того, что наблюдаемое действие или выявленный факт, скорее всего, нарушают какое-то из требований стандарта, и это предположение надо обоснованно подтвердить или опровергнуть.

Говоря о невыполнении требований, связанных с управлением документированной информацией, автор предлагает своим коллегам-аудиторам логичный и простой в применении подход к отнесению несоответствий к тому или иному пункту раздела 7.5.

Если говорить укрупненно, то:

• если какая-то документированная информация ДОЛЖНА быть, а ее В ПРИНЦИПЕ нет, — это несоответствие требованиям п. 7.5.1;

• если выявленные факты свидетельствуют о том, что в организации не были выполнены требования, касающиеся ПОРЯДКА СОЗДАНИЯ документированной информации, — это несоответствие требованиям п. 7.5.2;

• если документированная информация СОЗДАНА в установленном порядке, но нарушаются требования к ее ИСПОЛЬЗОВАНИЮ, т. е. она после своего создания в дальнейшем существует и ПРИМЕНЯЕТСЯ в том или ином «НЕПРАВИЛЬНОМ» СОСТОЯНИИ, — это несоответствие требованиям п. 7.5.3.2.

Более конкретно рекомендации представлены в приложении 1.

ЗАКЛЮЧЕНИЕ

Методическая «чистота» и обоснованность официально регистрируемых несоответствий должны быть законом деятельности любого аудитора.

Это служит залогом не только обоснованного признания несоответствий проверяемой стороной; последние, как показывает опыт, нередко с легкостью признают даже необоснованные несоответствия. Все это крайне важно для понимания организациями сути выявленных несоответствий и установления истинных источников их возникновения, без чего невозможно последующее осознанное, полномерное и результативное реагирование на них.

Автор надеется, что предложенный подход позволит избежать тех методических ошибок, которые все еще свойственны многим несоответствиям, относящимся к невыполнению требований стандартов к управлению документированной информацией.

П р и л о ж е н и е 1

Отнесение несоответствий требованиям к управлению документированной информацией
к конкретным пунктам раздела 7.5 «Документированная информация»

Свидетельство аудита	Ссылочный пункт несоответствия	Основание (невыполненное требование)
Отсутствие документированной информации, которую требует иметь сам стандарт, например: • отсутствует документально оформленная область применения СМК.	7.5.1	7.5.1.а
Отсутствие документированной информации, которую установила сама организация, например: • не ведутся записи, необходимость ведения которых установлена внутренним документом организации.		7.5.1.b
Документированная информация не идентифицирована или идентифицирована не в том объеме, в котором это для нее установлено, например: • у нее нет наименования, даты утверждения, даты ввода в действие; • не указаны установленные формой документа его разработчики, согласующие и проверяющие лица (например, на чертежах); • не указаны предусмотренный учетный номер документа, номер его ревизии (редакции).	7.5.2	7.5.2.а
Документированная информация создана не в соответствии с установленной формой, например: • в таблице не соблюдено указанное в ее шаблоне (форме) расположение столбцов или какие-то из них пропущены (отсутствуют); • последовательность разделов в документе не соответствует той, которая установлена, или перепутана; • применяются неустановленные графические или другие обозначения; • документ существует только в виде скана в электронной базе, хотя должен быть и на бумажном носителе с оригинальными подписями и печатями.		7.5.2.b
Документированная информация: а) не содержит в полном объеме установленной информации или данных, например: • в установленных местах таблицы (журнала, акта, протокола и т. п.) имеются пропуски информации или она представлена не в полном объеме; б) непригодна для применения, например: • содержащиеся в ней положения неоднозначны для понимания и реализации; • одни ее положения противоречат другим; • не содержит в полном объеме информации, необходимой для осуществления соответствующих действий;  в) используется без санкции на применение, например: • документ не утвержден в установленном порядке; • у документа просрочен установленный срок применения.		7.5.2.с
Документированная информация:  а) отсутствует в том месте, где ей предписано быть, например: • на рабочем месте оперативного персонала отсутствует технологическая/рабочая инструкция, которая обязана там находиться;  б) недоступна персоналу, который должен ее применять, например: • из-за отсутствия у сотрудника права доступа к документам определенной кате гории;  в) была изменена с нарушением установленного правила внесения в нее изменений, например: • измененные положения не идентифицированы в установленном порядке; • в тексте одновременно находятся старые и новые страницы без соответствующей идентификации.	7.5.3	7.5.3.2.а
Документированная информация:  а) содержит необходимую информацию не в полном объеме, например: • из-за физической утраты части текста в ходе ее использования; • из-за невнесения в нее принятых изменений;  б) неразборчива или нечитаема, например: • из-за ветхости (истирания), выцветания текста; • из-за плохого качества копирования.		7.5.3.2.b
Документированная информация применяется: • в виде копии, не поставленной под управление (не взятой на учет); • для тех или иных целей в ее устаревшей (неактуальной) редакции без соответствующей идентификации.		7.5.3.2.с
Для документированной информации не установлены сроки ее хранения и порядок уничтожения.		7.5.3.2.d
Используется неактуальная редакция документированной информации внешнего происхождения, которой организация обязана руководствоваться в своей деятельности.		7.5.3.2, предпоследний абзац
Для документированной информации, фиксируемой и сохраняемой как свидетельства соответствия, не установлен или не соблюдается порядок ее защиты от непредумышленных изменений.		7.5.3.2, последний абзац

Примечание. У читателей может возникнуть вопрос, почему в правой колонке отсутствует упоминание требований п. 7.5.3.1. Автор сделал это сознательно, поскольку его требования и требования следующего п. 7.5.3.2 являются дублирующими, при этом требования п. 7.5.3.1 являются «требованиями-принципами», а п. 7.5.3.2 — «требованиями-частностями» (объяснение см. в [1]). По этой причине автор посчитал более целесообразным СРАЗУ относить несоответствия к соответствующим «требованиям-частностям».

_________________

СНОСКИ

¹ Поскольку все последние редакции стандартов на системы менеджмента построены на основе так называемой общей структуры высокого уровня, номер раздела (7.5), в котором устанавливаются требования к управлению документированной информацией, и содержание этих требований во всех стандартах идентичны. С учетом этого автор при ссылках на номер пункта требований из раздела 7.5 «Документированная информация» не приводит номер стандарта.

² Во-первых, здесь с таким же успехом можно было привести примеры из аудитов на соответствие требованиям и других известных международных стандартов. Во-вторых, по причине известности при упоминании в тексте таких стандартов ссылку на них в списке литературы автор не делает.

³ Цитируемые положения из стандартов выделены полужирным курсивным шрифтом и приводятся в переводе автора. Выделение в них отдельных слов прописными буквами также сделано автором.

⁴ Далее, если это не отмечено специально, все примеры ошибочных несоответствий взяты из отчетов об аудитах соответствия требованиям ISO 9001:2015.

СПИСОК ЛИТЕРАТУРЫ

1. Качалов В.А. Об аудите дублирующих требований стандартов // Методы менеджмента качества. — 2020. — № 5. — С. 56—62.

2. ISO/IEC 17021-1:2015. Conformity assessment. Requirements for bodies providing audit and certification of management systems. Part 1: Requirements.

3. https://committee.iso.org/home/tc176/iso-9001-auditingpractices-group.html.

4. ISO 19011:2018. Guidelines for auditing management systems.

Автор:  Качалов В.А.