Интегрированные системы управления безопасностью. Разработка и аудит. Практикум

ПРАКТИЧЕСКОЕ ЗАНЯТИЕ  15 Аудит интегрированной системы менеджмента

15.1  Общие сведения

При внедрении и совершенствовании интегрированной системы менеджмента (ИСМ) необходимо оценивать ее функционирование. Одним из наиболее распространенных методов оценки функционирования ИСМ является проведение аудитов.

Основные требования к проведению аудитов систем менеджмента (СМ) установлены в международном стандарте ISO 19001:2018 [15.1]. Стандарт содержит руководящие указания по аудиту СМ, в том числе принципы аудита, указания по управлению программой аудита и проведению аудита СМ, а также по оценке компетентности лиц, участвующих в процессе аудита. Российским аналогом стандарта является ГОСТ Р ИСО 19011–2021 [15.2]. В области аудита системы энергетического менеджмента применяется также международный стандарт ISO 50002:2014 [15.3] или национальный стандарт ГОСТ Р 57576–2017 (ИСО 50002:2014) [15.4].

Аудит – это систематический, независимый и документированный процесс для получения свидетельства аудита и его объективной оценки с целью определения степени соответствия критериям аудита [15.1].

Под критериями аудита понимают совокупность требований, используемых как эталон, с которым сравнивается объективное свидетельство (данные, подтверждающие существование или истинность чего-либо). Требования могут выступать в форме политик, процедур, рабочих инструкций, процессов СМ, установленных организацией или иными сторонами, планов СМ, связанных с достижением конкретных результатов СМ, законодательных требований, требований, установленных в стандартах на СМ, или требований, установленных соответствующими заинтересованными сторонами, контрактных обязательств и т.д.

Свидетельства аудита – записи, изложение фактов или иная информация, которая существенна с точки зрения критериев аудита и может быть проверена.

51

Аудиты могут быть:

внутренними (аудиты первой стороны), которые выполняются самой организацией или в ее интересах для анализа менеджмента и иных внутренних целей;

внешними (аудиты второй и третьей стороны). Аудиты второй стороны проводятся сторонами, заинтересованными в деятельности организации, например внешними поставщиками, потребителями или другими лицами в собственных интересах. Аудиты третьей стороны проводятся внешними независимыми проверяющими организациями, например такими, которые осуществляют сертификацию/регистрацию соответствия, или государственными учреждениями.

Различают также комбинированные аудиты, когда совместно проверяются две или более различных СМ, и совместные аудиты – аудиты, проводимые в одной проверяемой организации двумя или более проверяющими организациям. В тех случаях, когда СМ интегрированы в одну, принципы и процессы аудита остаются теми же самыми, что и для комбинированного аудита (иногда называемого интегрированным аудитом).

Согласно требованиям стандартов [15.5–15.8] организация должна проводить внутренние аудиты через запланированные интервалы времени, чтобы получать информацию о том, что ИСМ:

соответствует собственным требованиям организации

кее ИСМ;

соответствует требованиям международных/национальных стандартов на СМ, входящие в ИСМ [15.9–15.20 и др.];

соответствует политике, целям и задачам, установленным в организации;

результативно внедрена и функционирует в рабочем состоянии.

Организация должна:

планировать, разрабатывать, выполнять и управлять программой(ами) аудита, включая периодичность их проведения, методы, ответственность, консультации, требования к планированию и отчетам о результатах внутренних аудитов. Программа(ы) аудитов должна(ы) учитывать важность и значимость проверяемых процессов и участков, рисков и показа-

52

телей деятельности организации, а также результаты предыдущих аудитов;

определять критерии и область аудита для каждого

аудита;

выбирать компетентных аудиторов и проводить аудиты так, чтобы гарантировать объективность и беспристрастность процесса аудита. Объективность и беспристрастность внутреннего аудита организация может обеспечить, например, путем создания процессов, которые разделяют выполнение действий

вкачестве внутреннего аудитора и функций, связанных со штатной должностью, или же организация может привлекать внешних исполнителей для этого [15.11, 15.17];

обеспечить доведение результатов аудитов до сведения руководства;

предпринимать соответствующие действия (необходимую коррекцию и корректирующие действия) в отношении несоответствий и постоянно улучшать показатели ИСМ;

сохранять документированную информацию как свидетельство выполнения программы аудита и его результатов.

Как правило, типовой аудит включает выполнение следующих шагов:

инициирование аудита, в том числе установление предварительного контакта с проверяемой стороной и определение выполнимости аудита;

подготовку к проведению аудита (анализ документированной информации ИСМ проверяемой организации, планирование аудита, распределение заданий в группе аудиторов, подготовка рабочих документов);

проведение аудита (назначение ролей и обязанностей сопровождающих и наблюдателей, проведение вводного совещания, информирование в ходе аудита, анализ документированной информации, сбор и проверка информации, значимой с точки зрения целей, области и критериев аудита, формирование выводов аудита, подготовка заключений аудита);

подготовка и рассылка отчета соответствующим заинтересованным сторонам, определенным в программе аудита или плане аудита;

завершение аудита;

53

выполнение последующих действий (коррекции, корректирующих действий, реализации возможностей для улучшения, последующего аудита с целью проверки завершения и результативности этих действий и др.).

Выявленные в процессе аудита несоответствия фиксируются по установленной организацией форме в отчете о несоответствиях, который, как правило, включает название проверяемой организации и проверяемого участка, формулировку требования с указанием стандарта и его пункта, формулировку несоответствия. При этом формулировка несоответствия должна быть краткая и точная, а несоответствие – объективное и прослеживаемое.

Для устранения выявленных несоответствий устанавливают их причину(ы), предлагают коррекцию и корректирующее действие (с указанием действия, срока и лица, ответственного за выполнение). Коррекция предполагает устранение самого несоответствия, а корректирующее действие направлено на устранение причины его возникновения. Результаты фиксируют по установленной организацией форме «Запрос на проведение корректирующих действий».

Ответственность за устранение несоответствий и вызвавших их причин несут руководители и владельцы процессов, подвергнутых аудиту ИСМ.

Результаты предпринятых корректирующих действий с целью подтверждения их результативности проверяются при последующих аудитах.

Результаты аудита предоставляют ценную информацию для понимания, анализа и улучшения деятельности организации, могут служить исходными данными для анализа различных аспектов бизнес-планирования, а также могут вносить свой вклад в выявление потребностей и принятие мер для улучшения. Результаты аудитов должны анализироваться высшим руководством.

15.2  Методика проведения занятия

Цель практического занятия – научиться выявлять несоответствия требованиям стандартов на системы менеджмента, входящие в ИСМ, устанавливать причины этих несоответ-

54

ствий, разрабатывать коррекцию и корректирующие действия в рамках проведения аудита.

Формат проведения практического занятия – работа в мини-группах.

Занятие предполагает предварительную самостоятельную подготовку студентов.

Порядок подготовки к практическому занятию приведен ниже.

Каждый студент самостоятельно изучает ISO 19011:2018 (электронную версию можно получить у преподавателя) и готовится к выполнению задания  15.1 на занятии, предусматривающем письменный опрос по тексту стандарта.

Порядок работы на практическом занятии (в аудитории) следующий.

1  Занятие начинается с того, что преподаватель выдает каждому студенту задание  15.1, представляющее собой вопросы, ответы на которые необходимо дать из текста ISO 19011:2018, указав правильный ответ и пункт стандарта, где это приведено (примеры некоторых вопросов приведены в приложении  15.1). Время выполнения задания – 10 мин.

2  По указанию преподавателя студенты меняются результатами выполнения задания  15.1 и осуществляют перекрестную проверку. Правильные ответы на вопросы озвучивает преподаватель. Время выполнения – 10 мин.

3  Преподаватель делит группу студентов на мини-группы. 4  Каждая мини-группа получает от преподавателя второе задание (задание  15.2), представляющее собой мини-ситу-

ации внутреннего аудита. Задача состоит в том, чтобы установить факт наличия/отсутствия несоответствия. При выявлении несоответствий необходимо указать, требования каких стандартов и конкретных пунктов не выполняются. Пример выполнения задания приведен в приложении  15.2. Примеры ситуаций внутреннего аудита для анализа можно посмотреть в приложении  15.3. Время выполнения этой части задания – 15 мин.

5  Выбрать для дальнейшей работы одно выявленное в задании  15.2 несоответствие и заполнить по нему отчет о несоответствии (пример заполненного отчета приведен в приложении  15.4). Время выполнения этой части задания – 10 мин.

55

6  Преподаватель совместно со всеми мини-группами обсуждает результаты выполнения задания  15.2. Время обсуждения – 10 мин.

7  Далее каждая мини-группа приступает к выполнению задания  15.3, в рамках которого необходимо предложить коррекцию и корректирующие действия по выявленному несоответствию, оформив запрос на проведение корректирующих действий (пример запроса приведен в приложении  15.5). При выполнении этого задания важно правильно установить причину появления несоответствия и разработать корректирующее действие, направленное на ее устранение. Время выполнения – 15 мин.

6  Практическое занятие завершается совместным обсуждением результатов выполнения заданий и подведением итогов преподавателем. Время выполнения – 10 мин.

Задание  15.1

Используя международный стандарт ISO 19001:2018, ответить на тестовые вопросы, выданные преподавателем (пример вопросов приведен в приложении  15.1). Задание выполняется индивидуально на занятии (в аудитории).

Задание  15.2

Проанализировать ситуации (которые указывает преподаватель) и выявить наличие соответствия/несоответствия требованиям стандартов ISO 9001:2015, ISO 14001:2015, ISO 45001:2018. Отметить знаком «–» отсутствие несоответствия и знаком «+» – наличие несоответствия требованиям, при этом необходимо указать пункт стандарта, в котором эти требования приведены. Результаты оформить в таблице в соответствии с примером (приложение  15.2), примеры ситуаций представлены в приложении  15.3. Для одного из выявленных несоответствий заполнить отчет о несоответствии по примеру, приведенному в приложении  15.4.

Задание  15.3

По результатам выполнения задания  15.2 для заполненного отчета о несоответствии разработать коррекцию и коррек-

56

тирующие действия, предварительно установив причину(ы) появления несоответствия. Запрос на проведение корректирующих действий оформить в соответствии с примером (приложение  15.5).

Библиографический список

15.1  ISO 19011:2018. Руководящие указания по аудиту систем менеджмента.

15.2  ГОСТ Р ИСО 19011–2021. Оценка соответствия. Руководящие указания по проведению аудита систем менеджмента.

15.3  ISO 50002:2014. Энергоаудит – Требования с руководством по использованию.

15.4  ГОСТ Р 57576–2017 (ИСО 50002:2014). Системы энергетического менеджмента. Аудит энергетический. Требования и руководство по применению.

15.5  PAS 99:2015. Спецификация общих требований к системе менеджмента как основа для интеграции.

15.6  ГОСТ Р 53893–2010. Руководящие принципы и требования к интегрированным системам менеджмента.

15.7  ГОСТ Р 55269–2012. Системы менеджмента организаций. Рекомендации по построению интегрированных систем менеджмента.

15.8  НД № 006.00–134. Правила по интеграции систем менеджмента / Ассоциация по сертификации «Русский Регистр». СПб., 2015.

15.9  ISO 9001:2015. Системы менеджмента качества. Требования.

15.10  ISO 14001:2015. Системы экологического менеджмента – Требования и руководство по применению.

15.11  ISO 45001:2018. Системы менеджмента охраны здоровья и безопасности труда – Требования и рекомендации по применению.

15.12  ISO/IEC 27001:2013. Информационные технологии – Методы защиты – Системы менеджмента информационной безопасности – Требования.

15.13  ISO 50001:2018. Системы энергетического менеджмента. Требования и руководство по применению.

57

15.14  IQNet SR10. Системы менеджмента социальной ответственности – Требования.

15.15  ГОСТ Р ИСО 9001–2015. Системы менеджмента качества. Требования.

15.16 ГОСТ Р ИСО 14001−2016. Системы экологического менеджмента. Требования и руководство по применению.

15.17  ГОСТ Р ИСО 45001–2020. Системы менеджмента безопасности труда и охраны здоровья. Требования и руководство по применению.

15.18  ГОСТ Р ИСО/МЭК 27001–2006. Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования.

15.19  ISO 50001:2011. Системы энергетического менеджмента. Требования и руководство по применению.

15.20  ГОСТ Р ИСО 26000–2012. Руководство по социальной ответственности.

58

ПРИЛОЖЕНИЕ  15.1 Пример тестовых вопросов задания  15.1

59

ПРИЛОЖЕНИЕ  15.2 Пример анализа ситуаций внутреннего

аудита (задание  15.2)

ПРИЛОЖЕНИЕ  15.3 Примеры ситуаций внутреннего аудита

(задание  15.2)

1  При проверке отдела закупок ООО «Металлпро» был представлен план управления рисками, касающийся проведе-

60