Как управлять длительностью аудита по IAF MD 5 в программном обеспечении сертификации систем?

Как управляется длительность аудита IAF MD 5 в программном обеспечении?

Длительность аудита IAF MD 5 управляется как версионированная запись расчёта: она начинается с эффективной численности персонала, обоснованно корректируется факторами риска/сложности и спецификой организации, утверждается и пересматривается в каждом цикле.

Правильная система показывает пользователю не только результат «сколько аудиторов/дней?». Она хранит в том же расчётном файле, какая версия документа использовалась, исходные данные, структуру площадок и смен, повышающие и понижающие факторы, шаг округления, распределение между этапом 1 и этапом 2, состав команды и уполномоченное утверждение. Так при изменении результата прослеживается не только новое число, но и причина изменения.

Для каких аудитов используется IAF MD 5?

IAF MD 5:2023 содержит обязательные положения и руководство для последовательного применения соответствующих требований ISO/IEC 17021-1 при аудитах систем менеджмента качества, экологического менеджмента и охраны труда.

На момент подготовки этого материала актуальным официальным документом является IAF MD 5:2023, Issue 4, Version 3, опубликованный 14 июня 2023 года. Документ использует эффективную численность персонала как отправную точку, но особо отмечает, что она не является единственным критерием оценки. Для первой сертификации — суммы этапа 1 и этапа 2; время, необходимое для надзора и повторной сертификации, должно определяться индивидуально для каждого клиента. [1]

Страница заявки TÜRKAK на сертификацию систем менеджмента также показывает, что наряду с нормативными документами по ISO/IEC 17021-1 будут применяться обязательные документы IAF, и что IAF MD 5 — документ по определению времени аудита для систем менеджмента качества, экологического менеджмента и охраны труда. Это подчёркивает, что правило в программном обеспечении не должно сохраняться под именем «общий расчёт ISO»: программа, область и версия документа должны выбираться явно. [2]

В какой последовательности следует выполнять расчёт?

Расчёт должен идти по шагам: выбор применимого типа системы, определение эффективного персонала, нахождение базовой длительности, оценка факторов, округление длительности и обоснованное утверждение.

Пропуск этой последовательности ведёт к двум типам риска. Взгляд только на диапазон персонала теряет специфическую для организации сложность; а если сначала записать целевое число дней, а затем подгонять под него факторы, обоснование переворачивается. Система должна показывать базовую длительность и поправки в отдельных полях и объяснять пользователю разницу между прошлым и новым расчётом.

Почему эффективная численность персонала не равна итогу payroll?

Эффективный персонал — это технический входной показатель, учитывающий участвующих в деятельности, входящей в область сертификации, штатных, временных и частично занятых сотрудников, смены и, в применимых случаях, подрядчиков в рамках области.

IAF MD 5 требует, чтобы при расчёте эффективного персонала учитывались постоянные, временные и работающие неполный день сотрудники; охватываемые смены, административный/офисный персонал, а также аналогичные или повторяющиеся процессы. В рамках OH&SMS важное значение приобретают также работники подрядчиков/субподрядчиков, находящиеся под контролем или влиянием организации и способные влиять на результативность. При сезонной деятельности время аудита следует планировать на период, когда деятельность может быть представлена. [1]

В программном обеспечении исходные данные могут поступать из системы управления персоналом; однако «сырое» число не должно приниматься как технический результат. Для каждой группы персонала должна быть видна её связь с областью сертификации, доля неполной занятости, сменность, обоснование аналогичности процессов и статус аутсорсинга. Ручная техническая корректировка, выполненная после интеграции с ИК-системой, также должна фиксироваться с указанием пользователя, даты и пояснения.

• Центр и площадки должны учитываться с раздельным распределением персонала.
• Смены следует оценивать не только по общей численности, но и по различию процессов, подлежащих аудиту.
• Для сезонного персонала следует фиксировать используемый период и подтверждающие материалы.
• Обоснование уменьшения в отношении персонала вне области сертификации должно быть явным.
• Оценку подрядчиков и субподрядчиков следует рассматривать отдельно применительно к контексту QMS, EMS и OH&SMS.

Как выбирается риск и сложность?

Для QMS оценивается риск отказа продукта/услуги, для EMS — сложность экологических аспектов, для OH&SMS — характер и тяжесть рисков охраны труда и техники безопасности.

Подход IAF MD 5 не одинаков для трёх систем. Для QMS приводятся примеры высокого, среднего и низкого риска; для EMS — пять базовых категорий сложности экологических аспектов; для OH&SMS — примеры отраслей, связанных со сложностью рисков. Программное обеспечение не должно лишь автоматически выбирать класс по коду отрасли и блокировать поле. Фактическую деятельность, процессы, продукт/услугу, условия окружающей среды и контекст рисков должен уполномоченное лицо проверять.

Например, в одной и той же общей отрасли одна организация может вести ограниченную деятельность низкой сложности, а другая — располагать химическими процессами, множеством смен или высокой нормативной нагрузкой. Значение по умолчанию может предлагаться; однако обоснование выбранного класса и, при наличии, отклонение от значения по умолчанию должны сохраняться. Если на последующем надзоре деятельность изменилась, старый класс не должен использоваться без пересмотра — должна открываться задача повторной оценки.

Какие факторы изменяют базовую длительность?

Сложность площадки и логистики, язык, большая территория, высокая нормативная насыщенность, уникальные процессы, временные площадки и аутсорсинговые процессы — основные факторы, способные влиять на длительность.

IAF MD 5 указывает, что длительность может увеличиваться в случаях нескольких зданий или мест размещения, разных языков и необходимости переводчика, очень большой площадки относительно численности персонала, деятельности, подпадающей под интенсивное регулирование, крайне сложных или уникальных процессов и выездов на временные площадки. Для QMS, EMS и OH&SMS существуют также специфичные для системы факторы. Если рассматривается уменьшение, то опоры, такие как зрелость системы, повторяющиеся/низкосложные процессы или ограниченность области, должны явно фиксироваться; результативность аудита не должна ослабляться. [1]

Хорошая модель данных не хранит факторы лишь как отметки «увеличивает/уменьшает». Вместе хранятся тип фактора, исходная информация, количество, пояснение, дополнительный файл, предлагающий пользователь, утверждающий пользователь и дата вступления в силу. Таким образом видно, остаётся ли уменьшение из предыдущего цикла действительным для организации сегодня.

Как читать простой пример QMS?

В таблице QMS стандарта IAF MD 5 начальное значение для 26–45 единиц эффективного персонала, как сумма Этапа 1 и Этапа 2 первого аудита, составляет 4 аудиторских дня; это не является окончательным значением предложения.

Пусть в примерной организации численность эффективного персонала подтверждена как 38. Таблица QMS 1 даёт начальное значение 4 аудиторских дня. Если организация ведёт деятельность в двух отдельных зданиях, процесс проектирования расположен в другом месте и при аудите будут использоваться два языка, эти условия оцениваются дополнительно. Напротив, преимущественно повторяющийся характер процессов может породить обсуждение уменьшения. Основание каждого увеличения и уменьшения записывается отдельно; результат округляется до ближайших полутора дней — половины дня — и представляется на согласование уполномоченному лицу. [1]

Этот пример не является готовым результатом для конкретного клиента. Без знания класса риска, области, смен, площадки, аутсорсинга, интегрированной системы и правил программы утверждение «38 человек равно 4 дням» неполно. Программное обеспечение может показать пример в учебных целях; при реальном расчёте каждый входной параметр следует заново проверять.

Аудиторский день, календарный день и размер команды — это одно и то же?

Нет. Аудиторский день — это совокупный труд; календарная длительность и размер команды показывают, как этот труд распределён, и должны планироваться отдельно с точки зрения результативности.

Согласно IAF MD 5 один день аудита обычно составляет восемь часов. Если в результате расчёта получается десятичная дробь, выполняется округление до ближайшей половины дня: например, 5,3 дня → 5,5 дня, 5,2 дня → 5 дней. Планирование более длинного рабочего дня с целью изначально сократить количество дней аудита — неправильный подход. Размер команды также не является предметом механического деления: деятельность, которую два аудитора ведут полдня, не обязательно даёт тот же эффект, что полный день одного аудитора. [1]

Программное обеспечение должно отдельно показывать суммарную длительность в аудитороднях, календарные дни на площадке, удалённую деятельность, поездки и время, назначенное по каждому члену команды. Пересекающиеся сессии или появление одного человека одновременно на двух площадках должны выявляться при проверке плана. При изменении плана, даже если итог расчёта не меняется, версия распределения должна обновляться.

Как рассматриваются удалённые, многосайтовые и интегрированные аудиты?

Эти сценарии добавляют правила поверх базового расчёта; программное обеспечение должно отдельно проверлять применимость, выборку, предел удалённой деятельности и корректировку длительности при интеграции.

IAF MD 5 требует, чтобы при использовании методов удалённого аудита применялись требования IAF MD 4 и чтобы деятельности были определены в плане. Для OH&SMS удалённые действия ограничиваются проверкой документов/записей и интервью; управление процессами и контроль рисков охраны труда не могут аудироваться методом удалённого аудита. Это ограничение должно быть реализовано в программном обеспечении не просто меткой «удалённо», а с типом деятельности и обоснованием. [3]

В многосайтовых структурах каждая площадка, центральная функция, персонал, деятельность и решение о выборке сохраняются во взаимосвязи. В интегрированных системах применимые длительности разных систем менеджмента, уровень интеграции и компетентность команды оцениваются совместно. IAF ID 14:2023 — актуальный информационный документ, разъясняющий шаги определения длительности интегрированного многосайтового аудита: применимость, выборка, эффективный персонал, сложность, корректировка и суммарная длительность; он не заменяет обязательные IAF MD 5 или требования программы. [4]

Как обновляются длительности надзора и ресертификации?

Длительности надзора и ресертификации должны пересматриваться на основе актуальных данных клиента и результативности системы, а не копированием прежнего количества дней.

IAF MD 5 предлагает рамки, согласно которым в первом трёхлетнем цикле время, затрачиваемое на ежегодный надзор, составляет примерно одну треть длительности первичной сертификации; длительность ресертификации — примерно две трети актуального первичного аудита, который проводился бы на эту дату. Расчёт ресертификации не равен прямым двум третям фактически затраченного времени при первичном аудите в прошлом. Должны учитываться изменения организации, области, персонала, площадки, смен, процессов и зрелости системы. [1]

Поэтому перед каждым надзором программное обеспечение должно открывать форму обновления данных клиента, сравнивать новые данные с предыдущим расчётом и помечать различия, требующие повторной оценки. Даже при отсутствии изменений должны фиксироваться проверяющее лицо и дата. Таким образом, выражение «в прошлом году тоже было два дня» не используется вместо технического обоснования.

Какие проверки обязательны в расчётном модуле?

Расчётный модуль должен совместно управлять версией, снимком входных данных, объяснимыми промежуточными шагами, согласованием уполномоченного лица, блокировкой и триггерами пересчёта.

• Версия правил: Одного «IAF MD 5» недостаточно; должны быть видны номер выпуска (issue), версия (version), дата публикации/вступления в силу и внутренняя версия правил организации.
• Исходные данные: Должно фиксироваться, от кого и в какую дату получена информация о персонале, площадках и деятельности.
• Промежуточный результат: Базовая длительность, каждая корректировка, округление и распределение должны быть прослеживаемы пользователем.
• Проверка ролей: Подготовивший расчёт и утверждающий его должны быть разделены матрицей полномочий согласно процедуре организации.
• Блокировка: Расчёт, привязанный к предложению или утверждённому плану, не должен молча изменяться; должна открываться новая ревизия.
• Триггер: Изменение персонала, области, площадки, смен или процессов должно создавать задачу повторной оценки.
• Отчёт: Длительность и обоснование, представляемые клиенту, и детали внутреннего технического расчёта должны показываться на правильном уровне доступа.

Этот подход поддерживает рамки компетентности, последовательности и беспристрастности ISO/IEC 17021-1; однако он не заменяет полный набор требований стандарта. Экран расчёта — досье сертификации систем от подачи заявки до сертификата лишь один контрольный шлюз. [5]

Каковы наиболее частые ошибки в программном обеспечении для IAF MD 5?

Наиболее частые ошибки: принимать численность по платёжной ведомости напрямую как эффективный персонал, не фиксировать обоснование факторов и копировать старый расчёт без контроля изменений.

• Использовать один и тот же выбор риска/сложности для QMS, EMS и OH&SMS.
• Растворять распределение по сменам и площадкам лишь в общей численности персонала.
• Применять уменьшающий фактор без оценки результативности аудита.
• Записывать длительность удалённой деятельности, не показывая, какой процесс и как оценивался.
• Делить аудитородня на календарные дни и не оценивать отдельно результативность команды.
• Автоматически копировать число первого года при надзоре и ресертификации.
• При поступлении новой версии документа молча пересчитывать прошлые досье по новому правилу.

Как можно выстроить процесс IAF MD 5 в Vizyon Alia?

В Vizyon Alia расчёт можно построить как запись, привязанную к данным заявки, с видимыми версией правил и обоснованиями факторов, связанную с досье предложения, плана и решения и утверждённую уполномоченным лицом.

В решении Vizyon Alia клиент, область, площадка, аудитор и цикл сертификации связываются с одним операционным досье. Неправильно внедрять общую формулу без анализа текущей расчётной таблицы IAF MD 5 организации, процесса согласования и особенностей программы. В ходе пилота несколько анонимных завершённых в прошлом досье следует пересчитать новым расчётным модулем; техническая команда должна выяснить, обусловлены ли различия правилами, данными или прежней практикой.

Демонстрация и анализ процесса подготовить один пример QMS, один EMS/OH&SMS, один многосайтовый и один пример изменения области; это позволяет оценить расчётный модуль не только в обычном сценарии, но и в исключительных случаях.

Часто задаваемые вопросы