国际标准化组织 国际认可论坛 ISO9001 审核实践指南 日期 :2004 年 10 月 14 日 免责声明 本指南文件尚未经国际标准化组织 (ISO) TC176 技术委员会或国际认可论坛 (IAF) 认可 本指南文件适用于教育 ( 培训 ) 及交流目的 ISO 9001 审核实践小组对本文内容

Transcription

1 国际标准化组织 国际认可论坛 ISO9001 审核实践指南 日期 :2004 年 10 月 14 日 免责声明 本指南文件尚未经国际标准化组织 (ISO) TC176 技术委员会或国际认可论坛 (IAF) 认可 本指南文件适用于教育 ( 培训 ) 及交流目的 ISO 9001 审核实践小组对本文内容的提供或对其相应的使用所可能造成的差错, 遗误或其它责任并不负责

2 ISO 9001 认证审核实践指南目录 一 ISO9001 审核实践小组介绍二 两阶段审核方式的必要性三 ISO9001 审核实践组使 QMS 瞄向组织成就和经营成功四 过程的识别五 理解过程方法六 适当时 过程的确定七 审核 适当时 要求八 证实与标准的符合性九 特定任务 活动或过程的审核与整个体系相联系十 审核持续改进十一 审核具有最低限度文件的 QMS 十二 如何审核最高管理者过程十三 ISO9001 审核检查表的作用和价值十四 ISO 9001:2000 范围 质量管理体系 (QMS) 范围和注册 / 认证范围十五 如何在审核过程中增值十六 审核 能力 和 所采取措施的有效性 十七 审核法律法规要求十八 审核质量方针 质量目标和管理评审十九 审核监视和测量装置控制二十 审核顾客反馈过程二十一 有效使用 ISO19011 二十二 出具不符合项二十三 评审和关闭不符合项的指南二十四 审核内部沟通二十五 审核预防措施二十六 审核服务组织二十七 第三方审核员的公正性和利益冲突二十八 审核内部审核的有效性二十九 审核电子化管理体系 (EBMS)

3 一 ISO9001 审核实践小组介绍 ISO9001 审核实践小组是由从质量管理和质量保证技术委员会 (ISO/TC176) 和国际认可论坛 (IAF) 遴选出来的质量管理体系 (QMS) 专家 审核员和从业者组成的非正式工作组 该工作组编写了一系列包含了有关 QMS 审核的理念 实例和解释的指南文件 ( 见下附 QMS 审核主题 ) 这些文件体现了基于过程的方法, 过程方法是审核 ISO9001:2000 质量管理体系 要求的精髓 本指南主要供但不限于 QMS 审核员 咨询师和质量从业者使用 这些文件反映了 QMS 审核的一些不同观点 因此, 这些文件的内容并不总是一致的 本指南不期望被用作规定的要求 行业基准 或作为所有 QMS 审核员 咨询师或从业者必须遵守的准则 ISO9001 审核实践小组将根据使用者的意见反馈决定是否编制补充的指南文件或对现在的文件进行修订 如有意见, 请发送 至 : charles.corrie@bsi-global.com 其它的 ISO 9001 审核实践小组文件和报告可从以下网址下载 : 二 两阶段审核方式的必要性 审核 ISO 9001:2000 需要审核员对受审核方的质量管理体系 (QMS) 和业务性质有深入的理解 这就是为什么说在组织认证审核之前, 对其进行拜访以及引入第一阶段审核是有益的 第一阶段审核主要是为认证审核 ( 第二阶段审核 ) 进行范围界定和策划, 并使审核员对组织有一个了解 例如, 让审核员增

4 进对组织 QMS 方针 目标 风险 过程 场所等方面的知识 同时, 它也可用于审核机构就其需求和期望与受审核方进行沟通 在预备性的第一阶段审核中, 实施的活动包括 : a) 识别业务的主要风险 相关的法律法规及符合性 b) 评估受审核方所确定的过程是否充分满足其目标和顾客的要求 c) 实施文件评审 d) 该评审应确定组织的 QMS 文件是否充分覆盖 ISO 9001:2000 标准的所有要求 评审通常在受审核方现场进行 ( 除非要求用其他方式并被认可 ) 作为此项活动的结果, 应提交一份注明不完善之处的报告 作为文件评审的一部分, 审核员应对范围和支持性程序及过程描述的实用性进行评估, 并收集有关组织管理体系范围 过程和场所的必要信息 e) 起草以后的认证文件, 包括范围描述 f) 策划认证 ( 第二阶段 ) 审核, 包括选择审核组的要求 g) 获取内部审核和管理评审已得到有效策划或实施的证据 h) 核查 QMS 已得到实施并且已经可以接受第二阶段审核, 包括适当层次的文件和支持性记录 i) 只要体系存在不足, 审核员都应在审核报告中注明, 以便组织有机会在认证 ( 第二阶段 ) 审核前进行纠正 j) 就第二阶段审核的日期达成共识 三 ISO9001 审核实践组使 QMS 瞄向组织成就和经营成功 ( 见 PPT 文件 )

5 四 过程的识别 1. 区分过程和活动的概念 如果受审核方无法区分过程和活动的概念, 审核员可以根据 ISO9000:2000 基础和术语中的指南 ( 条款 2.4) 和定义 (3.4.1) 的背景知识简要解释这两者之间的区别 审核员应能适应受审核方的具体情况 了解受审核方的体系和方法是审核员的职责 审核过程中, 审核员应判定受审核方存在的问题仅仅是术语的理解问题, 还是受审核方确实没能实施过程方法 如果受审核方确实没能完全实 施 ISO9001:2000 条款 4.1 的要求, 可能需要给被审核方出具不符合项报告 ; 如果只是术语的理解问题, 而审核方能够满足条款 4.1 的全部要求, 就不需出具不符合项 只要能够满足标准的要求, 受审核方有权使用自己的惯用术语 为确保一致性及准确理解, 审核员心中要有标准中的术语和受审核方惯用的术语之间的对应表 2. 过程包含明确的目标 输入 输出 活动和资源 如果受审核方不明白过程必须明确 ( 但不必是可测量的 ) 目标 输入 输出 活动和资源, 审核员应使用通俗易懂的语言将问题重新向受审核方说明, 而避免使用质量管理行话, 比如, 可以说 : 你能介绍你们的工作流程吗? 你们部门的基本工作是什么? 开展工作前要了解 掌握的信息? 信息从哪里获取? 你的工作结果向谁交接? 怎么知道你做的工作符合要求? 等等 这将帮助审核员了解受审核方是否按照 ISO9001:2000 的要求识别了过程, 明确了输入和输出以及目标等

6 3. 应对过程进行分析 监视和 / 或测量和改进 如果采用了上述的审核技巧, 仍然未能发现受审核方存有记录或其他证据证明其对过程做了分析 和 / 或监视 和 / 或测量 和 / 或改进, 那么表明被审核方在 ISO9001:2000 的 4.1 条款存在不符合 4. 受审核方 / 审核员认为 ISO9001:2000 的每个条款或子条款都必须 - 识别为独立的过程 如果审核员认为这种方法是正确的, 那么他应参阅 ISO 的相关文件 ( 需要注意的是 ISO/TC176/SC 2 文件 : N544 ISO9000 前言和支持性文件 : 关于过程方法的概念和应用指南 ), 该文件明确指出这是不正确的如果受审核方认为这种方法是正确的, 建议审核员采用上文第二部分概括的判定过程的技巧进行审核 5.ISO9001:2000 前言部分描述的过程的方法是否是标准的要求? ISO9001:2000 前言部分描述的过程方法纯属知识性的内容, 并非一组附加的要求 条款 4.1 明确了实施质量管理体系的过程方法必要的步骤 条款 4.1 的注释提供了质量管理体系所需的过程的例子 审核方法必须相应地导向对组织过程的分析 五 理解过程方法帮助审核员理解过程方法如果审核员不理解或错误理解过程方法, 应指导他们获取公认的信息资源, 如 :ISO9000: 2000 质量管理体系 - 基础和术语和 ISO 9000 介绍和支持文件包 : 关于管理体系过程方法的概念和应用的指南 (ISO/TC176/SC2/N544, 可从 下载 )

7 认证 / 注册机构应保证其所有审核员接受了关于 ISO9001:2000 新要求的充分培训, 特别是关于过程方法的要求 因此, 审核员应认识到需要采取以下步骤 : - 确定为实现组织的质量目标所需的过程和职责 ; - 确定和提供必需的资源和信息 ; - 建立和应用对每个过程实施监视和 / 或测量及分析的方法 ; - 建立和应用持续改进质量管理体系有效性的过程 审核员应充分理解过程方法的概念, 而不仅仅局限于标准中的术语, 事实上, 受审核方可能使用自己组织内部的术语 审核员应明白过程方法的应用可以根据组织及其活动的规模与复杂性的不同而有所区别 应对中小企业 (SME) 的情况给予特别考虑, 因为中小企业的质量管理体系并不包含很多过程 帮助受审核方理解过程方法如果受审核方完全错误理解了过程方法, 审核员通常应在第一阶段审核时就发现这种情况 审核员应提示受审核方参考公认的信息资源, 如上文所述 ( 特别是 ISO/TC 176/SC 2/N544 指南文件规定了过程方法的步骤并提供了有益的指南和案例 ) 受审核方还应充分关注 : - 过程目标的建立 - 过程策划 - 适当的记录受审核方经常会识别太多的过程, 其中一些或全部只不过是活动, 而不符合 ISO9001:2000 使用过程概念的本义 在这种情况下, 审核员应在第一阶段审核时建议受审核方根据活动的重要程度等因素重新定义其过程 这对中小企业 (SME) 尤为重要 六 适当时 过程的确定

8 术语 由于受审核方所使用的术语有别于审核员使用的术语, 所以审核员应该按 ISO9000:2000 标准来理解 ISO9001:2000 中的概念, 理解或列出受审核方和审核员使用术语和概念之间的对应关系, 避免使用质量管理的行话 过程的定义 如果审核员和受审核方对 过程 这一定义的理解不同, 审核员应尽量理解受审核方的观点, 而不能把自己的观点强加于对方, 除非有足够的 客观证据表明标准的要求没有得到满足 此外, 如果审核员确信某些过程没有得到正确识别或缺少过程, 也应作同样处理 删减 审核员应参照 ISO9001:2000 标准 1.2 条款和 ISO/TC176/SC2/N524 文件 : ISO9000:2000 标准条款 1.2 应用 指南来获取更多的指导, 也可参考 APG 的范围指南 在作出结论前, 审核员应获得客观证据来表明受审核方不能删减某条具体要求 对于审核员来说, 应用 ISO9000:2000 标准 质量管理体系 - 基础与术语 和作为支持文件的 ISO/TC 176/SC 2/N524, 向受审核方解释双方的分歧是一种有益的实践 七 审核 适当时 要求

9 受审核方应确定 ISO9001 中 适当时 要求的应用, 因为这将影响其满足顾客要求的能 ( 让受审核方参照 ISO9001:2000 中条款 1.1 当组织 a) 需要证实其有能力稳定地提供满足顾客和适当的法律法规要求的产品 可能是有益处的 ) 审核员应确保 适当时 要求对于受审核方所提出的 / 实际的质量管理体系范围是真正 适当的 因此, 审核的基础应对照此准则, 该准则构成了判断某要求适当与否的基准 需加以考虑的因素有 : - 如果没有指明 适当时, 此项要求能增强信心吗? - 它是否加大了组织不能满足其顾客要求的风险?( 这不仅仅指顾客特定的一些要求, 它还包括来自于最终使用者 消费者或者是供应链的需求和期望 ) 需要有经验对技术性问题作出判断 审核机构应该能够证实其审核员具备必要的专业知识 能力和审核技巧 审核员需要能够证实具备其正在检查的过程方面的知识并能够应用他们的技能以评价 适当时 要求是否适当 审核员需要了解在过程是如何建立的及其期望的输出方面, 适当时 要求是如何作用于前述两者的 当这些要求并不被认为是 适当的 时, 审核员应提供客观证据以证实体系是有效的且顾客的要求得到了持续的满足 审核机构应有必要的过程以确保审核员具备与将要接受审核组织相关的特定技能

10 八 证实与标准的符合性 按照标准条款实施审核 与 对受审核方的过程实施审核 当评估与标准的符合性时, 仅靠检查表是不够的 在审核结束时, 审核员应该清楚地知道是否标准的所有要求都得到了满足 为了证实符合标准, 人们通常会回过头去选择使用检查表, 因为那样审核员可以逐条检查标准的要求, 以确保所有要求都能被覆盖 这种基础性的填写检查表的方法易于操作, 它可以确保所有的标准要求都被检查到 然而, 考虑到 ISO9001:2000 要求的 ( 过程 ) 方法, 使用通用的检查表实施审核可能会妨碍审核员收集过程之间有效联系的相关证据 在一些情况下, 完全脱离检查表 ( 或者审核问题清单 ) 是不可能的, 尤其是当一个组织需要向第三方展示其与标准的符合性时 ( 如执法者, 符合性评价机构 ) 在合适的时间, 以合适的方式使用检查表是非常重要的, 即, 检查表可作为协助追踪应覆盖的相关标准要求的一个工具 什么是足够的抽样量? 在审核过程中, 没有统计和数学公式来确定合适的抽取样本的数量 规定抽样的数量 ( 如针对特定的要求抽查 1 个 5 个或者更多的记录的样本 ) 来判定对要求的符合性是缺乏效率的, 也不能确保符合性 毫无疑问, 通过增加抽样数量, 会使审核员判断质量管理体系的具体实施情况时更有信心 本文中的 足够的 抽样量意指一个在现场面谈和记录评审时抽样的水平, 以保证对受审核方的质量管理体系已按规定有效实施提供充分的信心 对多个场所或公司组织单元的抽样, 在 IAF 关于 ISO/IEC 导则 62 的实施指南的附录 II 中加以规定 另外该指南还规定了现场所需的审核人日和多场所的抽样计算公式 在面谈过程中审核员需要进行交谈并检查记录和相应证据 抽样的数量取决于被审核过程的复杂程度 以及面谈过程中从受

11 审核方获取的信息的质量 审核员按照审核计划保持审核进度也是很重要的 一天的审核结束后, 审核员应确保获取的样本及客观证据是有代表性的, 以便针对 QMS 的实施得出适宜的结论 记录审核信息 ISO 以及 IAF 关于 ISO/IEC 导则 62 的应用指南解释了审核报告应该包含的内容 然而, 提交受审核方的审核报告应只包含关于受审核方的重要信息, 例如可能的改进 正面的观察结果 以及不符合标准的信息 仅仅重复和解释标准要求并不是受审核方所期望的 对于审核员来说, 还要证明其审核实施的次序, 这有时候也被称为审核轨迹 (audit trail) 使用审核笔记对审核员是一种非常有效率的记录审核过程的方法 使用审核笔记的主要缺点是 : 记录审核过程的信息的方式太过于个人化, 且不同审核员之间的信息记录的详细程度和风格也会有千差万别 检查表可以在某种程度上确保审核员表现的一致性 然而, 审核员永远不能忘记他们的时间应花费在审核上, 而不是填写检查表或者记笔记 九 特定任务 活动或过程的审核与整个体系相联系 审核员不应拘泥于过多的细节而忽略了审核的整体方向 重要的是审核员要关注受审核方在质量手册或文件中所提供的信息, 在这些文件中受审核方已确定了过程之间的相互作用 审核员的访谈方式也应是能够确定被审核过程的输入和输出 熟记受审核方的流程图可以确保审核员在任何时候都能确定其正在审核的过程的重要性, 从而能够始终把握住审核的整体方向, 这也会帮助审核员理解过程之间的联系

12 审核时, 审核员会有机会去检查受审核方对于其过程相互关系的描述 审核员应抽取一些样本以了解该描述是否恰当地反映了过程之间实际的相互关系, 这将有助于确定过程描述的充分性 十 改进多少可谓 充分? 应该强调的是 :ISO 9001:2000 标准的要求是持续改进质量管理体系的有效性 持续改进源自最高管理者设定的目标, 目标应 ( 至少 ) 指明 : 组织内部效率的改进 ( 为组织保持经济竞争力 ) 顾客个体的需求以及市场通常所期望的绩效水准 例如在航空领域, 交付产品不合格的 可接受率 是百分之零, 所以组织在该比率上设定 改进 目标, 将是毫无用途的 然而, 组织针对改进其内部效率及其竞争力 ( 比如通过创新 ) 来设定目标, 将是大有助益的 审核员应设法确定, 受审核方是否已经尝试在公司目标 顾客需求和市场期望三者的关联性方面建立目标 此后, 组织就可以来平衡改进内部效率和促进外部绩效的需求 ( 虽然二者大多是密切相关的 ) 任何单方面的考虑都不能说是 充分 或 不充分 知道什么是合理的市场基准, 对于审核员而言可能是一个问题 继续用上面航空业的例子来说, 如果组织宣称它已经将交付不合格品率从 50% 改进到 40%, 这表明已经是持续改进, 但考虑该行业百分之零的正常比率, 组织的这种改进将是很难被接受的 然而, 如果宣布已经设定了将其不合格品率从 0.50% 改进到 0.40% 的目标, 这就更加贴近市场正常水平了

13 对于审核员而言, 真正的解决方案在于去验证组织是如何确定所要达到的改进比率的 是如何去评估相关风险的, 以及是如何与顾客需求和顾客满意反馈的监控相联系起来的 出具写着 持续改进不够充分 字样的不符合项报告, 几乎是不可能的 哪种信息是有关的以及何处可以找到? 审核员必须验证总体目标是如何通过适当过程转化为内部要求的, 以及这些要求是如何得到沟通和监控的 这样, 审核员就应寻找证据, 表明组织正在对来自过程监控的数据进行分析 然后将结果用于过程效率的评估和 / 或过程输出的改进 应特别检查的一点是, 任一过程的改进对实现总体目标所起作用的一致性, 以确保不会在实现其他目标方面引起冲突 审核员需要寻找的信息是, 总目标是如何转化为特定 QMS 目标的 例如 : 一个组织可能设定将顾客抱怨降低 30% 的目标 最高管理者的分析表明,50% 的抱怨是关于交货延误的 审核员就应寻找组织为了减少交货延误, 在整个过程和过程接口处, 就其排程和计划活动的关键因素正在进行监控和分析的证据 过程的改进还是 QMS 的改进? 审核员应切记, 希望组织所有潜在的改进同时都有进展是不现实的 每项改进都需要在资源方面的承诺, 资源可能需要最高管理者区分优先次序, 特别是需要投资时 取而代之的是, 审核员应朝确保改进目标总体上是一致的, 并且和前面所提及的三个方面是相互协调的方向去查询 然而, 组织没有与持续改进相关的方针和目标显然是不符合标准的 同样地, 没有任何证据表明至少在一个方面进行了改进, 这意味着组织的质量方针不符合 ISO 9001:2000 要求

14 提醒 : 标准并没有要求组织应在某一时刻设定其改进其所有过程的目标 在上面降低顾客抱怨的例子里, 有一些过程最高管理者认为对减少延误不会有显著贡献, 因此组织不去关注这些领域也是正常的 若最高管理者已经为过程设定了 ( 切实可行的 ) 目标, 并且没有改进的证据, 则这个信息必须被反馈到管理评审, 以便最高管理者能够决定采取何种适宜的措施, 如重新调整目标或者采取其他方法对该过程施加影响 十一 审核具有最低限度文件的 QMS 当受审核方仅提供 ISO9001:2000 明确要求的一本质量手册和六个程序文件时, 审核员与受审核方之间在缺少某些形成文件的程序方面可能存在一些不同意见 审核员和受审核方的不同观点可能是由对 ISO9001 的 条款中所包含的要求, 以及相关的注解的理解不同而引起的, 标准规定 : 总则质量管理体系文件应包括 : 组织为确保有效的策划 运作和控制其过程所需要的文件 注 : 不同组织的质量管理体系文件的多少与详略程度取决于 : a) 组织的规模和活动的类型 b) 过程及其相互作用的复杂程度 c) 人员的能力

15 审核员应要求受审核方提供运作过程的信息, 并随后提问 记录回答并观察所有层次的人员 ( 包括管理人员 过程拥有者和操作者 ), 以确认实际的工作状况与给定的描述的符合性 其后, 应当根据所观察到的对一致性的需求 以及在避免任何重大的 已识别的风险方面文件可能起到的作用来对文件化的必要性进行评价 读者应参考 ISO/TC 176/SC 2/N 525,ISO9000 介绍和支持包 :ISO9001:2000 的文件化要求指南 在文件方面所给出的建议 十二 如何审核最高管理者过程 鉴于对最高管理者进行审核的敏感性, 本文为此类审核提供指南 审核员应使最高管理者参与审核活动, 例如, 邀请他们参加首次会和总结会 在审核计划中安排充分的时间与最高管理者进行访谈 与他们就审核发现进行坦诚的探讨 寻找他们承诺的证据等等 重要的是要将关注焦点从仅仅是质量经理而已转变为组织的最高管理者 审核员应视最高管理者的活动为过程, 并据此实施审核 策划阶段 审核员需要识别最高管理者过程, 并 a) 通过研究诸如组织系统图 年报 商业计划 公司介绍 新闻稿件 网站等信息来了解组织及其管理架构 ); b) 在审核计划中要做出安排以便直接和通过访谈方式从最高管理者那里获取有关最高管理者承诺方面的信息 ;

16 c) 理解组织文化和最高管理者的文化, 以确定其对审核计划的影响并能据此做出适当的调整 ; d) 通过确定组织的衣着规定, 在审核员自身形象方面采用职业的着装 ; e) 计划好与最高管理者访谈的时机以确保适宜和准时 不要安排审核经验不足的审核员与最高管理者访谈 实施审核 评价最高管理者承诺的常用方法是 : 1 与最高管理者进行访谈审核员可以使用适合于最高管理者的商业术语询问相关的问题以 : a) 寻求获得最高管理者对于质量的意识和承诺及其对于组织整体目标和管理体系的相关性方面的证据 ; b) 确定符合 ISO9001 中有关 管理职责 要求的证据 2. 搜集并证实证据审核员 / 审核组应坚持不懈地寻找机会以证实那些最高管理者在接受访谈时所回答出的信息 这包括 : a) 方针和目标的实用性以及两者之间的相关性 ; b) 方针和目标之间联系的建立 ; c) 获得能够证实这些方针和目标是有效的并在整个组织范围内已得到理解的证据 ; d) 确定质量方针和质量目标对于质量管理体系的持续改进和实现顾客满意是否适宜 ; e) 确定最高管理者是否参与了管理评审 为了能够提供所需的证实, 可能还要进行额外的访谈和证据收集工作

17 审核组应确保有关最高管理者承诺方面的任何额外的证据也都得到了收集 审核员 / 审核组应评审所收集的证据以确保信息的完整性和准确性, 并能够为所做出的结论提供信心 审核的报告 审核员应对审核报告进行预先准备, 以使它们适合于向组织的最高管理者陈述 一个可能比较适宜的办法是向最高管理者和组织的关键利益相关方提供适与向他们陈述的审核报告的总结 这份总结应突出关键的发现, 包括正面的和负面的, 并识别出改进的机会 十三 审核检查表的作用和价值 引言 本文件提供了关于审核检查表的作用及价值的信息, 以有效支持审核过程 本文件主要是为外部审核组织 ( 包括注册和认证机构 ) 提供指导, 此信息也可以用于指导任何组织开展内部审核 检查表的必要性 现行审核标准 ISO19011 在第 条中提到 准备工作文件, 下面是该条款的摘录 : 审核组成员应当评审与其所承担的审核工作有关的信息, 并准备必要的工作文件, 用于审核过程的参考和记录 这些工作文件可以包括 :

18 检查表和审核抽样计划 记录信息 ( 例如 : 支持性证据, 审核发现和会议记录 ) 的表格 检查表和表格的使用不应当限制审核活动的范围, 审核活动可随着审核中所收集的信息而发生变化 审核检查表的使用 按照管理体系标准的要求审核检查表不是必需的, 它仅仅是 审核员工具箱 里的一种有用的工具 许多机构使用审核检查表, 以保证审核活动至少覆盖了审核范围中规定的要求 下面是一个审核方法的例子 : ISO 9001:2000 标准要求 从组织的管理体系到 ISO9001:2000 标准要求进行审核 符合性和绩效 符合性 使用审核检查表从标准要求到组织的管理体系进行审核 组织管理体系

19 从组织的管理体系到标准要求进行审核是有益的, 而检查表的使用可以保证所有 ISO9001 标准中的要求都被审核到 优点 市场上文献介绍的有关使用检查表的益处如下 : 1. 如针对一个特定的审核活动编写并正确使用检查表, 那么 : a. 加强审核的策划 b. 保证审核方法的一致性 c. 作为抽样计划和时间管理工具 d. 提供记忆帮助 e. 为审核过程中所收集的笔记提供信息库 ( 审核现场笔记 ) 2 为了对审核过程提供帮助, 需要编写审核检查表 3 审核员应该接受关于使用特定检查表的培训, 包括如何通过良好的提问技巧来利用检查表获得尽可能多的信息 4 检查表应帮助审核员在审核过程中表现得更好 5 检查表帮助确保审核活动以系统的和全面的方式来实施, 并获得足够的证据 6 检查表能够为一次审核活动提供框架和连续性, 并确保遵守审核范围 7 检查表提供了一个沟通的方法以及记录数据存储场所, 以便将来查阅 8 一个完成的检查表提供了审核已得到实施的客观证据 9 检查表能够提供质量管理体系已被检查的记录 10 检查表可用作对未来的审核进行策划的信息库 11 检查表可以在现场审核之前提供给受审核方 缺点

20 相反地, 当没有检查表, 或者检查表准备不够充分时, 会出现以下问题 : 1 检查表可能使被受审核方感到紧张 2 检查表可能因为关注范围太窄而不能识别出一些特定的问题区域 3 检查表是帮助审核员的工具, 但是如果被用作审核员唯一的支持工具, 那就有可能限制审核 4 检查表不能替代审核策划 5 如果一个没有经验的审核员太过于依赖检查表来指导其提问的话, 可能导致其不能够清楚地表达他 / 她想要获取的信息 6 编得不好的检查表可能由于重复工作而减缓审核的速度 7 未反映特定组织管理体系特点的通用检查表可能不会带来任何增值, 还可能干扰审核 8 关注面狭窄的检查表将会极大限制审核员采用个性化的评估问题 / 评估方法 结论 使用审核检查表有优点也有缺点, 这取决于多种因素, 包括客户需求 时间和成本的限制 审核员经验和区域活动安排的要求 审核员应当评估其作为协助手段在审核过程中的价值, 并将其作为一种工具来使用

21 十四 ISO 9001:2000 范围 质量管理体系 (QMS) 范围和注册 / 认证范围 ISO9001:2000 标准条款 1 规定了该标准自身的范围 ISO9001:2000 标准的范围不应与 QMS 的范围相混淆,QMS 的范围通常用来描述组织已正式实施了 QMS 的过程 产品 ( 和 / 或服务 ) 以及相关的场所 部门等 ( 注 : 这不必包括组织所有的过程 产品 场所 部门等 ) QMS 的范围应依据组织的产品及其实现过程的性质 风险评价结果 商业动机以及合同与法律法规的要求来确定 ISO9001:2000 是通用要求, 适用于所有组织 ( 无论其类型 规模或产品类别 ), 在一定条件下, 组织可以删减 ISO9001:2000 的一些特定要求 ( 条款 7 中的内容 ) 并声明符合标准要求 这是因为并非该条款的所有要求都与组织有关 ISO9001:2000 条款 1.2 应用 也允许这样删减 因此, 注册 / 认证范围应围绕 QMS 的范围, 并描述对于 ISO9001 要求的任何删减 由于 QMS 的范围 和 注册 / 认证范围 常被交替使用, 所以当顾客或最终用户试图识别组织的哪些部分通过 ISO9001 注册 / 认证, 哪些生产线或过程被 QMS 所覆盖, 或者 ISO9001 的哪些要求被删减时, 就可能会产生混淆 为了消除这类混淆, 并能够识别所获得的注册 / 认证, 注册 / 认证范围应明确 : -QMS 的范围 ( 包括其覆盖的生产线和相关场所 部门等细节 ); - 所覆盖的组织产品实现或服务提供活动 ( 例如设计 生产和交付 ) 生产线的主要过程 ; - 所有被删减的 ISO9001 要求 ( 应该指出, 组织的注册 / 认证范围不同于被证实符合 ISO9001 标准后所颁发的证书上描述的范围 证书内容通常包括对注册 / 认证范围的综合描述, 而不含被删减要求的细节 ; 但是可以包括一个注解, 来说明删减细节可参见组织的质量手册 )

22 组织必须在申请注册 / 认证之前草拟注册 / 认证的范围 ; 注册 / 认证机构应在第一阶段审核时分析该范围, 以便于策划第二阶段的审核 ( 参见 两个阶段审核的必要性 ) 审核员负有以下职责 : - 确保最终描述的注册 / 认证范围不产生误导 ; - 验证该范围仅涉及组织在注册 / 认证审核期间被评价的过程 产品 场所 部门等 - 验证该范围确定了所有被删减的 ISO9001 要求, 并验证了删减的理由及其合理性 为了避免顾客和最终用户可能产生的混淆, 作为额外措施, 注册 / 认证范围应在组织的质量手册和公开文件中予以明确 ( 例如, 促销和营销资料 ) 但是, 注册 / 认证范围本身不能包含促销性内容 ISO/TC 176/SC2 已编制了 N524 文件, 即 ISO9001 介绍及支持文件包 :ISO9001:2000 条款 1.2 应用 的指南, 从而为使用者提供了 ISO9001:2000 条款 1.2 应用 的相关信息, 包括一些该条款实际应用的典型案例 (N524 可以从下面的站点免费下载 : 此外,IAF 也出版了可供参考的 IAF 关于 ISO9001:2000 应用指南, 第二版 十五 如何在审核过程中增值 我们所说的 增值 意味着什么? 我们在质量管理体系 (QMS) 的审核中, 听到了很多有关 增值 重要性的说法, 但是它真正意味着什么呢? 如果不 ( 损害审核的完整性或不提供咨询 ), 那么增值还能实现吗? 原则上, 所有的审核都应该增值, 但往往并不是这样的 本文是关于审核如何为不同的相关方实现增值的指南, 并且提供一些在各种第二方或第三方审核中可能遇到的情况

23 增值的质量管理体系 词典对 价值 有多种定义, 但这些定义都是关注某些东西是有用的概念 增值 因此便意味着使某些东西更加有用 一些组织已经使用 ISO9000 系列标准来建立其质量管理体系, 他们的质量管理体系被完整的引入到其工作方式中, 并且对于帮助他们实现自己的战略目标是很有用的 换句话说, 他们为组织实现了增值 相反的, 另外一些组织可能简单地建立了一套官僚的程序和记录, 这些不能反映组织的实际工作方式, 还增加了组织的 ( 成本 ), 这是没有用的 换句话说, 他们没有实现增值 这是一个方法问题 : 不增值的方法总是问 : 我们必须写哪些程序才能够得到 ISO9000 认证呢? 增值的方法则总是问这样的问题 : 我们应该怎样使用基于 ISO9001:2000 的质量管理体系来帮助我们提升我们的 ( 业务 ) 呢? 如何在审核过程中增值呢? 我们如何确保一个审核对于组织保持和改进它的质量管理体系是有用的呢?( 无论如何, 我们应该认识到可能有别的一些观点需要考虑 ) 为了增值, 第三方审核应该是有用益于 : 对于被认证的组织 通过给最高管理层提供有关组织达到战略目标能力的相关信息

24 效 通过识别问题, 如果能够加以解决, 这将提升组织的绩 通过识别改进机会和可能存在的风险区域 对于组织的顾客, 通过提升组织提供合格产品的能力 对于认证机构, 通过改进第三方认证过程的可信性 关于 ISO9001:2000 的要求, 增值 方法可能成为一种衡量组织质量文化和质量管理体系成熟水平的工具 在图 1 中, 我们能从概念上把组织分为四个不同的区域, 如下 : 区域 1:( 低成熟度的质量文化 ; 不成熟的质量管理体系, 不符合 ISO9001:2000) 区域 2:( 成熟的质量文化 ; 不成熟的质量管理体系, 不符合 ISO9001:2000) 区域 3:( 低成熟度的质量文化 ; 成熟的质量管理体系 ; 符合 ISO9001;2000)

25 区域 4:( 成熟的质量文化 ; 成熟的质量管理体系 ; 符合 ISO9001:2000) 注意下文内容是很重要的 : 质量文化 是指组织关于质量的意识水平 承诺 集体态度和行为 与 ISO9001:2000 的符合性 与组织质量管理体系的成熟度有关, 也与符合 ISO9001:2000 的要求的程度有关 ( 公认的, 甚至在一个成熟度很高而且符合 ISO9001:2000 的组织里, 也可能发现一般不符合 ) 区域 1:( 低成熟度的质量文化 ; 不成熟的质量管理体系, 不符合 ISO9001:2000) 对于仅有一点点或没有质量文化的组织并且不符合 ISO9001:2000 的质量管理体系, 他们对审核增值的期望意味着组织希望得到一些建议 : 关于如何实施质量管理体系和 / 或如何解决出现的不符合项 这时审核员不得不引起高度注意, 因为在第三方审核中像这样的建议将肯定产生一个利益冲突, 并且将违反 ISO/IEC 导则 62 中关于对认证机构认可的要求 不过审核员能够做的是, 确保不管什么时候遇到不符合, 受审核方都能够清楚的理解标准的要求是什么和为什么开出不符合 如果组织能够认识到分析解决这些不符合, 将为他带来绩效的提高, 那么他就更可能信任和认可认证过程 无论如何, 所有被识别的不符合项都要报告, 这样组织才能清晰的理解为了满足 ISO9001:2000 的要求需要做什么, 这一点是非常重要的 如果不能得到认证, 一些组织可能不会完全满意认证审核的支出, 但同时组织的客户 ( 组织产品的接收者 ) 从他们的角度出发会认为这应该是一次有价值的审核 从认证机构的角度来讲,

26 如果不能够报告发现的全部不符合项, 并且 / 或者为组织提供如何实施质量管理体系的指导, 那么对于审核职业或认证过程的可信性来说是没有意义的 我们必须认识到以上讨论主要是关于第三方 ( 认证 ) 审核的 没有理由认为第二方 ( 供方评价 ) 审核不应该通过提供如何实施质量管理体系的指导来使审核增值 当然, 在这些情况下, 这样的指导 ( 如果依据充分 ) 将毫无疑问对组织和组织的顾客都是有益的 区域 2:( 成熟的质量文化 ; 不成熟的质量管理体系, 不符合 ISO9001:2000) 对于拥有成熟的 质量文化 和不符合 ISO9001:2000 的不成熟的质量管理体系的组织, 他们对审核增值的基本期望和区域 1 的情况比较类似 不过组织可能会对审核有更高期望 为了能够增值, 审核员不得不了解组织现有惯例满足 ISO9001:2000 要求的方式 换句换说, 要了解组织过程与 ISO9001:2000 的关系, 但并不是说, 比如要坚持组织重新定义它的过程和文件以对应标准的条款结构 例如, 组织可能把它的管理体系建立在某些模型或工具之上, 如 : 商务最佳模型, 或者全面质量管理工具如 Hoshin Kanri( 方针管理 ) 质量功能展开 失效模式和后果分析 六西格玛方法 5S 程序 系统问题解决方案 质量环等等 为了在审核过程中增值, 审核员应该至少知道组织的这些方法, 并且对于特殊的组织能够知道他们有效满足 ISO9001:2000 要求的程度 审核员不被组织的显然易见的强词夺理所迫, 这也是很重要的 组织可能使用这些工具作为其整个质量哲学的一部分, 不过在使用这些工具的可能依然存在差距 因此, 审核员必须能够识别任何的系统问题和提出适当的不符合项 这种情况下, 审核员

27 贯穿到整个 QMS 审核过程中, 这是非常重要的 审核员需要拿出时间来与最高管理层做详细的讨论, 来确定他们对 QMS 的期望, 并把这些期望融入到标准的审核中去 一些审核员如何去实现增值的技巧 1) 审核策划 a. 理解受审核方的期望和组织文化 b. 所有特别的关注点是否被陈述 ( 先前审核的输出 )? c. 对组织所从事的行业的特点进行风险分析 d. 对法律法规要求进行预评估 e. 选择适当的审核组以完成审核目标 f. 恰当的时间分配 2) 审核技巧 a. 更多的关注过程, 较少的关注程序 一些文件化的程序, 作业指导书, 检查表等等可能对于组织去计划和控制它的过程是必要的, 但是起推动作用的应该是过程业绩 b. 更多的关注结果, 较少的关注记录 在某些的方式下, 一些记录可能是必要的, 来为证明组织的过程是有效的提供客观证据 ( 产生策划的结果 ), 但是为了增值, 审核员应该意识到并对作为证据的表格负责 c. 记住质量管理 8 大原则 d. 使用 PDCA 方法去评估组织过程的有效性 i. 过程是否被策划? ii. 是否在按照计划开展工作? iii. 是否实现了策划的结果? iv. 是否识别改进的机会和实施改进? 通过纠正不符合项 通过识别问题的根本原因和实施纠正措施 通过识别趋势和预防措施的需要 通过创新

28 贯穿到整个 QMS 审核过程中, 这是非常重要的 审核员需要拿出时间来与最高管理层做详细的讨论, 来确定他们对 QMS 的期望, 并把这些期望融入到标准的审核中去 一些审核员如何去实现增值的技巧 1) 审核策划 a. 理解受审核方的期望和组织文化 b. 所有特别的关注点是否被陈述 ( 先前审核的输出 )? c. 对组织所从事的行业的特点进行风险分析 d. 对法律法规要求进行预评估 e. 选择适当的审核组以完成审核目标 f. 恰当的时间分配 2) 审核技巧 a. 更多的关注过程, 较少的关注程序 一些文件化的程序, 作业指导书, 检查表等等可能对于组织去计划和控制它的过程是必要的, 但是起推动作用的应该是过程业绩 b. 更多的关注结果, 较少的关注记录 在某些的方式下, 一些记录可能是必要的, 来为证明组织的过程是有效的提供客观证据 ( 产生策划的结果 ), 但是为了增值, 审核员应该意识到并对作为证据的表格负责 c. 记住质量管理 8 大原则 d. 使用 PDCA 方法去评估组织过程的有效性 i. 过程是否被策划? ii. 是否在按照计划开展工作? iii. 是否实现了策划的结果? iv. 是否识别改进的机会和实施改进? 通过纠正不符合项 通过识别问题的根本原因和实施纠正措施 通过识别趋势和预防措施的需要 通过创新

29 e. 采用 全局 的方法在整个审核中收集证据, 代替关注与 ISO9001:2000 中的单独条款 3) 分析和决策 a. 把发现纳入结论中 ( 风险评审 / 常识 ) b. 把审核发现与对组织提供合格产品能力的影响联系起来 ( 参见 ISO9001:2000 条款 1.1) 4) 报告和跟踪验证 a. 恰当地报告审核发现 i. 采取不同的方法取决于 : 组织的成熟度 ( 区域 ) 对组织 QMS 的信心水平 所包含的风险 受审核方对审核过程的态度和承诺 正面的 负面的 ii. 确保所有的文化侧面均应被考虑 iii. 恰当的强调负面的发现 iv. 组织对审核负面发现所提出的解决方案是否是有用的? b. 报告应该是有目的的, 并关注适当的 受众 ( 最高管理层也许期望报告不同于管理者代表的那些报告 ) 十六 审核 能力 和 所采取措施的有效性 提供以下信息用来指导审核员, 在实施认证审核时理解 ISO 9001:2000 条款 对于 能力 和 所采取措施的有效性 的要求, 例如培训

30 这些要求通常作为审核产品实现过程的一部分来加以审核, 而不是孤立地来审核 然而也得承认, 有些组织可能具有独立的人力资源过程, 从中可以发现所需要的大部分证据 本文识别了组织开展的旨在确保其人员能力和评估所采取措施有效性的典型活动, 给出了审核员应致力寻找的证据类型的指南, 并在适宜时提供了范例 为满足 ISO 9001:2000 的能力 / 有效性要求, 通常组织需要 : 识别从事对质量有影响的工作的人员应具备什么能力识别哪些已经从事工作的人员具备所要求的能力决定还要求何种附加能力决定如何获得这些附加能力 人员培训 ( 外部或内部 ) 理论或实践培训 招聘有能力的新人 给现有的有能力的员工分配不同的工作培训 招聘或重新分配人员评审为满足能力需求所采取措施的有效性定期评审人员的能力 在整个过程中, 要求组织保持教育 培训 技能和经验方面的适当记录 然而,ISO 9001:2000 标准并没有详细说明如何建立该过程或者保持何种记录 在审核组织对于能力和培训评估要求的符合性时, 审核员通常应寻找如下证据 : 1. 组织需要识别从事影响质量工作的人员应具备的能力 指南 审核员的目标应是确定组织是否有系统的方法去识别这些能力, 以及验证该方法是否有效 过程的输出可能是清单

31 登记簿 数据库 人力资源计划 能力发展计划 合同 项目或产品计划等等 开始应与最高管理者进行讨论, 确保他们理解识别所需能力的重要性 关于新的或已变更的活动或过程可能也是潜在信息源, 这些可以导致组织中的不同能力要求 评价新的投标或合同时, 可能也需要对能力进行评审 这方面的证据可在相关的记录中寻找 当分包方的活动可以影响过程和 / 或产品质量特性时, 能力要求可能包含在合同文本中 在监督审核期间, 审核员需要确定组织是否已经对新的或变更的能力需求进行了识别 2. 是否指派具备能力的人员从事需控制其过程或产品质量特性的工作? 指南 验证是否进行了某种方式的评估过程, 以确保能力对于组织的活动而言是适当的, 并确保被选定的人员表现出应具备的能力 同时, 该过程也应确保任何能力不足都在采取了相应的措施, 并确保也在监测了人员的效力 验证影响质量的活动是否由选定的具备能力的人员来从事 在审核中关注人为介入会产生巨大影响的过程 活动 任务 产品, 就会得到证据 审核员可以评审岗位描述 试验或检验活动 监视活动 管理评审记录 职责和权限规定 不合格报告 审核报告 顾客抱怨 过程确认记录等 3. 组织需要评估为满足能力需求而采取的措施的有效性 指南 组织可以使用很多的技术, 包括角色扮演 同事互评 观察 培训和从业记录评审和 / 或面试等 ( 更多的例子参见 ISO

32 19011 表 2) 特定评估方法的适宜性取决于很多因素 例如, 可以查看培训记录以验证培训课程已成功完成 ( 但注意, 单凭这点不能作为受训者具备能力的证据 ) 然而, 不能以这种相同的方法评价审核员在审核过程中表现得是否令人满意 相反地, 可能要求观察 同事互评 面谈等等 组织需要通过教育 培训和 / 或工作经验相结合来证明其人员已经具备能力 4. 能力的保持 指南 审核员需要验证组织具有某种方式的有效监控过程, 并正在得以遵照实施 这包括持续专业发展过程 ( 诸如在 ISO19011 中描述的某一种 ) 对人员及其绩效的定期评价 或者对由个人或小组负责的产品的定期检验 试验或审核 实时更新能力要求, 可表明组织在维持人员绩效水平方面是积极主动的 十七 审核法律法规要求 ISO9001:2000 要求组织识别并控制适用于其产品 ( 包括服务 ) 的法律法规要求, 而在其 QMS 内如何识别和控制这些要求则由组织自己决定 组织应证实适用于其产品 / 服务的法律法规要求已被适当地识别 是可获取的且易于检索 审核员需要了解适用于受审核方 QMS 所涵盖产品 / 服务的通用及特定的法律法规要求 在审核准备阶段, 审核组应从内部或外部渠道获取法律法规要求的相关信息, 这样可以使审核员对在 QMS 中引入这些要求的适宜性进行判断 这些要求需要得到识别并整合到组织的资源管理和产品实现活动中

33 在审核阶段, 审核组应 : 的方法 确保组织有用于识别 保持和更新所有适用法律法规要求 在监视 过程输出 与要求的符合性时, 确保这些法律法规的要求被当作 过程输入 性 确保组织能够恰当地证实与标准和法律法规要求的符合 如果在审核时有证据表明组织遗漏了有关法律法规要求的特定信息, 审核员应出具不符合项 如果直接识别出了与这些法律法规要求的不符合, 审核员也应当出具不符合项 由于可能会产生责任问题, 审核员应避免声称什么样的法律法规要求适用于该组织的产品 / 服务, 或者应采用什么方法来满足这些要求 只有识别出与组织的产品 / 服务相关的法律法规要求方面的系统缺陷或者直接违背法律法规要求时, 才应该开出不符合项 当然, 如果审核时恰巧发现了与其他法律法规 ( 如健康安全 环境等 ) 要求的不符合, 审核组不应忽略这个事实 审核组应当及时向受审核方进行通报, 有要求时, 也要向审核委托方通报 如果在审核之前 审核过程中或审核实施之后, 审核员意识到有任何影响质量管理体系形象和可信性的故意的与法律的不符合 ( 包括, 比如, 违反反托拉斯法 违反劳动法 违反健康和安全或环境法规 ), 那么应该适宜地考虑这些不符合, 并对其进一步调查 除了执法???( 法规 ) 当局采取的措施外, 审核员应

34 该评估质量管理体系在满足客户要求方面 ( 明示或通常隐含 ) 的有效性, 并把评估结果报告给认证 / 注册机构以便其采取适当的措施 十八 审核质量方针 质量目标和管理评审 1. 审核质量方针 只有在整体的审核结果基础之上, 才能对质量方针及其是否已得到有效贯彻进行真正意义上的评估 审核方法应该包括 : - 与管理者进行交谈以了解他们对质量的态度和承诺 - 通过管理评审记录, 评价最高管理者在建立 实施 监视和更新质量方针中所做的承诺及参与情况 - 评估管理层是否已有效地将质量方针在组织的各个层次上 翻译 成能够理解的词语和指示, 并在各个相关的职能 / 层次上都有与之相对应的质量目标 - 与组织的员工进行访谈, 以验证他们在组织的质量方针如何与他们自身活动相互关联方面的意识 理解和认知, 但别在意这些员工用什么术语来表达他们的理解 - 搜集通过适当的沟通方式有效传达质量方针的证据 2. 审核质量目标 审核员需要验证组织是否规定了总体质量目标, 这些目标是否反映了质量方针并与组织的总体经营目标 ( 包括顾客期望 ) 是

35 高度一致 对应和兼容的 否则, 审核员需要进一步评价最高管理者对质量的承诺 质量目标的实现应可测量并形成文件 质量目标并没有一种特定的文件化形式, 质量目标可以通过经营计划, 管理评审的输出, 年度预算等形式出现, 由审核员自己判断目标是否已充分文件化 审核员应获得质量目标如何在整个组织构架和过程中得到适当分解 如何与总体战略目标和管理目标直至特定的操作活动等联系起来的证据 建议在文件评审阶段对文件化的质量目标进行检查 在审核结束之前, 审核员应确定组织的质量目标是切实可行的, 组织已为责任人实现其目标提供了适当的资源 应从组织的所有层面获得这方面的证据 质量目标不是静态的, 需要根据当前的经营气候和持续改进的要求进行更新 审核员应该验证组织总体绩效是否反映出质量方针的目的, 以及是否合理地满足了质量目标 审核员应牢记到质量目标可以使用定量或者是定性的方式进行衡量, 同时也应牢记在质量方针 质量目标的动态更新方面和组织对于持续改进的承诺之间存在着明确的联系 3 审核管理评审 ISO9001:2000 要求最高管理层在计划的时间间隔内评审组织的质量管理体系, 以确保其持续的适宜性 充分性和有效性 评审可以在单独的会议上进行, 但这不是标准的要求 最高管理层可以采取很多方法来评审质量管理体系, 比如接受并评审管理者

36 代表或其他人员提出的报告, 电子形式的沟通或召开定期的管理会议, 在会上也讨论诸如预算和目标等的事宜 管理评审是一个过程, 应该采用过程方法来加以实施和审核 ISO 条款明确说明了管理评审过程的输入, 这些关于输入的议题应该涵括在评审内, 但并不是唯一的议题 这些议题可能不是被单独或同时提出, 而是作为对总体业务评审的一部分 审核员应该意识到输入可以有很多形式, 如报告, 发展趋势图表等 作为管理评审过程的输出, 应该有做出以下决定的证据 : - 质量方针和目标的变化 - 改进计划和可能的改进措施 - 资源变化 - 修订的商业计划 - 预算 输出不仅仅与改进或变化相关, 也包括对其他重要事宜作出的决定, 如引进新产品的计划 要求保留管理评审记录, 但并未规定记录的形式 会议记要是最常见的记录, 但电子记录, 统计图表, 讲演稿等也是能接受的记录形式 管理评审过程也可以包括质量管理体系策划的要素, 在质量管理体系策划中过程和体系的变化应得到考虑 在这种情况下 ( 如果是这样的话 ), 审核员应该评审是否已考虑以下方面 : - 管理体系或经营的变化会对体系或经营的其他部分产生影响吗? - 在实施前提议的变化得到评估吗? - 在准备战略计划时, 考虑了诸如标准 4.1 里要求的事宜吗? - 在分包过程之前, 需要的控制措施得到识别了吗? 管理评审过程不仅仅是为了满足标准和审核员的要求, 还应该成为组织经营管理过程的不可分割的一部分 全面 ( 整体 ) 管理评审是一个在组织各层面实施的复杂过程, 是由最高管理层基于组织各层面的输入而产生的一个 ( 相互 ) 双向的过程 这些活

37 动可能每天 每周 每月都有变化, 形式有组织会议 简单的讨论或报告 审核员应该寻找证据以表明管理评审过程的输入和输出与组织的规模以及复杂程度相关, 并用于 ( 提高 ) 改进业务 审核员也要考虑组织的管理是怎样安排的, 管理评审过程在组织的管理结构中是如何运用的 十九 审核监视和测量装置控制 下面提供的信息作为审核与监视和测量装置的控制有关的过程的审核指南, 帮助评价从组织的质量管理体系范围删减 7.6 条款的理由 本章仅为审核实物装置的控制提供指南, 不用于评价诸如 ( 来自于基于 ) 教育 培训和客户满意评审等以定性特征为基础的过程 ( 的品质 ) 的无形输出的有效性 如果书面考试 调查 业绩评估问卷等被当作 监视装置, 那么建议这些装置应该作为过程确认的一部分得到控制 ( 见标准 条款 ) 在审核监视和测量过程时, 重要的是审核员应理解 监视 和 测量 概念之间的差异 : 监视意指观察 监督 处于评审中 ( 通过使用监视装置 ), 它可以包括定期的测量或试验, 特别是在以调整和控制为目的情况 测量意指对物理数量 大小或尺寸的确定 ( 通过使用测量设备 ) 根据 ISO 9000 基础与术语条款 , 测量设备 定义如下 : 实现测量过程所需的测量仪器, 软件, 测量标准, 标准件,

38 以及附件或连接装置 标准仅要求 : 当 测量设备 通过测量产品或过程为 产品符合确定的要求提供证据时 要进行校准 设备和装置可以用于指示 监视或测量 同样的设备可以用于这三种用途 比如, 在某些行业压力表可以 : - 用于指示 ( 例如, 确保有压力 ) - 用作监视装置 ( 例如, 确保压力稳定, 过程受控制 ); 并且 - 用作测量设备 ( 例如, 压力的准确值对产品质量很重要 ) 然而, 控制的水平取决于预期的用途, 并决定了是否应该进行校准或验证 这种确认的深度和程度可以根据产品 服务的性质和相关风险而有所变化 在组织使用测量设备的情况下, 应该有证据证明与生产和服务过程相关的计量需要已得到适当的识别 / 规定, 证明已设计了测量体系, 并且得到了运行和保持, 能够满足适用的计量需要 审核员应该确认, 除了提供必要的校准记录并确保相关测量的不确定度和可追溯性外, 组织意识到并已经适当地实施了 ISO10012 描述的能满足测量范围和形式的计量确认体系 根据上述描述, 组织应该能够决定条款 7.6 的全部或部分要求是否能删除 有关的进一步的解释和例子参见 ISO 手册 : 针对小型企业的 ISO 9001:2000- 如何实施,ISO/TC 176 的建议 二十 审核顾客反馈过程 1) 引言

39 顾客反馈过程是质量管理体系至关重要的一部分, 因此应该在第三方审核中得到充分的关注 来自顾客的反馈是判断质量管理体系总体有效性的主要业绩指标之一, 因此对于审核员而言, 验证以下几个方面是很重要的 : a) 组织的顾客沟通渠道促进了对顾客反馈过程的充分了解 ; b) 顾客反馈过程的输入包括相关的 有代表性的和可靠的数据 ; c) 数据得到有效的分析, 且 d) 这一过程的输出为管理评审和其他质量管理体系过程以及提高顾客满意并推动持续改进提供了有用的信息 2) 要求是什么? 2.1) 正如在条款 1.1 中规定的,ISO9001:2000 的总体目标是为有下列需求的组织规定了质量管理体系要求 a) 需要证实其有能力稳定地提供满足顾客和适用法律法规要求的产品, 和 b) 通过体系的有效应用, 包括持续改进体系的过程以及保证符合顾客与适用的法律法规要求, 旨在增强顾客满意 2.2) 条款 要求组织 应对以下有关方面确定并实施与顾客沟通的有效安排 顾客反馈, 包括顾客抱怨 2.3)ISO9001:2000 第 条款说明 : 作为对质量管理体系业绩的一种测量, 组织应对顾客有关组织是否以满足要求的感受的信息进行监视 并确定获取和利用这种信息的方法 ISO/TC176 术语指南文件 (ISO/TC176/SC2/N526R) 强调监视指的是 定期的观察 监督 评审 测量或测试 对审核员来说重要的是应认识到在 ISO9001:2000 第 条款中没有特别要求让组织进行正式的顾客满意调查或者其他形式的顾客满意测量, 尽管这当然是监视顾客感受的良好工具 因此组织尽力从顾客的角

40 度看问题 监视顾客的感受就显得颇为重要 测量顾客满意在一些情况下可能是适宜的, 但这并不是标准的直接要求 注 : 除了上述涉及到顾客反馈过程的要求外, 在整个标准中还有一些间接涉及到顾客反馈过程的要求审核员需要加以考虑 例如将顾客反馈作为设计和开发过程 过程确认等的一部分 3) 在审核顾客反馈过程时应该考虑什么? 顾客反馈是一个过程 需要作为一个过程而不是作为标准的一个 条款 来审核 评价也需根据过程被管理的方式 ( 见 ISO9001:2000 第 4.1.c 条款 ) 来实施, 也要根据该过程提供用以评价质量管理体系总体有效性的有意义信息的能力进行评价 获取反馈信息的方式 ( 方法 ) 由组织自己确定 审核员要对会影响到组织所采取方式的诸多因素有个意识并要认识到没有固定的 处方 应该充分考虑以下因素 : 组织规模和复杂程度 产品的复杂程度和顾客 产品的风险 顾客群体的多样性 3.1) 在审核顾客反馈过程之前 ( 准备阶段 ) 审核员需要关注可能会显著影响顾客满意产品的那些特定特性 在整个审核过程中, 审核员应注意那些可能表明顾客满意或不满意的迹象, 这些迹象可以成为进行顾客反馈过程审核的输入 这些信息的比较好的来源可能包括, 例如 : 顾客退回的产品保证条款修改过的发票信用票据媒体文章顾客网站

41 对顾客的直接观察或与顾客沟通 ( 例如在一个服务组织里 ) 3.2) 在过程评价期间 在审核顾客反馈过程时审核员应该考虑以下几方面 : a) 这一过程期望的输出是什么? 从顾客感受中实际能获得什么信息? 管理层如何利用这一信息来推动产品 过程和质量管理体系的改进? 此信息包括所有的顾客类别吗? 牢记组织可能有不止一类的顾客是很重要的 见 ISO9000:2000 中第 条款对顾客的定义 例如 : 一个制造商把商品卖给批发商, 然后批发商将商品卖给零售商, 零售商转而把商品出售给大众 这种情况下, 组织可能需要考虑这三种类型的顾客, 他们都可能有不同的感受 组织可能满足某一群体的顾客而得罪其他的 b) 如何收集数据以输入到这一过程中? 组织有很多方法来监视其顾客的感受, 审核员应该避免对如何监视顾客感受有先入之见 组织能够采用的技术的例子包括 : - 面对面的评估, 可能在一些服务性的组织里适用, 比如旅馆 - 您在我们旅馆里住得如何? 或者在餐馆 祝您晚餐愉快 ; - 定期或在交付产品和提供服务之后进行电话询问或者回访 ; - 组织自己或通过独立的市场研究人员进行问卷调查或其他形式的调查 ; - 通过其他形式和顾客接触, 比如通过服务或安装人员 ; - 内部询问接触顾客的员工 ; - 重复业务的评估 ; - 监视应收账款 保证条款等 ; - 顾客投诉分析 ; 投诉通常是从顾客那里得到的唯一主动反馈信息, 应加以使用以分析趋势 主要的关注点 影响等 但应该强调的是, 顾客投诉不能是监视顾客感受的唯一输入 审核员也应该避免仅凭特

42 定的投诉个案而做出结论 这些投诉应该放在它们对质量管理体系的总体影响的环境下考虑 c) 信息有多可靠? 在一个理想的世界里, 组织监测所有顾客的感知, 但是成本可能会非常高 因此有必要验证组织使用的顾客抽样的准则, 以确保其有代表性, 并且反映了组织和顾客的风险 审核员应该通过与从审核过程中获得的其他证据相比较 ( 见 3.1), 对提供的信息进行验证 在有些情况下, 让审核员直接从组织的顾客处验证获取的信息可能更为适宜, 当然这样做可能要采取一定的外交手段 d) 如何分析数据? 简单地收集顾客感受的数据是不够的 - 审核员必须追踪整个过程, 以检查数据是怎样分析的 ( 见 ISO9001: 2000 第 8.4 条款 ) 得出的关于质量管理体系有效性的结论是什么 o 有任何趋势吗? o 这一情况稳定 好转或恶化? o 顾客的需求和期望发生改变吗? 虽然这不是 ISO9001: 2000 的要求, 但询问组织关于行业比较或标杆活动的问题应该是合适的, 以便恰当地处理顾客反馈 e) 这一过程产生的信息怎样作为一个整体反馈到质量管理体系中? 组织应该使用顾客反馈过程的结果来启动纠正和 / 或预防措施, 并作为质量管理体系业绩测量的一部分 这些过程相互作用的方式也应该予以审核 审核员应该能够认识到顾客反馈过程的输出是其他质量管理体系过程例如数据分析 管理评审和持续改进过程的重要输入 一个努力增值的审核员将试图确保组织认识到一个良好的顾客反馈过程能够带来的利益, 应该鼓励 ( 但不能要求 ) 组织去超越仅 满足标准要求 f) 和其他质量管理过程的联系是什么?

43 审核员应该意识到顾客反馈过程和其他一些质量管理体系过程有重要的联系和接口, 包括但不限于以下标准条款 : 5.6 管理评审 过程确认 顾客沟通 设计和开发确认 设计和开发更改的控制 二十一 有效使用 ISO19011 ISO19011:2002 质量和 / 或环境管理体系审核指南代替了旧的 ISO10011 系列质量管理体系审核标准, 并为第一 第二 第三方质量和环境管理体系的审核提供指南 尽管标准的大部分与第三方 QMS 审核有关, 但不是所有条款都可直接适用 标准包括与审核方法和审核员能力有关的可选方案但内容不是强制性的 这个指南可根据受审核组织的规模 性质和复杂性而灵活应用 第三方审核机构可依据他们的需要并与自己的工作实际相结合来使用该指南 标准分成许多章节, 包括 : 审核原则审核员应熟悉审核的 5 项原则并应用于审核过程 管理审核方案这通常是第三方审核机构的管理职责而不是审核员的职责 审核员应意识到审核方案应按适当的时间间隔进行监视和评审 审核员应提供改进审核方案的输入 审核活动

44 本指南强调策划 实施和报告审核的重要性和技术, 并与审核员特别有关 审核员应非常熟悉 ISO19011 的第 6 节中对这些问题的指南 审核员的能力和评价审核员的能力和评价指南更强调团队以及个体能力的重要性, 它替代了原先在 ISO 中规定的审核员资格准则 现在 能力 定义为 经证实的个人素质和应用知识和技能的本领 现在教育的等级 工作场所和审核经验以及所完成审核的数量方面的重要性已减少, 这些要求被作为审核员能力所必要的知识和技能的输入 第三方审核机构在制订其审核员能力准则时, 将使用这些指南的许多部分 然而, 审核员应知晓这一章节的内容, 以便他们能保持 改进其专业能力范围并在这些 ( 限定的 ) 范围内工作 指南全文提供了实用帮助, 这些实用帮助提供了很多事例和对各种主题的详细说明, 虽然其中有些部份可能并不适用于第三方审核 二十二 出具不符合项 任何管理体系审核的关注焦点是确定管理体系是否已得到建立 有效实施和保持 有效实施符合 ISO9001:2000 标准的管理体系是一个组织能被注册 / 认证的基础 所以, 管理体系审核的重点应是验证其符合性, 而不是出具不符合项 审核员应采取积极方式寻找事实而不是差错 但是, 如果审核证据表明存在不符合, 那么正确地出具不符合项就显得重要了

45 什么是不符合? 根据 ISO9000:2000 标准 的定义, 不符合是 没有满足要求 精心出具的不符合项包括三部分 : a) 支持审核员发现的审核证据 b) 与被发现的不符合相对应的要求方面的记录 c) 不符合的描述 在审核实践中, 所有的这些要求都要涉及, 但首先审核证据需要得到识别和文件化 这是因为有能力的审核员在审核期间会观察到 感觉 起来存在潜在的不符合的情况, 但当时不能 100% 确定这是否是不符合 在进行进一步的审核追踪之前, 有能力的审核员会在审核笔记上记录这个潜在不符合的审核证据以确认它是否真的就是一个不符合 如果没有审核证据就不能构成不符合 如果有证据, 就必须出具不符合项而不能将其减轻为其它类别 ( 如 观察项 改进机会 建议 等 ) 从长远看, 组织 组织的顾客 认证机构 (CRB) 都不会从减轻不符合的等级中受益, 因为这存在着把为不符合项而采取纠正措施的优先权降低的风险 审核证据应形成文件并足够详细, 以使受审核的组织能够查找到和确认审核员的实际观察结果 下一步审核员需要进行的是识别和记录未被满足的特定要求 记住, 不符合是没有满足要求, 所以, 如果审核员不能识别要求, 那么, 审核员就不能提出不符合项 要求可能有许多来源 ; 例如, 它们可能存在于 ISO9001:2000 组织的管理体系 ( 内部要求 ) 适用的法规 或组织顾客的规定 一旦对照特定要求确认是不符合, 则需要形成文件 记录可以简单到引用标准及相关条款

46 ( 注 :ISO9001 中有些条款包含了一个以上的要求 重要的是审核员要清楚地识别和记录与不符合有关的特定要求, 例如, 写出标准的要求中适用于审核证据的原文 这也可适用于其他来源的要求 ) 编写不符合的最后部分 ( 而且是最重要的 ) 是不符合陈述 不符合的陈述推动组织进行原因分析 采取纠正和纠正措施, 所以它需要精确 不符合的表述应 : a) 清晰明了并与体系问题有关 b) 不含糊其辞 语法正确 并尽可能简炼 c) 不是审核证据的重申 ( 重新陈述 ), 或用于代替审核证据 总之, 精心出具的不符合项将有下列三个部分 : a) 审核证据 b) 要求 c) 不符合的陈述 如果不符合项的这三个部分被很好地出具, 受审核方或其他见多识广者, 将能阅读和理解不符合项 这还可用作供以后参考的有用记录 为了提供可追溯性 便于进行深入评审和作为纠正措施完成的证据, 实质上, 必须以系统的方法记录不符合并形成文件 实现这个要求的简单途径是通过使用不符合项报告 (NCR) 表格 该表格的实例请见下列附录 A 附录 A 不符合报告 (NCR) 格式的示例 NCR # 客户 档号 职能 / 区域 / 过程 : 场所 : 标准和条款号 :

47 第 1 部分 - 不符合的细节 : 描述 审核员 : 受审核方代表确认 : 类别 : 日期 : 第 2 部分 - 根本原因分析 ( 如何 / 为什么发生这件事?): 受审核方提出的措施计划 ( 可另附 ) 纠正 ( 整改现状 ) 及完成日期 : 纠正措施 ( 防止再发生 ) 及完成日期 : 审核员 评审并接受纠正措施计划 : 受审核方代表 : 日期 : 第 3 部分 - 审核员验证受审核方实施措施计划的细节

48 第 4 部分 - 审核员关闭 ( 日期 ): 审核员 组长姓名 : 二十三 评审和关闭不符合项的指南 引言审核员通过评审组织对不符合项的反应 以及事后采取的 关闭 过程, 来增强或减弱为组织提供的价值 审核员可以通过确保组织已经很好地提出了纠正 分析了原因 制订了纠正措施来实现增值, 因为这将增强组织达到顾客满意的可能性 本文为审核员评审和关闭审核中发现的不符合项的过程提供指南 评审响应不符合项的措施管理体系审核员有责任评审组织对不符合项的响应并验证所采取措施的有效性 组织对不符合项的响应包括三部分 : 纠正不符合 或 分析不符合产生原因 分析不符合产生原因, 并 纠正不符合, 并 采取纠正措施 采取纠正措施 ( 注 : 上面列出了两种不同的处理顺序, 应该采取哪种顺序取决于产品类型或不符合的具体情形 但是, 处理不符合项的三个部分在这两种情形下都是相同的 举例说明, 对于软件来说, 在找到不符合原因之前进行纠正是不明智的 拿硬件产品举例, 当一台车辆的 刹车片磨损 警示灯闪亮, 如果在未检查传感器是否状态正常的情况下就立刻更换刹车片, 就很可能解决不了问题反而浪费了时间和资源 )

49 可以用国际 ISO9000:2000 中的几个相关的定义作开场白 不符合 : 未满足要求 (ISO9000:2000 条款 3.6.2) 纠正 : 为消除已发现的不符合所采取的措施 (ISO9000:2000 条款 3.6.6) 纠正措施 : 为消除已发现的不符合或其他不期望情况 (ISO 9000: 2000, 条款 3.6.5) 的原因所采取的措施 发现不符合时, 纠正和纠正措施均是应该采取的 纠正是为消除已发现的不符合所采取的措施 例如, 纠正可以是用合格品替换不合格品或用版本正确的程序替换作废的程序 纠正措施是为消除已发现的不符合的原因所采取的措施 判定不符合原因之前不能采取纠正措施 组织可以用很多方法或手段判定不符合产生的原因, 从简单的 头脑风暴法 到复杂些的系统的解决问题技巧 ( 例如 : 根本原因分析法 鱼骨图法 五个为什么 法 ), 审核员应熟悉这些工具的使用方法 纠正措施的程度和有效性取决于是否能识别不符合的真正原因 在某些情形中, 发现真正的原因可帮助组织识别并减少在其他方面出现相似的不符合 评审组织对不符合的响应时, 审核员应确认组织提供了不符合纠正过程的三个部分 ( 纠正 / 分析原因和纠正措施 ) 的文件和客观证据, 并应确认其适宜性后才能接受该响应 评审过程应验证的重要因素包括 : 纠正措施的陈述是否明确简洁? 措施的描述是否透彻, 适宜时是否准确地引用具体的文件 程序等? 使用过去时态, 表明采取的措施已经完成 纠正措施完成的日期, 应有过去的日期表明已经采取纠正措施 ( 日期表明纠正将在未来的某个时候发生就不合适 ) 有证据表明纠正措施已经得到全面有效的实施, 并且纠正措施已经按照所描述的方式实施了 另外, 审核员必须验证组织已经确保所采取的纠正措施本身不会对产品质量或质量管理体系的实施造成进一步的问题

50 应认识到并不是任何情况下都需要有纠正和纠正措施这两种应对措施, 有些情况下仅采取纠正或纠正措施就足够了 比如, 不符合的发生是纯粹的偶然事件, 并且再次发生的可能性非常低 有效的纠正措施通过消除不符合的原因, 应能防止不符合的再次发生 但是, 不能把纠正措施和预防措施混为一谈 预防措施的定义如下 : 预防措施 : 为消除潜在的不符合或其他潜在不期望情况的原因所采取的措施 (ISO9000:2000 条款 3.6.4) 应该注意到, 根据预防措施的定义, 它是不适用于已经发现的不符合的 但是, 对发现的不符合进行分析可能使组织在更大的范围内识别到组织内的其他方面潜在的不符合, 为预防措施的制订提供输入 关闭不符合项由于不符合本质上是各不相同的, 所以可以采取多种方法或活动来关闭不符合 例如, 有些时候需要进行直接的现场检查 ( 可能导致追加的现场审核需求 ), 有时不符合的关闭不需到现场验证 ( 可以通过对是提交文件证据进行评审 ) 在决定同意关闭不符合之前, 审核组长 ( 或审核员, 在只有一名审核员的情况下 ) 应评审组织为纠正和分析不符合原因所采取的行动, 以及采取纠正措施之后的结果 审核组组长 / 审核员应确保组织提交了客观证据 ( 包括支持性文件 ) 证明所描述的纠正措施已经充分实施了并且对防止不符合的再次发生是有效的 只有取得满意的结果, 不符合才能关闭 二十四 审核内部沟通 1. 引言 有效的内部沟通过程对任何组织质量管理体系的成功都起到了作用 相反, 组织质量管理体系的许多问题归根究底往往是源于 无效的 沟通

51 2. 要求和指南 2.1 ISO9001:2000 条款 规定如下 : 内部沟通 最高管理者应确保在组织内建立适当的沟通过程, 并确保对质量管理体系的有效性进行沟通 这是 ISO 9001:2000 提出的许多要求之一, 用确定的方法 ( 是 / 否 ) 来评价组织内部沟通过程的有效实施可能是不够充分的 2.2 与内部沟通相关的 ISO 9001:2000 的其他要求 : 在 ISO9001:2000 中有许多其它的要求提出最高管理者有责任与组织内的人员就以下事宜进行沟通 : a) 质量方针和质量目标, b) 满足顾客和法律法规要求的重要性, c) 在组织内提高满足顾客要求的意识, d) 人员明确的职责和对自己所从事活动的相关性和重要性的意识, 以及他们如何为实现质量目标作出贡献, e) 如果产品要求发生变更, 确保相关人员知道已变更的要求 2.3 ISO 9004:2000 的指南 ( 条款 5.5.3): 组织的管理者应当规定并实施一个有效和高效的过程, 以便沟通质量方针 要求 目标及完成状况 沟通这些信息有助于组织进行业绩改进, 并有助于组织内人员直接参与质量目标的实现 管理者应当积极鼓励组织内人员进行反馈和沟通, 并将其作为一种使人员充分参与的手段 值得重视的是,ISO 9004 的这一指南并不能作为审核依据, 但它的确提供了洞察有关内部沟通的另一种方法 3. 验证内部沟通的有效性

52 ISO 9001:2000 第 条款有 2 个主要部分需要验证 : a) 组织内部已经建立了适当的沟通过程, 包括 : 识别相互之间需要沟通的人员 ; 需要沟通的信息 ; 实现沟通的手段 ; 所选择的监测其有效性的方法 ; 验证其已实施的必要文件和记录 ; 沟通过程能够得到持续改进 b) 沟通正在进行, 并与质量管理体系的有效性相关 在寻找有效沟通过程的证据时, 审核员可能需要观察组织适用的下列一些或全部的事项 : a) 组织最高管理者 各级员工以及合同方, 主动实施 接收并回应了沟通 ; b) 要进行沟通的信息是清晰规定的, 并且对沟通目的而言是适当和准确的 ; c) 就那些希望接收信息并据此开展活动的人员所具备的读写能力和其他技能而言, 所采用的沟通方式是适宜的 ; d) 进行监测以确保依据所沟通的信息采取行动并达到预期的结果 ; e) 能够表明沟通已经进行并且有效, 而且是可以持续改进的所需的程序和记录 虽然对文件化的程序没有特别要求, 根据组织的规模 复杂程度和文化, 为确保内部沟通的有效实施, 可能有必要制定一个程序文件 4. 审核员可采用的方法 审核员可以观察部分或所有如下所述的组织内部信息沟通的手段 : a) 在工作区域的管理导向型沟通 b) 团队简报和其他会议, 比如业绩表彰

53 c) 公告板 d) 电子邮件 内网和网页 e) 公司内外部杂志 / 简报 f) 员工会议 g) 个人通知或信件 审核员可通过以下方式判断组织内部沟通过程的有效性 : a) 与员工面谈来确定其对方针 目标和管理体系绩效的认知程度 b) 评价不合格的原因和组织实施纠正措施的过程 能将对纠正措施的需求与不良的内部沟通过程相联系起来或能够追溯到不良的内部沟通过程吗? c) 评价所显示信息的相关性和重要日期 所沟通的信息如果是过时的话, 则是毫无价值的 d) 检查组织内部的反馈机制, 例如 : 一对一的面谈或评价, 员工调查等 e) 评价组织的培训及上岗培训计划 这些计划中应包含质量管理体系是如何运行的信息 f) 查阅含有内部沟通内容的会议记录 5. 评价组织是否符合 ISO 9001:2000 的要求 审核员专门安排一个时间段就组织内部沟通过程的有效性进行单独审核的做法是值得怀疑的 应在整个审核活动中采用更有整体性的方法, 但并不需要在审核计划中作为一个单独的项目列举出来 审核组应就如何对内部沟通过程的有效性进行整体性评审作出安排 与此类似, 仅凭组织的某个信息来源就确定组织内部沟通过程的有效性, 也是值得怀疑的

54 只有在审核活动已经结束并评价了审核证据 ( 且与审核组其他成员达成一致 ) 后, 才能确定组织是否符合了 ISO 9001:2000 的要求 e) 评审所采取的预防措施措施是否有效 ( 即是否防止了不合格的发生以及是否有其他好处 )? 有无必要继续采取正在实施的预防措施? 预防措施是否需要变更, 或有无必要策划新的措施? 2.3 关于纠正措施在何处结束以及预防措施在何处开始, 审核员和组织之间常常会发生具有明显 哲学意义上 的争论, 例如, 如果在过程 A 中发现了一个不合格, 那么为防止今后该类不合格的发生, 在过程 B C 和 D 中所采取的措施算不算是预防措施? 还是应简单地将这些措施算作为过程 A 所采取的纠正措施? 审核员应避免被这类争论 导入歧途, 而应致力于确定该措施是否有效 所采取措施的标记 则是次要的 二十五 审核服务组织 1. 引言 尽管 ISO 9001:2000 标准意欲适用于各种组织, 无论其类型 规模或提供的产品如何, 但是服务组织的一些特性, 在第三方审核中仍然需要给予特别关注 因此, 本文的目的就是为审核员提供审核服务组织符合 ISO 9001:2000 要求的指南 特别强调条款 7.3 设计和开发 生产和服务提供过程的确认以及 8.3 不合格品控制的要求 2. 服务组织 按照 ISO 9000:2000, 条款 产品 :

55 服务通常是无形的, 并且是在供方和顾客接触面上至少需要完成一项活动的结果 服务的提供可涉及, 例如 : 在顾客提供的有形产品 ( 如维修的汽车 ) 上所完成的活动 ; 在顾客提供的无形产品 ( 如为准备税款申报书所需的收益表 ) 上所完成的活动 ; 无形产品的交付 ( 如知识传授方面的信息提供 ); 为顾客创造氛围 ( 如在宾馆和饭店 ) 大多数组织在其产品中都有服务的成份 范围可以从几乎 100% 的服务 ( 例如法律事务所 ), 到相对较少服务成份的制造业组织, 例如售后服务 3. 审核指南 3.1 服务的设计和开发 在考虑 ISO 9001:2000 的条款 7.3 是否适用于一个服务组织时, 重要的是记住 设计和开发 的定义 按照 ISO 9000:2000 的条款 3.4.4, 其定义是 将要求转换为规定特性的一组过程 再者, 按照 ISO 9000:2000, 要求是 明示的 通常隐含的或必须履行的需要或期望, 服务的特性是有区别的特征, 可包括 : 感官的 ( 如 : 与嗅觉 触觉 味觉 视觉 听觉有关的 ); 行为的 ( 如 : 礼貌 诚实 正直 ); 时间的 ( 如 : 准时性 可靠性 可用性 ); 人体工效的 ( 如 : 生理特性 或与人身安全有关的 ); 有形的 ( 如 : 可测量的特性 ; 这些既可以是用来提供服务的物理意义上的特性, 如飞机的最高速度, 也可以是提供服务时的环境特性, 如飞机的内部温度或便利性 ) 相当普遍的是, 组织在研究条款 7.3 的要求时, 只考虑产品的有形成分, 而忘记无形产品 ( 即服务本身 ) 的设计和开发才应

56 该是主要的焦点 此外, 组织需要对服务将如何提供给顾客加以设计 如果组织打算在其质量管理体系中删减设计和开发, 审核员应根据上述指南, 对删减的理由进行谨慎的评估 审核员还应检查组织是否具备有效的设计和开发过程, 其是否充分地规定了服务特性和为满足顾客需要和期望所需的服务提供过程的特性 3.2 生产和服务提供过程的确认 在为实现服务所需要的过程方面, 我们可以识别两种类型的服务过程 : a) 在服务实现时需要顾客参与 ( 实时交付 ) 的, 以及 b) 过程实现后, 才将输出交付给顾客的 以旅馆为例, 宾客 入住 和 结帐 过程可能涉及 实时 的服务交付, 而客房清理通常只有在过程 ( 该过程要接受检查, 必要时要进行返工, 以纠正所有不合格 ) 完成后, 才 交付 给宾客 类似过程在提供与其产品相关服务的制造业组织中也可以存在, 例如对索赔和担保的处理 由组织的服务部门对产品的维修 或者在客户场所的产品维护活动 那些包含实时交付和直接在组织 / 顾客界面实施的过程, 很少 ( 如果有的话 ) 能够在 交付 给顾客之前, 通过后续的监视或测量对其输出 ( 服务 ) 进行验证 因此, 这些过程确实应按照 ISO 9001:2000 条款 要求进行确认 为预防不合格的发生, 这也是最具实质性的 为了确保对所提供服务质量的充分控制, 审核员应 : 理解组织规定的服务特性 服务提供过程及其接收准则 ( 这应在第一阶段审核期间进行 );

57 确定对 实时 服务提供过程 ( 或其他需要确认的过程 ) 是否已经实施确认, 并且是否考虑了相关风险 ; 评估是否已经向有关人员提供了适当的工具 培训和授权 对于很多服务行业来说, 所提供的服务是即时 ( 就是说, 通过 实时 过程 ) 完成的, 不容易允许在交付那种服务之前检验 从质量的角度考虑, 最经济合算的营运方式就是采取将所有过程当作 特殊过程 的原则 : 组织越使得其过程正确, 就越不需要为其过程的结果而担心 因此, 该条款不大可能被删减 3.3 不合格品控制 对于顾客直接参与的服务过程, 不合格品控制 ( 条款 8.3) 是组织制定和实施纠正措施之前处理不合格的方式 当识别出不合格时, 审核员应检查 : a) 有关人员是否得到充分授权以决定如何处置服务, 例如 : b) 立即停止服务 c) 替换所提供的服务 d) 提供替代服务 e) 组织的顾客索赔和投诉过程 f) 任何所采取的临时纠正以减轻不合格的影响 ( 例如 : 退款 赊欠 升级等 ) g) 识别 隔离和替换相关的服务设备 服务提供者及环境 这可以使审核员能够判断对此类不合格品的控制是否有效 注 : 在这种情况下, 质量管理体系应规定如何获取不合格数据, 并向适当的管理层别反馈信息, 以有效制定和实施纠正措施 对于在过程实现后服务输出才交付的情形, 不合格品控制 可以基于通常的监视和检验技术 需要搜集这些技术得以充分和有效实施的证据

58 二十六 第三方审核员的公正性和利益冲突 审核员的公正性和客观性是审核有效一致的基本先决条件 本文件旨在向审核员和负责评定审核员行为的机构如认证 / 注册机构 (CRBs) 和认可机构阐述良好的行为实践 ( 也可见 ISO/PAS17001) 1 范围 1.1 第三方认证的总体目标是对依赖认证的各方给予信心 提升信心的主要原则是在行动和外在表现上的独立性 公正性和能力 1.2 本文件仅关注与对审核员的公正性和独立性构成威胁或给予保障措施相关的事宜 2 认证 / 注册机构的公正性承诺 2.1 认证 / 注册机构的组织结构和聘用审核员的程序应能够证明有关公正性的基本要求如何得到满足 2.2 认证机构应通过方针 程序和培训来证实如何妥善处置所有可能或能够合理预期地损害审核员公正性的压力或其他因素 这些压力或其他因素可能来自于由于涉及面广泛的活动 关系和其他情况, 以及可能导致审核员产生偏见的个人品质和个性因素 3 对审核员公正性的威胁 3.1 对审核员公正性的威胁是潜在偏见的根源, 这种潜在偏见可以或可合理预期地损害审核员进行公正审核观察并做出结论的能力

59 因为这些威胁可以或可合理预期地损害审核员公正观察和得出结论的能力, 认证 / 注册机构应识别和分析可导致潜在偏见的威胁所产生的后果 3.2 威胁是由各种活动 关系和其他环境引起的 为理解这些威胁的本质和对审核员公正性的潜在影响, 认证机构应识别由特定活动 关系或其他情况所导致威胁的类型 下列清单给出了各类威胁的例子, 这些威胁产生了压力或其他因素, 从而导致了不公正的审核行为 虽然下列清单的内容不是唯一的或详尽的, 但它说明了认证机构在分析审核员的独立性和公正性方面的问题时所需考虑的多种类型的威胁 - 个人利益威胁 - 由于审核员从其个人利益出发的行为所导致的威胁 个人利益包括审核员的情感 经济或其他个人利益 审核员可能自觉地或不自觉地总想将其个人利益凌驾于其实施质量体系审核的利益之上 例如, 认证 / 注册机构由于客户向其付费而与客户间产生了经济利益 如果审核员在某个受审核方有股份, 他也会有个人的经济利益 ; 如果在审核员的家庭成员与受审核方之间存在雇佣关系, 审核员还会有情感上的或经济上的个人利益 - 自我评审威胁 - 源于审核员评审他们自己或同事的工作 无偏见地评价自己所在组织的工作比评价其他人的工作或其他组织的工作要困难 因此, 当审核员评审自己或同一组织的其他成员所作的判断或决策时会产生自我评审威胁 - 亲密关系 ( 或信任 ) 威胁 - 源于审核员受到与受审核方的亲密关系的影响 如果审核员不对受审核方的主张抱有充分怀疑的态度, 并由于对受审核方的熟悉与信任而过于容易接受受审核方的观点, 就会出现信任威胁 例如, 当审核员与受审核方有特别亲密的或长期的个人或职业关系, 信任威胁便会产生 - 胁迫威胁 - 源于审核员公开地或秘密地被受审核方或其他利益 ( 相关 ) 方胁迫 例如, 当审核员或认证机构就作为审核准则的标准文件的某一特定条款的应用与受审核方产生不同意见

60 时, 如果受到受审核方换人或换证机构的威胁, 就构成了胁迫威胁 - 辩护威胁 -( 例如, 认证机构或认证人员对受审核方及其顾客在争论或诉讼过程中起到支持或反对的作用 ) - 竞争威胁 ( 例如, 在受审核方和一个签约的技术审核员之间 ) 4 审核员公正性的保障措施 4.1 认证 / 注册机构应采取减轻或消除威胁审核员公正性的保障措施 保障措施可包括禁止 限制 披露 方针 程序 惯例, 标准 规定 制度和环境条件 这些保障措施应得到定期评审以确保其持续适用性 注 1 保障措施存在于实施审核的环境中, 或可由独立决策者针对不同活动 关系和其他情况的威胁而强制实施 对保障措施的一种描述方式是根据其所处的环境 4.2 存在于实施审核环境中的保障措施例子包括 : - 认证 / 注册机构和审核员对其荣誉的看重 - 评价认证 / 注册机构在其组织范围内与公正性方面的职业准则和法规要求符合性的认可项目 - 认证 / 注册机构的委员会和管理机构 ( 例如, 董事会 ) 对于公正性准则的符合性的全面监督 - 其他的公司管理因素 ( 公司管理的其它方面 ), 包括支持认证过程和审核员公正性的认证 / 注册机构的文化 - 规范审核员行为的规则 标准和职业行为准则 - 认可机构 /IAF 和其它机构采取的制裁和此类活动的可能性, 以及 - 认证 / 注册机构面对的法律责任 4.3 作为认证 / 注册机构管理体系的组成部分而存在于认证机构内的保障措施的例子 :

61 - 在认证 / 注册机构内保持一种文化, 强调期望审核员能够从更广泛的利益出发, 强调良好的审核行为和审核员公正性的重要性 - 在认证 / 注册机构内保持那种支持与审核员公正性一致的个人行为的职业氛围和文化 - 包括关于审核员公正性的方针 程序和惯例的管理体系 - 其他方针 程序和惯例 ( 规范 ), 如关于员工轮岗, 内部审核, 对技术事宜的内部协商的规定, 以及 - 人员聘用, 培训, 晋升, 留用和奖励的方针, 程序和惯例应强调审核员公正性的重要性, 认证 / 注册机构的审核员可能面临的不同情况所带来的潜在威胁, 以及在考虑现有的用来减轻或消除威胁的保障措施后, 由审核员对其与特定客户相关的公正性进行评估的必要性 另一个描述保障措施的方法是根据其特性 例如 : - 预防性的安全措施 - 例如, 为新聘用审核员安排的上岗培训计划, 用来强调公正性的重要性 ; - 与特殊情况引发的威胁相关的安全措施 - 例如, 针对审核员家庭成员与认证 / 注册机构客户间某种雇佣关系的禁令, 以及 ; - 通过惩罚违规者来防止其违反其他保障措施的保障措施 - 例如, 零宽容方针要求认可机构立即暂停或撤销认可资格 4.5 另一种描述保障措施的方式是根据其限制威胁审核员公正性的活动或关系的程度, 如禁止审核员向正在接受审核的客户提供咨询 4.6 认证 / 注册机构在评价审核员的公正性时应考虑 : - 可能或可合理的预期能导致带有偏见的审核行为的压力和其他因素 - 在此描述为对审核员公正性的威胁 ; - 减轻或消除这些压力和其他因素的影响的控制措施 - 在此描述为对审核员公正性的保障措施 ; - 压力和其他因素的严重程度, 以及控制措施的有效性

62 - 考虑了控制手段的有效性之后, 压力和其他因素达到一个能够或可以合理的预期能损害审核员保持公正审核行为的能力的可能性 5 评估公正性风险水平认证 / 注册机构应通过考虑对审核员公正性的威胁的类型和严重程度以及保障措施的类型和有效性, 来评估公正性风险水平 该基本原则描述认证 / 注册机构应识别和评估由不同的活动 关系和其他情况导致的公正性风险水平的过程 注 1 公正性风险的水平可以被表示为从 无风险 到 最大风险 的连续区间上的某一个点 一种描述这些端点 在端点间的公正性风险区间及其对应的损害公正性的可能性方法, 如下表所示 : 表 1 一公正性风险水平无风险轻微风险有一些风险高风险最大风险根本不可能损害公正性不太可能损害公正性可能损害公正性很可能损害公正性必定损害公正性逐渐增加的损害客观公正性的可能性 注 2 虽然无法精确测量任何特定活动 关系和其他情况导致的对审核员公正性威胁的风险水平, 但可以用公正性风险区间的某一点或某一段表示 6 决定公正性风险水平的可接受性 6.1 认证 / 注册机构应确定公正性风险水平是否处于公正性风险区间的可接受的位置 认证 / 注册机构应评估特定活动 关系和其他情况导致的公正性风险的可接受性 该评估要求认证 / 注册机构判断安全措施是否减轻或充分消除了由于特定活动 关系和其他环境导致的公正性的威胁 如果现有安全措施无法减轻或消除风险, 认证 / 注册机构应决定采取哪些额外的安全措施 ( 包括禁令 )

63 或风险措施组合, 将风险和相应的损害客观公正性的可能性降低至可接受的水平 6.2 当审核环境中某些因素给定的情况下 - 例如, 审核员是由受审核方付费的 - 公正性风险不能完全消除, 因此, 认证 / 注册机构总是接受损害审核员客观公正性的某种风险 然而, 存在对审核员公正性的威胁的情况下, 认证 / 注册机构应考虑只有非常低的风险水平是可接受的 只有这样很小的损害客观公正性的可能性是与审核员公正性的定义和目标是相一致的 6.3 某些对审核员公正性的威胁只会影响认证 / 注册机构内部的某些个人或团体, 威胁的严重程度因不同的个人或团体而不同 为确保风险是在可接受的低水平上, 认证 / 注册机构应识别受到公正性威胁影响的个人或团体, 以及威胁的严重程度 根据不同的个人或团体在审核中所起的不同作用, 可采取不同的保障措施 6.4 认证 / 注册机构应确保通过采取保障措施降低公正性风险而产生的利益大于安全措施的成本 虽然利益和成本是很难识别和量化的, 认证 / 注册机构在决定审核员公正性的有关事宜时仍应予以考虑 注 : 不同各方为保持审核员的公正性承担各种成本 有些成本是直接和开发 保持和加强保障措施相关的, 包括认证 / 注册机构与公正性相关的质量控制成本和认可体系以及审核员公正性自我管理的成本 其他保持审核员公正性的间接成本也同样存在, 这些成本有时被称为 负面效应 或者 非预期的后果 这些成本与审核质量下降以及禁止或限制审核员的活动和关系所导致的其他负面效应相关 例如, 限制审核员的咨询或培训活动会降低认证 / 注册机构作为雇主的吸引力, 从而导致审核质量的降低 保持审核员公正性的直接或间接成本可能受很多变量的影响, 包括组织中受安全措施影响的人员数量 由于审核员的公正性的重要性不仅在于为了审核员自身的利益, 也是为了保证更广泛的公众利益目标的实现, 认证 / 注册机构应考虑超出其关于审核员公正性的决策的直接影响的负面效应或非预期的后果

64 7 组织结构的事宜 7.1 除上述因素外, 需要在组织结构中对审核员的公正性提供进一步的保护, 以保证规定的安全措施的实施 认证 / 注册机构的组织结构应使其能够向知情的 没有利害关系的第三方证实其公正性 7.2 实现这些目标的认证 / 注册机构的结构和组织应是透明的, 并对满足上述目标所必需的过程的开发和应用提供支持 这些过程应包括 : - 理解客户和其他利益相关方的需求和期望 - 确立组织的方针和目标 - 确定实现这些目标所必需的过程和责任 - 确定和提供实现这些目标所必需的基础设施和资源 - 建立并使用方法以确定每个过程的效率和有效性 - 识别各层次组织和个人的潜在的利益冲突, 以及识别方法和解决方法 - 确定防止不符合和消除不符合的原因的方法 - 建立和实施持续改进上述过程的过程 注 : 本指南的关注重点是认证 / 注册机构的审核员, 而类似的要求也可以适用于认可机构的评审员 ( 在适当改动以后 ) 二十七 审核内部审核的有效性 1. 引言 组织为寻求一个适宜的 充分的和有效的质量管理体系, 需要进行内部审核以确保 QMS 能够发挥预期的作用, 且内部审核能够识别系统的薄弱环节以及潜在的改进机会 内部审核作为向最高管理者进行反馈的机制能够为最高管理者和其他利益相关方提

65 供体系满足 ISO9001:2000 要求的保证 如何管理内部审核过程, 是确保质量管理体系有效性的关键因素 2. 要求和指南 2.1 ISO9001:2000 第 条款的规定如下 : 内部审核 : 考虑拟审核的过程和区域的状况和重要性以及以往审核的结果, 组织应对审核方案进行策划 本要求旨在使内部审核方案关注那些以往曾经发生过问题, 或有可能正在发生问题, 和 / 或有可能发生问题 ( 由于过程本身的特性 ) 的过程和区域 这些问题可能是由人为因素 过程能力 测量灵敏度 客户要求的变更 工作环境的变化等方面所引起 应在内部审核方案中优先考虑特别容易产生缺陷或不符合的过程 对那些因受下列因素影响而特别容易产生缺陷的过程应给予特别的关注 : - severe consequences of failure on process capability; 过程能力缺乏的严重后果 ; - 顾客不满意 ; - 与产品 ( 或过程 ) 法律法规要求不符 2.2 ISO9004:2000 第 条款 最高管理者应当确保建立有效和高效的内部审核过程, 以评价质量管理体系的强项和弱项 内部审核过程可作为独立评定任何指定过程或活动的管理方面的工具 由于内部审核是评价组织的有效性和效率, 因此内部审核过程可作为独立的工具, 用于获取现有的要求得到满足的客观证据 本 ISO 9004 指南强调进行内部审核时需要有效地利用资源 ( 注 : 本 ISO 9004 指南不是 ISO 9001 审核的依据 )

66 3. 审核指南 第三方审核员检查内部审核过程时, 应评价下列事宜 : - 内部审核所需要的审核能力, - 在策划内部审核时组织所做出的风险分析 ( 如果有 ), - 管理层参与内部审核的程度 - ISO 提供的指南 ( 但要注意 ISO 9001:2000 并不要求组织使用 ISO 19011), 以及 - 组织使用内部审核结果评价其质量管理体系有效性并识别改进机会的方式 第三方审核员需要 : a) 评价组织识别关键区域和其他参数的方法 ; 例如, 组织是否已识别 : 对产品质量至关重要的过程, 复杂过程, 或需要特别关注的过程, 需要确认的过程, 需要对人员资格鉴定的过程, 需要密切监视过程参数的过程, 要求经常校准和 / 或验证的监测和测量活动, 跨多个场所和 / 或劳动密集的活动和过程等等 已经发生过问题的或存在风险的过程以及已建立的用于衡量有效性和效率的过程绩效指标, 以及这些衡量是否和组织的总体目的和目标保持一致? 组织在设定对这些过程和活动的审核频次时是否使用了这些信息? b) 评价组织的内部审核员和审核组的能力 ; 应有证据表明组织 : 识别了其内审员的能力要求 ; 提供了适宜的培训, 有对内部审核员和审核组的表现进行监视的过程,

67 审核组中包括有适宜专业知识的人员 ( 这样他们就能够识别出在什么地方如果存在对某一特定过程或活动的偏离将对产品质量产生严重的后果 ) 如果出现下列情况, 应评定内部审核员是否明白对于审核过程结果的可靠性方面存在着固有的风险 : 没有考虑对于审核结果具有实质意义的事宜, 选择不适当的抽样方案, 对所收集证据的重要性评估不适当, 或偏离审核计划和内部审核程序 c) 评价审核策划 ; 在实施内部审核活动期间, 组织应能够最大程度地利用现有资源 这可以通过在进行内部审核策划时采用基于风险的方式来加以推动实现 应确定组织 ( 在整个内部审核过程中 ) 是否考虑使用基于风险的方式来制订其内部审核计划, 以确保有效和高效地利用资源 这也将确保审核过程中的失误和不正确审核结果的风险降至最低 组织应有利用以往审核结果策划以后内部审核的过程 d) 寻找组织已经有效实施内部审核方案的证据 通过考虑上述因素以及检查内部审核过程是否使 QMS 得到切实的改进, 第三方审核员应能够判断组织是否实施了有效的内部审核方案以及内部审核的结果是否为分析 QMS 的有效性提供了证据 二十八 审核电子化管理体系 (EBMS) 1. 引言

68 在管理体系的运行和控制方面, 组织对电子媒体的依赖性在不断提高, 为了确保审核的有效性和效率, 要求认证 / 注册机构及其审核员着手考虑新的方法 他们需要重新定义过程和相关文件 ( 包括记录 ) 的评估方式, 以验证与审核准则的符合性 本文为审核完全电子化的或电子化程度很高的管理体系提供通用指南 作为补充, 本文也为认证 / 注册机构和审核员在审核前进行的常规策划和准备活动提供指南 本文针对的是 ISO 9001 那些具有使用电子文件 记录可能性的要求, 也针对可能通过电子系统控制文件 / 记录使用权限的场合 本文是为对电子化管理体系 (EBMS) 具有广阔丰富实践经验的审核员而拟制的,EBMS 是指依靠电子文件 数据和软件应用来正常运行的管理体系 然而, 本文是以也允许仅具备有限的计算机和 EBMS 经验的审核员使用的方式撰写的 无论是第三方认证机构 认可机构, 还是内部审核角色, 实施审核的组织 ( 审核组织 ) 负有确保 EBMS 审核过程的有效性的职责 为了验证与所采用标准的符合性, 本文引用了 ISO 提供的指南, 并提出了可由 ISO 9001 和其他管理体系标准审核员利用的方法 当审核员和审核组织在实施 ISO 所指出的审核过程步骤时, 应进行必要的调整以确保方法适当 应注意的是, 不应将精通 EBMS 审核当成是减少审核时间的理由, 而应看作是优化审核的有效性和效率的手段 本文无意提供与 EBMS 信息安全控制有关的审核指南 如对信息安全的控制感兴趣, 可参见涉及这些问题的综合性标准 ISO/IEC 17799

69 2. 审核启动和策划 在审核启动阶段 ( 第一阶段审核 ), 审核组织应确定受审核方的组织结构及其管理体系的电子化程度 一个拥有中央 EBMS 的多场所组织, 或者 虚拟 组织, 对于单一场所和 / 或有形组织, 需要不同的审核计划和方法 审核组织和受审核方应就审核员如何进入和使用 EBMS 达成一致意见, 可以考虑 : 允许审核组成员有机会去熟悉受审核方的 EBMS( 包括在审核计划里安排充足的时间进行此事 ) 受审核方关于使用其信息技术设施的政策 进入指令 进入的安全许可 相关的组织文件和记录 审核期间和审核后确保审核员保护电子文件和记录保密性的安全措施和过程 审核组织应确保遴选的审核组具有足够的能力实施对 EBMS 的有效审核 3. 文件评审 依据受审核方是否有能力通过网络软件或 传送文件, 审核组织可以不在现场, 而是通过在线或下载由 提交的电子文件, 进行部分或全部的文件评审 ; 基于技术和安全因素, 在到达现场之前, 对组织的 EBMS 在线或经由 传送相关文件实施完整的评审也许并不可行 这种情况下, 所要求的对电子文件评审的审核准备活动, 就需要在第一阶段审核期间在受审核方的设施上进行 4. 现场审核活动

70 电子化管理体系的审核方法, 在很大程度上将依赖于决定符合性所要求的证据有多少是电子记录 现场活动期间, 审核路线通常应包括受审核过程的物理场所 然而, 在 EBMS 情况下, 确认是否符合要求的证据所需的时间, 可以集中在计算机工作站 ( 无论其是否位于实际过程附近 ) 如计算机工作站较远, 在实际过程的场所无法进入, 则在过程物理场所审核的实际时间就可能被缩减 然而, 假定电子证据的评审可以在确认物理过程前 / 后进行, 那么总体审核时间就可能不需要被缩减 如计算机工作站距离较远, 应特别考虑往返过程的物理场所需要的时间 若过程需要人员介入, 审核员应评价物理过程与电子媒体之间相互作用的方法, 以确保相关信息的准确性 5. 审核电子文件的控制 管理体系方针和程序的电子文件可以有很多文档格式, 这取决于组织制作文件所使用的应用软件 电子文档格式包括 Text HTML PDF, 等等 电子表格和数据库格式也被看作是电子 文件, 皆属于被审核的管理体系的控制要素 现在使用者可以相对容易地制作电子数据表格和其他电子文件, 审核员应确保通过适当程序, 将普遍应用于控制管理体系文件编制的政策, 使用在电子文件上 电子化环境中, 组织需要使用适当且有效的方法, 来确保充分评审 批准 公布和分发其管理体系文件 这应与编制和修订电子文件的方法保持一致 p

71 电子化管理体系的审核方法, 在很大程度上将依赖于决定符合性所要求的证据有多少是电子记录 现场活动期间, 审核路线通常应包括受审核过程的物理场所 然而, 在 EBMS 情况下, 确认是否符合要求的证据所需的时间, 可以集中在计算机工作站 ( 无论其是否位于实际过程附近 ) 如计算机工作站较远, 在实际过程的场所无法进入, 则在过程物理场所审核的实际时间就可能被缩减 然而, 假定电子证据的评审可以在确认物理过程前 / 后进行, 那么总体审核时间就可能不需要被缩减 如计算机工作站距离较远, 应特别考虑往返过程的物理场所需要的时间 若过程需要人员介入, 审核员应评价物理过程与电子媒体之间相互作用的方法, 以确保相关信息的准确性 5. 审核电子文件的控制 管理体系方针和程序的电子文件可以有很多文档格式, 这取决于组织制作文件所使用的应用软件 电子文档格式包括 Text HTML PDF, 等等 电子表格和数据库格式也被看作是电子 文件, 皆属于被审核的管理体系的控制要素 现在使用者可以相对容易地制作电子数据表格和其他电子文件, 审核员应确保通过适当程序, 将普遍应用于控制管理体系文件编制的政策, 使用在电子文件上 电子化环境中, 组织需要使用适当且有效的方法, 来确保充分评审 批准 公布和分发其管理体系文件 这应与编制和修订电子文件的方法保持一致

72 该术语是指对电子表格自身的命名 ; 而在电子记录中考虑 标识, 是指对一个特定数据集的电子表格的独特使用 审核员应评审组织采集数据的方法, 以确保数据录入活动的准确性 评价组织对记录存储的控制时, 由于以下情形会影响 EMBS 的正常功能, 审核员应验证组织是否了解其存储容量 : 记录生成的速度 记录保持政策和相应的保存期限 记录销毁的速度 若组织的知识平台和业绩完全在电子记录中, 审核员应评审电子媒介中信息保护的方法 欲了解信息安全知识, 请参阅 ISO/IEC 组织的资源 由于组织趋于使用 EBMS,IT 部门的角色变得至关重要 审核员应验证组织是否配置了适宜的 IT 资源 ( 包括基础设施 ) 以确保 EBMS 持续有效地运行 审核员也应验证组织是否在建立 文件化 实施和保持 EBMS 方面, 已经适当地界定了 IT 人员的互动 支持和参与程度 作为验证资源配置适当与否的一部分, 审核员应评估组织为运行 EBMS 如何规定硬件和软件操作人员的能力要求 建立 EBMS 过程期间, 为了让使用者适应, 习惯上准许在一段时间内硬拷贝和电子版体系并用 在此情形下, 审核员应验证组织确保 EBMS 正在被组织的人员消化理解和应用的方法

73 组织 IT 基础设施的复杂程度多种多样, 取决于业务的性质和复杂程度 审核员应验证组织对其 IT 平台的系统维护政策和程序 审核员也应验证组织如何应对系统故障停工事件, 因为这些将影响 EBMS 的正常运行 审核员应验证组织是否有正规的备份系统, 以及是否定期对其进行充分地评审和测试 在软件方面, 审核员应验证对内部软件 外部软件 软件许可以及软件升级的控制 由于软件可以被看成是一种动态电子文件, 所以上面给出的对于文件审核的指南, 也适用于此 对组织 EBMS 使用软件的程度, 审核员应评审该软件的功能及其与标准规定的管理体系要素之间的关系 由于环境因素可影响 IT 平台的功能, 组织应针对此类因素采取措施加以防护 这可包括从对充足的设施或空间的需要, 到对不间断电源 (UPS) 的需要 审核员应评估组织的控制是否考虑到设施的维护 温度 湿度等等, 直到能够承受 EBMS 运行的程度 8. 内部和外部电子化沟通 由于电子化沟通的可选性以及使用方便性在增加, 组织应确保文件化的管理体系描述选择和使用方法 ; 为了满足组织 EBMS 和其他适用管理体系标准的要求, 必要时, 应确保使用这些方法的一致性, 为满足 EBMS 的要求, 当局域网 和即时信息得到利用时, 审核员应验证方针和程序是否描述采用这些方法的细节 此外, 若内部电子化沟通的结果被用于满足审核标准, 则审核员应验证所使用的控制记录的政策和程序 当组织依赖 IT 基础设施与顾客 ( 例如电子商务 ) 供应商 ( 电子采购 ) 外部场所和其他相关方进行电子化沟通时, 审核员应

74 验证在 EBMS 中是否正式描述了这些沟通和相关交易的方法 政策和程序 9. 多场所管理体系 通过多场所 ( 或者从一个中央场所到卫星场所 ) 运营的组织, 通常通过电子化手段, 诸如互联网 外部局域网 和即时信息, 与其不同场所保持沟通并共享政策 程序和过程数据 当使用 IT 平台和与之相关的应用软件共享与审核标准有关的信息时, 审核员对组织运用的不同网络手段的理解, 应达到确定 EBMS 是否满足审核标准所必要的程度即可 审核员应验证对多场所管理体系的控制, 是否已经在组织的政策和程序中适当地描述和确定 10. 审核员能力 由于组织越来越依赖软件监视和控制其运营, 对 EBMS 审核过程的可信性将取决于审核员理解信息技术趋势的能力 审核组织应采取必要的措施, 包括提供培训, 来满足审核员在基础方面的普遍和个别需求, 包括 : 可能影响管理体系运行的信息技术普遍发展趋势 对所承担的每项审核任务在审核细节上需要考虑的事项 由于与审核标准的改变相比, 在 IT 领域的创新相对要迅速, 对相关趋势及其可应用性和在 EBMS 中的应用, 审核员和审核组织面临着需要拥有实践性理解的挑战

75 创新可能会影响 EBMS 的运行功能, 审核组织应决定为了有效实施一个特定审核, 审核组自身是否具备所需的经验, 或者是否需要技术专家支持 想进一步了解 ISO9001 审核实践小组, 请参照 :ISO9001 审核实践小组介绍 ISO9001 审核实践小组将根据使用者的意见反馈决定是否编制补充的指南文件或对现在的文件进行修订 如有意见, 请发送 至 其它的 ISO 9001 审核实践小组文件和报告可从以下网址下载 :