22. Общие требования к организациям, осуществляющим аудит и сертификацию систем менеджмента (iso/iec 17021).

1 Сертификацию систем управления иногда также называют регистрацией, а органы по сертификации – регистрационными бюро.

2 Орган по сертификации может быть как негосударственным, так и государственным (с полномочиями распорядительного органа или без таковых).

3 Настоящий стандарт можно использовать в качестве документа, содержащего критерии аккредитации, взаимной оценки экспертов или других процессов аудита.

Общие требования 

• Орган по сертификации должен быть юридическим лицом или частью юридического лица, чтобы он мог нести правовую ответственность за всю свою деятельность по сертификации. Государственный орган по сертификации считают юридическим лицом на основании его государственного статуса. 

• Орган по сертификации должен иметь соглашение на предоставление деятельности по сертификации организации – владельцу сертификата соответствия, обладающее юридической силой.

• Орган по сертификации должен нести ответственность (и сохранять свои полномочия) за решения в области сертификации, включая предоставление, поддержание, возобновление, расширение, сужение области, приостановление и отмену сертификации.

• Высшее руководство органа по сертификации должно нести ответственность за беспристрастность при осуществлении деятельности по сертификации системы управления.

• Орган по сертификации должен идентифицировать, анализировать и документировать случаи возможного возникновения конфликта интересов при предоставлении сертификации, включая любые конфликты, возникающие из его взаимоотношений.

• Наглядное доказательство должно охватывать все выявленные потенциальные источники конфликта интересов, независимо от того, возникают ли они в самом органе по сертификации или являются результатом деятельности других лиц, органов или организаций.

• Орган по сертификации не должен сертифицировать деятельность другого органа по сертификации в отношении сертификации систем управления.

• Орган по сертификации или любая часть одного и того же юридического лица не должны предлагать или проводить консультации по системе управления.

• Орган по сертификации или любая часть одного и того же юридического лица не должны предлагать или проводить внутренние аудиты своих сертифицированных организаций.

• Орган по сертификации не должен сертифицировать систему управления, для которой он проводил внутренние аудиты, в течение двух лет после окончания внутренних аудитов.

• Органы по сертификации должны требовать от персонала как внутреннего, так и внешнего раскрытия любой известной ему информации о ситуации, которая может представлять конфликт интересов для них или для органа по сертификации.

• Органы по сертификации должны использовать эту информацию в качестве входных данных для выявления угроз беспристрастности, возникающих в результате деятельности такого персонала или организаций, в которых он работает, и не должны привлекать к работе такой персонал, пока не будет продемонстрировано отсутствие конфликта интересов.

Требования к структуре

Орган по сертификации должен документировать свою организационную структуру с указанием обязанностей, ответственности и полномочий руководства и другого персонала, занятого в деятельности по сертификации, а также обязанностей, ответственности и полномочий всех комитетов.

Если орган по сертификации является определенной частью юридического лица, структура должна включать рамки полномочий и взаимоотношения с другими частями того же юридического лица.

Орган по сертификации должен идентифицировать высшее руководство (правление, группу лиц или отдельное лицо), обладающее всей полнотой полномочий и несущее ответственность за каждый из нижеперечисленных видов деятельности:

a) разработку политики функционирования органа;

b) контроль реализации политики и процедур;

c) контроль финансов органа;

d) разработку услуг и схем сертификации систем управления;

e) проведение аудитов и сертификации, реагирование на жалобы;

f) вынесение решений по сертификации;

g) делегирование полномочий комитетам или отдельным лицам (по необходимости) для осуществления определенной деятельности от его имени;

h) контрактные соглашения;

i) обеспечение соответствующих ресурсов для деятельности по сертификации.

Орган по сертификации должен иметь официальные правила для назначения, определения компетенции и осуществления деятельности любого комитета, который вовлечен в деятельность по сертификации.

Комитеты по защите беспристрастности

Структура органа по сертификации должна гарантировать беспристрастность деятельности органа по сертификации и обеспечивать комитету:

а) помощь в разработке политики по беспристрастности деятельности в области сертификации;

b) противодействие любой тенденции со стороны органа по сертификации допускать коммерческие или другие соображения, которые препятствуют последовательному объективному ведению деятельности в области сертификации;

c) консультации по вопросам, влияющим на доверие к сертификации, включая открытость и общественное восприятие;

d) проведение не реже одного раза в год анализа беспристрастности процессов аудита, сертификации и принятия решений органом по сертификации.

Состав, сфера деятельности, обязанности, полномочия, компетентность членов и ответственность данного комитета должны быть официально задокументированы и утверждены высшим руководством органа по сертификации для обеспечения:

а) представления такого баланса интересов, чтобы не преобладал ни один взятый в отдельности интерес (внутренний или внешний персонал органа по сертификации рассматривают как взятый в отдельности интерес, который не должен превалировать);

b) доступа ко всей информации, необходимой для выполнения его функций;

c) в случае, если высшее руководство органа по сертификации не прислушивается к совету комитета, комитет имеет право предпринимать независимое действие (например, информирование властей, органов по аккредитации, заинтересованных лиц).

При осуществлении независимого действия комитеты должны соблюдать требования конфиденциальности в отношении организаций и органа по сертификации.

 Компетентность руководства и персонала

 Орган по сертификации должен иметь процессы, обеспечивающие наличие у персонала соответствующих знаний о типах систем управления и географических регионах, в которых он работает. Он должен определить компетентность, необходимую для каждой технической области (в соответствии с конкретной схемой сертификации) и для каждой функции в деятельности по сертификации. Он должен определить средства для демонстрации компетентности до начала выполнения конкретных функций.

При определении требований к компетентности своего персонала, осуществляющего сертификацию, орган по сертификации должен обратить внимание на функции, выполняемые руководством и управленческим персоналом, дополнительно к тем, которые непосредственно связаны с проведением аудита и деятельностью по сертификации.

Орган по сертификации должен иметь доступ к необходимым техническим знаниям и опыту для получения консультаций по вопросам, связанным непосредственно с сертификацией в технических областях, типами систем управления и географическими регионами, в которых работает орган по сертификации. Такая консультация может быть внешней либо предоставляться персоналом органа по сертификации.

Орган по сертификации в качестве части своей собственной организации должен располагать персоналом, обладающим достаточной компетентностью для работы с типом и областью программ аудита и выполнения других работ по сертификации.

Орган по сертификации должен нанимать или иметь возможность приглашать достаточное количество аудиторов, включая руководителей групп аудиторов и технических экспертов, чтобы охватить всю свою деятельность и выполнять весь объем проводимой работы по аудиту.

Орган по сертификации должен четко разъяснять каждому работнику его обязанности, ответственность и полномочия.

Орган по сертификации должен иметь определенные процессы для выбора, подготовки, официального одобрения аудиторов и выбора технических экспертов, привлекаемых к деятельности по сертификации. Начальная оценка компетентности аудитора должна включать демонстрацию подходящих личных качеств и способности применять требуемые знания и навыки во время аудитов, оцениваемую компетентным экспертом, наблюдающим за аудитором, проводящим аудит

Орган по сертификации должен обеспечивать удовлетворительную работу всего персонала, вовлеченного в деятельность по аудиту и сертификации.

Должны быть в наличии документированные процедуры и критерии мониторинга и измерения результатов деятельности всего вовлеченного персонала, основанные на частоте привлечения сотрудников и уровне риска, связанного с их деятельностью. Документированные процедуры мониторинга аудиторов должны включать комбинацию наблюдения на местах, анализа отчетов по аудиту и обратной связи с сертифицируемыми организациями или рыночной информации и должны быть определены в документированных требованиях.

Орган по сертификации должен периодически наблюдать за работой каждого аудитора на месте. Орган по сертификации должен требовать, чтобы внешние аудиторы и технические эксперты оформили письменное соглашение, на основании которого они обязуются подчиняться соответствующей политике и процедурам, определенным органом по сертификации. В соглашении должны рассматриваться аспекты, касающиеся конфиденциальности и независимости от коммерческих и других интересов. Данное соглашение должно требовать от внешних аудиторов и технических экспертов уведомления органа по сертификации о любой существующей или существовавшей ранее связи с той организацией, в которую они могут быть назначены для проведения аудита.

Орган по сертификации должен иметь процесс, в котором описаны условия, при которых можно привлекать сторонние организации (которые заключают субконтракты с другой организацией на проведение части деятельности по сертификации от имени органа по сертификации).

Орган по сертификации должен иметь соглашение, обладающее юридической силой и охватывающее все договоренности, включая вопросы конфиденциальности и конфликта интересов, с каждым органом, который предоставляет услуги с привлечением сторонних организаций.

Орган по сертификации должен иметь документированные процедуры для определения квалификации и мониторинга всех органов, которые предоставляют услуги в качестве сторонних организаций, привлекаемых для сертификации, а также должен обеспечивать поддержание в рабочем состоянии всех записей о компетентности аудиторов и технических экспертов.

Требования к информации

 Орган по сертификации должен поддерживать в рабочем состоянии и размещать в открытом доступе либо предоставлять по требованию информацию, описывающую его процессы аудита и сертификации по предоставлению, поддержанию, возобновлению, расширению, сужению области, приостановке или отмене сертификации, а также о деятельности по сертификации, типах систем управления и географических регионах, в которых он работает.

Орган по сертификации предоставляет сертифицированной организации документы по сертификации любым выбранным им способом.

В документе (документах) по сертификации следует указывать:

a) наименование и географическое расположение каждой организации, систему управления которой сертифицируют (или географическое расположение главного управления и всех предприятий, охваченных областью сертификации, в случае расположения предприятий в разных местах);

b) даты предоставления, расширения или возобновления сертификации;

 В документе (документах) по сертификации следует указывать:

c) дату истечения срока действия или дату повторной сертификации в соответствии с циклом ресертификации;

d) единый идентификационный код;

e) стандарт и/или другой документ, включая номер публикации и/или пересмотра, использованный для аудита сертифицированной организации;

f) область сертификации в отношении продукции (включая услуги), процессов применительно к каждому предприятию;

g) наименование, адрес и сертификационный знак органа по сертификации; другие знаки (например, символ аккредитации) можно использовать при условии, что они не вводят в заблуждение или не допускают двоякого толкования;

h) любую другую информацию, требуемую стандартом и/или другим документом, использованным для сертификации;

i) в случае выдачи любых пересмотренных документов по сертификации – способ, позволяющий отличить пересмотренные документы от предшествующих устаревших документов.

 Орган по сертификации должен посредством соглашений, имеющих законную силу, обеспечить политику и меры по защите конфиденциальности информации, полученной или созданной во время осуществления деятельности по сертификации на всех уровнях своей структуры, включая комитеты и внешние органы или отдельных лиц, действующих от имени органа. Должен заранее уведомить организацию о том, какую информацию он намеревается сделать общедоступной. Всю остальную информацию, за исключением информации, которую делает общедоступной сама организация, следует рассматривать как конфиденциальную.

Требования к системе менеджмента

Варианты

 Орган по сертификации должен создать и поддерживать в рабочем состоянии систему менеджмента, способную обеспечивать и демонстрировать постоянное выполнение требований настоящего стандарта. Дополнительно к выполнению вышеперечисленных требований орган по сертификации должен внедрить систему менеджмента согласно:

a) требованиям к системе в соответствии с ISO 9001;

b) общим требованиям к системе менеджмента. 

Орган по сертификации должен создать и поддерживать в рабочем состоянии систему менеджмента, способную обеспечивать и демонстрировать постоянное выполнение требований настоящего стандарта. Дополнительно к выполнению вышеперечисленных требований орган по сертификации должен внедрить систему менеджмента согласно:

a) требованиям к системе в соответствии с ISO 9001;

b) общим требованиям к системе менеджмента, установленным в ISO/IEC 17021.. 

Вывод

При соответствии органов по оценке соответствия международным требованиям обеспечивается гарантия того, что оценка соответствия проводится последовательно и надежно.

Облегчается признание этих органов на национальном и международном уровне, что содействует развитию международной торговли.