Certyfikat ISO 9001: jak go uzyskać, ile to trwa i gdzie firmy się potykają

Kto wydaje certyfikat i dlaczego akredytacja ma znaczenie

Organizacja ISO opracowuje normy, ale sama nie certyfikuje firm. Certyfikat ISO 9001:2015 wydaje niezależna jednostka certyfikująca po przeprowadzeniu audytu. Rynek jest otwarty, więc działają na nim zarówno duże międzynarodowe jednostki, jak i małe firmy wystawiające dokumenty bez rzetelnego audytu.

Dlatego warto wybrać jednostkę akredytowaną. W Polsce akredytacji udziela Polskie Centrum Akredytacji, a za granicą odpowiednie krajowe jednostki akredytujące, które są sygnatariuszami porozumień IAF. Certyfikat akredytowany jest szerzej uznawany przez klientów i zamawiających publicznych. Przed podpisaniem umowy sprawdź, czy akredytacja jednostki obejmuje Twoją branżę, czyli odpowiedni kod sektora.

Warto też wiedzieć, że w lutym 2024 r. opublikowano poprawkę do ISO 9001:2015 dotyczącą zmian klimatu. Wymaga ona, aby w analizie kontekstu (4.1) organizacja określiła, czy zmiana klimatu jest istotnym zagadnieniem, a w 4.2 uwzględniła, że strony zainteresowane mogą mieć wymagania z nią związane. Trwają też prace nad nowym wydaniem normy, więc sprawdź aktualny status przed rozpoczęciem projektu.

Jak wybrać jednostkę certyfikującą

Cena za osobodzień audytu to tylko jeden z elementów porównania. Równie ważne jest to, czy audytorzy znają Twoją branżę, czy jednostka ma akredytację w odpowiednim zakresie i jak wygląda komunikacja po audycie. Jednostka certyfikująca nie może jednocześnie doradzać przy budowie systemu, który potem certyfikuje, bo naruszałoby to zasadę bezstronności. Jeśli oferta łączy wdrożenie i certyfikat w jednym pakiecie od tego samego podmiotu, potraktuj to jako sygnał ostrzegawczy.

Zanim podpiszesz umowę, poproś o jasne odpowiedzi na kilka pytań. Dzięki temu unikniesz sytuacji, w której koszt audytów nadzoru okazuje się wyższy niż zakładano albo certyfikat nie jest akceptowany przez kluczowego klienta.

• Czy certyfikat będzie wydany pod akredytacją i z jakim znakiem akredytacji?
• Ile osobodni przewidziano na etap 1, etap 2 i każdy audyt nadzoru?
• Czy koszty podróży i wydania certyfikatu są wliczone w cenę?
• Jaki jest termin na zamknięcie niezgodności i jak wygląda ich weryfikacja?
• Czy certyfikat będzie widoczny w publicznej bazie, w której klient może go sprawdzić?

Etapy drogi do certyfikatu i czas trwania

Proces można podzielić na przygotowanie systemu i właściwą certyfikację. Przygotowanie to zwykle największa część pracy, a jego długość zależy od wielkości firmy, liczby lokalizacji i tego, ile procesów jest już opisanych i stosowanych w praktyce.

Nie ma jednego obowiązującego czasu wdrożenia, a obietnice certyfikatu w kilka tygodni powinny wzbudzić czujność. Audytor na etapie 2 musi zobaczyć dowody działania systemu: wyniki pomiarów, zapisy z audytu wewnętrznego, przegląd zarządzania, oceny dostawców, obsługę reklamacji. Takich zapisów nie da się wygenerować wstecz w sposób wiarygodny.

Na czas trwania wpływają przede wszystkim cztery czynniki: dostępność osoby odpowiedzialnej za system, liczba procesów i lokalizacji, poziom obecnego udokumentowania oraz terminy jednostki certyfikującej. Czas samego audytu, czyli liczbę osobodni, jednostka ustala na podstawie liczby pracowników i złożoności, zgodnie z wytycznymi akredytacyjnymi. Poproś o ofertę z rozbiciem na etap 1, etap 2 i audyty nadzoru, aby porównywać jednostki rzetelnie.

• Analiza luk względem klauzul 4-10 normy
• Ustalenie zakresu systemu i uzasadnienie ewentualnego niestosowania wymagań (4.3)
• Opis procesów, ich wejść, wyjść, właścicieli i wskaźników (4.4)
• Polityka jakości i mierzalne cele jakościowe (5.2 i 6.2)
• Analiza ryzyk i szans (6.1)
• Wdrożenie i zbieranie zapisów przez co najmniej kilka miesięcy
• Audyt wewnętrzny (9.2) i przegląd zarządzania (9.3)
• Audyt certyfikujący etapu 1 i etapu 2

Podejście procesowe bez nadmiaru papieru

Punkt 4.4 normy wymaga określenia procesów potrzebnych do systemu, ich wzajemnych powiązań, kryteriów i metod nadzoru, zasobów, odpowiedzialności oraz ryzyk. Nie oznacza to, że każdy proces musi mieć wielostronicową procedurę. W wielu MŚP wystarcza mapa procesów na jednej stronie oraz karta procesu z właścicielem, wejściami, wyjściami i dwoma lub trzema wskaźnikami.

Praktyczna zasada brzmi: dokumentuj tam, gdzie brak zapisu prowadzi do błędów lub gdzie norma wprost wymaga udokumentowanej informacji. Instrukcja, której nikt nie czyta, nie pomaga na audycie. Audytor sprawdza przede wszystkim, czy ludzie pracują w sposób powtarzalny i czy wyniki procesów są monitorowane, a dopiero potem, jak wygląda dokumentacja.

Audyt etapu 1 i etapu 2

Etap 1 to ocena gotowości. Audytor przegląda dokumentację, zakres, politykę i cele, sprawdza, czy przeprowadzono audyt wewnętrzny i przegląd zarządzania, oraz planuje etap 2. Często odbywa się częściowo zdalnie. Wynikiem może być lista obszarów do poprawy przed etapem 2.

Etap 2 to ocena wdrożenia. Audytor odwiedza procesy, rozmawia z pracownikami na różnych szczeblach i sprawdza próbki zapisów. Pyta na przykład kierownika produkcji o to, jak mierzy realizację celu jakościowego, a handlowca o to, jak przegląda wymagania klienta przed przyjęciem zamówienia (8.2.3).

Niezgodności dzielą się na duże i małe. Duża oznacza brak spełnienia wymagania lub jego systemowe niedziałanie i blokuje wydanie certyfikatu do czasu jej zamknięcia. Małe niezgodności wymagają przedstawienia planu działań korygujących. Certyfikat jest ważny trzy lata, z corocznymi audytami nadzoru i recertyfikacją po trzech latach.

Najczęstsze niezgodności

Lista poniżej powstała na podstawie typowych wymagań normy, które najtrudniej udowodnić zapisami. Większość z nich nie wynika z braku dokumentów, ale z tego, że dokument istnieje, a praktyka wygląda inaczej.

• Kontekst i strony zainteresowane opisane raz i nigdy nieaktualizowane (4.1, 4.2)
• Ryzyka i szanse zidentyfikowane, ale bez działań i oceny ich skuteczności (6.1)
• Cele jakościowe bez miary, terminu i odpowiedzialnej osoby (6.2)
• Brak dowodów kompetencji: wymagań dla stanowisk, szkoleń, oceny skuteczności (7.2)
• Nienadzorowane wersje dokumentów krążące w wydrukach lub na dyskach (7.5)
• Przyrządy pomiarowe bez wzorcowania lub sprawdzenia (7.1.5)
• Dostawcy bez kryteriów oceny i bez okresowej ponownej oceny (8.4)
• Brak monitorowania zadowolenia klienta poza reklamacjami (9.1.2)
• Działania korygujące bez analizy przyczyn źródłowych (10.2)

Jak przygotować dowody, o które zapyta audytor

Dobra praktyka to przygotowanie mapy dowodów: dla każdej klauzuli wskazujesz, gdzie leży zapis i kto potrafi o nim opowiedzieć. Nie chodzi o tworzenie nowych dokumentów specjalnie na audyt, tylko o to, aby nikt nie szukał protokołu z przeglądu zarządzania w trakcie spotkania z audytorem.

Szczególną uwagę zwróć na przegląd zarządzania. Norma w punkcie 9.3.2 wymienia jego dane wejściowe, m.in. status wcześniejszych działań, zmiany w kontekście, zadowolenie klienta, stopień realizacji celów, wyniki procesów, niezgodności, wyniki audytów, działania dostawców, adekwatność zasobów i skuteczność działań wobec ryzyk. Protokół, który pomija połowę tych punktów, to częsta mała niezgodność.

Druga rzecz to rozmowy z pracownikami. Ludzie nie muszą znać numerów klauzul, ale powinni wiedzieć, jakie są cele ich działu, jak zgłosić problem i gdzie znaleźć aktualną instrukcję.

Utrzymanie certyfikatu po pierwszym audycie

Uzyskanie certyfikatu to początek cyklu. Audyty nadzoru w kolejnych latach sprawdzają, czy system działa i jest doskonalony, a nie czy firma odświeżyła dokumenty tuż przed wizytą. Jednostka certyfikująca sprawdzi zwłaszcza zamknięcie niezgodności z poprzedniego audytu.

Najprostszym sposobem na utrzymanie systemu jest wpięcie go w normalny kalendarz firmy: kwartalny przegląd celów na spotkaniu zarządu, roczny plan audytów wewnętrznych, cykliczna ocena dostawców przy odnawianiu umów. Bezpłatna samoocena na baltum.ai pozwala sprawdzić gotowość do certyfikacji ISO 9001 i zobaczyć luki w poszczególnych klauzulach, zanim zaprosisz audytora.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. baltum.ai to niezależne oprogramowanie, a nie jednostka certyfikująca.