Сертифікація ISO 9001 в Україні: вимоги, етапи і скільки це триває

Що таке ISO 9001 і кому потрібна сертифікація

ISO 9001:2015 встановлює вимоги до системи управління якістю (СУЯ). В Україні стандарт прийнято як ДСТУ ISO 9001:2015, тобто ідентичний переклад міжнародного документа. У 2024 році ISO опублікувала невелику зміну щодо врахування кліматичних питань у контексті організації. Вона не змінює суть вимог, але варто уточнити в органу сертифікації, як саме її перевіряють під час аудиту.

Стандарт не описує, яким має бути ваш продукт. Він визначає, як організувати роботу, щоб стабільно виконувати вимоги клієнтів і законодавства та поступово покращуватися. Тому ISO 9001 однаково застосовний до виробника, логістичної компанії, IT-аутсорсера чи сервісного бізнесу.

Сертифікація добровільна. Найчастіше її ініціюють вимоги замовника, умови публічних закупівель, експортні контракти або бажання навести порядок у процесах після швидкого зростання. Важливо чесно відповісти собі на питання, навіщо вам сертифікат: від цього залежить межа (scope) системи і глибина підготовки.

Вимоги розділів 4-10: що перевірятиме аудитор

Структура ISO 9001 побудована за спільною схемою ISO для систем менеджменту. Розділи 1-3 вступні, а обов'язкові вимоги містяться в розділах 4-10. Кожен із них аудитор перевіряє на відповідність і на реальне виконання.

• Розділ 4. Контекст організації: внутрішні й зовнішні чинники, зацікавлені сторони та їхні вимоги, межі СУЯ, визначені процеси та їх взаємодія.
• Розділ 5. Лідерство: залученість керівництва, політика якості, розподіл ролей, відповідальності й повноважень.
• Розділ 6. Планування: дії щодо ризиків і можливостей, вимірювані цілі у сфері якості, планування змін.
• Розділ 7. Забезпечення: персонал, інфраструктура, середовище, засоби вимірювання, знання організації, компетентність, обізнаність, комунікація, документована інформація.
• Розділ 8. Функціонування: вимоги до продукції та послуг, проєктування і розроблення (якщо застосовне), контроль зовнішніх постачальників, виробництво та надання послуг, випуск продукції, керування невідповідною продукцією.
• Розділ 9. Оцінювання результатів: моніторинг і вимірювання, задоволеність клієнтів, аналіз даних, внутрішній аудит, аналізування з боку керівництва.
• Розділ 10. Поліпшення: робота з невідповідностями, коригувальні дії, постійне поліпшення.

Процесний підхід і ризик-орієнтоване мислення на практиці

Процесний підхід означає, що компанія бачить свою діяльність як набір пов'язаних процесів із входами, виходами, власниками і показниками. Для невеликої компанії достатньо карти процесів на одну сторінку та короткого опису ключових процесів: продаж, виконання замовлення, закупівлі, робота зі скаргами. Аудитор перевіряє не красу схеми, а те, чи знають працівники свої процеси і чи вимірюються результати.

Ризик-орієнтоване мислення не вимагає формальної методики оцінки ризиків, як у ISO/IEC 27001. Стандарт очікує, що ви визначили ризики й можливості, які можуть вплинути на якість і задоволеність клієнтів, спланували дії і перевіряєте їх результативність. Для українських компаній логічно враховувати перебої з електропостачанням, релокацію персоналу, логістичні ризики та залежність від окремих постачальників. Реєстр ризиків у простій таблиці цілком прийнятний, якщо він живий і пов'язаний із рішеннями.

Етапи сертифікації: від Stage 1 до сертифіката

Сертифікаційний аудит проводиться за правилами ISO/IEC 17021-1 і складається з двох етапів. Перед ним система має працювати певний час, щоб були записи: проведені внутрішні аудити, аналізування керівництвом, виконані коригувальні дії.

• Заявка і договір: орган сертифікації оцінює розмір компанії, кількість майданчиків і межі системи, щоб визначити тривалість аудиту.
• Stage 1 (аналіз документації та готовності): аудитор перевіряє межі СУЯ, політику, цілі, опис процесів, результати внутрішнього аудиту й аналізування керівництвом. За підсумками складається перелік зауважень, які треба усунути перед другим етапом.
• Stage 2 (оцінка впровадження): інтерв'ю з керівниками та працівниками, перевірка записів, вибірка замовлень, скарг, постачальників. Виявлені невідповідності поділяють на значні та незначні.
• Коригувальні дії: на значні невідповідності треба надати план і докази усунення до видачі сертифіката.
• Рішення про сертифікацію і сертифікат строком на три роки з щорічними наглядовими аудитами та ресертифікацією на третій рік.

Скільки триває підготовка і сам аудит

Строки залежать від розміру компанії, складності процесів і того, наскільки багато вже зроблено. Невелика компанія з уже впорядкованими процесами часто може підготуватися за кілька місяців. Якщо процеси не описані, немає призначених власників і ніхто не збирає даних про скарги та постачальників, підготовка займе довше. Орієнтуйтеся на те, що між запуском системи і Stage 2 має пройти щонайменше один повний цикл: внутрішній аудит, аналізування керівництвом і закриття виявлених невідповідностей.

Тривалість самого аудиту в людино-днях визначає орган сертифікації за міжнародними правилами IAF залежно від чисельності персоналу та ризикованості діяльності. Між Stage 1 і Stage 2 зазвичай закладають кілька тижнів на доопрацювання. Точні строки уточнюйте в обраного органу, оскільки вони залежать і від його завантаженості.

Акредитація: як обрати орган сертифікації

Сертифікат має вагу лише тоді, коли його видав акредитований орган. В Україні акредитацію органів з оцінки відповідності здійснює Національне агентство з акредитації України (НААУ). Інший варіант: іноземний орган сертифікації, акредитований національним органом з акредитації, який є членом IAF і підписантом відповідної багатосторонньої угоди про визнання (IAF MLA).

Перед підписанням договору перевірте три речі. Перше: чи охоплює акредитація саме сертифікацію систем управління якістю за ISO 9001, а не лише випробування чи сертифікацію продукції. Друге: чи покриває сфера акредитації ваш вид діяльності (код галузі). Третє: чи визнає цей сертифікат ваш ключовий клієнт або замовник у тендері. Європейські партнери часто просять сертифікат, який можна перевірити в базі IAF CertSearch або в реєстрі органу з акредитації.

Будьте обережні з пропозиціями отримати сертифікат без аудиту або за кілька днів. Такий документ не пройде перевірку уважного замовника і може зашкодити репутації.

Типові прогалини українських компаній

Під час Stage 1 і Stage 2 найчастіше спливають однакові проблеми. Більшість із них пов'язана не з відсутністю документів, а з тим, що система існує окремо від реальної роботи.

• Контекст і зацікавлені сторони описані шаблонно, без зв'язку з реальними ризиками бізнесу.
• Цілі у сфері якості не вимірювані або ніхто не відстежує їх виконання.
• Немає критеріїв оцінки й переоцінки постачальників і підрядників, особливо зовнішніх виконавців.
• Скарги клієнтів фіксуються в пошті чи месенджерах, але не аналізуються і не ведуть до коригувальних дій.
• Внутрішній аудит проведено формально або тією самою людиною, яка відповідає за процес.
• Аналізування з боку керівництва не охоплює всіх обов'язкових входів із пункту 9.3.
• Документи існують у кількох версіях, і незрозуміло, яка з них чинна.

План підготовки до сертифікації

Підготовку зручно розбити на послідовні кроки. Такий порядок дозволяє уникнути ситуації, коли пишуться десятки процедур, які потім ніхто не використовує.

Безкоштовна самооцінка на baltum.ai показує рівень готовності до ISO 9001 за розділами стандарту і перелік прогалин, з яких варто почати.

• Визначте мету сертифікації та межі СУЯ: які підрозділи, майданчики і послуги входять у систему.
• Проведіть gap-аналіз за розділами 4-10 і зафіксуйте, що вже працює.
• Складіть карту процесів, призначте власників і 2-3 показники для кожного ключового процесу.
• Оформіть політику якості, цілі та реєстр ризиків і можливостей.
• Наведіть лад у документованій інформації: одне місце зберігання, контроль версій, доступи.
• Навчіть внутрішніх аудиторів і проведіть повний внутрішній аудит.
• Проведіть аналізування з боку керівництва і закрийте невідповідності.
• Оберіть акредитований орган сертифікації і узгодьте дати Stage 1 та Stage 2.

Стаття має інформаційний характер і не є юридичною консультацією. baltum.ai — незалежне програмне забезпечення, а не орган із сертифікації.