17021-10 Vom Antrag zum Auditprogramm

Für: V, EA
Quelle: 9.1

Antrag und Prüfung

Ein bevollmächtigter Vertreter der antragstellenden Organisation muss die Informationen liefern, mit denen die Stelle feststellen kann: den gewünschten Geltungsbereich; die vom Programm geforderten Einzelheiten, einschließlich Namen, Anschriften der Standorte, Prozesse und Tätigkeiten, personelle und technische Ressourcen, Funktionen, Beziehungen und maßgebliche rechtliche Verpflichtungen; ausgegliederte Prozesse, die die Konformität beeinflussen; die Normen oder anderen Anforderungen, gegen die zertifiziert werden soll; ob und von wem Beratung zum zu zertifizierenden Managementsystem geleistet wurde.

Die Stelle muss Antrag und zusätzliche Informationen prüfen, um sicherzustellen, dass die Angaben für ein Auditprogramm ausreichen, dass bekannte Verständnisdifferenzen geklärt werden, dass sie selbst Kompetenz und Fähigkeit für die Zertifizierungstätigkeit hat, und dass Geltungsbereich, Standorte, erforderlicher Zeitaufwand und weitere Einflüsse berücksichtigt werden, etwa Sprache, Sicherheit und Gefährdungen der Unparteilichkeit. Danach nimmt sie den Antrag an oder lehnt ihn ab. Gründe einer Ablehnung sind zu dokumentieren und dem Kunden zu verdeutlichen. Auf dieser Prüfung beruhend ermittelt sie die Kompetenzen, die das Auditteam und die Zertifizierungsentscheidung brauchen.

Programm für den Zyklus

Für den gesamten Zertifizierungszyklus ist ein Auditprogramm zu entwickeln. Es nennt die Audittätigkeiten, die nötig sind, um nachzuweisen, dass das Managementsystem die Anforderungen der ausgewählten Normen oder anderen normativen Dokumente erfüllt. Das Programm für den Zyklus muss alle Managementsystemanforderungen abdecken.

Das Programm der erstmaligen Zertifizierung muss ein zweistufiges Erstaudit enthalten, Überwachungsaudits im ersten und im zweiten Jahr nach der Zertifizierungsentscheidung und ein Re-Zertifizierungsaudit im dritten Jahr unmittelbar vor Ablauf. Der erste dreijährige Zyklus beginnt mit der Entscheidung über die Zertifizierung. Nachfolgende Zyklen beginnen mit der Re-Zertifizierungsentscheidung. Festlegung und spätere Anpassungen müssen Größe des Kunden, Geltungsbereich, Komplexität von System, Produkten und Prozessen, das dargelegte Wirksamkeitsniveau und die Ergebnisse früherer Audits berücksichtigen.

Eine Anmerkung verweist auf das Flussdiagramm in Anhang E. Eine weitere Anmerkung listet Gesichtspunkte, die bei der Entwicklung oder Überarbeitung des Programms und auch bei Umfang und Plan betrachtet werden können: Beschwerden über den Kunden; kombinierte, integrierte oder gemeinschaftliche Audits; Änderungen der Zertifizierungs-, der rechtlichen oder der Akkreditierungsanforderungen; Leistungsdaten der Organisation, zum Beispiel Fehlerraten oder die wichtigsten Leistungsindikatoren; Bedenken relevanter interessierter Parteien. „Können“ bezeichnet eine Möglichkeit, keine Pflicht, jeden Punkt in jedem Programm abzuarbeiten. Eine dritte Anmerkung: Ein industriespezifisches Programm kann einen anderen Zyklus als drei Jahre festlegen.

Überwachungsaudits müssen mindestens einmal je Kalenderjahr stattfinden, außer in Jahren mit Re-Zertifizierungsaudit. Das erste Überwachungsaudit nach der Erstzertifizierung darf nicht mehr als 12 Monate nach dem Datum der Zertifizierungsentscheidung liegen. Eine Anmerkung erlaubt, die Häufigkeit in einem Zeitraum anzupassen, etwa wegen Jahreszeiten oder einer Zertifizierung von begrenzter Dauer, zum Beispiel einer temporären Baustelle.

Berücksichtigt die Stelle eine schon erteilte Zertifizierung und Audits einer anderen Stelle, muss sie ausreichende Nachweise erlangen und aufbewahren, etwa Berichte und die Dokumentation von Korrekturmaßnahmen zu jeder Nichtkonformität. Die Dokumentation muss die Erfüllung dieses Teils von ISO/IEC 17021 unterstützen. Anpassungen des Programms sind zu rechtfertigen und aufzuzeichnen. Korrekturmaßnahmen zu vorangegangenen Nichtkonformitäten sind zu verfolgen. Ist eine Übertragung vorgesehen, muss die annehmende Stelle nach 9.5.3.3 einen Prozess haben, um genug Informationen für eine Entscheidung einzuholen. Eine Anmerkung dort sagt, dass Zertifizierungsprogramme eigene Übertragungsregeln haben können.

Schichtarbeit ist bei Programm und Plan zu berücksichtigen. Wird an mehreren Standorten mit gleichen Tätigkeiten eine Stichprobe genutzt, muss ein Stichprobenprogramm ein ordnungsgemäßes Audit sicherstellen. Die Begründung ist je Kunde aufzuzeichnen. Für manche Programme ist die Stichprobe nicht erlaubt. Spezielle Kriterien, die Norm nennt ISO/TS 22003 als Beispiel, sind anzuwenden, wenn sie festgelegt wurden. Eine Anmerkung: An Standorten mit ungleichen Tätigkeiten ist die Stichprobe nicht zweckmäßig. Bei Zertifizierung mehrerer Managementsysteme muss die Planung ein angemessenes Vor-Ort-Audit sicherstellen, damit Vertrauen in die Zertifizierung entsteht.

Auditzeit

Dokumentierte Verfahren müssen festlegen, wie der Auditzeitaufwand ermittelt wird. Für jeden Kunden ist die Zeit zu ermitteln, die ein vollständiges und wirksames Audit braucht. Zu berücksichtigen sind mindestens: die Anforderungen der Managementsystemnorm; Komplexität von Kunde und System; technologischer und regulatorischer Kontext; Ausgliederung von Tätigkeiten innerhalb des Geltungsbereichs; Ergebnisse früherer Audits; Größe, Anzahl, geographische Lage und Mehrfach-Standorte; Risiken der Produkte, Prozesse oder Tätigkeiten; ob das Audit kombiniert, gemeinschaftlich oder integriert ist.

Reisezeit zu und von den Standorten ist in der Dauer des Zertifizierungsaudits nicht enthalten. Eine Anmerkung erlaubt, für die Dokumentation der Verfahren die Leitlinien von ISO/IEC TS 17023 zu nutzen. Dieses Dokument liegt hier nicht vor. Sind für ein Programm spezielle Kriterien festgelegt, etwa ISO/TS 22003 oder ISO/IEC 27006, müssen sie angewendet werden. Die im Ordner vorhandene ISO/IEC 27006:2015 bezieht sich auf ISO/IEC 27001:2013. Ihre Auditzeittabellen werden hier nicht als Inhalt von ISO/IEC 17021-1 wiedergegeben.

Dauer und ihre Rechtfertigung sind aufzuzeichnen. Zeit von Personen, die nicht als Auditoren eingesetzt sind, also Fachexperten, Übersetzer, Dolmetscher, Beobachter und Auditoren in Ausbildung, darf nicht in den so festgelegten Auditzeitaufwand zählen. Eine Anmerkung sagt, dass Übersetzer und Dolmetscher eine Verlängerung erfordern können.

Nicht in diesem Text: eine Personentage-Tabelle. ISO/IEC 17021-1 verlangt das Verfahren, die Gesichtspunkte und die Aufzeichnung der Begründung. Die Zahlen stehen, wenn überhaupt, im jeweiligen Zertifizierungsprogramm.