Системы менеджмента: виды, внедрение и сертификация

Системы менеджмента связывают процессы, ответственность, ресурсы и данные так, чтобы компания принимала повторяемые управленческие решения, контролировала риски и обеспечивала постоянное улучшение. Они подходят организациям любого размера, а сертификация в большинстве случаев добровольна.

Разработку и внедрение системы выполняет сама организация или привлеченный консультант. Диагностический аудит помогает оценить готовность процессов и документов, а независимый сертификационный аудит проводит орган по сертификации, который должен сохранять беспристрастность и не консультировать клиента по созданию сертифицируемой им системы. Легитимный сертификат системы менеджмента выдается только после предусмотренной схемой оценки фактического функционирования системы; покупка документа без такой оценки не является равноценной сертификацией.

Сопоставим задачу компании со стандартом и определим границы будущей оценки.
Специалист уточнит цель сертификации, виды деятельности и площадки, после чего подготовит памятку о случаях, когда сертификат нужен или не дает ожидаемого результата.

Что такое система менеджмента: замкнутый контур управления

Система менеджмента простыми словами, это согласованный порядок постановки целей, выполнения процессов, измерения результатов и корректировки решений. В отличие от разовой инструкции, она задает, кто принимает решение, какие данные получает и как реагирует на отклонение.

Система управления организацией шире: в нее входят организационная структура, бюджеты, полномочия и все механизмы руководства компанией. Стандартизированная система менеджмента охватывает выбранный объект, например качество, экологические аспекты или безопасность труда. Поэтому сертификат может относиться к части предприятия, а не ко всей модели управления бизнесом.

В системном подходе есть управляющая подсистема, которая ставит задачи и распределяет ресурсы, и управляемая подсистема, где выполняются бизнес-процессы. Прямая связь передает управленческое воздействие, обратная связь возвращает показатели эффективности, результаты контроля и сведения о несоответствиях. KPI полезны только внутри такого контура: показатель без владельца процесса и решения при отклонении остается отчетной цифрой.

Основные элементы системы следуют логике стандартов: контекст организации, лидерство, планирование, обеспечение, операционная деятельность, анализ результатов и улучшение. Каждая компания сама определяет объем документированной информации с учетом сложности процессов и условий работы. Единая организационная структура или одинаковый набор процедур стандартами не предписаны.

Связывает элементы цикл улучшения: изменение планируют, выполняют в процессах, измеряют по данным и корректируют по результату, поэтому цель без выделенных ресурсов и запись без анализа выпадают из контура и ни на что не влияют. В другой классификации ту же конструкцию описывают через четыре подсистемы: целевую, обеспечивающую, функциональную и управляющую. Названия отличаются, а проверяют в обоих случаях одно: есть ли у элемента вход, ответственный и результат, которым кто-то пользуется.

Зачем компании система менеджмента

Управленческая потребность возникает раньше внешнего требования. Пока в компании работает десяток человек, порядок держится на памяти руководителя: он помнит, что обещали заказчику, кто отвечает за приемку и почему вернули прошлую партию. С ростом штата, числа площадок и номенклатуры такая память перестает справляться, а результат начинает зависеть от того, кто именно вышел на смену. Формализованная система закрепляет за процессом владельца, за результатом критерий, за отклонением заранее описанную реакцию.

Вторая причина внешняя: заказчик проводит аудит поставщика, тендер требует сертификат, головная компания холдинга распространяет свои правила на дочерние общества. В таких случаях от организации ждут не заявлений о качестве, а доказательств: записей о контроле, результатов внутренних аудитов, зарегистрированных несоответствий и мер по ним. Без накопленных записей подготовка к каждой проверке начинается заново.

Экономический смысл появляется там, где отклонения повторяются. Система не отменяет брак, рекламации и срыв сроков, но обязывает выяснить причину и проверить, сработало ли исправление. Если записи ведут формально, а анализ со стороны руководства сводится к подписи, эффекта не будет.

Какие бывают стандарты и как выбрать нужный

Выбор между стандартами начинается с ответа на вопрос, чем именно организация хочет управлять. ISO 9001 не заменяет экологические, трудовые или информационные требования, а интегрированные системы объединяют несколько направлений в одном управленческом контуре.

ISO 19011:2018 содержит руководство по внутреннему и внешнему аудиту одной либо нескольких систем, но не требования для выдачи сертификата. ISO 31000:2018 также не сертификационный стандарт: он описывает принципы управления рисками. Ссылка на эти документы в закупке не равна требованию предъявить отдельный сертификат. Кроме универсальных стандартов существуют отраслевые схемы: в автомобильной, аэрокосмической и оборонной цепочках поставок заказчик обычно требует систему на базе ISO 9001 с дополнительными требованиями отрасли, а для пищевой, медицинской и энергоемкой сфер применяют профильные стандарты из таблицы выше.

Когда добровольный ISO становится условием работы

Общей обязанности сертифицировать ISO 9001 для каждой российской компании нет. Статьи 20, 21 и 23 Федерального закона от 27.12.2002 № 184-ФЗ разделяют добровольное и обязательное подтверждение соответствия: добровольное проводится по инициативе заявителя, а обязательное возникает только в предусмотренной техническим регламентом процедуре. Федеральный закон от 29.06.2015 № 162-ФЗ «О стандартизации в Российской Федерации» закрепляет добровольное применение документов национальной системы стандартизации, если обязательность не установлена специальной нормой или договором.

Договор или закупочная документация могут сделать сертификат обязательным для конкретного конкурса либо поставки. Это договорное условие, а не запрет работать без ISO для всех организаций. В техническом регулировании ЕАЭС основание ищут в конкретном регламенте: общую систему задают Договор о Евразийском экономическом союзе от 29.05.2014 и Решение Совета ЕЭК от 18.04.2018 № 44. В предусмотренной схеме орган может оценивать сертифицированную систему менеджмента вместе с производством.

Сертификат системы относится к процессам и видам деятельности, а не подтверждает качество или безопасность каждой единицы продукции. Он не заменяет декларации и сертификаты по техническим регламентам. Для добровольной оценки закон называет 5 возможных оснований: национальные стандарты, стандарты организаций, своды правил, правила систем добровольной сертификации и условия договоров.

Отдельный штраф только за отсутствие добровольного ISO не установлен. Для компании практический риск чаще связан с невыполнением условия закупки, неверным заявлением об области сертификата или использованием знака без разрешения соответствующей системы. Знак допустим только тогда, когда правила выбранной системы добровольной сертификации предусматривают его применение.

Из чего складывается работающая система и комплект для аудита

Сертификация начинается не с макета сертификата, а с установления области системы: юридического лица, подразделений, площадок, процессов, продукции и услуг. Нельзя автоматически включить в область все дочерние общества, филиалы или бренды группы. Размер и организационно-правовая форма компании сами по себе тоже не определяют применимость ISO 9001.

Комплект зависит от выбранного стандарта, однако для анализа готовности обычно собирают:

• регистрационные сведения организации и реквизиты заявителя;
• описание области системы с видами деятельности и производственными площадками;
• карту процессов, ответственность владельцев и критерии результативности;
• политику, цели и документы по управлению рисками;
• обязательные записи о контроле, несоответствиях и корректирующих действиях;
• материалы внутреннего аудита и анализа со стороны руководства;
• сведения об обучении персонала и подтверждении компетентности.

Внедрение означает, что сотрудники используют документы, а показатели и обратная связь влияют на решения. Если компания начинает с пустого комплекта, создание процессов, обучение и накопление записей занимают больше времени, чем проверка уже действующей системы. В одном из типовых запросов ожидание завершить разработку за 1 месяц не соответствовало объему: подготовка занимала пару месяцев или больше.

Интегрированная модель позволяет совместить общие процессы ISO 9001, ISO 14001 и ISO 45001, например управление документированной информацией, аудит и анализ руководства. Отраслевая специфика при этом сохраняется: экологическими аспектами нельзя управлять через реестр дефектов СМК, а профессиональные опасности требуют собственных критериев оценки.

Как построить систему на практике

Порядок работ мало зависит от выбранного стандарта. Сначала фиксируют область и сравнивают описанные процессы с фактическими, чтобы увидеть разрыв. Затем руководство утверждает политику и измеримые цели, а процессы получают владельцев, входы, выходы и критерии результативности.

Дальше систему запускают в работу: сотрудники начинают вести записи в том виде, в каком их потом покажут аудитору. Именно этот шаг чаще всего пропускают, когда процедуры утверждены, а журналы и формы остались пустыми. Проверяют ведь не наличие процедуры, а свидетельства ее применения на рабочих местах.

Обучение персонала логично проводить до старта записей, а не накануне визита органа.

Замыкают подготовку внутренний аудит и анализ со стороны руководства. Внутренний аудит поручают подготовленным сотрудникам, которые не проверяют собственную работу; в небольшой организации эту роль иногда отдают внешнему специалисту. Анализ со стороны руководства предполагает разбор данных о результативности, обратной связи потребителей, несоответствиях и рисках с принятыми решениями и выделенными ресурсами, а не протокол, составленный задним числом.

Идти в орган по сертификации имеет смысл после того, как система отработала хотя бы один такой круг и накопила записи.

Две стадии оценки, цена и дальнейший надзор

Первоначальный сертификационный аудит включает 2 этапа, а единого нормативного срока в рабочих или календарных днях нет. На первой стадии орган анализирует область, документацию и готовность к основной оценке. На второй аудиторы проверяют выполнение процессов, записи и результативность системы на площадках.

Заявитель определяет область и передает достоверные материалы, орган по сертификации анализирует заявку, назначает компетентную аудиторскую группу и принимает решение. ГОСТ Р ИСО/МЭК 17021-1-2017, действующий с 1 апреля 2018 года, адресован именно органам и регулирует беспристрастность, продолжительность аудита, надзор и ресертификацию.

Первый надзорный аудит проводят не позднее 12 месяцев с даты решения о первоначальной сертификации, а последующие надзорные аудиты проходят не реже 1 раза в календарный год, кроме года ресертификации.

Цикл сертификации по ГОСТ Р ИСО/МЭК 17021-1-2017 обычно составляет 3 года. До окончания действующего сертификата орган должен спланировать ресертификацию; единого срока вида «за определенное число дней» стандарт не устанавливает.

Стоимость сертификации зависит от числа стандартов, площадок и работников, сложности процессов, области системы, формата и продолжительности аудита, а также от необходимости проведения сертификационного аудита органом с требуемой аккредитацией. Разработку и внедрение системы, если они нужны, рассчитывают отдельно от независимого сертификационного аудита. Государственная пошлина и единый законодательно установленный тариф за добровольный сертификат отсутствуют, оплату стороны определяют договором.

Проверим готовность процессов до обращения в орган по сертификации.
По области системы и имеющимся материалам специалист определит, нужна ли разработка документации, какие записи подготовить к двум стадиям аудита и что влияет на стоимость.

Как проверить сертификат и орган по реестрам

Подлинность документа проверяют одновременно по сертификату и по полномочиям выдавшего его органа. В реестре сертификатов соответствия Росаккредитации ищут номер, держателя, срок и сведения о приостановлении либо прекращении действия.

Отсутствие сертификата в этом реестре само по себе не доказывает подделку. Если документ выдан в рамках иностранной аккредитации, проверяют статус и область органа по сертификации в реестре соответствующего органа по аккредитации, а также приемлемость такой аккредитации по условиям закупки или договора. Для неаккредитованной добровольной системы проверяют реестр и правила самой системы; такой документ нельзя представлять как выданный в рамках аккредитации.

Реестр аккредитованных лиц Росаккредитации показывает статус и область аккредитации органа. Если закупка, договор или схема требуют сертификат органа, аккредитованного в национальной системе аккредитации РФ, самого присутствия органа в реестре недостаточно: сертификация по требуемому стандарту должна входить в его область аккредитации. Национальную аккредитацию регулирует Федеральный закон от 28.12.2013 № 412-ФЗ, сведения реестра публикуются по правилам постановления Правительства РФ от 18.11.2020 № 1856, а критерии аккредитации органов по сертификации систем менеджмента установлены приказом Минэкономразвития России от 26.10.2020 № 707.

ISO разрабатывает стандарты, но не выдает сертификаты и не аккредитует органы. Поэтому логотип ISO не подтверждает официальный статус документа. Еще одно ошибочное ожидание связано с результатом: ISO 9001 требует управляемых процессов и улучшения, но не гарантирует полного отсутствия брака, рекламаций или отдельных нарушений.

Какие ГОСТы устарели и на что ссылаться сейчас

Ссылку на прежний ГОСТ нельзя переносить в новую документацию только потому, что сохранилось название стандарта. После замены меняются структура, терминология и требования к управлению рисками, а старое руководство по качеству не следует автоматически считать обязательным документом.

Статусы национальных стандартов сверяют в Федеральном информационном фонде стандартов. Для действующей СМК базовыми документами остаются ГОСТ Р ИСО 9001-2015 с требованиями и ГОСТ Р ИСО 9000-2015 с терминологией.

Куда движутся требования к системам менеджмента

Стандарты разных направлений приведены к общей структуре верхнего уровня: совпадающие разделы про контекст, лидерство, планирование, поддержку и улучшение позволяют собрать интегрированную систему без параллельных комплектов документов. Практический эффект виден в подготовке: один внутренний аудит, один анализ руководства и один порядок управления документами сразу на несколько направлений.

Второе изменение затрагивает предмет проверки: внимание смещается с процедур на риски и на цепочку поставок. Крупные заказчики спрашивают уже не только сертификат контрагента, но и то, как он управляет подрядчиками, экологическими аспектами и охраной труда на своих площадках. Растет и доля требований по информационной безопасности: защиту данных вписывают в договоры компании, которые прежде сертифицировали только качество.

Третье касается формы записей. Стандарт говорит о документированной информации, а не о бумаге, поэтому электронный документооборот и автоматический сбор показателей допустимы, если обеспечены актуальность версии, защита от несанкционированных изменений и доступность для тех, кому информация нужна.

Обучение, интеграция и содержание сертификата

Можно ли провести обучение удаленно?

Удаленный формат подходит для введения документации и обучения правилам системы. Возможность дистанционного сертификационного аудита определяет орган с учетом процессов, площадок и доступности объективных свидетельств.

Нужно ли получать отдельный документ на каждое направление?

Компания может выбрать одну систему или интегрированную модель. Решение зависит от формулировки требования заказчика: если закупка требует конкретные ISO, в области и документе должны быть отражены именно они.

Какие сведения указывают в сертификате?

Документ содержит регистрационный номер, держателя, примененный стандарт, область сертификации, площадки, даты действия и сведения об органе. Формулировку области сверяют с фактическими видами деятельности до выдачи.

Что зафиксировать до внедрения и сертификации

Сначала следует получить точную формулировку требования, ради которого начинается проект. Для тендера это раздел закупочной документации, для поставки крупному заказчику договор или анкета аудита поставщика. Такая проверка показывает, нужен ли российский ГОСТ, международное обозначение ISO, аккредитованный сертификат или достаточно внутренней системы без независимой оценки.

Область лучше зафиксировать до расчета: указать юридическое лицо, адреса площадок, процессы и виды деятельности. Если часть функций выполняют подрядчики, их место в процессах также описывают заранее. После этого проводится внутренний разрыв-анализ, а не подготовка красивого комплекта документов без записей о работе.

До подписания договора с органом сопоставляют его область аккредитации с выбранным стандартом и запрашивают программу сертификационного цикла. В ней должны различаться первоначальная оценка, ежегодный надзор и ресертификация. Отдельно согласуют правила использования знака и реестр, в котором заказчик сможет проверить документ.