Процедура проведения первичного сертификационного аудита СМБПП

5.5 Процедура проведения первичного сертификационного аудита СМБПП

5.5.1 Сертификационный аудит СМБПП на первом этапе

5.5.1.1 Сертификационный аудит СМБПП на первом этапе (далее – аудит на первом этапе) проводится с целью оценки готовности организации-заявителя к проведению сертификационного аудита
на втором этапе (далее – аудит на втором этапе), определения области для планирования аудита
на втором этапе и включает:

– анализ документов СМБПП организации-заявителя;

– анализ юридического статуса организации-заявителя, уточнение месторасположения организации-заявителя, филиалов, площадок, в том числе временных, и условий в/на них;

– оценку понимания организацией-заявителем требований СТБ ИСО 22000, в частности, относительно определения ключевых видов деятельности или значимых аспектов безопасности, целей и функционирования СМБПП;

– сбор информации, касающейся области применения СМБПП;

– сбор информации, относящейся к законодательным и обязательным требованиям, распространяющимся на деятельность организации-заявителя, и соответствие им [в том числе информация надзорных (контролирующих) органов];

– анализ распределения ресурсов для проведения аудита на втором этапе и согласования с организацией-заявителем деталей проведения аудита на втором этапе;

– оценку того, планируются и проводятся ли организацией-заявителем внутренние аудиты и анализ СМБПП со стороны руководства;

– оценку уровня внедрения СМБПП и сбор достаточных оснований, свидетельствующих о готовности организации-заявителя к проведению аудита на втором этапе.

5.5.1.2 При проведении аудита на первом этапе анализируют, насколько:

– организация-заявитель определила ППУ в соответствии с установленными требованиями (законодательными, требованиями потребителей и т. д.);

– СМБПП организации-заявителя включает соответствующие процессы и методы выявления и оценки опасностей пищевых продуктов, а также последующий выбор и распределение по категориям мер контроля (комбинаций мер контроля);

– действует законодательство по безопасности пищевых продуктов для соответствующих категорий  и секторов организации-заявителя;

– СМБПП организации-заявителя направлена на достижение политики и целей в области безопасности пищевых продуктов;

– программы валидации, верификации и улучшения соответствуют требованиям СТБ ИСО 22000;

– документы СМБПП доведены до сведения персонала организации-заявителя и поставщиков, заказчиков и заинтересованных сторон и требуется ли дополнительная документация, которую необходимо проанализировать;

– реализация программы внедрения СМБПП позволяет перейти к аудиту на втором этапе.

5.5.1.3Аудит СМБПП на первом этапе проводят с посещением организации-заявителя, чтобы
достичь вышеуказанных целей аудита.

5.5.1.4 Если организация-заявитель применила комбинацию мер контроля, разработанных сторонней организацией, то при аудите на первом этапе командой по аудиту должно быть проанализировано и определено, является ли данная комбинация мер контроля подходящей для организации-заявителя, был ли он разработан в соответствии с требованиями СТБ ИСО 22000.

5.5.1.5Началом работ по проведению аудита на первом этапе является разработка руководителем команды по аудиту плана аудита на первом этапе. План аудита первого этапа разрабатывается на основании программы аудита.

Планировать дни аудита необходимо таким образом, чтобы в процессе аудита было проверено представительное количество производственных линий, продуктов из ассортиментного перечня,
на которые распространяется область действия сертификата соответствия на СМБПП.

5.5.1.6 План аудита на первом этапе должен содержать:

– цели аудита;

– критерии аудита;

– область аудита, включая идентификацию филиалов, площадок, подразделений и процессов, которые должны быть проверены;

– состав команды по аудиту;

– дату и место проведения аудита;

– временной график аудита (предполагаемое время начала и продолжительность аудита, предполагаемое время проведения предварительного и заключительного совещания с руководством
организации-заявителя и совещаний команды по аудиту);

– распределение ресурсов в наиболее важных областях аудита;

– список уполномоченных специалистов организации-заявителя, назначенных для сопровождения и работы с командой по аудиту (далее – сопровождающие);

– требования к конфиденциальности информации, не подлежащей разглашению.

5.5.1.7 При необходимости в план аудита на первом этапе включают:

– возможность изменения плана в процессе аудита;

– список наблюдателей;

– рабочий язык и язык отчета по аудиту в тех случаях, когда он отличается от языка, используемого в организации-заявителе;

– любые другие действия по результатам аудита.

5.5.1.8Присутствие и обоснование присутствия наблюдателей во время аудита должно быть
согласовано органом по сертификации и организацией-заявителем до проведения аудита. Команда по аудиту должна обеспечить, чтобы наблюдатели не вмешивались в процесс аудита и не влияли
на результаты аудита.

5.5.1.9Для каждого эксперта-аудитора должен быть определен сопровождающий, если иное
не согласовано между руководителем команды по аудиту и организацией-заявителем. Сопровождающие назначаются для облегчения работы команды по аудиту и не должны вмешиваться в процесс аудита или влиять на результаты аудита.

5.5.1.10. Цели аудита, установленные в плане аудита, должны описывать, что должно быть выполнено при аудите, и включать следующее:

a) определение соответствия СМБПП организации-заявителя или ее частей критериям аудита;

б) оценку способности СМБПП обеспечивать уверенность в том, что организация-заявитель отвечает применяемым законодательным, обязательным и договорным требованиям;

в) оценку результативности СМБПП для обеспечения уверенности, что организация-заявитель постоянно выполняет свои установленные цели;

г) определение областей потенциального улучшения СМБПП.

5.5.1.11Область и критерии аудита, включая любые изменения, должны быть установлены органом по сертификации после обсуждения с организацией-заявителем.

Область аудита должна описывать объем и границы аудита, такие как физическое местоположение, филиалы, площадки, подразделения, функции, виды деятельности и процессы, которые должны быть проверены. Если процесс первичной или повторной сертификации состоит более чем из одного аудита (например, охватывает несколько местоположений), область отдельного аудита может не охватывать всю область сертификации, но совокупность аудитов должна соответствовать области, указанной
в сертификате соответствия.

5.5.1.12 Критерии аудита должны использоваться для определения соответствия СМБПП и должны включать:

– требования СТБ ИСО 22000;

– документацию СМБПП, разработанную организацией-заявителем.

5.5.1.13 Продолжительность аудита на первом этапе должна составлять до ¹/₃ от общей продолжительности аудита.

5.5.1.14 План аудита на первом этапе утверждается руководителем органа по сертификации (уполномоченным лицом органа по сертификации) и согласовывается с организацией-заявителем.

5.5.1.15 План аудита на первом этапе должен быть представлен организации-заявителю до начала аудита.

Если со стороны организации-заявителя имеются обоснованные возражения против отдельных пунктов плана, то эти возражения должны быть доведены до сведения руководителя команды по аудиту. Все спорные вопросы должны быть разрешены до начала аудита руководителем команды по аудиту и представителем организации-заявителя, имеющим соответствующие полномочия.

5.5.1.16 План аудита на первом этапе должен допускать внесение в него изменений в ходе аудита, а также обеспечивать результативное использование квалификации членов команды по аудиту с учетом их компетентности.

5.5.1.17 Команда по аудиту может подготовить рабочие документы для ведения записей в ходе аудита и регистрации свидетельства аудита в соответствии с документами системы менеджмента
органа по сертификации.

5.5.1.18 Аудит на первом этапе включает:

– предварительное совещание в начале аудита;

– анализ документов СМБПП организации-заявителя;

– сбор и верификацию информации;

– получение свидетельств аудита и подготовку выводов;

– заключительное совещание по итогам аудита;

– подготовку отчета по аудиту на первом этапе.

5.5.1.19Предварительное совещание проводится руководителем команды по аудиту с руководством организации-заявителя и, при необходимости, лицами, ответственными за функции, которые должны проверяться в ходе аудита. Цель предварительного совещания состоит в представлении краткого пояснения того, как будут осуществляться работы по аудиту, и должно включать следующие элементы:

– представление участников, включая краткое описание их функций;

– подтверждение области сертификации СМБПП;

– подтверждение плана аудита (включая вид и область аудита, цели и критерии аудита), любых изменений, а также других соответствующих договоренностей с организацией-заявителем, таких как дата и время заключительного совещания, промежуточных совещаний команды по аудиту с руководством организации-заявителя;

– подтверждение официальных каналов обмена информацией между командой по аудиту и организацией-заявителем;

– подтверждение наличия ресурсов (помещения, офисного оборудования, транспорта и т. д.), необходимых команде по аудиту;

– подтверждение вопросов, касающихся конфиденциальности информации;

– ознакомление с требованиями по охране труда и действиями в аварийных ситуациях членов команды по аудиту, действующих в организации-заявителе;

– подтверждение возможности присутствия, функций и идентификации любых сопровождающих и наблюдателей;

– определение способов представления результатов, включая классификацию наблюдений аудита;

– доведения информации об условиях, при которых аудит может быть досрочно прекращен;

– подтверждение того, что руководитель команды по аудиту и члены команду по аудиту, представляющие орган по сертификации, несут ответственность за аудит и будут контролировать выполнение плана аудита, в том числе выполненные и оставшиеся работы по аудиту;

– информирование о методах и процедурах, которые будут использоваться при проведении аудита, основанного на выборочной проверке;

– подтверждение того, что во время аудита организация-заявитель будет информироваться о ходе аудита и любых возникающих проблемах;

– предоставление возможности организации-заявителю обсудить все вопросы, относящиеся к аудиту, возможности для организации-заявителя задать вопросы.

Степень детализации предварительного совещания должна соответствовать осведомленности организации-заявителя о процессе аудита.

5.5.1.20Анализ документов СМБПП осуществляется командой по аудиту. Анализ документов СМБПП должен учитывать размер, вид деятельности и сложность видов деятельности организации-заявителя, а также цели, критерии и область аудита.

Анализ документов СМБПП включает проверку:

– исходной информации и анкеты-вопросника;

– руководства по СМБПП;

– документов СМБПП;

– документов, необходимых организации-заявителю для обеспечения результативного функционирования СМБПП;

– результатов внутренних аудитов;

– результатов анализа со стороны руководства;

– дополнительной документации (при необходимости).

5.5.1.21Команда по аудиту должна проводить анализ представленной организацией-заявителем исходной информации и анкеты-вопросника с учетом:

– требований СТБ ИСО 22000;

– требований НПА и ТНПА, касающихся деятельности организации в заявленной области применения СМБПП;

– требований ТНПА на продукцию (работу/услугу);

– информации о безопасности продукции, полученной из других источников (например, обратная связь от потребителей организации-заявителя, сторонние опросы и измерения, информация от внешних заинтересованных сторон, базы данных и веб-сайты, рейтинги и др.).

5.5.1.22При проведении анализа документов СМБПП команда по аудиту проверяет выполнение следующих требований:

– обеспечения системности документации;

– учет в документах СМБПП реализации всех требований СТБ ИСО 22000;

– полноту описания СМБПП в документах СМБПП;

– наличие идентификации документов СМБПП;

– адресность;

– однозначность понимания требований документов СМБПП.

5.5.1.23 Во время аудита на первом этапе информация, относящаяся к целям, области и критериям аудита, включая информацию о деятельности и взаимодействии подразделений, должна быть собрана и верифицирована. Сбор информации проводится методом опроса персонала организации-заявителя, наблюдения за деятельностью, анализа документации и записей. Полученная информация должна быть верифицирована путем сравнения с информацией из других источников (протоколов, отчетов и др.). Свидетельством аудита является только верифицированная информация.

5.5.1.24 Результаты аудита на первом этапе могут привести к отсрочке или отмене второго этапа аудита.

5.5.1.25По результатам аудита на первом этапе руководитель команды по аудиту проводит заключительное совещание с руководством организации-заявителя и участниками аудита.

На заключительном совещании руководству организации-заявителя доводятся результаты анализа документов, выявленные на первом этапе аудита, и проблемные области, а также заключение о готовности организации-заявителя ко второму этапу аудита.

5.5.1.26 Организация-заявитель должна оцениваться как готовая ко второму этапу аудита, если команда по аудиту не сделает заключение, что:

а) требуемые элементы не представлены или не являются полными;

б) выявлены области относительно результативного функционирования СМБПП, которые могут привести к существенным несоответствиям на втором этапе аудита.

5.5.1.27 Заключительное совещание также должно включать следующие элементы:

– уведомление организации-заявителя о том, что собранные свидетельства аудита основаны
на выборочной проверке информации, следовательно, существует элемент неопределенности;

– способы и сроки предоставления отчета по аудиту на первом этапе;

– процесс органа по сертификации по обращению с проблемными областями;

– установление для организации-заявителя срока представления плана коррекций и корректирующих действий по проблемным областям, выявленным в процессе первого этапа аудита;

– разъяснение деятельности органа по сертификации, проводимой после аудита;

– информацию о процедурах рассмотрения жалоб и апелляций.

Степень детализации должна соответствовать осведомленности организации-заявителя о процессе аудита.

5.5.1.28 Любые проблемные области должны быть представлены таким образом, чтобы они были понятны организации-заявителю.

Примечание – «Понятны» не обязательно означает, что организация-заявитель должна с ними согласиться.

5.5.1.29Организации-заявителю должна быть предоставлена возможность задавать вопросы. Любые расхождения во мнениях между командой по аудиту и организацией-заявителем, касающиеся свидетельств или наблюдений аудита, должны быть обсуждены и по возможности разрешены. Любые расхождения во мнениях, которые не были разрешены, должны быть зарегистрированы и переданы
в орган по сертификации.

5.5.1.30Орган по сертификации должен предоставить организации-заявителю письменный отчет по первому этапу аудита не позднее 14 дн после заключительного совещания. Руководитель команды по аудиту несет ответственность за подготовку отчета по первому этапу аудита и его содержание. Команда по аудиту не должна рекомендовать конкретные решения по выявленным проблемным
областям.

Отчет по первому этапу аудита должен представлять собой точную, лаконичную и понятную запись по аудиту, чтобы обеспечить принятие обоснованного решения, и должен включать следующее:

– идентификацию органа по сертификации;

– название и адрес организации-заявителя и уполномоченного представителя руководства организации-заявителя;

– тип аудита [например, первичный (этапы первый или второй), инспекционный (плановый или внеплановый), повторный аудит, а также, если применимо, комбинированный, совместный или интегрированный аудит];

– критерии аудита (СТБ ИСО 22000, НПА и ТНПА, распространяющиеся на деятельность организации-заявителя, документы СМБПП организации-заявителя);

– цели аудита;

– область аудита (например, объем и границы аудита, такие как идентификация проверенных филиалов, площадок, должностных лиц, структурных подразделений, виды деятельности, процессы, время аудита). Должны быть описаны любые исключения, касающиеся областей или видов деятельности, которые не охвачены аудитом. Должно быть указано любое отклонение времени аудита от плана аудита;

– идентификацию команды по аудиту (руководитель команды по аудиту, эксперты-аудиторы, сопровождающие и, если применимо, технические эксперты, стажеры, наблюдатели, переводчики);

– даты и места, где проводились работы по аудиту [на площадке в организации-заявителе или вне площадки (например, указывается (ются) дата (ы), посещаемые площадки и тип аудита на каждой площадке), указание о статусе площадки (постоянная или временная), любые отрицательные условия, которые влияют на деятельность по аудиту (нарушения электропотребления, пожар и т. п.)];

– результаты анализа документов (заявки, исходной информации, анкеты-вопросника, документов СМБПП);

– результаты анализа деятельности по внутренним аудитам и анализу СМБПП со стороны руководства;

– ссылки на используемые организацией-заявителем ППУ, применяемую методологию принципов НАССР, комментарии, касающиеся группы по обеспечению безопасности;

– наблюдения, свидетельства и заключения аудита [указание о достижении целей аудита, инфор-мация об изменениях в плане аудита (если применимо), кратко изложенные соответствия, сведения
о проблемных областях, которые выявлены при аудите на первом этапе и которые можно классифицировать как несоответствия при аудите на втором этапе];

– заключение о степени готовности организации-заявителя к проведению аудита на втором этапе;

– любые нерешенные вопросы, если они определены.

В отчете по первому этапу аудита также указывается необходимость разработки коррекций и корректирующих действий, устанавливаются сроки устранения замечаний к документам СМБПП и проблемных областей, выявленных при аудите на первом этапе, сроки представления в орган по сертификации документированных свидетельств решения вопросов по проблемным областям, но не более 180 дн.

Отчет по первому этапу аудита подписывается руководителем команды по аудиту и экспертами-аудиторами, утверждается руководителем органа по сертификации (уполномоченным лицом органа по сертификации).

Отчет по первому этапу аудита составляется в двух экземплярах: один остается в органе, второй передается организации-заявителю.

5.5.1.31 Максимальный срок между первым и окончанием второго этапа должен составлять не более 180 дн.

5.5.1.32После устранения выявленных проблемных областей и замечаний к документам СМБПП организация-заявитель уведомляет об этом орган по сертификации и представляет в орган по сертификации документы, подтверждающие устранение выявленных проблемных областей, в том числе и
к документам СМБПП, в срок, обеспечивающий выполнение условия в течение 180 дн. Результаты устранения организацией-заявителем выявленных проблемных областей анализируются экспертами-аудиторами по представленным организацией-заявителем доказательным документам.

5.5.1.33При неустранении проблемных областей в установленный срок работы по сертификации СМБПП должны быть прекращены. Организация-заявитель имеет право подать новую заявку на сертификацию СМБПП после устранения проблемных областей.