Сертификационный аудит смбпп на втором этапе

5.5.2.1 Целью сертификационного аудита СМБПП на втором этапе является оценка степени внедрения СМБПП организации-заявителя, включая ее результативность. Аудит на втором этапе должен проходить непосредственно в организации-заявителе.

5.5.2.2 Началом работ по аудиту на втором этапе организации-заявителя является разработка руководителем команды по аудиту плана аудита на втором этапе. Разработка плана аудита на втором этапе проводится с учетом результатов аудита на первом этапе.

При определении интервала времени между первым и вторым этапами аудита орган по сертификации должен учесть потребности организации-заявителя в принятии решений по проблемным областям, идентифицированным при аудите на первом этапе. При этом аудит на втором этапе должен окончиться в срок, не превышающий 180 календарных дней со дня окончания первого этапа аудита.

5.5.2.3 При составлении плана аудита на втором этапе следует учитывать, что если какая-либо область СМБПП, которая подвергалась аудиту на первом этапе, полностью внедрена, результативна и соответствует установленным требованиям, то можно эту область не проверять повторно в процессе аудита на втором этапе. В этом случае орган по сертификации должен гарантировать, что проверенные области СМБПП продолжают соответствовать установленным требованиям. При этом отчет по результатам аудита на втором этапе должен включать информацию о том, что соответствие было установлено в процессе аудита на первом этапе.

5.5.2.4 План аудита на втором этапе должен содержать информацию в соответствии с 5.5.1.6 –5.5.1.12.

5.5.2.5 План аудита на втором этапе должен допускать внесение в него изменений в ходе аудита, а также обеспечивать результативное использование квалификации членов команды по аудиту с учетом их компетентности.

5.5.2.6План аудита на втором этапе утверждается руководителем органа по сертификации (уполномоченным лицом органа по сертификации) и согласовывается с организацией-заявителем.

5.5.2.7План аудита на втором этапе должен быть представлен организации-заявителю до начала аудита.

Если со стороны организации-заявителя имеются обоснованные возражения против отдельных пунктов плана, то эти возражения должны быть доведены до сведения руководителя команды по аудиту. Все спорные вопросы должны быть разрешены до начала второго этапа аудита руководителем команды по аудиту и представителем организации-заявителя, имеющим соответствующие полномочия.

5.5.2.8 Команда по аудиту может подготовить рабочие документы для ведения записей в ходе аудита и регистрации свидетельств аудита. Рабочие документы могут содержать:

– контрольные листы, включающие в себя: наименование организации-заявителя, наименование проверяемого подразделения/функции/процесса, фамилию и инициалы должностного лица, перечень документов СМБПП, контрольные вопросы, критерии аудита (требования СТБ ИСО 22000, документов СМБПП организации-заявителя, НПА и ТНПА, распространяющихся на деятельность организации-заявителя и др.), свидетельства аудита (наименование и обозначение документа, содержащего подтверждение выполнения или невыполнения требования), выводы (наблюдения аудита). Контрольные листы должны обеспечивать получение выводов (наблюдений аудита) на основании сопоставления свидетельств аудита с критериями аудита;

– форму протоколов несоответствий, включающих в себя: идентификацию органа по сертификации, номер протокола несоответствия, наименование организации-заявителя, наименование структурного подразделения/функции/процесса, фамилию и инициалы должностного лица, дату проверки, обозначение и пункт СТБ ИСО 22000, наименование деятельности, фамилию и инициалы эксперта-аудитора, проводившего проверку, требования СТБ ИСО 22000, установленное несоответствие, категорию несоответствия, подпись, дату, фамилию и инициалы руководителя команды по аудиту, подпись, дату, фамилию и инициалы руководителя организации-заявителя, коррекцию и корректирующие действия и срок их проведения, подпись руководителя организации-заявителя с датой, фамилией и инициалами под коррекцией и корректирующими действиями, подпись, дату, фамилию и инициалы руководителя команды по аудиту, подтверждающие проведение коррекции и корректирующих действий;

– форму аспектов для улучшения, включающих в себя: идентификацию органа по сертификации, номер аспекта для улучшения, наименование организации-заявителя, наименование структурного подразделения/функции/процесса, фамилию и инициалы должностного лица, дату проверки, обозначение и пункт СТБ ИСО 22000, наименование деятельности, фамилию и инициалы эксперта-аудитора, проводившего проверку, требования СТБ ИСО 22000, формулировку аспекта для улучшения, подпись, дату, фамилию и инициалы руководителя команды по аудиту, подпись, дату, фамилию и инициалы руководителя организации-заявителя, действия, необходимые для выполнения аспекта для улучшения, подпись руководителя организации-заявителя с датой, фамилией и инициалами под действиями, необходимыми для выполнения аспекта для улучшения, срок проведения мероприятий, подпись, дату, фамилию и инициалы руководителя команды по аудиту, подтверждающие проведение действий по улучшению;

– формы отчетов по аудиту.

5.5.2.9Сертификационный аудит СМБПП на втором этапе включает:

– предварительное совещание в начале аудита;

– сбор и верификацию информации;

– получение свидетельств аудита и подготовку выводов;

– подготовку заключения по результатам аудита;

– заключительное совещание по итогам аудита на втором этапе;

– подготовку отчета по аудиту на втором этапе.

5.5.2.10 Цель предварительного совещания – по 5.5.1.19.

Дополнительно на предварительном совещании второго этапа руководитель команды по аудиту информирует организацию-заявителя о проблемных областях, выявленных на первом этапе аудита.

5.5.2.11 Во время аудита на втором этапе информация, относящаяся к целям, области и критериям аудита, включая информацию о деятельности и взаимодействиях в организации-заявителе, должна быть собрана и верифицирована. Сбор информации проводится методом опроса персонала организации-заявителя, наблюдения за деятельностью, анализа документации и записей. Полученная информация должна быть верифицирована путем сравнения с информацией из других источников (например, обратная связь от потребителей организации-заявителя, сторонние опросы и измерения, информация от внешних заинтересованных сторон, базы данных и веб-сайты, рейтинги, имитация и моделирование и др.).

5.5.2.12Во время аудита команда по аудиту должна периодически оценивать ход аудита и обмениваться информацией с организацией-заявителем. Руководитель команды по аудиту при необходимости перераспределяет работу между членами команды по аудиту и должен периодически сообщать организации-заявителю о ходе аудита и возникающих проблемах.

В случае если полученные свидетельства аудита указывают, что цели аудита недостижимы или выявляют наличие непосредственного и недопустимого риска для безопасности, руководитель команды по аудиту должен сообщить об этом организации-заявителю и при необходимости в орган по сертификации для принятия соответствующих действий. Такие действия могут включать повторное подтверждение или изменение плана аудита, изменение целей аудита или области аудита или прекращение аудита. Руководитель команды по аудиту должен доложить о результатах предпринятых действий в орган по сертификации.

Руководитель команды по аудиту должен обсудить с организацией-заявителем любую необходимость изменения области аудита, которая становится очевидной в ходе работ по аудиту, и сообщить об этом в орган по сертификации.

5.5.2.13Свидетельством аудита является информация, которая верифицирована. Для получения выводов (наблюдений аудита) свидетельства аудита должны быть сопоставлены с критериями аудита. Наблюдения аудита указывают на соответствие или несоответствие критериям аудита. Свидетельства и выводы аудита должны документально подтверждаться соответствующими записями (например,
в контрольных листах). Команда по аудиту должна проанализировать свидетельства аудита и решить, какие из них должны быть представлены как свидетельствующие о несоответствиях, а также определить категорию несоответствий. Команда по аудиту может выявлять аспекты для улучшения деятельности организации-заявителя. Наблюдения аудита, которые являются несоответствиями, не должны представляться как аспекты для улучшения.

5.5.2.14При определении категории несоответствия команда по аудиту учитывает их влияние
на СМБПП и достижение целей сертификации СМБПП, а также является ли несоответствие единичным случаем или систематическим несоблюдением требований.

5.5.2.15 Несоответствия могут быть классифицированы командой по аудиту как существенные, так и несущественные.

Существенное несоответствие – несоответствие, классифицированное как серьезная или неминуемая угроза общественному здоровью в пищевой цепи, частичное или полное невыполнение законодательных и других обязательных требований, потенциально влияющих на безопасность продукции, или связанное с возможностью появления недопустимого риска, неприменение или полное невыполнение какого-либо требования СТБ ИСО 22000, которое может привести к неспособности СМБПП  
достичь запланированных результатов.

Несущественное несоответствие – единичные случаи невыполнения требований СТБ ИСО 22000, упущение в выполнении требований НПА и ТНПА, которое не влияет на безопасность продукции или не связано с возможностью появления недопустимого риска угрозы общественному здоровью в пищевой цепи, а также не может привести к неспособности СМБПП достичь запланированных результатов.

Окончательное решение о категории несоответствий принимает руководитель команды по аудиту.

5.5.2.16 Существенные и несущественные несоответствия должны документироваться в рабочих документах органа по сертификации (например, в протоколах несоответствий и/или в отчете по второму этапу аудита), в которых обнаруженные несоответствия идентифицируются с критериями аудита (требованиями, установленными в СТБ ИСО 22000 или документах на СМБПП организации-заявителя, а также НПА и ТНПА, распространяющихся на деятельность организации-заявителя).

5.5.2.17Записи о несоответствиях и поддерживающих их свидетельствах аудита подлежат совместному рассмотрению руководителем команды по аудиту и руководителем организации-заявителя (уполномоченным лицом организации-заявителя), чтобы получить подтверждение, что свидетельства аудита точные, а несоответствия понятны.

5.5.2.18 Командой по аудиту могут быть выявлены аспекты для улучшения деятельности организации-заявителя, не связанные с нарушением требований к СМБПП, но при реализации которых функционирование СМБПП может быть улучшено.

Реализация аспектов для улучшения деятельности проверяется при последующем аудите организации-заявителя.

В случае невыполнения организацией-заявителем мероприятий по реализации аспектов для улучшения по решению руководителя команды по аудиту они могут быть переведены в несоответствия.

5.5.2.19На основании результатов анализа выявленных несоответствий командой по аудиту подготавливается заключение о степени соответствия (несоответствия) СМБПП требованиям СТБ ИСО 22000.

В результате аудита СМБПП возможны следующие выводы:

а) СМБПП соответствует требованиям СТБ ИСО 22000;

б) СМБПП не соответствует требованиям СТБ ИСО 22000;

СМБПП признается соответствующей требованиям СТБ ИСО 22000, если:

– несоответствия отсутствуют;

– имеются несущественные несоответствия, которые могут быть устранены в процессе работы команды по аудиту или в течение 30 дн со дня окончания второго этапа аудита.

СМБПП признается не соответствующей СТБ ИСО 22000, если обнаружено хотя бы одно сущест-венное несоответствие. В этом случае принимается отрицательное решение по результатам сертификации СМБПП. Организация-заявитель вправе подать повторно заявку на проведение сертификации СМБПП после устранения несоответствий. При этом сертификационный аудит проводится в полном объеме.

5.5.2.20 Перед заключительным совещанием команда по аудиту проводит анализ результатов аудита, во время которого:

– проводит анализ наблюдений аудита и любой информации, собранной во время аудита, по отношению к целям аудита;

– согласовывает заключение по аудиту с учетом неопределенности, присущей процессу аудита;

– определяет необходимые последующие действия;

– проводит анализ выполнения плана аудита или определяет любые требуемые изменения (например, область, время или дату аудита, периодичность инспекционного контроля).

5.5.2.21По результатам второго этапа аудита руководитель команды по аудиту проводит заключительное совещание с руководством организации-заявителя и участниками аудита. Заключительное совещание проводится с целью:

– уведомления организации-заявителя о том, что собранные свидетельства аудита основаны на выборочной проверке информации и, следовательно, существует элемент неопределенности;

– уведомления о способе и сроке представления отчета по второму этапу аудита;

– доведения выявленных при аудите несоответствий в порядке их значимости (категориях), а также аспектов для улучшения деятельности;

– информирования о предварительном заключении о соответствии (несоответствии) СМБПП требованиям СТБ ИСО 22000;

– информирования о сроках предоставления организацией-заявителем плана коррекций и корректирующих действий по выявленным несоответствиям;

– информирования о способах предоставления информации по устранению несоответствий;

– информирования о процедуре рассмотрения жалоб и апелляций;

– разъяснения деятельности органа по сертификации, проводимой после аудита.

5.5.2.22 По результатам аудита СМБПП с учетом результатов заключительного совещания руководитель команды по аудиту должен обеспечить подготовку отчета по второму этапу аудита. Отчет по второму этапу аудита должен представлять собой точную, лаконичную и понятную запись по аудиту, чтобы обеспечить принятие обоснованного решения, и должен включать следующее:

– идентификацию органа по сертификации;

– название и адрес организации-заявителя и уполномоченного представителя руководства организации-заявителя;

– тип аудита;

– критерии аудита (например, СТБ ИСО 22000, НПА и ТНПА, распространяющиеся на деятельность организации-заявителя, документы СМБПП организации-заявителя);

– цели аудита;

– область аудита (например, объем и границы аудита, такие как идентификация проверенных филиалов, площадок, должностных лиц, структурных подразделений, виды деятельности, процессы, время аудита. Должны быть описаны любые исключения, касающиеся областей или видов деятельности, которые не охвачены аудитом. Должно быть указано любое отклонение времени аудита от плана аудита);

– идентификацию команды по аудиту (руководитель команды по аудиту, эксперты-аудиторы, сопровождающие и, если применимо, технические эксперты, стажеры, наблюдатели, переводчики);

– даты и места, где проводились работы по аудиту [на площадке в организации-заявителе или вне площадки (например, указывается (ются) дата (ы), посещаемые площадки и тип аудита на каждой площадке), указание о статусе площадки (постоянная или временная), любые отрицательные условия, которые влияют на деятельность по аудиту (нарушения электропотребления, пожар и т. п.)];

– применяемую методологию принципов НАССР;

– оценку адекватности применяемых ППУ;

– оценку результативности системы мониторинга в ККТ и рабочих ППУ;

– комментарии, касающиеся группы по обеспечению безопасности;

– результаты анализа деятельности по внутренним аудитам и анализу СМБПП со стороны руководства;

– сведения о проверках организации-заявителя надзорными (контролирующими) органами и устранении несоответствий, выявленных по результатам проверок (при их наличии);

– результаты оценивания органом по сертификации деятельности организации-заявителя по реализации политики и целей, выполнению требований НПА и ТНПА, результативности внутренних аудитов и анализа со стороны руководства;

– наблюдения, свидетельства и заключения аудита (указание о достижении целей аудита, информация об изменениях в плане аудита (если применимо), кратко изложенные соответствия и подробно описанные несоответствия, а также обосновывающие их свидетельства аудита, чтобы дать возможность принять объективное решение по сертификации);

– заключение, в котором приводятся выводы о соответствии (несоответствии) СМБПП требованиям СТБ ИСО 22000;

– любые нерешенные вопросы, если они определены.

5.5.2.23 В отношении любого заявления о несоответствии в отчете по второму этапу аудита должна быть дана четкая подробная запись наблюдения, чтобы предоставить организации-заявителю надлежащее описание фактов.

5.5.2.24 В отчет по второму этапу аудита должно быть включено заявление о результативности СМБПП организации-заявителя. Заявление о результативности СМБПП может включать следующее:

а) виды деятельности организации-заявителя в пределах области применения СМБПП и пригодность для ее области применения сертификации;

б) анализ, понимание и определение потребностей и ожиданий заинтересованных сторон, имеющих отношение к СТБ ИСО 22000;

в) цели СМБПП по удовлетворению требований заинтересованных сторон и распространяющихся на деятельность организации-заявителя НПА и ТНПА;

г) доступность ресурсов, необходимых для обеспечения функционирования СМБПП;

д) мониторинг в ККТ и рабочих ППУ;

е) предупреждение несоответствий и процессы систематического улучшения, чтобы:

– устранять любые несоответствия, которые действительно случаются;

– анализировать причины несоответствий и предпринимать корректирующие действия во избежание их повторения;

– рассматривать жалобы;

ж) результативный внутренний аудит и процесс анализа со стороны руководства;

и) мониторинг, измерение и постоянное улучшение результативности СМБПП.

5.5.2.25В отчете по второму этапу аудита может быть приведен комментарий об уровне развития СМБПП и может быть указано, внедрена ли СМБПП в организации-заявителе полностью и об уровне ее поддержки со стороны высшего и среднего руководства.

5.5.2.26В отчете по аудиту может быть указана защитительная оговорка, указывающая на то, что аудит основан на процессе выборочного контроля доступной информации. Защитительная оговорка должна также сообщать о том, что рекомендации команды по аудиту о выдаче сертификата соответствия организации-заявителю являются предметом независимого анализа советом по сертификации перед принятием окончательного решения.

5.5.2.27В отчет по второму этапу аудита может включаться заявление о рисках (если они существуют), которые могут влиять, если это относится к данному случаю, на следующее:

а) соответствие требованиям к системе СМБПП;

б) соответствие установленным законодательным и обязательным требованиям;

в) результативность системы СМБПП организации-заявителя.

 

Примечания

1 При описании идентифицированных рисков может быть важно в соответствующих случаях указать, что:

– менеджмент существенного риска не осуществляется;

– риски искажены.

2 Идентификация рисков не подразумевает оценки риска согласно [5].

5.5.2.28В отчете по аудиту должно быть указано, когда доступ к соответствующим лицам, местам или информации был невозможен или запрещен.

5.5.2.29В отчете по второму этапу аудита также следует указывать на необходимость разработки коррекций и корректирующих действий, устанавливать сроки устранения несоответствий, выявленных на втором этапе аудита, сроки представления в орган по сертификации документированных свидетельств об устранении несоответствий, но не более 30 дн со дня окончания второго этапа аудита.

5.5.2.30В отчете по второму этапу аудита следует установить способ предоставления свидетельств для проверки результативности коррекций и корректирующих действий.

Способ проверки устранения несоответствий зависит от категории и количества выявленных несоответствий, а также степени доверия к представленным доказательным материалам и их информативности.

Если в системе СМБПП организации-заявителя были выявлены несущественные несоответствия, при этом результативность коррекций и корректирующих действий, направленных на устранение этих несоответствий возможно проверить по представленным документальным свидетельствам, то органу по сертификации может быть достаточно документального подтверждения организацией-заявителем устранения выявленных несоответствий.

Если в системе СМБПП организации-заявителя выявлены несущественные несоответствия, при этом результативность коррекций и корректирующих действий, направленных на устранение этих несоответствий, невозможно проверить по представленным документальным свидетельствам, то проверка устранения выявленных несоответствий должна быть выполнена путем проведения дополнительного аудита непосредственно в организации-заявителе. При этом проверяются те критерии аудита, по которым были выявлены несоответствия.

Организация-заявитель должна быть проинформирована о том, какой дополнительный аудит или документальные свидетельства (которые будут проверены во время будущих инспекционных контролей) потребуются для проверки результативности коррекций и корректирующих действий.

5.5.2.31 Отчет по второму этапу аудита должен подписываться руководителем команды по аудиту и экспертами-аудиторами и утверждаться руководителем органа по сертификации (уполномоченным лицом органа по сертификации).

Отчет по второму этапу аудита составляется в двух экземплярах: один остается в органе по сертификации, второй передается организации-заявителю не позднее 14 дн после завершения второго этапа аудита.

5.5.2.32 В случае неустранения организацией-заявителем несущественных несоответствий
в течение 30 дн со дня окончания аудита второго этапа СМБПП организация-заявитель признается органом по сертификации не соответствующей требованиям СТБ ИСО 22000. Организация-заявитель вправе подать повторно заявку на проведение сертификации после устранения несоответствий.
При этом сертификационный аудит СМБПП проводится в полном объеме.