ISO 17021: Kompletny Przewodnik po Normie Certyfikacyjnej Systemy Zarządzania ISO

ISO 17021: Profesjonalny Przewodnik po normie

Norma ISO 17021-1 to jeden z filarów systemu oceny zgodności, który odgrywa istotną rolę w procesie audytowania i certyfikacji systemów zarządzania ISO. Zapewnia jasne wytyczne i standardy, które muszą spełniać jednostki certyfikujące, aby ich działania były wiarygodne, rzetelne i bezstronne. Niniejszy przewodnik ma na celu zaprezentowanie najważniejszych wymagań normy ISO 17021-1, podkreślając jej wpływ na funkcjonowanie jednostek certyfikujących oraz procesy certyfikacyjne.

ISO/IEC 17021-1 stanowi również podstawę dla norm sektorowych rozwijających wymagania dla konkretnych obszarów certyfikacji, takich jak między innymi ISO/IEC 27006 dla certyfikacji systemów zarządzania bezpieczeństwem informacji zgodnych z ISO/IEC 27001. Oznacza to, że jednostki certyfikujące ISO 27001 muszą spełniać nie tylko ogólne wymagania ISO/IEC 17021-1, ale również dodatkowe wymagania dotyczące kompetencji auditorów, planowania audytów oraz nadzoru nad procesem certyfikacji systemów zarządzania bezpieczeństwem informacji.

Wymagania normy ISO 17021 

1. Zakres normy ISO 17021

Norma ISO 17021-1 określa wymagania dla jednostek certyfikujących, które audytują i certyfikują systemy zarządzania. Jest ona fundamentem dla zapewnienia rzetelności, bezstronności i zgodności z międzynarodowymi standardami. Określa także odpowiedzialność jednostek certyfikujących oraz ich zobowiązania wobec klientów.

2. Powołania normatywne

ISO 17021-1 odnosi się do innych norm i dokumentów międzynarodowych, które wspierają proces oceny zgodności oraz certyfikacji systemów zarządzania. Przestrzeganie tych powołań zapewnia, że jednostki certyfikujące działają w pełnej zgodności z globalnymi standardami. Normy te stanowią integralną część wymagań dla jednostek certyfikujących i muszą być uwzględniane przy wdrażaniu procesu audytów i certyfikacji.

3. Terminy i definicje

W tej części normy zdefiniowane są kluczowe pojęcia, takie jak „audyt”, „certyfikacja”, „system zarządzania” oraz inne istotne terminy, które są niezbędne do zrozumienia i jednolitego stosowania normy. Precyzyjne zdefiniowanie tych terminów pozwala na spójność w interpretacji wymagań normy w różnych jednostkach certyfikujących na całym świecie.

4. Zasady

ISO 17021-1 opiera się na kilku fundamentalnych zasadach, które zapewniają, że jednostki certyfikujące działają w sposób przejrzysty i rzetelny:

• 4.1 Postanowienia ogólne: Jednostki certyfikujące muszą spełniać wszystkie postanowienia normy, aby zagwarantować integralność procesu certyfikacji.
• 4.2 Bezstronność: Ważne jest, aby jednostki certyfikujące były niezależne i unikały konfliktów interesów, które mogłyby wpłynąć na ich decyzje certyfikacyjne.
• 4.3 Kompetencje: Personel, który wykonuje audyty, musi posiadać odpowiednie kwalifikacje, wiedzę i doświadczenie, aby zapewnić rzetelność procesu.
• 4.4 Odpowiedzialność: Jednostki certyfikujące ponoszą pełną odpowiedzialność za podejmowane decyzje certyfikacyjne, a także za wyniki audytów.
• 4.5 Otwartość: Procesy audytowe muszą być przejrzyste, aby klienci mieli pełne zrozumienie działań jednostki certyfikującej.
• 4.6 Poufność: Ochrona informacji jest kluczowa; wszelkie dane pozyskane podczas audytów muszą być poufne.
• 4.7 Reagowanie na skargi: Muszą istnieć jasno określone procedury dotyczące zarządzania skargami od klientów.
• 4.8 Podejście oparte na ryzyku: Jednostki certyfikujące muszą wdrożyć system zarządzania ryzykiem, który zidentyfikuje i oceni wszelkie potencjalne zagrożenia dla bezstronności procesu certyfikacyjnego.

5. Wymagania ogólne

• 5.1 Zagadnienia prawne i związane z umową: Jednostki certyfikujące muszą dysponować odpowiednimi umowami z klientami, które określają odpowiedzialności prawne oraz warunki certyfikacji.
• 5.2 Zarządzanie bezstronnością: Niezbędne jest wdrożenie skutecznych mechanizmów, które pozwalają zarządzać bezstronnością w trakcie całego procesu certyfikacyjnego.
• 5.3 Zobowiązania i finansowanie: Proces finansowania jednostek certyfikujących nie może wpływać na ich bezstronność i decyzje dotyczące certyfikacji.

6. Wymagania dotyczące struktury

• 6.1 Struktura organizacyjna: Jednostki certyfikujące muszą mieć jasno określoną strukturę organizacyjną oraz odpowiedzialności kierownictwa, które zapewnią prawidłowe funkcjonowanie.
• 6.2 Nadzór operacyjny: Kierownictwo jednostki certyfikującej musi zapewnić skuteczny nadzór nad wszystkimi działaniami związanymi z audytami i certyfikacją.

7. Wymagania dotyczące zasobów

• 7.1 Kompetencje personelu: Audytorzy oraz inni pracownicy zaangażowani w proces certyfikacji muszą posiadać odpowiednie kwalifikacje. Ich kompetencje muszą być regularnie oceniane, aby zapewnić ich zgodność z wymaganiami normy.
• 7.2 Personel zaangażowany w działalność certyfikacyjną: Wszyscy członkowie personelu muszą działać zgodnie z wymaganiami normy, a ich rola w procesie certyfikacji musi być jasno określona.
• 7.3 Korzystanie z audytorów zewnętrznych: Jeśli jednostka korzysta z usług zewnętrznych audytorów lub ekspertów, ich kompetencje muszą być odpowiednio oceniane i monitorowane.
• 7.4 Zapisy dotyczące personelu: Jednostki certyfikujące muszą prowadzić szczegółową dokumentację dotyczącą kwalifikacji, szkoleń i doświadczenia swojego personelu.

8. Wymagania dotyczące informacji

• 8.1 Informacje publiczne: Jednostki certyfikujące muszą udostępniać jasne i zrozumiałe informacje na temat swoich procesów, polityk oraz warunków certyfikacji.
• 8.2 Dokumenty certyfikacyjne: Certyfikaty muszą być wydawane w oparciu o przejrzyste i zgodne z normami procedury, a wszystkie dokumenty muszą spełniać wymagania normy.
• 8.3 Powoływanie się na certyfikację: Jednostki certyfikujące muszą jasno określić zasady dotyczące korzystania z certyfikatów oraz znaków certyfikacyjnych przez ich klientów.
• 8.4 Poufność: Wszystkie dane i informacje uzyskane podczas audytów muszą być traktowane jako poufne i chronione przed nieautoryzowanym dostępem.
• 8.5 Wymiana informacji między jednostką certyfikującą a klientami: Komunikacja między jednostką a klientem musi być klarowna, a jednostka musi informować o wszelkich zmianach w procesie certyfikacyjnym.

9. Wymagania dotyczące procesu

• 9.1 Działania przed certyfikacją: Jednostka certyfikująca musi przeprowadzić dokładny przegląd wniosku certyfikacyjnego oraz ustalić harmonogram audytów.
• 9.2 Planowanie audytów: Planowanie audytów powinno uwzględniać cele, zakres i kryteria audytu oraz dobór odpowiedniego zespołu audytorów.
• 9.3 Certyfikacja początkowa: Proces certyfikacji rozpoczyna się od audytu początkowego, który ocenia zgodność systemu zarządzania klienta z wymaganiami normy.
• 9.4 Przeprowadzanie audytów: Audyt musi być prowadzony zgodnie z określonymi zasadami, a jego wyniki muszą być udokumentowane.
• 9.5 Decyzja dotycząca certyfikacji: Ostateczna decyzja o przyznaniu certyfikatu musi być podjęta w oparciu o wyniki audytu, a proces decyzyjny musi być niezależny.
• 9.6 Utrzymywanie certyfikacji: Jednostka certyfikująca musi monitorować utrzymanie systemu zarządzania przez klienta, przeprowadzając regularne audyty nadzorujące.
• 9.7 Odwołania: Klienci mają prawo do odwołania się od decyzji certyfikacyjnych, a jednostka certyfikująca musi zapewnić procedury umożliwiające takie działania.
• 9.8 Skargi: Procedury rozpatrywania skarg muszą być jasno określone, a jednostki certyfikujące muszą reagować na skargi w sposób profesjonalny i zgodny z wymaganiami normy.
• 9.9 Zapisy dotyczące klientów: Wszelkie dokumenty i zapisy związane z procesem certyfikacji klientów muszą być odpowiednio przechowywane i zabezpieczone.

10. Wymagania dotyczące systemu zarządzania jednostek certyfikujących

• 10.1 Opcje: Jednostki certyfikujące mogą wdrożyć system zarządzania oparty na wymaganiach normy ISO 17021 lub na systemie ISO 9001.
• 10.2 Opcja A: Ogólne wymagania dotyczące systemu zarządzania: W tej opcji jednostka certyfikująca musi wdrożyć własny system zarządzania, który zapewnia zgodność z wymaganiami normy.
• 10.3 Opcja B: System zarządzania według ISO 9001: Jednostki mogą również oprzeć swoje zarządzanie na normie ISO 9001, co daje im większą elastyczność w zakresie operacyjnego zarządzania procesami.

Źródło: PN-EN ISO/IEC 17021-1:2015