ISO19011

,该版本已经过技术性修订。 与第二版相比的主要差异如下: ——增加了基于风险方法的审核原则; ——扩大了审核方案管理的指南,包括审核方案风险; ——扩大审核实施的指南,特别是审核策划部分; ——扩大了审核员的一般能力要求; ——调整术语以反映过程而不是对象(“事项”); ——删除了附件中包含审核特定管理体系专业能力要求(由于太多的管理体系标准, 将所有专业的能力要求包括在内是不切实际的); ——扩展附件A,以为审核(新)概念提供指南,如组织环境,领导作用和承诺, 虚拟审核,合规和供应链。 引言本文件第二版自2011 年出版以来,已经出版了许多新的管理体系标准,其中许多标准具有共同的结构、相同的核心要求以及共同的术语和核心定义。因此,有必要考虑更广泛的管理体系审核方法,并提供更通用的指导。审核结果可以为业务计划的分析方面提供输入,并且可以有助于识别改进需求和活动。 审核可以依据一系列单独或组合的审核准则进行,包括但不限于: ——在一个或多个管理体系标准中定义的要求; ——有关相关方指定的方针和要求; ——法律和法规要求; ——组织或其他各方确定的一个或多个管理体系过程; ——与管理体系特定输出(如质量计划、项目计划)有关规定相关的管理体系策划。 本文件提供的指南适用于所有规模和类型组织的不同范围和规模的审核,包括由大的审核组(通常为大型组织)以及由单个审核员进行的审核,无论其是大型组织还是小型组织。本指南宜与审计方案的范围、复杂程度和规模相适宜。 本文件注重于内部审核(第一方)和组织对其外部供方和其他外部相关方(第二方) 进行的审核。本文件也可用于第三方管理体系认证以外的其他目的的外部审核。 ISO/IEC170211 为管理体系第三方认证规定了要求。该文件可以提供有用的附加指导(见表1) 表1-审核类型的区分第一方审核第二方审核第三方审核内部审核外部供方的审核认证和或委派审核其他外部相关方出于法律法规、行政监管和类似目的的审核为了简化本文件的可读性,文件中的“管理体系”是单数形式,但是读者可以结合自身的具体情况实施该指南。这也适用于“人员(单数)”和“人员(复数)”、“审核员(单数)”和“审核员(复数)”的使用。 本文件拟适用于广泛的潜在使用者,包括审核员、实施管理体系的组织以及由于合同或法律法规要求需要实施管理体系审核的组织。本文的使用者可以应用这些指南制定其与审核相关的要求。 本文档中的指南也可用于自我声明,对参与审核员培训或人员认证的组织有用。 就灵活运用本文档的指南。正如本文所述,应根据组织管理体系的规模、成熟度水平、受审核组织的性质和复杂所实施的审核目标和范围的不同,来使用本指南。 本标准采用的方法适用于两个或更多的不同领域的管理体系共同审核的场合。当这些管理体系整合为一个管理体系时,审核原则和过程与结合审核相同(有时称为“结合审核”)。 本文为审核方案的管理、管理体系审核的策划和实施以及审核员和审核组的能力和评价提供指南。 管理体系审核指南 1 范围本文件提供了管理体系审核指南,包括审核原则,审核方案的管理和管理体系审核的实施,也对参与管理体系审核过程的人员的能力提供了评价指南,这些活动包括管理审核方案、审核员和审核组的人员。 本标准适用于需要策划和实施管理体系内部审核、外部审核或需要管理审核方案的所有组织。 只要对所需要的特定能力给予特殊考虑,本文件也可应用于其他类型的审核。 2 规范性引用文件本文件无规范性引用文件。 3 术语和定义下列术语和定义适用于本文件。 ISO 和IEC 在以下地址保持用于标准化的术语数据库: ——ISO 在线浏览平台:可在获得; ——IECElectropedia:可在获得。 3.1 Audit 审核为获得客观证据(3.8)并对其进行客观的评价,以确定满足审核准则(3.7)的程度所进行的系统的、独立的并形成文件的过程。 注1:内部审核,有时称为第一方审核,由组织自己或以组织的名义进行。 注2:通常,外部审核包括第二方和第三方审核。第二方审核由组织的相关方,如顾客或由其他人员以相关方的名义进行,第三方审核由外部独立的审核组织进行,如提供合格认证/注册的组织或政府机构。 【源自:ISO9000:2015,3.13.1,改写——注已被修改】 3.2 combinedaudit 多体系审核在一个受审核方(3.13),对两个或两个以上管理体系(3.18)一起实施的审核(3.1)。 注1:当两个或两以上多个不同领域的管理体系整合为一个管理体系时,称为整合管理体系。 【源自:ISO9000:2015,3.13.2,改写】 3.3 jointaudit 联合审核在一个受审核方(3.13),由两个或两个以上审核组织同时实施的审核(3.1) 【源自:ISO9000:2015,3.13.3】 3.4 auditprogramme 审核方案针对特定时间段所策划并具有特定目标的一组(一次或多次)审核的安排。 【源自:ISO9000:2015,3.13.4,改写——修改后的措辞已添加到定义中】 3.5 auditscope 审核范围审核的内容和界限注1:审核范围通常包括对实际和虚拟位置、职能、组织单元、活动和过程以及所涵盖时间段的描述。 注2:虚拟位置指允许个人在不同的物理位置使用在线环境执行工作或提供服务的位置。 【源自:ISO9000:2015,3.13.5,改写——注1 已被修改,注2 为增加】 3.6 auditplan 审核计划对审核(3.1)活动和安排的描述 【源自:ISO9000:2015,3.13.6】 3.7 auditcriteria 审核准则用于与客观证据(3.8)进行比较的一组要求(3.23) 注1:如果审核准则是法律要求(包括法定或监管),审核发现(3.10)中经常使用 “合规”或“不合规”。 注2:要求可能包括方针、程序、工作指示、法律要求、合同义务等。 【源自:ISO9000:2015,3.13.7,改写——定义已被修改,注1 和注2 为增加】 3.8 objectiveevidence 客观证据支持事物存在或其真实性的数据注1:客观证据可通过观察、测量、试验或其他方法获得。 注2:通常,用于审核(3.1)目的的客观证据,是由与审核准则(3.7)相关的记录、 事实陈述或其他信息所组成并可验证。 【源自:ISO9000:2015,3.8.3】 3.9 auditevidence 审核证据与审核准则(3.7)有关并能够证实的记录、事实陈述或其他信息 【源自:ISO9000:2015,3.13.8】 3.10 auditfindings 审核发现将收集的审核证据(3.9)对照审核准则(3.7)进行评价的结果注1:审核发现表明符合(3.20)或不符合(3.21)。 注2:审核发现可导致识别改进的风险、机会或记录良好实践。 注3:英文中,如果审核准则选自法律要求或法规要求,审核发现称为合规或不合规。 【源自:ISO9000:2015,3.13.9,改写——注2 和注3 已被修改】 3.11 auditconclusion 审核结论考虑了审核目标和所有审核发现(3.10)后得出的审核(3.1)结果 【源自:ISO9000:2015,3.13.10】 3.12 auditclient 审核委托方要求审核(3.1)的组织或个人注1:在内部审核的情况下,审核委托方也可以是受审核方(3.13)或审核方案管理员。外部审核可能来自监管机构、协议方或潜在、现顾客等的要求。 【源自:ISO9000:2015,3.13.11,改写——注1 为增加】 3.13 auditee 受审核方被审核的组织整体或其部分 【源自:ISO9000:2015,3.13.12,改写】 3.14 auditteam 审核组实施审核(3.1)的一名或多名人员,需要时,由技术专家(3.16)提供支持注1:审核组(3.15)中的一名审核员(3.14)被指定作为审核组长。 注2:审核组可包括实习审核员。 【源自:ISO9000:2015,3.13.14】 3.15 auditor 审核员实施审核(3.1)的人员 【源自:ISO9000:2015,3.13.15】 3.16 technicalexpert 技术专家 <审核>向审核组(3.11)提供特定知识或专业技术的人员注1:特定知识或专业技术指与组织、活动、过程、产品、服务、审核领域以及语言或文化有关。 注2:审核组的技术专家(3.14)不作为审核员(3.15)。 【源自:ISO9000:2015,3.13.16,改写——注1 和注2 已被修改】 3.17 observer 观察员随同审核组(3.14)但不作为审核员(3.15)的人员 【源自:ISO9000:2015,3.13.17,修改】 3.18 managementsystem 管理体系组织建立方针和目标以及实现这些目标的过程(3.24)的相互关联或相互作用的一组要素。 注1:一个管理体系可以针对单一的领域或几个领域,如质量管理、财务管理或环境管理。 注2:管理体系要素规定了组织的结构、岗位和职责、策划、运行、方针、惯例、规则、理念、目标,以及实现这些目标的过程。 注3:管理体系的范围可能包括整个组织,组织中可被明确识别的职能或可被明确识别的部门,以及跨组织的单一职能或或多个职能。 【源自:ISO9000:2015,3.5.3,改写——注4 已删除】 3.19 risk 风险不确定性的影响注1:影响是指偏离预期,可以是正面的或负面的。 注2:不确定性是一种对某个事件,或是事件的局部的结果或可能性缺乏理解或知识方面的信息的情形。 注3:通常,风险是通过有关可能事件(如ISO 指南73:2009 中所定义,3.5.1.3) 的后果(如ISO 指南73:2009,3.6.1.3 中所定义)或两者的组合来描述其特性的。 注4:通常,风险是以某个事件的后果(包括情况的变化)及其发生的可能性(如 ISOGuide73:2009,3.6.1.1.1 中定义)的组合来表述的。 【源自:ISO9000:2015,3.7.9,改写——注5 和注6 已被删除】 3.20 Conformity 合格/符合满足要求(3.23) 【源自:ISO9000:2015,3.6.11,改写——注1 已被删除】 3.21 nonconformity 不合格/不符合未满足要求(3.23) 【源自:ISO900