淺談質(zhì)量體系遠程審核的合規性要求

?

　　隨著(zhù)新技術(shù)、新經(jīng)濟的發(fā)展，新業(yè)態(tài)層出不窮，組織治理結構、辦公方式、管理模式日新月異，建立在頻繁的人員旅行、聚集現場(chǎng)開(kāi)展審核的傳統的質(zhì)量體系認證審核模式已不再能完全滿(mǎn)足新形勢下質(zhì)量體系認證需求。如何有效的完成現場(chǎng)審核關(guān)鍵活動(dòng)，保證認證審核的符合性、連續性和有效性，提高認證審核工作的效率，降低審核成本，控制認證風(fēng)險，行業(yè)內一直在探索各種有效的審核方式?；谛畔⒑屯ㄓ嵓夹g(shù)（ICT）的審核方式已在行業(yè)內討論多年，但由于技術(shù)發(fā)展的局限性以及行業(yè)內認知的差異性，一直停滯不前，未在實(shí)踐中真正推廣應用。2020年新冠疫情爆發(fā)，疫情管控措施限制了人員流動(dòng)、聚集，為了盡量降低疫情影響，行業(yè)監管部門(mén)和各認證機構陸續開(kāi)始了遠程審核探索和實(shí)踐。

　　從廣義講，遠程審核指使用遠程信息和通信技術(shù)提供完整的認證信息與服務(wù)，包括諸如遠程受理、遠程審核、遠程認證審核信息共享等所有認證審核活動(dòng)；其中管理的重點(diǎn)和難點(diǎn)主要為遠程審核過(guò)程，包括遠程審核準備過(guò)程、遠程文件審核、遠程現場(chǎng)審核、遠程監督跟蹤等審核具體活動(dòng)。為了確保遠程審核的合規性，需要對涉及遠程審核的認證項目進(jìn)行有效管理，筆者結合認證法規及本機構的實(shí)踐操作對遠程審核的合規性管理要求做一個(gè)簡(jiǎn)單的闡述。

　　一、認證項目受理的合規性管理

　　為了確保認證審核活動(dòng)的合規性、控制認證風(fēng)險，在受理認證審核項目時(shí)首先應評價(jià)認證項目采取遠程審核的可行性，對于不具備遠程審核條件的組織（如覆蓋產(chǎn)品風(fēng)險高、產(chǎn)品實(shí)現過(guò)程復雜、覆蓋現場(chǎng)情況復雜，受審核方信息化程度較低、人員素質(zhì)較差、審核員與受審核方之間信任程度不夠、監管要求不允許采用遠程審核方式等）原則上不能進(jìn)行遠程審核，如果特殊情況下需采用遠程審核方式的，也應控制遠程審核時(shí)間所占比例或采取額外控制措施。

　　基于信息和通信技術(shù)的遠程審核方式對認證活動(dòng)的主要影響是獲取信息的可信度和效率的風(fēng)險控制和平衡。一般而言，與遠程審核有關(guān)的信息管理主要指文本、圖像、聲音等信息的形成、存儲與傳遞的控制，進(jìn)行信息傳輸的方式包括網(wǎng)絡(luò )會(huì )議、軟件系統、即時(shí)聊天工具、郵件等，使用的信息傳輸工具包括智能手機、手持攝像設備、計算機及其他多媒體載體等。為確保在認證過(guò)程中獲取充分的、有效的、正確的信息，受理時(shí)應確認受審核方硬件、軟件資源（用于支持遠程信息和通信技術(shù)）及人力資源（能嫻熟使用遠程信息和通信技術(shù)的人員）的充分性，同時(shí)按照《CNAS-CC14信息和通信技術(shù)（ICT）在審核中應用》要求，審核實(shí)施機構還需要跟受審核方就安全的數據傳輸要求達成一致，必要時(shí)應該以書(shū)面形式將這些要求固定下來(lái)。

　　二、認證過(guò)程的合規性管理

　　1.審核策劃和調度安排

　　涉及遠程審核的認證項目除應符合CC01要求以外，還應按照《CNAS-CC14信息和通信技術(shù)（ICT）在審核中應用》的要求對審核方案進(jìn)行策劃和實(shí)施。在進(jìn)行涉及遠程審核的認證項目的審核策劃時(shí)，評審人員應綜合考慮受審核方的規模、風(fēng)險、涉及的場(chǎng)所，資源情況、人員的能力以及能夠提供的信息支持能力，初步確定可以采用遠程審核方式的過(guò)程，結合受審核方需求和整個(gè)認證周期的控制要求，確認采取遠程審核的時(shí)機和安排。評審人員根據策劃的審核方案，除按照預定方法和計算規則計算正常的審核人日外，還應根據遠程審核在整個(gè)審核活動(dòng)中所占比重適當調整人日，并明確遠程審核和現場(chǎng)審核人日的分配要求。

　　調度人員在進(jìn)行審核安排時(shí)，審核項目的總人日及人日分配應遵循審核策劃的結果，指派的審核組長(cháng)應有能力統籌協(xié)調整個(gè)審核活動(dòng)（包括遠程審核和現場(chǎng)審核活動(dòng)），審核員應了解遠程審核方法要點(diǎn)，熟練掌握遠程審核需使用的工具和知識。為了確保審核的延續性和有效性，審核組內應盡量安排有受審核方審核經(jīng)歷的審核員。應關(guān)注專(zhuān)業(yè)審核員的合理安排，如果有影響審核有效性的特殊情況（如審核組內只有部分專(zhuān)業(yè)審核員等），應考慮酌情增加總的審核人日。

　　2、審核活動(dòng)開(kāi)展的合規性

　　（1）審前策劃

　　審前策劃和審核計劃原則上由審核組長(cháng)組織進(jìn)行，涉及遠程審核的項目審核組在進(jìn)行審前策劃時(shí)必須與受審核方溝通遠程審核涉及的過(guò)程和活動(dòng)，明確抽樣的要求，確定遠程審核涉及的文件和記錄提供要求和傳輸方式（如涉及文件下載或者屏幕截圖副本，需雙方提前確認獲得許可，并協(xié)商好保密和安全問(wèn)題）、審核過(guò)程主要采用的信息傳輸和溝通方式（包括首末次會(huì )議召開(kāi)的方式等）及受審核方確定的配合審核的人員等情況，并將上述確認結果在審核計劃中做出說(shuō)明。審核組在進(jìn)行任務(wù)分配時(shí)，應充分考慮各審核員的專(zhuān)長(cháng)、審核任務(wù)的均衡性、受審核方在各個(gè)過(guò)程的資源充分性及配合程度等，同時(shí)應考慮采取遠程審核方式時(shí)的溝通效率。為確保審核時(shí)的效果和效率，建議審核組提前以書(shū)面形式告知受審核方需要準備的設施、人員、文件和記錄等信息，并與受審核方提前進(jìn)行信息傳輸工具的測試，特別是首次會(huì )議使用的工具；審核時(shí)如果需要使用電子化的管理系統，審核組應提前與受審核方確認好雙方在系統的權限，相關(guān)人員應提前學(xué)習系統使用或者確信有適當的人可以幫助自己快速的從系統中獲取相應信息。如果在審核時(shí)應提前與受審核方確定審核員訪(fǎng)問(wèn)其文件管理系統的方式，明確審核員應遵守的要求。

　　（2）審核過(guò)程

　　審核實(shí)施機構應提前確定涉及遠程審核的審核記錄的要求，明確需要保留的追溯性記錄及可接受的記錄方式。

　　審核組根據審核計劃安排開(kāi)展相應審核活動(dòng)：首末次會(huì )議按照與受審核方確認好的方式進(jìn)行，并保留追溯性證據，如簽到記錄、會(huì )議視頻/音頻、照片、截圖等。實(shí)施審核時(shí)，應加強與受審核方安排的陪同人員和受審核人員的溝通，盡量避免無(wú)法面對面溝通所帶來(lái)的的負面影響（如面對同一信息源雙方獲取的信息不一致等）；審核中審核員應把握好審核節奏，控制審核進(jìn)度；盡量避免遠程審核信息獲取不及時(shí)及以及抽樣帶來(lái)的風(fēng)險；審核員應如實(shí)填寫(xiě)審核發(fā)現。在進(jìn)行遠程審核時(shí)，可能會(huì )發(fā)生的非預期的中斷，如視頻會(huì )議中斷、網(wǎng)絡(luò )連接斷開(kāi)、訪(fǎng)問(wèn)授權被取消或者任何一方現場(chǎng)發(fā)生的某種意外（如背景噪聲、停電等），審核組應提前與受審核方溝通發(fā)生這些意外情況的應急響應措施。實(shí)施審核的全部過(guò)程中出現的異常情況由審核組長(cháng)協(xié)調處理，如有特殊情況需要終止審核或者調整審核安排的，應由審核組與受審核方和審核委托方溝通達成一致后方可進(jìn)行。

　　（3）審核后活動(dòng)的合規性

　　遠程審核中發(fā)現的不符合的情況需與受審核方的責任人員進(jìn)行有效溝通并得到對方的確認。原則上在完成全部審核活動(dòng)后，審核組方可向審核委托方匯報并推薦本次審核的結論。特殊情形下，如果認證項目的全部現場(chǎng)審核活動(dòng)均使用遠程審核方式進(jìn)行，在完成全部審核活動(dòng)后如審核組認為本次審核目的未達到，應在后續安排補充審核方可作出推薦結論。

　　疫情期間，遠程審核結合現場(chǎng)審核的方式，有效解決了認證行業(yè)的復工復產(chǎn)問(wèn)題，也是助力社會(huì )各行各業(yè)復產(chǎn)復工的有效途徑。隨著(zhù)遠程審核方式的逐步推進(jìn)，遠程審核合規性的研究的深入，相信在不遠的將來(lái)，遠程審核有望成為常規化的審核方式，從而不斷提升認證工作的效率和質(zhì)量。
　　作者：CMD 武娟