การตรวจรับรอง Stage 1 กับ Stage 2 ต่างกันอย่างไร และควรเตรียมอะไรไว้ก่อนวันตรวจ

ภาพปกบทความ การตรวจรับรอง Stage 1 กับ Stage 2 ต่างกันอย่างไร และควรเตรียมอะไรก่อนวันตรวจ
สรุปสั้นก่อน
การตรวจประเมินเพื่อการรับรองระบบครั้งแรกแบ่งออกเป็นสองระยะ คือ Stage 1 และ Stage 2 ทั้งสองระยะมีคำถามหลักคนละคำถาม Stage 1 ถามว่าองค์กรพร้อมให้ตรวจแล้วหรือยัง ส่วน Stage 2 ถามว่าระบบที่วางไว้ถูกนำไปปฏิบัติและได้ผลจริงหรือไม่ บทความนี้อธิบายความต่างของสองระยะและสิ่งที่องค์กรควรมีให้ครบก่อนถึงวันตรวจ พร้อมกรณีสมมติในบริบทไทย

ทำไมการตรวจรับรองครั้งแรกจึงแบ่งเป็นสองระยะ

เหตุผลตรงไปตรงมา คือการส่งทีมผู้ตรวจประเมินเข้าไปตรวจหลักฐานการปฏิบัติทั้งระบบในองค์กรที่ยังไม่พร้อม เป็นการใช้เวลาของทั้งสองฝ่ายอย่างไม่เกิดประโยชน์ การแบ่งเป็นสองระยะจึงเปิดโอกาสให้ทั้งองค์กรและหน่วยรับรองตรวจสอบความพร้อมก่อน แล้วค่อยเข้าสู่การตรวจหลักฐานเชิงลึก

อีกเหตุผลหนึ่งคือความเข้าใจร่วมกันเรื่องขอบเขต การรับรองระบบจะระบุขอบเขตไว้บนใบรับรอง หากขอบเขตที่องค์กรเข้าใจกับที่หน่วยรับรองเข้าใจไม่ตรงกัน การตรวจในระยะที่สองจะเดินไปผิดทางทั้งหมด Stage 1 จึงเป็นจังหวะที่ทั้งสองฝ่ายทำความเข้าใจให้ตรงกันก่อน

Stage 1 มุ่งดูอะไร

ในทางปฏิบัติ Stage 1 คือการตรวจความพร้อม ผู้ตรวจประเมินจะทำความเข้าใจองค์กรและประเมินว่าการเข้าตรวจระยะที่สองจะได้ผลหรือไม่

ประเด็นที่อยู่ในความสนใจของระยะนี้ ได้แก่ ขอบเขตของระบบและเหตุผลของการกำหนดขอบเขตนั้น บริบทองค์กรและผู้มีส่วนได้ส่วนเสียที่ระบุไว้ เอกสารสารสนเทศหลักของระบบ ข้อกำหนดตามกฎหมายและข้อกำหนดอื่นที่องค์กรระบุว่าเกี่ยวข้อง สถานะของการตรวจติดตามภายในและการทบทวนของฝ่ายบริหาร ความเข้าใจของบุคลากรต่อระบบที่วางไว้ และสภาพจริงของสถานที่ปฏิบัติงานในภาพรวม

สิ่งที่ Stage 1 ไม่ได้มุ่งทำคือการไล่ตรวจหลักฐานการปฏิบัติทุกกระบวนการ นั่นเป็นงานของระยะที่สอง

Stage 2 มุ่งดูอะไร

Stage 2 คือการตรวจว่าระบบที่ประกาศไว้ถูกนำไปปฏิบัติจริงและได้ผลตามที่ตั้งใจ ผู้ตรวจประเมินจะเก็บหลักฐานจากหน้างาน จากบันทึก และจากการสัมภาษณ์ผู้ปฏิบัติงาน แล้วเทียบกับข้อกำหนดของมาตรฐานและกับสิ่งที่องค์กรกำหนดไว้เอง

จุดที่แตกต่างจากระยะแรกอย่างชัดเจนคือการให้น้ำหนักกับความสอดคล้องระหว่างสิ่งที่เขียนกับสิ่งที่ทำ เอกสารที่สวยงามแต่ไม่ตรงกับวิธีทำงานจริงจะปรากฏเป็นประเด็นในระยะนี้ ในทางกลับกัน วิธีทำงานที่ดีอยู่แล้วแต่ไม่มีร่องรอยให้ทวนสอบก็เป็นประเด็นได้เช่นกัน

ประเด็น Stage 1 Stage 2
คำถามหลัก องค์กรพร้อมให้ตรวจเชิงลึกแล้วหรือยัง ระบบถูกนำไปปฏิบัติและได้ผลจริงหรือไม่
แหล่งหลักฐานหลัก เอกสารระบบ ผังกระบวนการ และการหารือกับผู้รับผิดชอบ หน้างาน บันทึกผล และการสัมภาษณ์ผู้ปฏิบัติงาน
สิ่งที่ต้องเดินครบก่อน แผนและโครงสร้างของระบบต้องมีอยู่แล้ว ระบบต้องเดินครบรอบ มีข้อมูลสมรรถนะให้ดู
ผลที่ได้ ข้อมูลความพร้อมและประเด็นที่ต้องจัดการก่อนระยะถัดไป ผลการตรวจที่นำไปสู่การตัดสินใจให้การรับรอง
กรณีสมมติ — ผู้ผลิตเครื่องดื่มพร้อมดื่ม จังหวัดนครปฐม
โรงงานสมมติแห่งนี้ขอรับการรับรองระบบการจัดการความปลอดภัยของอาหาร โดยจัดทำเอกสารครบและอบรมพนักงานแล้ว แต่ยังไม่ได้เดินการตรวจติดตามภายในและยังไม่เคยประชุมทบทวนของฝ่ายบริหาร

ใน Stage 1 ผู้ตรวจประเมินพบสองประเด็นที่ต้องจัดการก่อน คือขอบเขตที่ยื่นขอครอบคลุมสายการผลิตสองสาย แต่แผนผังและการวิเคราะห์อันตรายครอบคลุมเพียงสายเดียว และยังไม่มีข้อมูลจากการตรวจติดตามภายในให้ประเมินได้ว่าระบบเดินครบรอบแล้วหรือไม่

ผลคือทั้งสองฝ่ายตกลงเลื่อนวันตรวจระยะที่สองออกไปตามปริมาณงานที่ต้องปิด กรณีสมมตินี้แสดงให้เห็นว่าประโยชน์ของ Stage 1 คือการพบประเด็นเชิงโครงสร้างในจังหวะที่ยังแก้ได้ทัน แทนที่จะไปพบตอนตรวจเชิงลึก

สิ่งที่ควรเดินให้ครบรอบก่อนถึงวันตรวจระยะที่สอง

คำว่าเดินครบรอบหมายถึงระบบได้ทำงานผ่านวงจรของตัวเองอย่างน้อยหนึ่งรอบ จนมีข้อมูลของตัวเองให้ดู ไม่ใช่มีเพียงแผนที่เขียนไว้

  • การตรวจติดตามภายในที่ครอบคลุมทุกกระบวนการและทุกข้อกำหนดที่อยู่ในขอบเขต พร้อมผลที่บันทึกไว้
  • การทบทวนของฝ่ายบริหารที่มีวาระครบตามที่มาตรฐานกำหนดและมีมติที่ตามต่อได้
  • ร่องรอยการจัดการความไม่สอดคล้องที่พบ ตั้งแต่การแก้ไขเฉพาะหน้าไปจนถึงการจัดการที่สาเหตุ
  • ข้อมูลสมรรถนะจากการเฝ้าติดตามและวัดผล ที่ครอบคลุมช่วงเวลามากพอจะเห็นแนวโน้ม
  • หลักฐานว่าบุคลากรที่ทำงานสำคัญมีความสามารถตามที่องค์กรกำหนดไว้

รายการข้างต้นไม่ใช่รายการตรวจสอบตามมาตรฐานฉบับใดฉบับหนึ่ง แต่เป็นการเรียบเรียงจากสิ่งที่ระบบการจัดการทุกตระกูลมีร่วมกันในหมวดที่ 9 และ 10

กรณีสมมติ — ผู้ให้บริการไอทีในกรุงเทพมหานคร
บริษัทสมมติแห่งนี้ขอรับการรับรองระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ ทีมงานเตรียมเอกสารครบและผ่าน Stage 1 โดยไม่มีประเด็นค้าง

ใน Stage 2 ผู้ตรวจประเมินขอดูบันทึกการทบทวนสิทธิการเข้าถึงระบบของลูกค้า พบว่ามีการทบทวนจริงและมีรายชื่อผู้ทบทวน แต่ไม่มีร่องรอยว่าสิทธิที่ควรถูกถอนได้ถูกถอนออกเมื่อใด เพราะระบบบันทึกเก็บเฉพาะสถานะปัจจุบัน

กรณีสมมตินี้สะท้อนความต่างของสองระยะได้ชัด เอกสารที่ระบุว่าต้องทบทวนสิทธิผ่านได้ในระยะแรก แต่คำถามว่าทำแล้วเห็นผลตรงไหน เป็นคำถามของระยะที่สอง

ผู้ตรวจประเมินทำอะไรได้และทำอะไรไม่ได้

ประเด็นนี้ควรทำความเข้าใจไว้ล่วงหน้า เพราะช่วยให้องค์กรวางแผนได้ถูก หน่วยรับรองระบบต้องรักษาความเป็นกลาง ผู้ตรวจประเมินจึงระบุได้ว่าพบความไม่สอดคล้องที่ใดและอ้างอิงข้อกำหนดข้อใด แต่ไม่สามารถออกแบบวิธีแก้ให้ ไม่สามารถจัดทำเอกสารให้ และไม่สามารถบอกว่าองค์กรควรเลือกวิธีปฏิบัติแบบใด

ความรับผิดชอบในการหาสาเหตุและกำหนดการปฏิบัติการแก้ไขจึงอยู่ที่องค์กรเสมอ การเข้าใจเส้นแบ่งนี้ตั้งแต่ต้นช่วยลดความคาดหวังที่ไม่ตรงกันในวันตรวจ

ข้อควรระวังเรื่องการเตรียมตัวที่มากเกินไปในทางที่ผิด

การเตรียมตัวที่เป็นประโยชน์คือการทำให้ระบบที่ใช้จริงพร้อมให้ทวนสอบ เช่น จัดบันทึกให้ค้นหาได้ ซักซ้อมว่าใครเป็นผู้ตอบเรื่องใด และตรวจว่าเอกสารที่หน้างานใช้เป็นฉบับปัจจุบัน

ส่วนการเตรียมตัวที่ไม่เป็นประโยชน์คือการสร้างสภาพชั่วคราวเฉพาะวันตรวจ เช่น จัดหน้างานให้ต่างจากวันทำงานปกติ หรือย้อนกลับไปกรอกบันทึกที่ไม่ได้บันทึกไว้ตามเวลาจริง วิธีเหล่านี้ตรวจพบได้จากการเทียบข้อมูลหลายแหล่ง และยังทำให้องค์กรเสียโอกาสที่จะได้ข้อมูลจริงเกี่ยวกับระบบของตนเอง

อ่านเพิ่มเติมเรื่องหลักการที่ผู้ตรวจประเมินใช้เป็นกรอบการทำงานได้ที่ ผู้ตรวจประเมินภายในกับหลักการตรวจประเมิน 7 ประการ และเรื่องการควบคุมผู้ส่งมอบภายนอกซึ่งเป็นหัวข้อที่ถูกตรวจในระยะที่สองเสมอที่ การควบคุมผู้ส่งมอบภายนอก ตีความข้อ 8.4 ของ ISO 9001:2015

คำถามที่ควรตอบได้

  1. ขอบเขตที่องค์กรยื่นขอรับรอง ครอบคลุมสถานที่ กระบวนการ และผลิตภัณฑ์ใดบ้าง และอธิบายเหตุผลของการกำหนดขอบเขตนั้นได้หรือไม่ (ที่มา ข้อ 4.3 ของมาตรฐานระบบการจัดการ)
  2. การตรวจติดตามภายในครอบคลุมทุกข้อกำหนดและทุกกระบวนการในขอบเขตแล้วหรือยัง (ที่มา ข้อ 9.2)
  3. การทบทวนของฝ่ายบริหารมีวาระครบและมีมติที่ตามต่อได้หรือไม่ (ที่มา ข้อ 9.3)
  4. ความไม่สอดคล้องที่พบภายในองค์กร ถูกจัดการถึงระดับสาเหตุหรือหยุดที่การแก้ไขเฉพาะหน้า (ที่มา ข้อ 10.2)
  5. ข้อมูลสมรรถนะที่มีอยู่ ครอบคลุมช่วงเวลามากพอจะแสดงแนวโน้มให้ผู้ตรวจประเมินเห็นหรือไม่ (ที่มา ข้อ 9.1)

บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนด ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก

หลักสูตรผู้ตรวจติดตามภายในตามแนวทาง ISO 19011

Equal Assurance (Thailand) Ltd. เป็นหน่วยรับรองระบบและผู้ให้บริการฝึกอบรม เปิดหลักสูตรทั้งแบบ Public และ In-house สอนเป็นภาษาไทยและอังกฤษ

ดูตารางอบรม   สอบถามรายละเอียด

ติดตามบทความและตารางอบรมใหม่ ๆ ได้ที่เพจ Facebook ของ EQA Thailand

ติดตามเพจ EQA Thailand