การตรวจติดตามผลกับการตรวจต่ออายุการรับรอง ต่างกันอย่างไร

รอบการรับรองมีหน้าตาอย่างไร

หน่วยรับรองระบบ (certification body) ที่ดำเนินงานภายใต้ ISO/IEC 17021-1 ทำงานเป็นรอบ ไม่ใช่เป็นครั้ง ๆ รอบหนึ่งเริ่มจากการตรวจประเมินเพื่อการรับรองครั้งแรกซึ่งแบ่งเป็นขั้นที่ 1 และขั้นที่ 2 เมื่อมีการตัดสินให้การรับรองแล้ว ใบรับรองจะมีอายุตามรอบที่กำหนดไว้ ระหว่างรอบนั้นจะมีการตรวจติดตามผลเป็นระยะ และเมื่อใกล้สิ้นรอบจะมีการตรวจต่ออายุก่อนที่ใบรับรองจะหมดอายุ

รายละเอียดเรื่องความถี่ ระยะเวลาการตรวจ และเงื่อนไขเฉพาะ ขึ้นอยู่กับมาตรฐาน โครงการรับรอง และข้อตกลงกับหน่วยรับรองของแต่ละองค์กร จุดนี้จึงควรยืนยันกับหน่วยรับรองที่องค์กรใช้บริการอยู่ ไม่ควรอนุมานจากประสบการณ์ของโรงงานอื่น

สิ่งที่คงที่ไม่ว่าจะเป็นหน่วยรับรองใดคือเหตุผลของการมีสองรูปแบบนี้ การตรวจติดตามผลตอบคำถามว่า “ระบบยังทำงานอยู่หรือไม่” ส่วนการตรวจต่ออายุตอบคำถามว่า “ระบบทั้งระบบยังสมควรได้รับการรับรองต่อไปหรือไม่” คำถามข้อหลังกว้างกว่ามาก และตอบด้วยหลักฐานของรอบเดียวไม่ได้

การตรวจติดตามผลมองหาอะไร

การตรวจติดตามผลเป็นการตรวจแบบสุ่ม ไม่ได้ครอบคลุมทุกข้อกำหนดและทุกกระบวนการในครั้งเดียว แต่ก็ไม่ใช่การสุ่มแบบอิสระทั้งหมด เพราะมีองค์ประกอบชุดหนึ่งที่ถูกกำหนดให้ต้องพิจารณาทุกครั้ง

องค์ประกอบชุดนั้นเป็นกลไกที่ทำให้ระบบมีชีวิต ได้แก่ ผลการตรวจติดตามภายในและการทบทวนฝ่ายบริหาร การดำเนินการต่อความไม่สอดคล้องที่พบในการตรวจครั้งก่อน การจัดการข้อร้องเรียน ความก้าวหน้าของวัตถุประสงค์และการปรับปรุง ความต่อเนื่องของการควบคุมการปฏิบัติงาน การเปลี่ยนแปลงที่เกิดขึ้นกับองค์กร และการใช้เครื่องหมายหรือการอ้างอิงถึงการรับรอง

ส่วนที่เหลือของเวลาการตรวจถูกใช้กับพื้นที่และกระบวนการที่หมุนเวียนกันไป โดยผู้ตรวจวางแผนให้ตลอดรอบครอบคลุมขอบเขตทั้งหมด ผลที่ตามมาในทางปฏิบัติคือ การที่กระบวนการหนึ่งไม่ถูกตรวจในปีนี้ไม่ได้แปลว่ากระบวนการนั้นได้รับการยืนยันว่าไม่มีปัญหา

การตรวจต่ออายุต่างตรงไหน

ความต่างที่สำคัญที่สุดคือขอบเขต การตรวจต่ออายุพิจารณาระบบทั้งระบบ ไม่ใช่ตัวอย่างของรอบเดียว และมีคำถามเพิ่มอีกชั้นหนึ่งที่การตรวจติดตามผลไม่ถาม คือระบบให้ผลอย่างไรตลอดรอบที่ผ่านมา และยังเหมาะสมกับองค์กรที่เปลี่ยนไปตลอดรอบนั้นหรือไม่

คำถามนั้นทำให้หลักฐานที่ใช้ตอบเปลี่ยนไปด้วย แทนที่จะเป็นบันทึกของเดือนล่าสุด สิ่งที่ถูกหยิบมาดูคือแนวโน้มของผลการดำเนินงานตลอดรอบ ประวัติความไม่สอดคล้องและผลของการแก้ไข ความสอดคล้องของระบบกับการเปลี่ยนแปลงขององค์กร และความต่อเนื่องของความมุ่งมั่นในระดับผู้บริหาร

อีกความต่างหนึ่งที่มีผลทางปฏิบัติสูงคือเรื่องเวลา การตรวจต่ออายุต้องเสร็จสิ้นและมีการตัดสินก่อนใบรับรองหมดอายุ ซึ่งหมายความว่าถ้าพบความไม่สอดคล้องที่ต้องใช้เวลาแก้ องค์กรจะมีเวลาจำกัดกว่าที่คุ้นเคยจากการตรวจติดตามผล การวางตารางให้มีระยะห่างพอสมควรก่อนวันหมดอายุจึงเป็นเรื่องของการบริหารความเสี่ยง ไม่ใช่เรื่องของความสะดวก

ตารางนี้เป็นการเรียบเรียงเชิงวิเคราะห์ของผู้เรียบเรียงเพื่ออธิบายความต่างในเชิงหลักการ รายละเอียดของแต่ละกรณีให้ยึดตามข้อตกลงกับหน่วยรับรองที่องค์กรใช้บริการ

สิ่งที่องค์กรควรเตรียมต่างกัน

สำหรับการตรวจติดตามผล การเตรียมตัวที่ให้ผลมากที่สุดคือทำให้องค์ประกอบที่ต้องพิจารณาทุกครั้งพร้อมอยู่แล้วโดยไม่ต้องเร่งทำ ได้แก่ การตรวจติดตามภายในที่ครอบคลุมตามแผน การทบทวนฝ่ายบริหารที่มีข้อสรุปใช้งานได้ และสถานะของความไม่สอดคล้องครั้งก่อนที่ปิดจริงพร้อมหลักฐานประสิทธิผล

สำหรับการตรวจต่ออายุ การเตรียมตัวเพิ่มขึ้นอีกชั้นคือการมองย้อนทั้งรอบ ควรรวบรวมให้เห็นภาพว่าตลอดรอบที่ผ่านมาองค์กรเปลี่ยนอะไรไปบ้าง ทั้งขอบเขต ผลิตภัณฑ์ สถานที่ โครงสร้าง และผู้ส่งมอบหลัก แล้วตรวจสอบว่าเอกสารระดับระบบสะท้อนการเปลี่ยนแปลงเหล่านั้นครบหรือยัง เพราะการเปลี่ยนแปลงที่สะสมทีละน้อยโดยไม่มีจุดใดจับได้ คือช่องว่างชนิดที่ปรากฏชัดเมื่อถูกมองทั้งรอบพร้อมกัน

อีกเรื่องที่ควรทำก่อนถึงรอบต่ออายุคือตรวจสอบขอบเขตการรับรองบนใบรับรองว่ายังตรงกับสิ่งที่องค์กรทำอยู่จริงหรือไม่ ถ้าไม่ตรง ควรแจ้งหน่วยรับรองล่วงหน้า เพราะการเปลี่ยนขอบเขตมีขั้นตอนของตัวเองและใช้เวลา

อ่านประกอบ: การเตรียมตัวก่อนการตรวจประเมินขั้นที่ 1 และขั้นที่ 2 · การตอบและการปิดความไม่สอดคล้องหลังการตรวจ · การทบทวนฝ่ายบริหารแบบบูรณาการหลายมาตรฐาน

คำถามที่ควรตอบได้

1. รอบการรับรองปัจจุบันขององค์กรเริ่มเมื่อใด และใบรับรองหมดอายุวันใด (ที่มา: ข้อตกลงการรับรองกับหน่วยรับรอง)
2. ตลอดรอบที่ผ่านมา แผนการตรวจติดตามภายในขององค์กรครอบคลุมทุกกระบวนการในขอบเขตแล้วหรือยัง (ที่มา: ข้อกำหนดการตรวจติดตามภายในของมาตรฐานที่ใช้)
3. มีการเปลี่ยนแปลงใดในรอบที่ผ่านมาที่ยังไม่ได้แจ้งหน่วยรับรอง (ที่มา: เงื่อนไขการคงไว้ซึ่งการรับรอง)
4. ความไม่สอดคล้องของรอบนี้ทั้งหมด ปิดด้วยหลักฐานประสิทธิผลหรือปิดด้วยการแก้เฉพาะหน้า (ที่มา: ข้อกำหนดว่าด้วยความไม่สอดคล้องและการปฏิบัติการแก้ไข)
5. ขอบเขตที่ปรากฏบนใบรับรองยังตรงกับกิจกรรมจริงขององค์กรหรือไม่ (ที่มา: ขอบเขตการรับรอง)

บทความใหม่ในชุดเดียวกัน: ISO/IEC 27001 ข้อ 10.1 การปรับปรุงอย่างต่อเนื่อง · ISO 45001 ข้อ 8.1.1 การวางแผนและควบคุมการปฏิบัติการ

บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนด ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก