การตรวจประเมินเพื่อการรับรองระบบครั้งแรกแบ่งออกเป็นสองระยะ คือ Stage 1 และ Stage 2 ทั้งสองระยะมีคำถามหลักคนละคำถาม Stage 1 ถามว่าองค์กรพร้อมให้ตรวจแล้วหรือยัง ส่วน Stage 2 ถามว่าระบบที่วางไว้ถูกนำไปปฏิบัติและได้ผลจริงหรือไม่ บทความนี้อธิบายความต่างของสองระยะและสิ่งที่องค์กรควรมีให้ครบก่อนถึงวันตรวจ พร้อมกรณีสมมติในบริบทไทย
ทำไมการตรวจรับรองครั้งแรกจึงแบ่งเป็นสองระยะ
เหตุผลตรงไปตรงมา คือการส่งทีมผู้ตรวจประเมินเข้าไปตรวจหลักฐานการปฏิบัติทั้งระบบในองค์กรที่ยังไม่พร้อม เป็นการใช้เวลาของทั้งสองฝ่ายอย่างไม่เกิดประโยชน์ การแบ่งเป็นสองระยะจึงเปิดโอกาสให้ทั้งองค์กรและหน่วยรับรองตรวจสอบความพร้อมก่อน แล้วค่อยเข้าสู่การตรวจหลักฐานเชิงลึก
อีกเหตุผลหนึ่งคือความเข้าใจร่วมกันเรื่องขอบเขต การรับรองระบบจะระบุขอบเขตไว้บนใบรับรอง หากขอบเขตที่องค์กรเข้าใจกับที่หน่วยรับรองเข้าใจไม่ตรงกัน การตรวจในระยะที่สองจะเดินไปผิดทางทั้งหมด Stage 1 จึงเป็นจังหวะที่ทั้งสองฝ่ายทำความเข้าใจให้ตรงกันก่อน
Stage 1 มุ่งดูอะไร
ในทางปฏิบัติ Stage 1 คือการตรวจความพร้อม ผู้ตรวจประเมินจะทำความเข้าใจองค์กรและประเมินว่าการเข้าตรวจระยะที่สองจะได้ผลหรือไม่
ประเด็นที่อยู่ในความสนใจของระยะนี้ ได้แก่ ขอบเขตของระบบและเหตุผลของการกำหนดขอบเขตนั้น บริบทองค์กรและผู้มีส่วนได้ส่วนเสียที่ระบุไว้ เอกสารสารสนเทศหลักของระบบ ข้อกำหนดตามกฎหมายและข้อกำหนดอื่นที่องค์กรระบุว่าเกี่ยวข้อง สถานะของการตรวจติดตามภายในและการทบทวนของฝ่ายบริหาร ความเข้าใจของบุคลากรต่อระบบที่วางไว้ และสภาพจริงของสถานที่ปฏิบัติงานในภาพรวม
สิ่งที่ Stage 1 ไม่ได้มุ่งทำคือการไล่ตรวจหลักฐานการปฏิบัติทุกกระบวนการ นั่นเป็นงานของระยะที่สอง
Stage 2 มุ่งดูอะไร
Stage 2 คือการตรวจว่าระบบที่ประกาศไว้ถูกนำไปปฏิบัติจริงและได้ผลตามที่ตั้งใจ ผู้ตรวจประเมินจะเก็บหลักฐานจากหน้างาน จากบันทึก และจากการสัมภาษณ์ผู้ปฏิบัติงาน แล้วเทียบกับข้อกำหนดของมาตรฐานและกับสิ่งที่องค์กรกำหนดไว้เอง
จุดที่แตกต่างจากระยะแรกอย่างชัดเจนคือการให้น้ำหนักกับความสอดคล้องระหว่างสิ่งที่เขียนกับสิ่งที่ทำ เอกสารที่สวยงามแต่ไม่ตรงกับวิธีทำงานจริงจะปรากฏเป็นประเด็นในระยะนี้ ในทางกลับกัน วิธีทำงานที่ดีอยู่แล้วแต่ไม่มีร่องรอยให้ทวนสอบก็เป็นประเด็นได้เช่นกัน
| ประเด็น | Stage 1 | Stage 2 |
|---|---|---|
| คำถามหลัก | องค์กรพร้อมให้ตรวจเชิงลึกแล้วหรือยัง | ระบบถูกนำไปปฏิบัติและได้ผลจริงหรือไม่ |
| แหล่งหลักฐานหลัก | เอกสารระบบ ผังกระบวนการ และการหารือกับผู้รับผิดชอบ | หน้างาน บันทึกผล และการสัมภาษณ์ผู้ปฏิบัติงาน |
| สิ่งที่ต้องเดินครบก่อน | แผนและโครงสร้างของระบบต้องมีอยู่แล้ว | ระบบต้องเดินครบรอบ มีข้อมูลสมรรถนะให้ดู |
| ผลที่ได้ | ข้อมูลความพร้อมและประเด็นที่ต้องจัดการก่อนระยะถัดไป | ผลการตรวจที่นำไปสู่การตัดสินใจให้การรับรอง |
โรงงานสมมติแห่งนี้ขอรับการรับรองระบบการจัดการความปลอดภัยของอาหาร โดยจัดทำเอกสารครบและอบรมพนักงานแล้ว แต่ยังไม่ได้เดินการตรวจติดตามภายในและยังไม่เคยประชุมทบทวนของฝ่ายบริหาร
ใน Stage 1 ผู้ตรวจประเมินพบสองประเด็นที่ต้องจัดการก่อน คือขอบเขตที่ยื่นขอครอบคลุมสายการผลิตสองสาย แต่แผนผังและการวิเคราะห์อันตรายครอบคลุมเพียงสายเดียว และยังไม่มีข้อมูลจากการตรวจติดตามภายในให้ประเมินได้ว่าระบบเดินครบรอบแล้วหรือไม่
ผลคือทั้งสองฝ่ายตกลงเลื่อนวันตรวจระยะที่สองออกไปตามปริมาณงานที่ต้องปิด กรณีสมมตินี้แสดงให้เห็นว่าประโยชน์ของ Stage 1 คือการพบประเด็นเชิงโครงสร้างในจังหวะที่ยังแก้ได้ทัน แทนที่จะไปพบตอนตรวจเชิงลึก
สิ่งที่ควรเดินให้ครบรอบก่อนถึงวันตรวจระยะที่สอง
คำว่าเดินครบรอบหมายถึงระบบได้ทำงานผ่านวงจรของตัวเองอย่างน้อยหนึ่งรอบ จนมีข้อมูลของตัวเองให้ดู ไม่ใช่มีเพียงแผนที่เขียนไว้
- การตรวจติดตามภายในที่ครอบคลุมทุกกระบวนการและทุกข้อกำหนดที่อยู่ในขอบเขต พร้อมผลที่บันทึกไว้
- การทบทวนของฝ่ายบริหารที่มีวาระครบตามที่มาตรฐานกำหนดและมีมติที่ตามต่อได้
- ร่องรอยการจัดการความไม่สอดคล้องที่พบ ตั้งแต่การแก้ไขเฉพาะหน้าไปจนถึงการจัดการที่สาเหตุ
- ข้อมูลสมรรถนะจากการเฝ้าติดตามและวัดผล ที่ครอบคลุมช่วงเวลามากพอจะเห็นแนวโน้ม
- หลักฐานว่าบุคลากรที่ทำงานสำคัญมีความสามารถตามที่องค์กรกำหนดไว้
รายการข้างต้นไม่ใช่รายการตรวจสอบตามมาตรฐานฉบับใดฉบับหนึ่ง แต่เป็นการเรียบเรียงจากสิ่งที่ระบบการจัดการทุกตระกูลมีร่วมกันในหมวดที่ 9 และ 10
บริษัทสมมติแห่งนี้ขอรับการรับรองระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ ทีมงานเตรียมเอกสารครบและผ่าน Stage 1 โดยไม่มีประเด็นค้าง
ใน Stage 2 ผู้ตรวจประเมินขอดูบันทึกการทบทวนสิทธิการเข้าถึงระบบของลูกค้า พบว่ามีการทบทวนจริงและมีรายชื่อผู้ทบทวน แต่ไม่มีร่องรอยว่าสิทธิที่ควรถูกถอนได้ถูกถอนออกเมื่อใด เพราะระบบบันทึกเก็บเฉพาะสถานะปัจจุบัน
กรณีสมมตินี้สะท้อนความต่างของสองระยะได้ชัด เอกสารที่ระบุว่าต้องทบทวนสิทธิผ่านได้ในระยะแรก แต่คำถามว่าทำแล้วเห็นผลตรงไหน เป็นคำถามของระยะที่สอง
ผู้ตรวจประเมินทำอะไรได้และทำอะไรไม่ได้
ประเด็นนี้ควรทำความเข้าใจไว้ล่วงหน้า เพราะช่วยให้องค์กรวางแผนได้ถูก หน่วยรับรองระบบต้องรักษาความเป็นกลาง ผู้ตรวจประเมินจึงระบุได้ว่าพบความไม่สอดคล้องที่ใดและอ้างอิงข้อกำหนดข้อใด แต่ไม่สามารถออกแบบวิธีแก้ให้ ไม่สามารถจัดทำเอกสารให้ และไม่สามารถบอกว่าองค์กรควรเลือกวิธีปฏิบัติแบบใด
ความรับผิดชอบในการหาสาเหตุและกำหนดการปฏิบัติการแก้ไขจึงอยู่ที่องค์กรเสมอ การเข้าใจเส้นแบ่งนี้ตั้งแต่ต้นช่วยลดความคาดหวังที่ไม่ตรงกันในวันตรวจ
ข้อควรระวังเรื่องการเตรียมตัวที่มากเกินไปในทางที่ผิด
การเตรียมตัวที่เป็นประโยชน์คือการทำให้ระบบที่ใช้จริงพร้อมให้ทวนสอบ เช่น จัดบันทึกให้ค้นหาได้ ซักซ้อมว่าใครเป็นผู้ตอบเรื่องใด และตรวจว่าเอกสารที่หน้างานใช้เป็นฉบับปัจจุบัน
ส่วนการเตรียมตัวที่ไม่เป็นประโยชน์คือการสร้างสภาพชั่วคราวเฉพาะวันตรวจ เช่น จัดหน้างานให้ต่างจากวันทำงานปกติ หรือย้อนกลับไปกรอกบันทึกที่ไม่ได้บันทึกไว้ตามเวลาจริง วิธีเหล่านี้ตรวจพบได้จากการเทียบข้อมูลหลายแหล่ง และยังทำให้องค์กรเสียโอกาสที่จะได้ข้อมูลจริงเกี่ยวกับระบบของตนเอง
อ่านเพิ่มเติมเรื่องหลักการที่ผู้ตรวจประเมินใช้เป็นกรอบการทำงานได้ที่ ผู้ตรวจประเมินภายในกับหลักการตรวจประเมิน 7 ประการ และเรื่องการควบคุมผู้ส่งมอบภายนอกซึ่งเป็นหัวข้อที่ถูกตรวจในระยะที่สองเสมอที่ การควบคุมผู้ส่งมอบภายนอก ตีความข้อ 8.4 ของ ISO 9001:2015
คำถามที่ควรตอบได้
- ขอบเขตที่องค์กรยื่นขอรับรอง ครอบคลุมสถานที่ กระบวนการ และผลิตภัณฑ์ใดบ้าง และอธิบายเหตุผลของการกำหนดขอบเขตนั้นได้หรือไม่ (ที่มา ข้อ 4.3 ของมาตรฐานระบบการจัดการ)
- การตรวจติดตามภายในครอบคลุมทุกข้อกำหนดและทุกกระบวนการในขอบเขตแล้วหรือยัง (ที่มา ข้อ 9.2)
- การทบทวนของฝ่ายบริหารมีวาระครบและมีมติที่ตามต่อได้หรือไม่ (ที่มา ข้อ 9.3)
- ความไม่สอดคล้องที่พบภายในองค์กร ถูกจัดการถึงระดับสาเหตุหรือหยุดที่การแก้ไขเฉพาะหน้า (ที่มา ข้อ 10.2)
- ข้อมูลสมรรถนะที่มีอยู่ ครอบคลุมช่วงเวลามากพอจะแสดงแนวโน้มให้ผู้ตรวจประเมินเห็นหรือไม่ (ที่มา ข้อ 9.1)
บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนด ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก
หลักสูตรผู้ตรวจติดตามภายในตามแนวทาง ISO 19011
Equal Assurance (Thailand) Ltd. เป็นหน่วยรับรองระบบและผู้ให้บริการฝึกอบรม เปิดหลักสูตรทั้งแบบ Public และ In-house สอนเป็นภาษาไทยและอังกฤษ

การจัดการการเปลี่ยนแปลงในระบบบริหารหลายมาตรฐาน รวมได้แค่ไหน
การควบคุมเอกสารสารสนเทศในระบบบริหารแบบบูรณาการ — รวมกลไกได้ แต่รวมเกณฑ์ไม่ได้
ตรวจติดตามภายในแบบเดินตามกระบวนการ เทียบกับแบบไล่ตามเลขข้อ
การตรวจประเมินผู้ส่งมอบ (second-party audit) — เมื่อใดควรตรวจ และต้องตกลงอะไรไว้ก่อน
การตรวจประเมินระยะไกลและการใช้เทคโนโลยีในการตรวจ ตามแนวทาง ISO 19011
การวิเคราะห์สาเหตุที่แท้จริงในการปฏิบัติการแก้ไข ตีความอย่างไรให้ใช้ได้จริง