ข้อ 7.5 เอกสารสารสนเทศ (documented information) ปรากฏอยู่ในมาตรฐานระบบการจัดการหลายฉบับด้วยโครงเดียวกัน จึงดูเหมือนเป็นข้อที่รวมเป็นระบบเดียวได้ง่ายที่สุด แต่สิ่งที่รวมกันได้จริงคือกลไก เช่น รูปแบบ การอนุมัติ การควบคุมรุ่น และช่องทางเผยแพร่ ส่วนสิ่งที่รวมกันไม่ได้คือเกณฑ์ เพราะแต่ละมาตรฐานคุ้มครองคนละสิ่ง และเงื่อนไขเรื่องการเข้าถึงกับระยะเวลาเก็บของแต่ละฉบับสวนทางกันได้
ทำไมข้อ 7.5 ของทุกฉบับจึงหน้าตาคล้ายกัน
มาตรฐานระบบการจัดการที่ออกโดย ISO ใช้โครงสร้างระดับสูงร่วมกัน ทำให้หมายเลขข้อและหัวข้อตรงกันข้ามมาตรฐาน ข้อ 7.5 จึงเดินตามลำดับเดียวกันทุกฉบับ คือกำหนดว่าระบบต้องมีเอกสารสารสนเทศอะไรบ้าง ต้องดูแลอย่างไรตอนสร้างและปรับปรุง และต้องควบคุมอย่างไรเมื่อนำไปใช้
ความเหมือนนี้เป็นความเหมือนเชิงโครงสร้าง ไม่ใช่ความเหมือนเชิงเนื้อหา องค์กรที่อ่านเฉพาะหัวข้อจะสรุปว่าเขียนขั้นตอนควบคุมเอกสารฉบับเดียวแล้วอ้างอิงได้ทุกมาตรฐาน ซึ่งทำได้จริงในระดับหนึ่ง แต่จะไปติดที่รายละเอียดสามเรื่อง คือใครเข้าถึงได้ เก็บนานเท่าไร และอะไรที่ถือว่าเป็นเอกสารของระบบ
สิ่งที่รวมกันได้ กับสิ่งที่ต้องแยก
| องค์ประกอบ | รวมเป็นชุดเดียวได้หรือไม่ | เหตุผล |
|---|---|---|
| รูปแบบเอกสารและการตั้งรหัส | ได้ | ไม่มีมาตรฐานใดกำหนดรูปแบบไว้ |
| ขั้นตอนอนุมัติและควบคุมรุ่น | ได้ | เจตนาตรงกันคือให้ใช้ฉบับที่ถูกต้อง |
| ทะเบียนเอกสารกลาง | ได้ ถ้ามีคอลัมน์ระบุมาตรฐานที่เกี่ยวข้อง | ต้องตอบได้ว่าเอกสารใดรองรับข้อกำหนดของฉบับใด |
| สิทธิ์การเข้าถึง | ไม่ได้ | บางฉบับเน้นการจำกัด บางฉบับเน้นการทำให้เข้าถึงได้ |
| ระยะเวลาเก็บรักษา | ไม่ได้ | ผูกกับกฎหมายและอายุผลิตภัณฑ์คนละชุด |
| เกณฑ์ว่าอะไรต้องเก็บเป็นบันทึก | ไม่ได้ | แต่ละฉบับระบุบันทึกที่ต้องมีไว้ต่างกัน |
ความขัดแย้งเรื่องการเข้าถึง
นี่คือจุดที่ทำให้การรวมเอกสารเป็นชุดเดียวแบบไม่คิดต่อกลายเป็นปัญหา มาตรฐานด้านความมั่นคงปลอดภัยสารสนเทศมองการเข้าถึงเป็นสิ่งที่ต้องควบคุม เพราะการที่คนไม่เกี่ยวข้องอ่านเอกสารได้คือความเสี่ยงในตัวมันเอง ขณะที่มาตรฐานด้านอาชีวอนามัยและความปลอดภัยมองว่าผู้ปฏิบัติงานต้องเข้าถึงข้อมูลที่เกี่ยวกับความปลอดภัยของตัวเองได้ และการเข้าไม่ถึงคือความเสี่ยง
ทั้งสองมุมถูกต้องในบริบทของตัวเอง สิ่งที่ระบบรวมต้องทำจึงไม่ใช่การเลือกข้างใดข้างหนึ่ง แต่คือการจำแนกเอกสารตามลักษณะของข้อมูลที่อยู่ข้างใน แล้วกำหนดสิทธิ์ตามลักษณะนั้น ไม่ใช่กำหนดตามว่าเอกสารนั้นอยู่ในระบบของมาตรฐานฉบับใด
โรงงานสมมติแห่งหนึ่งได้รับการรับรองสามมาตรฐาน และรวมเอกสารทั้งหมดไว้ในระบบจัดเก็บเดียวกัน โดยตั้งค่าสิทธิ์การเข้าถึงเป็นแบบเดียวทั้งระบบ คือให้เฉพาะหัวหน้าแผนกขึ้นไปเปิดอ่านได้
ผลที่ตามมามีสองด้าน ด้านหนึ่งคือพนักงานหน้างานเปิดดูขั้นตอนการทำงานที่เกี่ยวกับความปลอดภัยของตัวเองไม่ได้ ต้องรอหัวหน้าพิมพ์ให้ ซึ่งสวนทางกับเจตนาของข้อกำหนดด้านอาชีวอนามัย อีกด้านหนึ่งคือเอกสารที่มีรายละเอียดการตั้งค่าระบบสารสนเทศกลับเปิดให้หัวหน้าแผนกทุกคนอ่านได้ รวมถึงแผนกที่ไม่เกี่ยวข้อง การตั้งค่าชุดเดียวจึงให้ผลผิดทั้งสองทางพร้อมกัน
กรณีสมมติเพื่อประกอบคำอธิบาย ไม่ได้อ้างอิงถึงองค์กรใดที่มีอยู่จริง
ความขัดแย้งเรื่องระยะเวลาเก็บ
ระยะเวลาเก็บรักษาไม่ได้ถูกกำหนดเป็นตัวเลขไว้ในมาตรฐานเหล่านี้ องค์กรเป็นผู้กำหนดเอง แต่สิ่งที่กำหนดต้องสมเหตุสมผลกับเหตุผลที่ต้องเก็บ ซึ่งแต่ละมาตรฐานให้เหตุผลคนละชุด
บันทึกที่เกี่ยวกับความปลอดภัยอาหารมักผูกกับอายุการเก็บรักษาของผลิตภัณฑ์บวกระยะเวลาเผื่อสำหรับการสอบสวนย้อนหลัง บันทึกที่เกี่ยวกับสุขภาพของผู้ปฏิบัติงานผูกกับข้อกำหนดกฎหมายแรงงานและระยะเวลาที่โรคจากการทำงานอาจแสดงอาการ ส่วนบันทึกด้านความมั่นคงปลอดภัยสารสนเทศมีแรงกดดันสวนทาง เพราะการเก็บข้อมูลส่วนบุคคลไว้นานเกินความจำเป็นเป็นความเสี่ยงเอง
เมื่อนโยบายเดียวกำหนดว่าเก็บทุกอย่างห้าปี ผลคือบางบันทึกถูกทิ้งเร็วเกินไปและบางบันทึกถูกเก็บนานเกินไป โดยที่เอกสารนโยบายดูเรียบร้อยดี
เกณฑ์ว่าอะไรคือเอกสารของระบบ
ข้อ 7.5 ในทุกฉบับให้องค์กรกำหนดเองว่าต้องมีเอกสารใดเพื่อให้ระบบทำงานได้ นอกเหนือจากที่มาตรฐานระบุไว้โดยตรง ผลคือขอบเขตของเอกสารในระบบรวมไม่ใช่ผลรวมของสามรายการ แต่เป็นชุดที่องค์กรตัดสินใจขึ้นมาเอง
เกณฑ์ที่ใช้ตัดสินใจได้ในทางปฏิบัติคือ ถ้าเอกสารนั้นหายไปแล้วกระบวนการยังทำงานได้ถูกต้อง เอกสารนั้นอาจไม่จำเป็นต้องอยู่ในการควบคุม แต่ถ้าหายไปแล้วมีคนตัดสินใจผิด เอกสารนั้นต้องอยู่ในการควบคุม เกณฑ์นี้ใช้ได้เท่ากันทุกมาตรฐาน และช่วยลดปริมาณเอกสารที่ถูกดึงเข้ามาควบคุมโดยไม่จำเป็น
สิ่งที่ผู้ตรวจประเมินมองหาในระบบรวม
ในการตรวจประเมินระบบที่รวมหลายมาตรฐาน คำถามที่ใช้แยกระบบที่รวมจริงออกจากระบบที่แค่เย็บเล่มรวมกัน มักเป็นคำถามง่าย ๆ เช่น เอกสารฉบับนี้รองรับข้อกำหนดของมาตรฐานใดบ้าง ใครเป็นผู้อนุมัติและอนุมัติในฐานะอะไร และถ้าแก้เอกสารฉบับนี้ ระบบใดบ้างที่ต้องได้รับผลกระทบ
ระบบที่รวมจริงจะตอบได้จากทะเบียนเอกสารโดยไม่ต้องเปิดเอกสารทีละฉบับ ส่วนระบบที่รวมแต่ชื่อจะต้องใช้ความจำของผู้ดูแลระบบเป็นตัวเชื่อม ซึ่งเป็นความเสี่ยงที่ปรากฏชัดเมื่อผู้ดูแลคนนั้นเปลี่ยนงาน
คำถามที่ควรตอบได้
- ทะเบียนเอกสารกลางระบุได้หรือไม่ว่าเอกสารแต่ละฉบับรองรับข้อกำหนดของมาตรฐานใด (ที่มา: ข้อ 7.5.1 ของแต่ละมาตรฐาน)
- สิทธิ์การเข้าถึงถูกกำหนดตามลักษณะของข้อมูล หรือกำหนดตามระบบที่เอกสารสังกัด (ที่มา: ข้อ 7.5.3)
- ระยะเวลาเก็บของบันทึกแต่ละประเภทมีเหตุผลรองรับที่อ้างอิงกลับไปยังกฎหมายหรือลักษณะความเสี่ยงได้หรือไม่ (ที่มา: ข้อ 7.5.3 อ่านร่วมกับข้อกำหนดกฎหมายของแต่ละมาตรฐาน)
- เมื่อแก้เอกสารหนึ่งฉบับ มีกลไกใดที่ทำให้ระบบอื่นที่อ้างอิงเอกสารนั้นรับรู้ (ที่มา: ข้อ 7.5.2)
- เอกสารที่มาจากภายนอกองค์กรถูกระบุและควบคุมแยกจากเอกสารที่องค์กรสร้างเองหรือไม่ (ที่มา: ข้อ 7.5.3)
อ่านต่อในเรื่องที่เกี่ยวข้อง
ข้อ 7.5 ของแต่ละมาตรฐานอธิบายแยกไว้ที่ ISO 9001 ISO 45001 ISO/IEC 27001 และ ISO 14001 ส่วนการวางแผนตรวจระบบที่รวมหลายมาตรฐานอ่านได้ที่ การตรวจติดตามภายในแบบบูรณาการ และมุมของการจัดมุมมองเอกสารชุดเดียวให้ตอบได้หลายคำถาม อ่านได้ที่ ISO/IEC 27001:2022 Annex A หมวดการควบคุมและคุณลักษณะ
บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนด ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก
หลักสูตรการตรวจติดตามภายในตามแนวทาง ISO 19011
Equal Assurance (Thailand) Ltd. เป็นหน่วยรับรองระบบและผู้ให้บริการฝึกอบรม เปิดหลักสูตรทั้งแบบ Public และ In-house สอนเป็นภาษาไทยและอังกฤษ
การจัดการการเปลี่ยนแปลงในระบบบริหารหลายมาตรฐาน รวมได้แค่ไหน
ตรวจติดตามภายในแบบเดินตามกระบวนการ เทียบกับแบบไล่ตามเลขข้อ
การตรวจประเมินผู้ส่งมอบ (second-party audit) — เมื่อใดควรตรวจ และต้องตกลงอะไรไว้ก่อน
การตรวจประเมินระยะไกลและการใช้เทคโนโลยีในการตรวจ ตามแนวทาง ISO 19011
การวิเคราะห์สาเหตุที่แท้จริงในการปฏิบัติการแก้ไข ตีความอย่างไรให้ใช้ได้จริง
การตรวจติดตามผลกับการตรวจต่ออายุการรับรอง ต่างกันอย่างไร