ขอบข่ายการรับรอง ISO เขียนอย่างไร: หลายกิจกรรม หลายสถานที่ และผลต่อจำนวนวันตรวจ

ขอบข่ายการรับรอง (scope of certification) คือข้อความบนใบรับรองที่บอกว่าการรับรองนี้ครอบคลุมกิจกรรมอะไร ผลิตภัณฑ์หรือบริการใด และที่สถานที่ใดบ้าง ข้อความนี้เป็นส่วนที่ลูกค้าของท่านใช้ตรวจว่าใบรับรองครอบคลุมสิ่งที่ซื้อหรือไม่ และเป็นส่วนที่ EQA ทบทวนในขั้นทบทวนใบสมัคร บทความนี้อธิบายว่าขอบข่ายประกอบด้วยอะไร เมื่อองค์กรมีหลายกิจกรรมหรือหลายสถานที่จะเขียนอย่างไร กติกาการตรวจองค์กรหลายสถานที่ตาม IAF MD 1:2023 กำหนดอะไร และขอบข่ายมีผลต่อจำนวนวันตรวจอย่างไร

ขอบข่ายการรับรองประกอบด้วยอะไร

ISO/IEC 17021-1:2015 ข้อ 8.2 กำหนดให้เอกสารการรับรองระบุขอบข่ายของการรับรอง รวมถึงกิจกรรม ผลิตภัณฑ์หรือบริการ และสถานที่ที่ครอบคลุม พร้อมมาตรฐานที่ใช้อ้างอิง ในทางปฏิบัติข้อความขอบข่ายจึงตอบสามคำถาม คือ ทำอะไร (กิจกรรม เช่น การผลิต การออกแบบ การให้บริการ) ทำกับอะไร (ประเภทผลิตภัณฑ์หรือบริการ) และทำที่ไหน (ที่อยู่ของแต่ละสถานที่)

ผู้เรียบเรียงเห็นว่าขอบข่ายบนใบรับรองต้องอยู่ภายในขอบเขตของระบบการจัดการที่องค์กรกำหนดไว้ตามข้อ 4.3 ของมาตรฐานที่ยื่นขอ จะกว้างกว่านั้นไม่ได้ แต่แคบกว่าได้ องค์กรที่มีสามสายผลิตภัณฑ์อาจขอการรับรองเพียงสายเดียวถ้าระบบของสายนั้นแยกออกมาได้ชัดเจน ผู้เรียบเรียงเห็นว่าในขั้นทบทวนใบสมัครตามข้อ 9.1.2 คำถามที่ตามมาคือขอบข่ายที่ขอนั้นชัดเจนพอที่จะวางแผนการตรวจได้หรือไม่ กิจกรรมที่ขอมีอยู่จริงหรือไม่ และมีกิจกรรมที่กระทบต่อผลลัพธ์ของระบบถูกกันออกไปโดยไม่มีเหตุผลหรือไม่

ถ้อยคำที่ทำให้ขอบข่ายใช้งานไม่ได้

ผู้เรียบเรียงเห็นว่าถ้อยคำสามแบบต่อไปนี้ทำให้ EQA ต้องสอบถามเพิ่มก่อนเสนอราคา แบบแรกคือถ้อยคำเชิงการตลาด เช่น “ผู้นำด้านโซลูชันครบวงจร” ซึ่งไม่บอกกิจกรรมที่ตรวจได้ แบบที่สองคือถ้อยคำที่กว้างกว่าสิ่งที่ทำจริง เช่น ระบุ “การออกแบบและผลิต” ทั้งที่องค์กรผลิตตามแบบของลูกค้าเท่านั้น แบบที่สามคือถ้อยคำที่ไม่บอกว่ากิจกรรมใดเกิดที่สถานที่ใด เมื่อองค์กรมีมากกว่าหนึ่งแห่ง

ผู้เรียบเรียงเห็นว่าคำถามที่หน่วยรับรองใช้อ่านร่างขอบข่ายคือ ข้อความนี้บอกได้หรือไม่ว่า ณ สถานที่แต่ละแห่งเกิดกิจกรรมใด ถ้าข้อความตอบไม่ได้ การวางแผนการตรวจก็ยังทำไม่ได้จนกว่าจะได้ข้อมูลเพิ่ม

หลายกิจกรรมในสถานที่เดียว

องค์กรที่มีหลายกิจกรรมในสถานที่เดียวสามารถระบุทุกกิจกรรมในขอบข่ายเดียวได้ ผลที่ตามมาอยู่ที่การคำนวณเวลาตรวจ ซึ่งสำหรับ ISO 9001, ISO 14001 และ ISO 45001 เป็นไปตาม IAF MD 5:2023 ที่ใช้จำนวนบุคลากรที่มีผล (effective number of personnel) และความซับซ้อนของกิจกรรมเป็นฐาน กิจกรรมที่เพิ่มเข้ามาแต่ละอย่างจึงมีผลต่อเวลาตรวจผ่านสองช่องทาง คือจำนวนคนที่ทำกิจกรรมนั้น และระดับความซับซ้อนหรือความเสี่ยงของกิจกรรมนั้นเทียบกับกิจกรรมอื่น ส่วน ISO 22000 และ ISO/IEC 27001 มีเอกสารกำหนดเวลาตรวจของตนเอง คือ ISO/TS 22003-1:2022 และ ISO/IEC 27006-1 ตามลำดับ รายละเอียดของปัจจัยเหล่านี้อ่านได้ที่ ค่าใช้จ่ายในการขอรับรอง ISO คิดจากอะไร

ประเด็นที่การทบทวนใบสมัครจะสอบถามคือกิจกรรมที่องค์กรทำแต่ไม่ได้ขอรับรอง ถ้ากิจกรรมนั้นใช้บุคลากรและกระบวนการร่วมกับกิจกรรมที่ขอรับรอง ในการทบทวนใบสมัครตามข้อ 9.1.2 EQA จะสอบถามว่ากิจกรรมนั้นแยกจากกิจกรรมที่ขอรับรองอย่างไร และอาจสรุปว่ากันออกไม่ได้

หลายสถานที่: กติกาของ IAF MD 1:2023

เมื่อองค์กรมีมากกว่าหนึ่งสถานที่ภายใต้ระบบการจัดการเดียวกัน หน่วยรับรองที่ได้รับการรับรองระบบงานต้องปฏิบัติตาม IAF MD 1:2023 (Issue 3) ซึ่งเป็นเอกสารบังคับของ IAF สำหรับการตรวจและการรับรององค์กรหลายสถานที่ (multi-site organization) เอกสารนี้เปิดให้อ่านได้จากเว็บไซต์ของ IAF

ข้อ 5 ของ IAF MD 1 กำหนดเงื่อนไขหลายข้อที่องค์กรต้องเข้าเงื่อนไขก่อน เช่น องค์กรต้องมีระบบการจัดการเดียวที่ใช้ทุกสถานที่ และต้องมีหน่วยงานกลาง (central function) ที่เป็นส่วนหนึ่งขององค์กรและมีอำนาจเหนือระบบในทุกสถานที่ รายการเงื่อนไขทั้งหมดเปิดอ่านได้จากข้อ 5 ของเอกสารบนเว็บไซต์ IAF องค์กรที่ให้แต่ละสาขาทำระบบของตนเองโดยสำนักงานใหญ่ไม่มีอำนาจสั่งการ จึงไม่เข้าเงื่อนไขการรับรองแบบหลายสถานที่ตาม IAF MD 1

เมื่อเข้าเงื่อนไขแล้ว คำถามถัดมาคือหน่วยรับรองต้องไปตรวจทุกสถานที่หรือไม่ IAF MD 1 ข้อ 6 อนุญาตให้สุ่มตัวอย่างสถานที่ได้เฉพาะเมื่อสถานที่เหล่านั้นทำกิจกรรมที่คล้ายกัน เช่น สาขาค้าปลีกที่ใช้กระบวนการเดียวกัน หรือคลังสินค้าที่ดำเนินงานตามคู่มือเดียวกัน จำนวนสถานที่ขั้นต่ำที่ต้องตรวจในการตรวจครั้งแรกคือรากที่สองของจำนวนสถานที่ทั้งหมด ปัดขึ้นเป็นจำนวนเต็ม และหน่วยรับรองเพิ่มจำนวนได้ตามผลการทบทวนความเสี่ยง ค่าสำหรับการตรวจติดตามและการตรวจต่ออายุ รวมถึงเงื่อนไขการลดตัวอย่าง อ่านได้ที่ข้อ 6.1.3.3 ของ IAF MD 1 หน่วยงานกลางต้องถูกตรวจในการตรวจทุกรอบ และไม่นับรวมในตัวอย่าง

องค์กรที่แต่ละสถานที่ทำกิจกรรมต่างกัน เช่น โรงงานผลิตหนึ่งแห่ง ศูนย์กระจายสินค้าหนึ่งแห่ง และสำนักงานขายหนึ่งแห่ง ยังขอการรับรองในใบเดียวได้ แต่ทุกสถานที่จะถูกตรวจ ไม่ใช้การสุ่ม

ผลของความไม่สอดคล้องที่พบในสถานที่เดียว

ประเด็นที่มีผลต่อองค์กรหลายสถานที่คือ IAF MD 1 ข้อ 7.7 กำหนดให้ความไม่สอดคล้องที่พบในสถานที่ใดสถานที่หนึ่งต้องได้รับการสอบสวนว่ากระทบสถานที่อื่นหรือไม่ และหากพบความไม่สอดคล้องหลัก (major nonconformity) ในสถานที่ใด การรับรองจะไม่ออกให้กับองค์กรทั้งหมด ไม่ใช่ตัดเฉพาะสถานที่นั้นออก การรับรองแบบหลายสถานที่จึงเป็นการรับรองระบบเดียว ผลของสถานที่ใดสถานที่หนึ่งจึงเป็นผลขององค์กรทั้งหมด ผลข้อนี้ใช้กับสาขาทุกแห่งที่ระบุในใบสมัคร รวมถึงสาขาที่เพิ่งเปิด

สำนักงานใหญ่ สถานที่ชั่วคราว และสถานที่เสมือน

ผู้เรียบเรียงเห็นว่าสำนักงานใหญ่ที่ทำกิจกรรมในขอบข่าย เช่น การออกแบบ การจัดซื้อ หรือการรับคำสั่งซื้อ เป็นสถานที่หนึ่งในขอบข่ายและต้องระบุที่อยู่ สำนักงานที่ทำเฉพาะงานบัญชีและบุคคลโดยไม่เกี่ยวกับกิจกรรมที่รับรอง ไม่จำเป็นต้องอยู่ในขอบข่าย แต่ถ้าสำนักงานนั้นเป็นหน่วยงานกลางที่ควบคุมระบบ ก็ต้องถูกตรวจในฐานะหน่วยงานกลาง

IAF MD 1 ยังกล่าวถึงสถานที่ชั่วคราว (temporary site) เช่น สถานที่ก่อสร้างหรือจุดให้บริการที่ตั้งขึ้นตามสัญญาแล้วปิดไป ซึ่งอาจอยู่ในขอบข่ายได้เมื่อระบุไว้ในเอกสารการรับรองว่าเป็นสถานที่ชั่วคราว และสถานที่เสมือน (virtual site) ที่องค์กรทำงานผ่านระบบออนไลน์โดยไม่มีสถานที่ทางกายภาพ ซึ่งนับเป็นสถานที่เดียวสำหรับการคำนวณเวลาตรวจ ผู้เรียบเรียงเห็นว่าองค์กรที่ทีมงานทำงานผ่านระบบออนไลน์ทั้งหมดยังยื่นขอการรับรองได้ โดยการทบทวนใบสมัครจะพิจารณาว่าเข้านิยามสถานที่เสมือนหรือไม่ จากคำอธิบายในใบสมัครว่ากิจกรรมเกิดขึ้นที่ใดและควบคุมอย่างไร

การเปลี่ยนขอบข่ายระหว่างรอบการรับรอง

ขอบข่ายไม่ได้ถูกตรึงไว้สามปี องค์กรที่เพิ่มสถานที่ เพิ่มกิจกรรม หรือเลิกกิจกรรม ต้องแจ้งหน่วยรับรอง และหน่วยรับรองจะพิจารณาว่าจะขยายขอบข่ายในการตรวจติดตามครั้งถัดไป หรือต้องจัดการตรวจเพิ่มเติม การลดขอบข่ายทำได้เมื่อองค์กรร้องขอหรือเมื่อหน่วยรับรองพบว่าส่วนใดของขอบข่ายไม่เป็นไปตามข้อกำหนดอย่างต่อเนื่อง เงื่อนไขในช่วงหลังได้รับการรับรองอ่านเพิ่มเติมได้ที่ การรักษาใบรับรอง ISO ตลอดรอบ 3 ปี และองค์กรที่ถือใบรับรองอยู่แล้วและต้องการเปลี่ยนหน่วยรับรองพร้อมปรับขอบข่าย อ่านเงื่อนไขได้ที่ การโอนย้ายใบรับรอง ISO ไปหน่วยรับรองอื่น

ข้อมูลที่หน่วยรับรองใช้ทบทวนขอบข่ายในใบสมัคร

ข้อ 9.1.1 ของ ISO/IEC 17021-1 กำหนดให้หน่วยรับรองขอข้อมูลที่จำเป็นต่อการทบทวนใบสมัคร สำหรับองค์กรหลายกิจกรรมหรือหลายสถานที่ ข้อมูลที่มีผลต่อการทบทวนโดยตรง ได้แก่ รายชื่อสถานที่พร้อมกิจกรรมและจำนวนบุคลากรของแต่ละแห่ง รวมถึงจำนวนกะ ผังองค์กรที่แสดงว่าหน่วยงานใดควบคุมระบบ และมาตรฐานที่ขอพร้อมกิจกรรมที่ตั้งใจจะไม่รวมและเหตุผล ข้อมูลเหล่านี้คือสิ่งที่แบบฟอร์มใบสมัครของ EQA ถาม และเป็นฐานของใบเสนอราคา

องค์กรที่ต้องการทราบว่าขอบข่ายที่ตั้งใจจะขอนั้นจัดเป็นการรับรองแบบหลายสถานที่หรือไม่ และมีผลต่อวันตรวจอย่างไร สามารถขอใบเสนอราคาตรวจรับรองได้โดยตรง หน่วยรับรองตอบคำถามเรื่องกติกาการตรวจได้ แต่ไม่ให้คำแนะนำในการจัดทำหรือแก้ไขระบบขององค์กร วิธีตรวจสอบหน่วยรับรองก่อนตัดสินใจอ่านได้ที่ วิธีเลือกหน่วยรับรอง ISO: 7 ข้อที่ตรวจสอบได้ก่อนเซ็นสัญญา และหน้ารายละเอียดการรับรองแต่ละมาตรฐาน ISO 9001 ISO 14001 ISO 45001 ISO 22000 ISO/IEC 27001

บทความนี้เรียบเรียงจากหลักการใน ISO/IEC 17021-1:2015, IAF MD 1:2023 และ IAF MD 5:2023 ด้วยถ้อยคำของผู้เรียบเรียงเอง ไม่ใช่การแปลหรือทำซ้ำเอกสารดังกล่าว EQA ให้บริการตรวจรับรองและฝึกอบรมเท่านั้น ไม่ให้คำปรึกษาในการจัดทำหรือแก้ไขระบบ และการเข้าอบรมกับ EQA ไม่มีผลต่อผลการตรวจประเมิน