淺談質量體系遠程審核的合規性要求

?

　　隨著新技術、新經濟的發展，新業態層出不窮，組織治理結構、辦公方式、管理模式日新月異，建立在頻繁的人員旅行、聚集現場開展審核的傳統的質量體系認證審核模式已不再能完全滿足新形勢下質量體系認證需求。如何有效的完成現場審核關鍵活動，保證認證審核的符合性、連續性和有效性，提高認證審核工作的效率，降低審核成本，控制認證風險，行業內一直在探索各種有效的審核方式?；谛畔⒑屯ㄓ嵓夹g（ICT）的審核方式已在行業內討論多年，但由于技術發展的局限性以及行業內認知的差異性，一直停滯不前，未在實踐中真正推廣應用。2020年新冠疫情爆發，疫情管控措施限制了人員流動、聚集，為了盡量降低疫情影響，行業監管部門和各認證機構陸續開始了遠程審核探索和實踐。

　　從廣義講，遠程審核指使用遠程信息和通信技術提供完整的認證信息與服務，包括諸如遠程受理、遠程審核、遠程認證審核信息共享等所有認證審核活動；其中管理的重點和難點主要為遠程審核過程，包括遠程審核準備過程、遠程文件審核、遠程現場審核、遠程監督跟蹤等審核具體活動。為了確保遠程審核的合規性，需要對涉及遠程審核的認證項目進行有效管理，筆者結合認證法規及本機構的實踐操作對遠程審核的合規性管理要求做一個簡單的闡述。

　　一、認證項目受理的合規性管理

　　為了確保認證審核活動的合規性、控制認證風險，在受理認證審核項目時首先應評價認證項目采取遠程審核的可行性，對于不具備遠程審核條件的組織（如覆蓋產品風險高、產品實現過程復雜、覆蓋現場情況復雜，受審核方信息化程度較低、人員素質較差、審核員與受審核方之間信任程度不夠、監管要求不允許采用遠程審核方式等）原則上不能進行遠程審核，如果特殊情況下需采用遠程審核方式的，也應控制遠程審核時間所占比例或采取額外控制措施。

　　基于信息和通信技術的遠程審核方式對認證活動的主要影響是獲取信息的可信度和效率的風險控制和平衡。一般而言，與遠程審核有關的信息管理主要指文本、圖像、聲音等信息的形成、存儲與傳遞的控制，進行信息傳輸的方式包括網絡會議、軟件系統、即時聊天工具、郵件等，使用的信息傳輸工具包括智能手機、手持攝像設備、計算機及其他多媒體載體等。為確保在認證過程中獲取充分的、有效的、正確的信息，受理時應確認受審核方硬件、軟件資源（用于支持遠程信息和通信技術）及人力資源（能嫻熟使用遠程信息和通信技術的人員）的充分性，同時按照《CNAS-CC14信息和通信技術（ICT）在審核中應用》要求，審核實施機構還需要跟受審核方就安全的數據傳輸要求達成一致，必要時應該以書面形式將這些要求固定下來。

　　二、認證過程的合規性管理

　　1.審核策劃和調度安排

　　涉及遠程審核的認證項目除應符合CC01要求以外，還應按照《CNAS-CC14信息和通信技術（ICT）在審核中應用》的要求對審核方案進行策劃和實施。在進行涉及遠程審核的認證項目的審核策劃時，評審人員應綜合考慮受審核方的規模、風險、涉及的場所，資源情況、人員的能力以及能夠提供的信息支持能力，初步確定可以采用遠程審核方式的過程，結合受審核方需求和整個認證周期的控制要求，確認采取遠程審核的時機和安排。評審人員根據策劃的審核方案，除按照預定方法和計算規則計算正常的審核人日外，還應根據遠程審核在整個審核活動中所占比重適當調整人日，并明確遠程審核和現場審核人日的分配要求。

　　調度人員在進行審核安排時，審核項目的總人日及人日分配應遵循審核策劃的結果，指派的審核組長應有能力統籌協調整個審核活動（包括遠程審核和現場審核活動），審核員應了解遠程審核方法要點，熟練掌握遠程審核需使用的工具和知識。為了確保審核的延續性和有效性，審核組內應盡量安排有受審核方審核經歷的審核員。應關注專業審核員的合理安排，如果有影響審核有效性的特殊情況（如審核組內只有部分專業審核員等），應考慮酌情增加總的審核人日。

　　2、審核活動開展的合規性

　　（1）審前策劃

　　審前策劃和審核計劃原則上由審核組長組織進行，涉及遠程審核的項目審核組在進行審前策劃時必須與受審核方溝通遠程審核涉及的過程和活動，明確抽樣的要求，確定遠程審核涉及的文件和記錄提供要求和傳輸方式（如涉及文件下載或者屏幕截圖副本，需雙方提前確認獲得許可，并協商好保密和安全問題）、審核過程主要采用的信息傳輸和溝通方式（包括首末次會議召開的方式等）及受審核方確定的配合審核的人員等情況，并將上述確認結果在審核計劃中做出說明。審核組在進行任務分配時，應充分考慮各審核員的專長、審核任務的均衡性、受審核方在各個過程的資源充分性及配合程度等，同時應考慮采取遠程審核方式時的溝通效率。為確保審核時的效果和效率，建議審核組提前以書面形式告知受審核方需要準備的設施、人員、文件和記錄等信息，并與受審核方提前進行信息傳輸工具的測試，特別是首次會議使用的工具；審核時如果需要使用電子化的管理系統，審核組應提前與受審核方確認好雙方在系統的權限，相關人員應提前學習系統使用或者確信有適當的人可以幫助自己快速的從系統中獲取相應信息。如果在審核時應提前與受審核方確定審核員訪問其文件管理系統的方式，明確審核員應遵守的要求。

　　（2）審核過程

　　審核實施機構應提前確定涉及遠程審核的審核記錄的要求，明確需要保留的追溯性記錄及可接受的記錄方式。

　　審核組根據審核計劃安排開展相應審核活動：首末次會議按照與受審核方確認好的方式進行，并保留追溯性證據，如簽到記錄、會議視頻/音頻、照片、截圖等。實施審核時，應加強與受審核方安排的陪同人員和受審核人員的溝通，盡量避免無法面對面溝通所帶來的的負面影響（如面對同一信息源雙方獲取的信息不一致等）；審核中審核員應把握好審核節奏，控制審核進度；盡量避免遠程審核信息獲取不及時及以及抽樣帶來的風險；審核員應如實填寫審核發現。在進行遠程審核時，可能會發生的非預期的中斷，如視頻會議中斷、網絡連接斷開、訪問授權被取消或者任何一方現場發生的某種意外（如背景噪聲、停電等），審核組應提前與受審核方溝通發生這些意外情況的應急響應措施。實施審核的全部過程中出現的異常情況由審核組長協調處理，如有特殊情況需要終止審核或者調整審核安排的，應由審核組與受審核方和審核委托方溝通達成一致后方可進行。

　　（3）審核后活動的合規性

　　遠程審核中發現的不符合的情況需與受審核方的責任人員進行有效溝通并得到對方的確認。原則上在完成全部審核活動后，審核組方可向審核委托方匯報并推薦本次審核的結論。特殊情形下，如果認證項目的全部現場審核活動均使用遠程審核方式進行，在完成全部審核活動后如審核組認為本次審核目的未達到，應在后續安排補充審核方可作出推薦結論。

　　疫情期間，遠程審核結合現場審核的方式，有效解決了認證行業的復工復產問題，也是助力社會各行各業復產復工的有效途徑。隨著遠程審核方式的逐步推進，遠程審核合規性的研究的深入，相信在不遠的將來，遠程審核有望成為常規化的審核方式，從而不斷提升認證工作的效率和質量。
　　作者：CMD 武娟