CNAS-GC02：2014 管理体系认证结合审核的应用指南.pdf

2014 年 10 月 27 日 发布 2014 年 10 月 27 日 实施 CNAS-GC02 管理体系认证结合审核应用指南 管理体系认证结合审核应用指南 Application guidance on combined audits of management system certification 中国合格评定国家认可委员会 CNAS-GC02:2014 第 1 页 共 10 页 2014 年 10 月 27 日 发布 2014 年 10 月 27 日 实施 目目 次次 前 言 . 2 1 范围 . 3 2 规范性引用文件 . 3 3 术语和定义 . 3 4 总则 . 4 5 结合审核的实施和管理 . 4 5.1 结合审核的准备信息 . 4 5.2 结合审核方案 . 5 5.3 结合审核计划 . 6 5.4 结合审核组 . 8 5.5 结合审核的人日数 . 9 CNAS-GC02:2014 第 2 页 共 10 页 2014 年 10 月 27 日 发布 2014 年 10 月 27 日 实施 前前 言言 本文件由中国合格评定国家认可委员会（CNAS）制定。 本文件作为认可指南文件，为CNAS-CC01管理体系认证机构要求在结合审核中的应用提供说明或解释，并与CNAS-CC106CNAS-CC01在一体化管理体系审核中的应用保持一致，旨在确保各方对CNAS-CC01理解或实施的一致性。 本文件中，术语“应”表示相应的CNAS-GC02条款是强制性的，这些条款反映了CNAS-CC01的要求。术语“宜”表示相应的CNAS-GC02条款提供了满足CNAS-CC01相应要求的适宜方法，如果认证机构采用与CNAS-GC02等效的方法来满足CNAS-CC01的要求，需要向CNAS证实该方法确实能达到这一目的。 本文件代替的历史文件版次包括：CNAS-GC02:2006、CNAS-GC02:2010。 CNAS-GC02:2014 第 3 页 共 10 页 2014 年 10 月 27 日 发布 2014 年 10 月 27 日 实施 管理体系认证结合审核应用指南 1 范围范围 本文件为管理体系认证机构实施结合审核提供指南， 适用于认证机构对管理体系认证的结合审核管理。 2 规范性引用文件规范性引用文件 下列文件对于本文件的应用是必不可少的。凡注明日期的引用文件，仅注明日期的版本适用于本文件；凡不注明日期的引用文件，其最新版本（包括所有修改单）适用于本文件。 GB/T19011-2013管理体系审核指南(IS019011:2011，IDT) CNAS-CC01管理体系认证机构要求 CNAS-CC106CNAS-CC01 在一体化管理体系审核中的应用 3 术语和定义术语和定义 在 CNAS-CC01 及 CNAS-CC106 中确立的以及下列术语和定义适用于本文件。 3.1 结合审核 combined audit 认证机构对一个客户同时按照两个或两个以上管理体系标准要求实施的审核。 调整自 CNAS-CC01:2011 中 3.4 注 5 3.2 一体化审核 integrated audit 一个客户已将两个或两个以上管理体系标准要求的应用整合在一个单一的管理体系中，认证机构对其按照一个以上标准同时实施的审核。 调整自 CNAS-CC01:2011 中 3.4 注 6 及 CNAS-CC106 中 1.1 注：CNAS-CC106 中给出了“一体化管理体系”以及“一体化程度”的定义。 CNAS-GC02:2014 第 4 页 共 10 页 2014 年 10 月 27 日 发布 2014 年 10 月 27 日 实施 4 总则总则 4.1 认证机构的结合审核不应对审核的质量产生负面影响。 认证机构应确定受审核组织按照两个或多个管理体系标准或规范性文件建立的管理体系与每一个管理体系标准或规范性文件的完整符合性， 并能够为受审核组织的管理体系符合每一个管理体系标准或规范性文件的每一项要求提供充分的信任。 4.2 认证机构有责任在制定针对组织的管理体系结合审核方案及对其管理时特别考虑结合审核的特点。 4.3 当根据结合审核的结果做出认证决定时， 认证机构有责任确保实施认证决定的人员具备足够的能力评价结合审核过程和审核组的相关推荐意见。 认证机构有责任保证认证决定和认证文件满足 CNAS-CC01 及认证范围内适用的管理体系标准与特定认证方案的相应要求。同时宜考虑，对于同一受审核组织的不同管理体系认证，可能存在对其认证证书中认证范围表述的不一致。 4.4 认证机构策划和实施对一体化管理体系的审核应满足 CNAS-CC106 的要求。 5 结合审核的实施和管理结合审核的实施和管理 5.1 结合审核的准备信息结合审核的准备信息 5.1.1 认证机构在策划结合审核方案时宜获得受审核组织的信息，包括但不限于： 1）组织管理体系的状况，如： a) 结合审核所涉及的管理体系的数量以及各管理体系覆盖范围的界定情况； b) 多个管理体系标准或规范的要求是否一体化实施，以及管理体系的一体化程度； 注 ： 组 织 管 理 体 系 的 一 体 化 程 度 及 评 价 一 体 化 程 度 的 特 征 见CNAS-CC106 中 1.3 及附录 A 相关内容。 c) 结合审核所涉及体系运行的成熟度（如：体系建立的时间、内审/管理评审的结果、以往外部审核的结果等） 。 2）与某一管理体系所关注的组织特定绩效相关的方面及其复杂程度，如：对产品质量产生重要影响的因素、对环境产生重要影响的因素、重大危险源和职业健康安全风险的情况、具有信息安全重大风险的资产情况等； CNAS-GC02:2014 第 5 页 共 10 页 2014 年 10 月 27 日 发布 2014 年 10 月 27 日 实施 3）组织的结构及其业务活动，包括： a）组织规模、管理模式、场所及其分布； b）行政许可要求等； c）针对不同管理体系要求所识别的主要过程、活动和场所； d）识别组织外包的过程和/或活动。 5.1.2 为了有效地实施结合审核，必要时，认证机构可以安排对组织的预访问，以便了解组织的相关信息。 5.2 结合审核方案结合审核方案 除了 CNAS-CC01 中 9.1.1 的要求及 GB/T 19011-2013管理体系审核指南有关审核方案管理的指南之外， 认证机构在制定结合审核方案及对其实施管理时还宜考虑的因素包括，但不限于： 1） 结合审核的目的； 2） 结合审核所涉及的管理体系标准和/或规范性文件； 3） 结合审核中各管理体系所涉及的技术领域； 4） 结合审核的风险识别，如： a) 与每一个管理体系相关的法律、法规要求的情况， b) 对受审核组织及其所建立的管理体系的信任度， c) 受审核组织的行业风险和社会关注程度， d) 认证机构现有认证资源的配置基础等； 5） 根据结合审核的风险识别，认证应采取的控制和降低认证风险的措施； 6） 结合审核有效性的保证措施，如： a) 确保实施结合审核的审核组能力满足所有管理体系的需求。在确定审核任务时，应依据审核组成员的能力，合理地分配审核任务，并确保对每个管理体系审核的完整性； b) 确保结合审核计划充分考虑了对两阶段审核内容的安排； c) 确保结合审核计划考虑了组织的管理体系的状况，如：管理体系数量、管理体系一体化程度、管理体系运行的成熟度等； d) 根据审核的性质（如：初次认证审核，监督审核或再认证审核等） ，确保结合审核计划覆盖了与每一个管理体系标准和/或规范性文件的要求相关的过程和活动。并为针对每一个管理体系标准和/或规范性文件的审核提CNAS-GC02:2014 第 6 页 共 10 页 2014 年 10 月 27 日 发布 2014 年 10 月 27 日 实施 供足够的审核时间； e) 确保针对每一个管理体系标准和/或规范性文件的审核深度，包括：应关注的审核要求和抽样量，特别是有关每个管理体系的重要过程、活动、现场或场所等； f) 确保审核报告清楚地表明与每一个管理体系标准或规范性文件的所有要求的符合性，并包括分析和描述与每个管理体系标准或规范性文件相关的不符合； g) 当结合审核中提出的不符合涉及多个管理体系标准或规范性文件时，确保受审核组织针对每一个管理体系标准或规范性文件提出必要的纠正和纠正措施，并确保验证纠正和纠正措施的人员具有相应的能力。 7） 对两阶段审核要求及其审核内容与结合审核计划的协调做出安排。若承担两阶段审核任务的组长分别由不同的人员担任时，结合审核方案还宜对此情况做出充分的安排，以确保第二阶段的审核组长能够获取必要的信息，保证其对有关的审核要求和审核内容有充分的理解。 5.3 结合审核计划结合审核计划 5.3.1 除了 CNAS-CC01 中 9.1.2 的要求之外，在制定审核计划时还宜考虑或注意的方面包括，但不限于： 1） 结合审核的时机，即： a) 针对每一个管理体系标准或规范性文件均是初次认证审核时，实施结合审核； b) 在针对不同管理体系标准或规范性文件的不同认证审核阶段，如初次认证审核、监督审核、再认证审核等，实施结合审核；或 c) 在针对不同管理体系标准或规范性文件的初次认证审核的不同审核阶段，如第一阶段、第二阶段等，实施结合审核。 2） 结合审核的范围，即对于不同的管理体系标准或规范性文件而言： a) 同一受审核组织的审核范围可能是一致的；或 b) 同一受审核组织的审核的范围可能是不一致的。 3） 结合审核的抽样方案 a) 选择并组合审核样本的前提应确保通过结合审核能够充分、客观地判定组织的管理体系与每一个管理体系标准或规范性文件的符合性与有效CNAS-GC02:2014 第 7 页 共 10 页 2014 年 10 月 27 日 发布 2014 年 10 月 27 日 实施 性； b) 实施结合审核时，审核组宜根据每一个管理体系标准或规范性文件的要求及其关注内容的不同（如：质量控制、环境因素及其影响控制、危险源及其风险控制等）确定审核的现场、审核样本的选择、抽样基数及抽样数量。只有在满足各管理体系标准或规范性文件要求的前提下，才能考虑抽样样本的结合，而不能仅是考虑审核的经济性和便利性，如： 质量管理体系审核强调：质量管理体系审核强调： 关注质量要求（包括顾客当前的需求和未来的期望、法律法规要求、组织自身生存与发展的要求等）的识别和转化； 关注组织如何运用质量管理体系 8 项原则，持续稳定地实现产品（服务）的质量； 关注组织运用质量管理体系来实现诸如开拓创新、稳定质量、和优化管理（过程增值）等方面持续改进的有效性； 根据组织对其过程确定、测量和过程实施的有效性评价,并结合组织绩效或顾客满意度的评价，确定审核计划的重点。 环境管理体系审核强调：环境管理体系审核强调： 关注组织能够控制或能够施加影响的环境因素的识别及其相关影响的控制， 审核中特别注意与组织的环境因素相关的各类活动， 包括组织生产或服务的主过程现场、设施及设备（如：原料准备、工艺过程等）和支持系统现场、设施及设备（如：各种类型的动力提供、污染防治、物流、仓储、生活服务等）的运作状况； 关注组织对重要环境因素、绩效的监测和测量及对环境因素控制的有效性， 审核中特别注意组织的所有环境基础设施， 并在现场通过抽样验证重要环境因素的控制和相关法规与要求的符合情况 （如： 危险废物的转移方式与证据等）来判断环境管理体系的有效性； 关注组织在合规、污染预防和持续改进方面的状况； 根据申请评审的信息和结合组织的环境绩效评价结果，确定审核方案的要求和优先考虑审核重点， 在办公室审核与现场审核之间建立必要与合理的平衡。 职业健康安全管理体系审核强调：职业健康安全管理体系审核强调： CNAS-GC02:2014 第 8 页 共 10 页 2014 年 10 月 27 日 发布 2014 年 10 月 27 日 实施 根据组织危险源辨识、风险评价和控制措施确定的信息以及结合组织的相关情况，确定审核计划的重点； 关注组织的危险源辨识、风险评价和控制措施确定，审核中重点关注： 组织对其工作场所危险源辨识的系统性和全面性， 通过风险评价过程对危险源现有控制措施效果的评定， 通过风险评价结果对危险源进一步控制措施的确定； 关注组织的相关风险控制过程，包括：资源、作用、职责、责任和权限，能力、培训和意识，沟通、参与和协商，文件和文件控制，运行控制， 应急准备和相应； 审核中特别注意组织开展其工作活动的所有工作场所， 并在现场通过抽样验证风险控制过程的有效性； 通常情况下， 风险控制过程在现场实现的最低要求是满足相关的法律法规和其他要求； 还要强调的是， 关注组织与员工协商职业健康安全管理工作的状况，特别关注员工对组织职业健康安全状况的感受和评价； 关注组织的检查和纠正措施过程，包括：绩效监测和测量，合规性评价，事件调查，不符合、纠正和预防措施，内审和管理评审； 关注组织以法律法规为基础的职业健康安全绩效的持续改进。 5.3.2 当对组织的管理体系实施两阶段结合审核时，在第一阶段结合审核后，必要时认证机构可根据获取的组织管理体系一体化程度的信息和组织人员对与每个管理体系相关的问题的回答能力重新核定第二阶段审核人日数。 认证机构如根据第一阶段确认的信息调整第二阶段审核时间， 应与受审核组织充分沟通并保留第二阶段审核时间调整合理性的记录。 5.4 结合审核组结合审核组 5.4.1 认证机构有责任确保结合审核组满足 CNAS 认可准则中有关每一个管理体系认证对审核组的要求。 5.4.2 结合审核组的能力 除 CNAS 认可准则的有关要求和 GB/T19011-2013 的指南外， 对于结合审核组，认证机构还宜考虑： 1）结合审核组长，应具备策划、组织、协调结合审核的能力，并满足每一个管理体系认证对组长的要求。否则，可以设立分组长以满足每一个管理体系认证对组长的要求，并负责做出结合审核组长没有能力作出的那部分推荐意见。 CNAS-GC02:2014 第 9 页 共 10 页 2014 年 10 月 27 日 发布 2014 年 10 月 27 日 实施 2）结合审核组的审核成员，应具备与其承担的审核工作相适应的能力。当一个审核员审核与二个或多个管理体系共有的要求相关的过程或活动时， 审核人员应具备对每一个管理体系的审核能力（包括技术能力） ；当对与每个管理体系特有要求相关的过程和活动审核时，确保由具备相应能力和背景的审核员实施审核。 3）考虑每一个管理体系认证对技术专家的需求，可选择多名技术专家为结合审核组提供技术支持。 4）结合审核组的组成及其任务分配宜考虑组织的管理体系的成熟度情况，并使得审核员的能力及其任务与受审核组织的管理体系情况相适应。 5.5 结合审核的人日数结合审核的人日数 5.5.1 认证机构有责任确保结合审核计划为针对每一个管理体系标准和/或规范性文件要求的审核提供足够的审核时间。 5.5.2 CNAS 的相关认可准则为单一的管理体系认证提供了确定审核人日数的基本要求和方法，并且为在基本要求的基础上增加或减少审核人日数提供了可考虑因素。除此之外，对于结合审核，认证机构还宜考虑以下因素（不仅限于）来确定结合审核的人日数，而不应简单地相对单一的管理体系审核减少结合审核的人日数。即： 1）结合审核所涉及的管理体系的数量； 2）多个管理体系标准或规范的要求是否一体化实施，以及管理体系的一体化程度； 3）体系运行的成熟度（如：体系建立的时间、内审/管理评审的结果、以往外部审核的结果等） ； 4）针对每一个管理体系标准或规范性文件而言，审核范围不一致的情况； 5）针对不同的管理体系认证存在的过程、活动、场所的差异和每个管理体系的要求和关注方面的差异，所导致的审核抽样方案的差异情况； 6）受审核组织所涉及的技术领域的风险程度； 7）受审核组织的结构及其业务活动； 8）审核组长和审核组成员所具备的审核能力，如：组长的策划、组织和协调结合审核的能力，每个成员所具备的对多个管理体系的审核能力和实施结合审核的能力，以及必要的审核员资格等。 5.5.3 对一体化管理体系的审核中，审核时间应满足 CNAS-CC106 的要求。 注： CNAS-GC02:2014 第 10 页 共 10 页 2014 年 10 月 27 日 发布 2014 年 10 月 27 日 实施 1.若结合审核中组织建立了多套管理体系而并未一体化形成一套独立的管理体系， 则认证机构可以单独计算每个管理体系审核时间通过累加求和确定结合审核的时间，此时不宜再对结合审核时间的计算值进行缩减； 2.对 CNAS-CC106 未予规定的其他结合审核，认证机构也应保留确定审核时间的记录以及对审核时间计算值调整的合理性的记录。