Подготовка к сертификационному аудиту: внутренний аудит, анализ со стороны руководства и типичные несоответствия

Большинство проблем сертификационного аудита видны за несколько недель до него, на внутреннем аудите и анализе со стороны руководства. Если провести эти два шага как следует, внешний аудит станет подтверждением, а не неожиданностью.

Чего орган по сертификации ожидает до второго этапа

Сертифицируетесь ли вы по ISO/IEC 27001, ISO 9001, ISO 14001, ISO 45001 или другому стандарту систем менеджмента, до аудита второго этапа орган по сертификации будет ожидать как минимум один полный внутренний аудит, охватывающий всю область, и как минимум один анализ со стороны руководства. Отсутствие любого из них часто приводит к тому, что по итогам первого этапа организацию признают неготовой.

Планирование внутреннего аудита

1. Программа аудитов. Определите, какие процессы, площадки и требования будут проверяться и когда. Для первичной сертификации нужно охватить всю область. В последующие годы программа может строиться с учётом рисков.
2. Компетентность и независимость аудиторов. Внутренним аудиторам нужно обучение по стандарту и технике аудита; обычно ориентиром служит ISO 19011. Они не должны проверять собственную работу. В небольших грузинских компаниях это часто означает привлечение внешнего специалиста для внутреннего аудита или обмен аудиторами между подразделениями.
3. Критерии. Проводите аудит на соответствие стандарту, собственным процедурам и законодательным требованиям из вашего реестра, например Закону Грузии «О защите персональных данных» или Органическому закону «О безопасности труда».
4. Выборка. Если у вас есть площадки в Тбилиси и Батуми или удалённые сотрудники, выборка должна это отражать.
5. Язык. Записи могут вестись на грузинском или английском. Убедитесь, что доказательства можно объяснить аудитору органа по сертификации, который может не читать по-грузински, или предусмотрите переводчика.

Проведение внутреннего аудита и отчёт

Проводите интервью с теми, кто выполняет работу, а не только с руководителем системы. Смотрите записи, а не только документы. По каждому замечанию укажите требование, доказательство и несоответствие. Классифицируйте замечания единообразно и согласуйте корректирующие действия с ответственными и сроками. Отчёт о внутреннем аудите новой системы без единого замечания редко убеждает аудитора органа по сертификации.

Анализ со стороны руководства

Высшее руководство должно проанализировать систему и зафиксировать свои решения. Стандарты перечисляют обязательные входные данные. Типичные из них:

• статус действий по результатам предыдущих анализов;
• изменения внешних и внутренних факторов, включая новые законы и требования клиентов;
• результаты достижения целей и мониторинга;
• результаты внутренних аудитов и несоответствия;
• результаты оценки рисков и статус обработки рисков;
• обратная связь от клиентов и других заинтересованных сторон;
• возможности для улучшения и потребность в ресурсах.

Выходные данные должны содержать решения: выделенные ресурсы, изменённые цели, назначенные действия. Протокол, в котором лишь перечислены входные данные, является типичным замечанием.

Типичные несоответствия на сертификационных аудитах

• Оценка рисков не связана с мерами. Риски перечислены, но никто не может показать, как конкретная мера обрабатывает конкретный риск.
• Цели без измерения. Цели есть, но не измеряются, или данные не анализируются.
• Устаревший реестр законодательных требований. Не отражены недавние изменения грузинского законодательства или смена регулятора, например передача надзора за защитой данных Государственной аудиторской службе в 2026 году.
• Нет подтверждений компетентности. Нет записей о том, что люди на ключевых должностях имеют квалификацию или прошли обучение.
• Контроль поставщиков только на бумаге. Процедура есть, но поставщики не оценивались.
• Корректирующие действия закрыты без анализа коренной причины. Симптом устранён, причина не проанализирована.
• Документы не управляются. Используются старые версии, нет дат утверждения или пересмотра.
• Отдельно на аудитах ISO/IEC 27001: положение о применимости не согласуется с внедрёнными мерами, пересмотры прав доступа не проводятся, резервные копии ни разу не проверялись, инциденты не регистрируются.

Во время самого аудита

Назначьте сопровождающего для аудиторов, подготовьте помещение или оборудование для видеосвязи и убедитесь, что люди, указанные в плане аудита, будут на месте. Отвечайте на заданный вопрос и показывайте запись. Если аудитор фиксирует несоответствие, согласуйте факты и спланируйте исправление. Значительные несоответствия должны быть устранены и проверены до выдачи сертификата в срок, установленный органом по сертификации; по незначительным нужен принятый план действий.

От выбора органа по сертификации зависит, насколько гладко всё пройдёт. См. статью о том, как выбрать орган по сертификации в Грузии.

Чем помогает BALTUM

Мы обучаем внутренних аудиторов, проводим независимые внутренние аудиты, организуем анализ со стороны руководства и проводим предварительную оценку, которая моделирует аудит второго этапа. Мы также сопровождаем вас во время сертификационного аудита и помогаем с корректирующими действиями. Подробнее о стандартах: ISO 27001 и ISO 9001.

Чтобы заказать внутренний аудит или предварительную оценку, воспользуйтесь формой на этом сайте или напишите на info@baltum.org.

Частые вопросы

Может ли внешний консультант провести наш внутренний аудит?

Да. Стандарты требуют компетентных и беспристрастных внутренних аудиторов, а не того, чтобы они были сотрудниками. В небольших организациях внешний аудитор встречается часто, но консультант, который выстраивал систему, не должен проверять собственную работу.

Что будет, если аудитор найдёт значительное несоответствие на втором этапе?

Сертификат не выдаётся, пока несоответствие не устранено и орган по сертификации не проверил исправление, для чего может потребоваться повторное посещение или анализ документов.

Другие статьи в блоге BALTUM