ISO 22163 in de spoorwegsector: hoe lang duurt de invoering van IRIS en hoe bereidt u uw organisatie voor op de audit?

Voor de invoering van ISO 22163 bestaat geen universele, betrouwbare doorlooptijd. De voorbereiding hangt af van de certificatieomvang, de volwassenheid van het bestaande managementsysteem, de stabiliteit van de processen en de kwaliteit van de registraties waarmee de werking ervan wordt aangetoond. Een planning is pas realistisch na een gap-analyse, duidelijke toewijzing van verantwoordelijkheden en een beoordeling van de tijd die nodig is om afspraken niet alleen vast te leggen, maar ook toe te passen, interne audits uit te voeren en de doeltreffendheid van corrigerende maatregelen te verifiëren. Een audit beoordeelt immers een werkend systeem, niet een verzameling opgestelde procedures.

IRIS als operationeel veranderproject

De invoering van ISO 22163 moet worden benaderd als een verandering in de manier waarop spoorwegactiviteiten worden aangestuurd, niet als een documentatieproject ter voorbereiding op een audit. De norm stelt eisen aan het kwaliteitsmanagementsysteem voor de spoorwegsector; IRIS is het schema voor de beoordeling en certificatie van organisaties. Het managementsysteem is het feitelijke geheel van processen, verantwoordelijkheden, gegevens en besluiten binnen de onderneming. Het certificaat bevestigt de uitkomst van de beoordeling van dat geheel, maar vervangt het niet. Bij de start van het project en bij publicatie van informatie moeten steeds de actuele editie van de norm en de dan geldende regels van het IRIS-schema worden geverifieerd.

Organisaties starten een implementatietraject meestal vanwege een klanteis, een geplande toetreding tot de spoorwegtoeleveringsketen, aanbestedingsvoorwaarden, uitbreiding van activiteiten of de behoefte om proceseigenaarschap beter te organiseren. Ongeacht de aanleiding moet de directie eerst de systeemgrenzen vaststellen: de entiteiten en locaties binnen de certificatieomvang, de product- en dienstgroepen, de rol van ontwerp en ontwikkeling en de uitbestede processen. Zonder deze besluiten is iedere planning slechts schijnzekerheid. Het blijft dan onduidelijk waar het bewijs van conformiteit moet ontstaan en wie verantwoordelijk is voor de betrouwbaarheid daarvan.

Het project mag niet uitsluitend bij de kwaliteitsafdeling worden neergelegd. Een managementsysteemcoördinator kan de gap-analyse, documentatie en auditvoorbereiding coördineren, maar het belangrijkste bewijs ontstaat in verkoop, ontwerp en ontwikkeling, inkoop, productie, beheer en onderhoud van infrastructuur en uitrusting en de behandeling van klachten. Een verklaring dat klanteisen worden beheerst, is onvoldoende wanneer verkoop wijzigingen in afspraken niet registreert, ontwerp en ontwikkeling geen traceerbare verificatie waarborgt en inkoop de invloed van leveranciers op productconformiteit niet beoordeelt. De projecteigenaar moet een directielid zijn dat bevoegd is om conflicten tussen processen te beslechten en middelen toe te wijzen.

Een bestaand NEN-EN-ISO 9001-systeem kan de voorbereiding verkorten, maar alleen wanneer het operationeel functioneert en consistente registraties, indicatoren en bewakingsresultaten oplevert. Een NEN-EN-ISO 9001-certificaat op zichzelf bewijst niet dat de organisatie gereed is voor sectorspecifieke eisen. De scenario’s uit Hoe bereidt u een organisatie in 90, 180 of 270 dagen voor op NEN-EN-ISO 9001-certificatie – realistische scenario’s mogen daarom niet automatisch op een spoorwegproject worden toegepast. Een toelichting op de sectorspecifieke eisen en hun relatie tot het certificatieschema staat in IRIS (ISO/TS 22163) – kwaliteitsmanagementsysteem voor de spoorwegsector.

Wat de doorlooptijd werkelijk bepaalt

De implementatieperiode moet in twee fasen worden verdeeld. De eerste omvat de gap-analyse, het ontwerpen van processen, het vastleggen van verantwoordelijkheden en het aanvullen van werkafspraken. De tweede begint zodra de gekozen oplossingen daadwerkelijk worden toegepast: registraties worden opgebouwd, indicatoren laten prestaties zien, interne audits en directiebeoordelingen worden uitgevoerd en de doeltreffendheid van corrigerende maatregelen kan worden vastgesteld. Snel documentatie opstellen verkort niet automatisch de tijd die nodig is om aan te tonen dat het systeem werkt.

De voorbereiding verloopt sneller bij een goed functionerend NEN-EN-ISO 9001-systeem, stabiele processen, betrouwbare indicatoren, eenduidig toegewezen verantwoordelijkheden, beheerste klanteisen en een directie die tijdig besluiten neemt. De planning loopt uit bij versnipperde documentatie, ontbrekend proceseigenaarschap, gebrekkige traceerbaarheid, onbeheerde wijzigingen, een onvolwassen leveranciersbeoordeling en onvoldoende gegevens over doeltreffendheid. Ook het aantal locaties, het aantal processen binnen de scope en het aantal medewerkers met invloed op de kwaliteit zijn bepalend. Elk van deze factoren vergroot het aantal plaatsen waar de consistentie van de uitvoering moet worden aangetoond.

De indeling in een scenario moet voortkomen uit de gap-analyse, niet uit een verklaring van de systeemcoördinator. Beoordeel registraties van audits, directiebeoordelingen, leveranciersbeoordelingen, risicomanagement en procesmonitoring, evenals het aantal openstaande afwijkingen, klachten en achterstallige corrigerende maatregelen. Een praktische toets is het volgen van één geselecteerde order: vanaf de klanteisen, via wijzigingen en leveringen, tot en met vrijgave en de reactie op afwijkingen. Onderbrekingen in deze keten maken doorgaans zichtbaar hoeveel werk de invoering werkelijk vraagt.

Het contact met de certificatie-instelling kan vroegtijdig worden gepland, maar het verdient aanbeveling een definitieve auditdatum pas vast te leggen na de gap-analyse en met voldoende ruimte voor corrigerende maatregelen. In de spoorwegsector vragen traceerbaarheid, wijzigingsbeheer, klanteisen en de toeleveringsketen bijzondere aandacht. Concrete doorlooptijden zijn daarom pas verantwoord nadat de scope, procesvolwassenheid en kwaliteit van het beschikbare bewijs zijn bevestigd.

Waar kosten en risico’s oplopen

De implementatiekosten stijgen vooral wanneer de systeemscope, het proceseigenaarschap en de onderlinge afhankelijkheden tussen verkoop, ontwerp en ontwikkeling, inkoop, productie, acceptatie en afwijkingenbeheer te laat worden vastgesteld. Reeds uitgevoerd werk moet dan opnieuw worden gedaan: processen worden nogmaals gemodelleerd, formulieren aangepast, gegevens aangevuld en tegenstrijdige afspraken afgestemd. Het mechanisme is vergelijkbaar met de budgettering uit Wat kost de invoering van NIS2 en uKSC – een budget opbouwen voor audits, documentatie, trainingen en beveiligingsmaatregelen zonder kostbare fouten: de uitgangssituatie, de scope en het aantal afhankelijkheden bepalen de inspanning, niet het aantal documenten. Dit betekent nadrukkelijk niet dat wettelijke of andere inhoudelijke eisen tussen deze domeinen kunnen worden overgenomen.

Voordat procedures worden opgesteld, moeten hiaten in procesverloop, beslissingsbevoegdheden, informatieoverdracht en gegevensbronnen worden opgelost. Het kopiëren van standaarddocumentatie maskeert deze tekortkomingen meestal. Een procedure kan formeel correct zijn, maar niet aansluiten op de werkelijke orderstroom of op de manier waarop ontwerp, leveranciers, vrijgave of afwijkingen worden goedgekeurd.

De directie moet in het budget afzonderlijk rekening houden met advieskosten, de uren van proceseigenaren en het implementatieteam, opleidingen, aanpassingen van hulpmiddelen en systemen, interne audits, de certificatie-audit en het certificatieproces zelf. Voor de kosten van de certificatie-audit is een individuele offerte nodig, opgesteld volgens de actuele regels voor het bepalen van de auditduur.

Een kenmerkend probleem ontstaat wanneer de procedure formeel in risicobeoordeling en wijzigingsbeheer voorziet, terwijl een productieorder per e-mail wordt aangepast, een ontwerpafwijking niet eenduidig is goedgekeurd en een nieuwe leverancier met de uitvoering begint voordat de beoordeling is afgerond. De afzonderlijke registraties bestaan dan wel, maar vormen geen consistente besluitvormingsketen. Het is niet duidelijk wie de impact van de wijziging heeft beoordeeld, welke klanteisen zijn gecontroleerd en of de configuratie is bijgewerkt. Zo’n tekortkoming veroorzaakt tegelijk kwaliteitskosten, klachtenrisico en extra werk om vóór de audit het bewijs te reconstrueren.

Onvolwassen configuratie-, project-, leveranciers-, risico- en klanteisenbeheer wordt vaak pas zichtbaar bij het nemen van steekproeven. Het beschreven mechanisme werkt voor één product, maar blijkt bij een andere order, locatie of leverancier niet meer consistent. Neem daarom in de planning ook de benodigde uren van betrokken medewerkers op, het aantal systemen en registers dat moet worden afgestemd en de tijd om ontbrekende registraties structureel op te lossen. Een wijziging van het IT-systeem is pas gerechtvaardigd wanneer de huidige hulpmiddelen onvoldoende traceerbaarheid, autorisatiebeheer of gegevensconsistentie bieden. Dezelfde logica voor het beoordelen van bewijs wordt toegepast in Hoe bereidt u uw organisatie voor op een tweedepartijaudit bij een kritieke leverancier?

Een implementatieplan op basis van aantoonbaar bewijs

Een implementatieplan begint met een diagnose van de huidige situatie, niet met het schrijven van procedures. Deze diagnose omvat de systeemscope, procesmodellering, klanteisen, bestaande werkwijzen, geldende documenten, beschikbare registraties en prestatiegegevens. Het resultaat moet een gap-analyse zijn waarin ieder hiaat is gekoppeld aan een concreet proces, een eigenaar en een termijn. Voortgang wordt gemeten aan de status en afsluiting van acties, niet aan het aantal opgestelde documenten.

Drie situaties moeten nadrukkelijk van elkaar worden onderscheiden:

• er is geen werkwijze vastgesteld;
• de werkwijze is beschreven, maar wordt niet toegepast;
• de werkwijze wordt toegepast, maar levert geen betrouwbaar bewijs op.

Elke situatie vraagt een andere aanpak. De eerste vereist het ontwerpen van een oplossing, de tweede de daadwerkelijke invoering ervan en de derde het borgen van uitvoeringsbewijs en toezicht.

Het systeem moet worden ingericht rond de werkelijke werkstromen en beslismomenten. Voor ieder proces moeten een eigenaar, risico’s, prestatie-indicatoren, beheerscriteria, vereiste registraties en regels voor verantwoordelijkheidsoverdracht worden vastgelegd. Dit geldt in het bijzonder voor de verbindingen tussen verkoop, ontwerp en ontwikkeling, inkoop en uitvoering, omdat juist op deze overdrachtsmomenten eisen vaak verloren gaan of wijzigingen onbeheerst plaatsvinden.

Sectorspecifieke werkwijzen voor onder meer project-, risico-, configuratie-, wijzigings-, leveranciers- en afwijkingenbeheer moeten worden geïntegreerd in de relevante processen, voor zover dit uit de activiteiten van de organisatie voortvloeit. Ze mogen niet functioneren als afzonderlijke bijlagen die uitsluitend door de kwaliteitsafdeling worden onderhouden.

Een representatieve order kan als praktijktest worden gevolgd vanaf de ontvangst van de eisen tot en met de acceptatie. De organisatie moet de goedkeuring van klanteisen, ontwerpbesluiten, risicobeoordeling, beheersing van leveranciers, configuraties en wijzigingen en de behandeling van afwijkingen kunnen aantonen. Als het volledige verloop niet op basis van registraties kan worden gereconstrueerd, is de implementatiefase niet afgerond, ook niet wanneer de documentatie formeel is goedgekeurd. Het gereedheidscriterium is consistent bewijs uit meerdere geselecteerde orders of projecten, plus bevestiging dat het proces functioneert zonder vlak voor de audit gegevens ad hoc aan te vullen.

Competenties moeten worden ontwikkeld in lijn met de verantwoordelijkheden. De directie moet begrijpen welke besluiten haar betrokkenheid vereisen en hoe de directiebeoordeling wordt uitgevoerd. Proceseigenaren moeten prestaties en risico’s kunnen beheersen, interne auditoren moeten bewijs kunnen beoordelen en operationele medewerkers moeten de eisen voor hun werkzaamheden en registraties kennen. Bij de interpretatie van eisen en de vaststelling van competentiebehoeften kan IRIS-eisen (ISO/TS 22163) – kwaliteitsmanagementsysteem voor de spoorwegsector ondersteuning bieden. Een training bewijst echter niet dat de implementatie is voltooid. Competentie moet zichtbaar zijn in besluiten, handelingen en procesregistraties.

Na de ingebruikname van het systeem moet de stuurgroep periodiek de voortgang van de gap-analyse beoordelen, evenals het aandeel processen met een toegewezen eigenaar, indicatoren, risico’s en beheerscriteria en de beschikbaarheid van registraties over de volledige uitvoering. De beoordelingsfrequentie moet passen bij het verandertempo en de omvang van de achterstanden. De eigenaar van het resultaat en de implementatieverantwoordelijke moeten iedere fase gezamenlijk afsluiten op basis van vooraf bepaalde exitcriteria. De stap naar een interne of certificatie-audit is pas verantwoord nadat het systeem op echte casussen is getest en geconstateerde hiaten aantoonbaar zijn gesloten en geverifieerd.

De generale repetitie vóór de audit

Een generale repetitie moet de werking van het systeem beoordelen onder omstandigheden die vergelijkbaar zijn met een certificatie-audit. Het gaat niet om de volledigheid van dossiers. De interne audit moet proces- en risicogestuurd worden gepland en alle relevante processen en locaties binnen de systeemscope omvatten. In plaats van afdelingen afzonderlijk te controleren, moeten auditoren concrete orders, projecten, wijzigingen, leveringen en afwijkingen door de opeenvolgende organisatieonderdelen volgen. De steekproef moet ook processen met zwakkere prestaties, belangrijke veranderingen, leveranciersproblemen en gebieden met eerdere afwijkingen omvatten.

De betrouwbaarheid van de beoordeling hangt af van de onafhankelijkheid van de auditoren en de kwaliteit van de steekproeven. Wie verantwoordelijk is voor een proces, hoort het eigen werk niet te auditen. Dit geldt eveneens voor processen die door de kwaliteitsafdeling worden beheerd. Deze moeten worden beoordeeld door een competente auditor van buiten dat werkgebied of door een passend geselecteerde externe auditor. Voer de volledige interne audit vroeg genoeg uit om tijd over te houden voor oorzaakanalyse, uitvoering van maatregelen en beoordeling van de doeltreffendheid. Een te laat uitgevoerde proefaudit leidt vaak tot administratieve afsluiting van bevindingen zonder verificatie van het resultaat.

Een representatieve steekproef kan worden opgebouwd rond een order die de afstemming van eisen, planning, inkoop, uitvoering, controle en acceptatie omvat, gekoppeld aan bijvoorbeeld een technische wijziging, een vertraagde levering of een klacht. De auditor beoordeelt dan niet alleen of documenten bestaan, maar ook of besluiten aansluiten op de registraties, of indicatoren betrouwbaar zijn en hoe op afwijkingen wordt gereageerd. De gereedheid blijkt uit volledige steekproeven over het gehele verloop van een product, dienst, order of project, uit de dekking van processen en locaties in het auditprogramma en uit de werkelijke status van afwijkingen.

Na de proefaudit moet de directie een beoordeling uitvoeren op basis van actuele gegevens, niet op basis van een presentatie die uitsluitend voor de vergadering is opgesteld. De directiebeoordeling moet leiden tot gedocumenteerde besluiten over middelen, risico’s, procesprestaties, leveranciers en verbetermaatregelen. De doeltreffendheid van corrigerende maatregelen vereist bijzondere aandacht. Een training, een gewijzigd formulier of de formele afsluiting van een actie bewijst niet dat de oorzaak is weggenomen. Er moet worden vastgesteld dat het probleem niet terugkeert en dat de gewijzigde werkwijze in de praktijk functioneert.

Bij de generale repetitie kunnen de uitgangspunten uit Hoe bereidt u uw organisatie voor op een tweedepartijaudit bij een kritieke leverancier? worden gebruikt, vooral voor de voorbereiding van proceseigenaren, de beschikbaarheid van bewijs en het beantwoorden van vragen op basis van feiten. Het verschil in doelstelling moet wel behouden blijven: een klantaudit richt zich doorgaans op de eisen van die klant, specifieke producten en leveringsrisico’s, terwijl een certificatie-audit de organisatiebrede scope en de conformiteit en doeltreffendheid van processen systematisch beoordeelt. Het referentiekader voor die beoordeling blijft IRIS (ISO/TS 22163) – kwaliteitsmanagementsysteem voor de spoorwegsector.

Het besluit over auditgereedheid

Auditgereedheid betekent dat de organisatie consistent bewijs kan presenteren van de werking van het systeem binnen de volledige verklaarde scope. Het afronden van procedures of formeel goedkeuren van documentatie is daarvoor onvoldoende. De directie moet bevestigen dat de processen worden toegepast, dat resultaten via registraties traceerbaar zijn en dat proceseigenaren besluiten, afwijkingen en genomen maatregelen kunnen toelichten.

De definitieve bevestiging van de auditdatum moet de vorm krijgen van een formeel beslismoment. De organisatie kan voor de audit worden vrijgegeven wanneer aan de volgende voorwaarden is voldaan:

• de systeemscope is goedgekeurd;
• de processen binnen de scope zijn geïmplementeerd;
• representatieve registraties zijn beschikbaar;
• interne audits zijn uitgevoerd;
• de directiebeoordeling is uitgevoerd;
• de doeltreffendheid van afgesloten corrigerende maatregelen is bevestigd.

Openstaande hiaten zijn alleen aanvaardbaar wanneer de impact, eigenaar, reactietermijn en wijze van bewaking zijn vastgesteld en de directie het restrisico bewust heeft geaccepteerd.

Stel de audit uit wanneer de registraties geen representatief order- of projectverloop afdekken, verantwoordelijkheden onduidelijk zijn, systemische problemen openstaan of de doeltreffendheid van corrigerende maatregelen niet is bevestigd. Ook een wezenlijk verschil tussen documentatie en praktijk rechtvaardigt uitstel. Een procedure voor wijzigingsbeheer bewijst geen gereedheid wanneer feitelijke technische wijzigingen buiten de vastgestelde werkwijze of zonder impactbeoordeling zijn goedgekeurd.

De beslisnota voor de directie moet elk criterium classificeren als ‘voldaan’, ‘voorwaardelijk voldaan’ of ‘niet voldaan’. Daarnaast moet zij de resterende systeemrisico’s, actiehouders en reactietermijnen vermelden. De conclusie moet ondubbelzinnig zijn: ‘doorgaan’, ‘voorwaardelijk doorgaan’ of ‘uitstellen’. Het formele besluit wordt genomen door de leiding die verantwoordelijk is voor scope en middelen, niet uitsluitend door de systeemcoördinator.

Een betrouwbare planning ontstaat na de diagnose van de hiaten en de toewijzing van middelen, niet door terug te rekenen vanaf de gewenste certificaatdatum. De definitieve beoordeling moet rekening houden met de criteria voor auditgereedheid en met de eisen uit IRIS-eisen (ISO/TS 22163) – kwaliteitsmanagementsysteem voor de spoorwegsector.