ISO 22163 inom järnvägssektorn: hur lång tid tar en IRIS-implementering och hur förbereds verksamheten för revision?

Det finns ingen generell och tillförlitlig tidsplan för att implementera ISO 22163. Förberedelsetiden beror på certifieringens omfattning, det befintliga ledningssystemets mognad, processernas stabilitet och kvaliteten på de dokumenterade bevis som visar att de fungerar. Tidsplanen blir realistisk först efter en gapanalys, tydlig ansvarsfördelning och en bedömning av hur mycket tid som krävs – inte bara för att fastställa arbetssätt, utan också för att tillämpa dem, genomföra internrevisioner och verifiera korrigerande åtgärders effekt. Revisionen bedömer ett fungerande ledningssystem, inte en uppsättning färdigskrivna rutiner.

IRIS som ett verksamhetsprojekt

Implementeringen av ISO 22163 bör behandlas som en förändring av hur järnvägsverksamheten styrs, inte som ett dokumentationsprojekt inför revisionen. Standarden anger krav på kvalitetsledningssystem inom järnvägssektorn, medan IRIS är ett system för verksamhetsbedömning och certifiering. Ledningssystemet är den faktiska helheten av processer, ansvar, data och beslut som används i företaget. Certifikatet bekräftar resultatet av bedömningen, men ersätter inte denna helhet. Vilken utgåva av standarden och vilka regler för IRIS-systemet som gäller måste alltid verifieras vid projektstarten och när informationen publiceras.

Svenska företag inleder vanligtvis implementeringen på grund av kundkrav, planerat inträde i järnvägens leveranskedja, upphandlingsvillkor, utökad verksamhet eller behov av tydligare processansvar. Oavsett drivkraft behöver ledningen först fastställa systemets avgränsning: vilka juridiska enheter och verksamhetsställen som ska omfattas av certifieringen, vilka produkt- och tjänstegrupper som ingår, om konstruktion och utveckling omfattas samt vilka processer som är utlagda. Utan dessa beslut blir tidsplanen skenbar, eftersom det inte är klarlagt var bevis på överensstämmelse ska skapas eller vem som ansvarar för att de är tillförlitliga.

Projektet bör inte läggas enbart på kvalitetsfunktionen. Ledningssystemansvarig kan samordna gapanalys, dokumentation och revisionsförberedelser, men de avgörande bevisen skapas inom försäljning, konstruktion, inköp, produktion, underhåll av infrastruktur och utrustning samt reklamationshantering. Det räcker inte att ange att kundkrav styrs om försäljningen inte registrerar ändrade överenskommelser, konstruktionsprocessen inte säkerställer spårbar verifiering och inköpsfunktionen inte bedömer leverantörens påverkan på produktens överensstämmelse. Projektägaren bör vara en person i ledningen med mandat att lösa konflikter mellan processer och fördela resurser.

Ett befintligt SS-EN ISO 9001-system kan förkorta förberedelserna, men endast om det fungerar i praktiken och ger sammanhängande dokumenterade bevis, mätetal och uppföljningsresultat. Ett SS-EN ISO 9001-certifikat är i sig inget bevis på beredskap för de sektorsspecifika kraven. Scenarierna i Jak przygotować firmę do certyfikacji SS-EN ISO 9001 w 90, 180 i 270 dni – realne scenariusze bör därför inte automatiskt överföras till ett järnvägsprojekt. De sektorsspecifika kraven och deras relation till certifieringssystemet beskrivs i IRIS (ISO/TS 22163) – System Zarządzania Jakością w kolejnictwie.

Vad som faktiskt styr tidsplanen

Implementeringstiden bör delas in i två perioder. Den första omfattar gapanalys, processutformning, ansvarsfördelning och komplettering av arbetssätt. Den andra börjar när de beslutade lösningarna används i den löpande verksamheten: dokumenterade bevis skapas, mätetal visar resultat, internrevisioner och ledningens genomgång genomförs och korrigerande åtgärders effekt kan utvärderas. Att snabbt ta fram dokumentation förkortar inte automatiskt tiden som krävs för att visa att systemet fungerar.

Förberedelserna går snabbare när det finns ett fungerande SS-EN ISO 9001-system, stabila processer, tillförlitliga mätetal, tydligt fördelat ansvar, styrning av kundkrav och en ledning som är tillgänglig för beslut. Tidsplanen förlängs av utspridd dokumentation, avsaknad av processägare, bristande spårbarhet, okontrollerade ändringar, omogen leverantörsbedömning och brist på data om resultat och effekt. Antalet verksamhetsställen, antalet processer inom omfattningen och antalet medarbetare vars arbete påverkar kvaliteten har också betydelse. Varje sådan faktor ökar antalet punkter där det måste visas att arbetssätten tillämpas enhetligt.

Vilket scenario organisationen tillhör ska avgöras genom gapanalysen, inte genom ett påstående från ledningssystemansvarig. Dokumenterade bevis från revisioner, ledningens genomgång, leverantörsbedömning, riskhantering och processövervakning behöver granskas. Detsamma gäller antalet öppna avvikelser, reklamationer och försenade korrigerande åtgärder. Ett praktiskt test är att följa en vald order från kundkrav, ändringar och leveranser fram till godkännande och hantering av avvikelser. Luckor i detta flöde visar ofta den faktiska arbetsinsatsen för implementeringen.

Kontakten med certifieringsorganet kan tas tidigt, men ett bindande revisionsdatum bör fastställas först efter gapanalysen och med tillräcklig reserv för korrigerande åtgärder. Järnvägssektorn ställer särskilda krav på spårbarhet, ändringsstyrning, kundkrav och leveranskedja. Konkreta tidsintervall är därför motiverade först när omfattningen, processmognaden och kvaliteten på tillgängliga bevis har bekräftats.

Var kostnader och risker ökar

Implementeringskostnaden ökar framför allt när systemets omfattning, processägarnas ansvar och beroendena mellan försäljning, konstruktion, inköp, produktion, godkännande och avvikelsehantering fastställs för sent. Följden blir att redan utfört arbete måste göras om: processerna kartläggs på nytt, formulär ändras, data kompletteras och motstridiga arbetssätt behöver samordnas. Mekanismen liknar den som beskrivs i Ile kosztuje wdrożenie NIS2 i uKSC – jak zbudować budżet audytu, dokumentacji, szkoleń i zabezpieczeń bez kosztownych pomyłek: resursbehovet styrs av utgångsläget, omfattningen och antalet beroenden – inte av antalet dokument. Det innebär däremot inte att regulatoriska krav ska överföras mellan dessa områden.

Innan rutiner utarbetas behöver gap i processflöden, beslutsmandat, informationsöverlämningar och datakällor hanteras. Att kopiera färdiga dokument döljer vanligtvis sådana brister. En rutin kan vara formellt korrekt men ändå inte motsvara det faktiska orderflödet eller det sätt på vilket konstruktion, leverantörer, godkännanden eller avsteg beslutas.

Ledningen bör i budgeten skilja mellan kostnader för konsultstöd, arbetstid för processägare och implementeringsteam, utbildning, verktygsförändringar, internrevisioner, certifieringsrevision och själva certifieringen. Kostnaden för certifieringsrevisionen kräver en individuell offert som tas fram enligt de regler för beräkning av revisionstid som gäller vid tidpunkten.

Ett typiskt problem uppstår när rutinen formellt kräver riskbedömning och ändringsstyrning, men produktionsordern ändras via e-post, ett konstruktionsavsteg saknar entydigt godkännande och en ny leverantör börjar leverera innan bedömningen har slutförts. Enskilda dokumenterade bevis finns, men de bildar ingen sammanhängande besluts- och revisionskedja. Det går inte att fastställa vem som bedömde ändringens påverkan, vilka kundkrav som kontrollerades eller om konfigurationen uppdaterades. Ett sådant gap medför samtidigt kvalitetsbristkostnader, reklamationsrisk och behov av att återskapa bevis inför revisionen.

Bristande mognad inom konfigurations-, projekt-, leverantörs-, risk- och kundkravshantering upptäcks ofta först vid stickprov. Den beskrivna mekanismen fungerar för en produkt men blir inkonsekvent när en annan order, ett annat verksamhetsställe eller en annan leverantör väljs. Planen behöver därför omfatta de berörda personernas arbetstid, antalet system och register som måste samordnas samt tiden för att stänga luckor i dokumenterade bevis. Ett byte av IT-system är motiverat först när de befintliga verktygen inte kan säkerställa spårbarhet, behörighetsstyrning eller datakonsistens. En liknande metod för att bedöma bevis används i Jak przygotować firmę do audytu drugiej strony u kluczowego dostawcy?

En evidensbaserad implementeringsplan

Implementeringsplanen bör börja med en nulägesdiagnos, inte med att rutiner skrivs. Diagnosen omfattar fastställande av systemets omfattning, processkartläggning, kundkrav, tillämpade arbetssätt, gällande dokument, tillgängliga dokumenterade bevis och resultatdata. Resultatet bör vara en gapanalys där varje gap är kopplat till en konkret process, ansvarig person och tidsfrist. Framstegen ska mätas genom statusen för åtgärdernas slutförande, inte genom antalet framtagna dokument.

Tre situationer behöver särskiljas:

• det saknas ett fastställt arbetssätt;
• arbetssättet är beskrivet men tillämpas inte;
• arbetssättet tillämpas men lämnar inga tillförlitliga dokumenterade bevis.

Varje situation kräver en annan åtgärd. Den första kräver att en lösning utformas, den andra att lösningen införs i verksamheten och den tredje att genomförandet och styrningen kan beläggas.

Systemet bör utformas kring verkliga arbetsflöden och beslutspunkter. För varje process behöver processägare, risker, mätetal, styrkriterier, nödvändiga dokumenterade bevis och principer för ansvarsöverlämning fastställas. Detta gäller särskilt gränssnitten mellan försäljning, konstruktion, inköp och genomförande, eftersom kundkrav och ändringar ofta tappas bort eller blir okontrollerade där.

Sektorsspecifika arbetssätt för bland annat projekt-, risk-, konfigurations-, ändrings-, leverantörs- och avvikelsehantering ska byggas in i relevanta processer i den omfattning som organisationens verksamhet kräver. De bör inte hanteras som separata bilagor som upprätthålls enbart av kvalitetsfunktionen.

En representativ order kan användas för att verifiera lösningen genom att följas från mottagna krav till slutligt godkännande. Organisationen bör kunna visa godkännande av kundkrav, konstruktionsbeslut, riskbedömning, styrning av leverantörer, konfiguration och ändringar samt hantering av avvikelser. Om hela förloppet inte kan rekonstrueras utifrån dokumenterade bevis är fasen inte avslutad, även om dokumentationen har godkänts. Beredskap innebär att det finns sammanhängande bevis från flera utvalda order eller projekt och att processen fungerar utan att data behöver kompletteras tillfälligt inför revisionen.

Kompetensen ska utvecklas utifrån respektive ansvar. Ledningen behöver förstå vilka beslut som kräver dess medverkan och hur ledningens genomgång ska genomföras. Processägarna behöver behärska styrningen av resultat och risker, internrevisorerna hur bevis ska bedömas och operativ personal vilka krav som gäller för arbetsmoment och dokumentation. Vid tolkning av krav och fastställande av kompetensbehov kan materialet Wymagania IRIS (ISO/TS 22163) – System Zarządzania Jakością w kolejnictwie vara till hjälp. Utbildning i sig bevisar dock inte att systemet är implementerat. Kompetensen måste synas i beslut, aktiviteter och processernas dokumenterade bevis.

När systemet har tagits i drift bör styrgruppen regelbundet bedöma genomförandet av gapanalysen, andelen processer med utsedda ägare, mätetal, risker och styrkriterier samt tillgången till dokumenterade bevis från hela genomförandeflödet. Uppföljningsfrekvensen bör anpassas efter förändringstakten och omfattningen av eftersläpande arbete. Varje fas bör godkännas av resultatägaren tillsammans med den implementeringsansvariga utifrån förutbestämda avslutskriterier. Övergång till internrevision eller certifieringsrevision är motiverad först när systemet har prövats på verkliga fall och upptäckta gap har stängts och verifierats.

Generalrepetition inför revisionen

Generalrepetitionens syfte är att bedöma hur systemet fungerar under förhållanden som liknar certifieringsrevisionen, inte att kontrollera om pärmarna är kompletta. Internrevisionen ska planeras utifrån processer och risker och omfatta alla väsentliga processer och verksamhetsställen inom systemets omfattning. I stället för att granska avdelningar var för sig bör revisorerna följa konkreta order, projekt, ändringar, leveranser och avvikelser genom organisationens olika delar. Urvalet bör omfatta processer med svagare resultat, betydande ändringar, leverantörsproblem och områden där avvikelser tidigare har förekommit.

Bedömningens tillförlitlighet beror på revisorernas oberoende och kvaliteten på stickproven. Den som ansvarar för en process bör inte revidera sitt eget arbete. Detta gäller även processer som leds av kvalitetsfunktionen. De bör granskas av en kompetent revisor utanför området eller av en lämpligt vald extern revisor. En fullständig internrevision behöver genomföras tillräckligt tidigt för att ge utrymme för orsaksanalys, införande av åtgärder och verifiering av deras effekt. En alltför sen generalrepetition leder ofta till att iakttagelser stängs administrativt utan att resultatet har kontrollerats.

Ett representativt stickprov kan byggas kring en order som omfattar kravgenomgång, planering, inköp, genomförande, kontroll och godkännande och därefter kopplas till exempelvis en teknisk ändring, en försenad leverans eller en reklamation. Revisorn kontrollerar då inte bara att dokument finns, utan också att besluten överensstämmer med de dokumenterade bevisen, att mätetalen är tillförlitliga och att avvikelser hanteras på ett ändamålsenligt sätt. Beredskap visas genom fullständiga stickprov som täcker hela flödet för en produkt, tjänst, order eller ett projekt, genom att processer och verksamhetsställen omfattas av revisionsprogrammet samt genom avvikelsernas faktiska status.

Efter provrevisionen bör ledningen genomföra en genomgång baserad på aktuella data, inte på en presentation som har tagits fram enbart för mötet. Genomgången ska leda till dokumenterade beslut om resurser, risker, processresultat, leverantörer och förbättringsåtgärder. Korrigerande åtgärders effekt kräver särskild bedömning. Utbildning, ett ändrat formulär eller formell stängning av en aktivitet visar inte att problemets orsak har undanröjts. Det behövs bekräftelse på att problemet inte återkommer och att det ändrade arbetssättet fungerar i praktiken.

Under generalrepetitionen kan principerna i materialet Jak przygotować firmę do audytu drugiej strony u kluczowego dostawcy? användas, särskilt när det gäller att förbereda processägare, säkerställa tillgång till bevis och svara utifrån fakta. Skillnaden i syfte måste dock beaktas: en kundrevision fokuserar vanligtvis på kundens krav, specifika produkter och leveransrisker, medan certifieringsrevisionen systematiskt bedömer organisationens omfattning samt processernas överensstämmelse och effektivitet. Referenspunkten för denna bedömning är fortfarande IRIS (ISO/TS 22163) – System Zarządzania Jakością w kolejnictwie.

Beslut om revisionsberedskap

Revisionsberedskap innebär att organisationen kan presentera sammanhängande bevis på att systemet fungerar inom hela den angivna omfattningen. Att rutinerna är färdigskrivna eller att dokumentationen har godkänts formellt innebär inte i sig att organisationen är redo. Ledningen bör bekräfta att processerna tillämpas, att resultaten kan spåras genom dokumenterade bevis och att processägarna kan förklara beslut, avvikelser och vidtagna åtgärder.

Det slutliga beslutet om revisionsdatum bör hanteras som en formell beslutspunkt. För att organisationen ska godkännas för revision krävs:

• en godkänd omfattning för ledningssystemet;
• implementerade processer inom omfattningen;
• tillgång till representativa dokumenterade bevis;
• genomförda internrevisioner;
• genomförd ledningens genomgång;
• verifierad effekt av slutförda korrigerande åtgärder.

Öppna gap kan kvarstå endast om deras påverkan, ansvariga personer, åtgärdstider och uppföljning har fastställts och ledningen medvetet har accepterat den kvarstående risken.

Revisionen bör senareläggas om de dokumenterade bevisen inte täcker ett normalt order- eller projektflöde, om ansvarsfördelningen är oklar, om systemrelaterade problem fortfarande är öppna eller om korrigerande åtgärders effekt inte har verifierats. Detsamma gäller vid en väsentlig skillnad mellan dokumenterade arbetssätt och faktisk tillämpning. En rutin för ändringsstyrning bevisar inte beredskap om tekniska ändringar i praktiken har godkänts utanför den fastställda processen eller utan bedömning av deras påverkan.

Beslutsunderlaget till ledningen bör klassificera varje kriterium som ”uppfyllt”, ”villkorligt uppfyllt” eller ”inte uppfyllt” och ange kvarstående systemrisker, åtgärdsägare och tidsfrister. Slutsatsen ska vara entydig: ”genomför”, ”genomför villkorligt” eller ”senarelägg”. Det formella beslutet fattas av den ledning som ansvarar för omfattning och resurser, inte enbart av ledningssystemansvarig.

En tillförlitlig tidsplan tas fram efter gapanalys och resursfördelning, inte genom baklängesplanering från ett önskat certifieringsdatum. Den slutliga bedömningen bör väga in kriterierna för revisionsberedskap och de krav som beskrivs i Cerințele IRIS (ISO/TS 22163) – Sistemul de management al calității în industria feroviară.