ISO 22163 в железопътния сектор: колко продължава внедряването на IRIS и как да подготвите организацията за одит

За внедряването на ISO 22163 няма един универсален и надежден срок. Продължителността на подготовката зависи от обхвата на сертификация, зрелостта на действащата система за управление, стабилността на процесите и качеството на записите, доказващи тяхното функциониране. Графикът може да се счита за реалистичен едва след анализ на несъответствията и пропуските, разпределяне на отговорностите и оценка на времето, необходимо не само за установяване на правила, но и за прилагането им, провеждане на вътрешни одити и потвърждаване на ефикасността на коригиращите действия. При одита се оценява действаща система, а не комплект от подготвени процедури.

IRIS като оперативен проект

Внедряването на ISO 22163 следва да се разглежда като промяна в начина на управление на дейностите в железопътния сектор, а не като задача за изготвяне на документация преди одита. Стандартът определя изискванията към системата за управление на качеството в железопътния сектор, докато IRIS представлява схема за оценяване на организацията и провеждане на сертификацията. Системата за управление е реално действащата съвкупност от процеси, отговорности, данни и решения в организацията. Сертификатът потвърждава резултата от оценяването на тази система, но не я замества. Актуалното издание на стандарта и действащите правила на схемата IRIS трябва да се проверяват към датата на започване на проекта и публикуване на информацията.

Българските предприятия обикновено започват внедряване в отговор на изискване на клиент, планирано включване във веригата за доставки на железопътния сектор, условие по тръжна процедура, разширяване на дейността или необходимост от по-ясно разпределяне на процесните отговорности. Независимо от причината, ръководството първо трябва да определи границите на системата: юридическите лица и местоположенията, включени в сертификацията, групите продукти и услуги, приложимостта на проектирането и процесите, възложени на външни доставчици. Без тези решения графикът е само формален, защото не е ясно къде трябва да възникват доказателствата за съответствие и кой носи отговорност за тяхната достоверност.

Проектът не трябва да се възлага единствено на отдела по качеството. Представителят или координаторът на системата може да управлява анализа на пропуските, документацията и подготовката за одитите, но основните доказателства възникват в продажбите, проектирането, снабдяването, производството, поддръжката на инфраструктурата и оборудването и обработването на рекламации. Декларацията, че изискванията на клиента се управляват, не е достатъчна, ако търговският отдел не регистрира промените в договореностите, проектирането не осигурява проследимост на верификацията, а снабдяването не оценява влиянието на доставчика върху съответствието на продукта. Собственик на проекта следва да бъде член на ръководството с правомощия да разрешава конфликти между процесите и да разпределя ресурси.

Съществуващата система по BDS EN ISO 9001 може да съкрати подготовката, но само ако работи на практика и предоставя последователни записи, показатели и резултати от наблюдението. Самият сертификат по BDS EN ISO 9001 не доказва готовност за изпълнение на секторните изисквания. Поради това сценариите, представени в материала Как да подготвите организацията за сертификация по BDS EN ISO 9001 за 90, 180 и 270 дни – реалистични сценарии, не трябва автоматично да се пренасят към проект в железопътния сектор. Характеристиките на секторните изисквания и връзката им със схемата за сертификация са представени в материала IRIS (ISO/TS 22163) – система за управление на качеството в железопътния сектор.

Какво в действителност определя срока

Срокът за внедряване трябва да се раздели на два периода. Първият обхваща анализа на пропуските, проектирането на процесите, определянето на отговорностите и допълването на правилата за работа. Вторият започва с реалното прилагане на приетите решения: създават се записи, показателите отчитат резултати, провеждат се вътрешни одити и прегледи от ръководството, а ефикасността на коригиращите действия може да бъде оценена. Бързото изготвяне на документацията не съкращава автоматично времето, необходимо за доказване, че системата функционира.

Подготовката се ускорява от действаща система по BDS EN ISO 9001, стабилни процеси, надеждни показатели, ясно разпределени отговорности, ефективно управление на изискванията на клиентите и ангажираност на ръководството при вземането на решения. Графикът се удължава от разпокъсана документация, липса на собственици на процеси, слаба проследимост, неконтролирани промени, незряла оценка на доставчиците и липса на данни за ефикасността. Значение имат също броят на местоположенията и процесите в обхвата, както и броят на служителите, чиито дейности влияят върху качеството. Всеки от тези фактори увеличава броя на точките, в които трябва да се потвърди последователното прилагане на установените правила.

Отнасянето на организацията към конкретен сценарий трябва да се основава на анализ на пропуските, а не на декларация от представителя на системата. Необходимо е да се проверят записите от одити, прегледи, оценки на доставчици, управление на риска и наблюдение на процесите, както и броят на откритите несъответствия, рекламациите и просрочените коригиращи действия. Практичен тест е проследяването на избрана поръчка: от изискванията на клиента, през промените и доставките, до приемането и реакцията при отклонения. Прекъсванията в тази верига обикновено показват реалния обем работа по внедряването.

Контактът със сертифициращия орган може да бъде планиран по-рано, но обвързваща дата за одита е разумно да се определи едва след анализа на пропуските и осигуряването на времеви резерв за коригиращи действия. Железопътният сектор изисква специално внимание към проследимостта, управлението на промените, изискванията на клиентите и веригата за доставки. Поради това конкретни срокове могат да бъдат обосновани само след потвърждаване на обхвата, зрелостта на процесите и качеството на наличните доказателства.

Къде нарастват разходите и рискът

Разходите за внедряване нарастват най-вече когато обхватът на системата, отговорностите на собствениците на процеси и взаимовръзките между продажби, проектиране, снабдяване, производство, приемане и управление на несъответствията са определени твърде късно. Резултатът е повторение на вече извършена работа: ново картографиране на процесите, промени във формулярите, допълване на данни и съгласуване на противоречиви правила. Механизмът е сходен с този при определяне на това колко струва внедряването на NIS2 и uKSC и как да се изгради бюджет за одит, документация, обучения и мерки без скъпоструващи грешки: разходите се определят от началното състояние, обхвата и броя на взаимозависимостите, а не от броя на документите. Това обаче не означава пренасяне на регулаторни изисквания между различните области.

Преди разработването на процедури трябва да бъдат отстранени пропуските, свързани с протичането на процесите, правомощията за вземане на решения, точките за предаване на информация и източниците на данни. Копирането на готова документация обикновено прикрива тези слабости. Една процедура може да бъде формално правилна, но да не отразява реалния поток на поръчката или начина на одобряване на проект, доставчик, приемане или отклонение.

В бюджета ръководството трябва да разграничи разходите за консултантска подкрепа, работните часове на собствениците на процеси и екипа по внедряването, обученията, промените в използваните инструменти, вътрешните одити, сертификационния одит и самата сертификация. Цената на сертификационния одит изисква индивидуална оферта, изготвена съгласно актуалните правила за определяне на продължителността му.

Типичен проблем възниква, когато процедурата формално изисква оценяване на риска и управление на промените, но производственото задание се променя по електронна поща, конструктивното отклонение няма еднозначно одобрение, а нов доставчик започва изпълнение преди приключване на оценката. Отделни записи съществуват, но не формират последователна следа на взетите решения. Не е ясно кой е оценил влиянието на промяната, кои изисквания на клиента са проверени и дали конфигурацията е актуализирана. Такъв пропуск едновременно води до разходи за качество, риск от рекламации и необходимост от възстановяване на доказателства преди одита.

Незрелостта при управлението на конфигурацията, проектите, доставчиците, риска и изискванията на клиентите често се установява едва при извадково проверяване на записите. Декларираният механизъм работи за един продукт, но губи последователност при избор на друга поръчка, друго местоположение или друг доставчик. Затова планът трябва да отчита работните часове на ангажираните лица, броя на системите и регистрите, които трябва да бъдат съгласувани, и времето за отстраняване на пропуските в записите. Промяна на информационната система е оправдана едва когато настоящите инструменти не осигуряват проследимост, контрол на правата за достъп или съгласуваност на данните. Подобна логика за оценяване на доказателствата се прилага и при анализа на това как да подготвите организацията за одит от втора страна при ключов доставчик.

План за внедряване, основан на доказателства

Планът за внедряване трябва да започва с диагностика на текущото състояние, а не с редактиране на процедури. Диагностиката включва определяне на обхвата на системата, картографиране на процесите, изискванията на клиентите, прилаганите практики, действащите документи, наличните записи и данните за резултатите. Резултатът следва да бъде анализ на пропуските, обвързан с конкретни процеси, собственици и срокове. Напредъкът трябва да се измерва чрез статуса на приключване на действията, а не чрез броя на разработените документи.

Три ситуации изискват ясно разграничаване:

• липсва установено правило за работа;
• правилото е описано, но не се прилага;
• правилото се прилага, но не оставя надежден запис.

Всяка от тях изисква различна реакция. При първата трябва да се проектира решение, при втората то трябва да се внедри в практиката, а при третата трябва да се осигурят доказателства за изпълнението и контрола.

Системата следва да се проектира около реалните работни потоци и точките за вземане на решения. За всеки процес трябва да бъдат определени собственик, рискове, показатели, критерии за контрол, изисквани записи и правила за предаване на отговорността. Това е особено важно за взаимовръзките между продажбите, проектирането, снабдяването и изпълнението, защото именно на тези граници най-често се губят изисквания или възникват неконтролирани промени.

Секторните практики, свързани наред с другото с управлението на проекти, риска, конфигурацията, промените, доставчиците и несъответствията, трябва да бъдат вградени в съответните процеси в степента, произтичаща от дейността на организацията. Те не следва да съществуват като отделни приложения, поддържани единствено от отдела по качеството.

Проверката на проекта може да се извърши чрез избор на представителна поръчка и проследяването ѝ от приемането на изискванията до окончателното приемане. Организацията трябва да може да докаже одобряването на изискванията на клиента, проектните решения, оценяването на риска, контрола върху доставчиците, конфигурацията и промените, както и управлението на несъответствията. Ако целият ход на изпълнението не може да бъде възстановен чрез записите, етапът не е завършен, дори документацията да е одобрена. Критерий за готовност са последователни доказателства от няколко избрани поръчки или проекта и потвърждение, че процесът работи без спешно допълване на данни непосредствено преди одита.

Компетентността трябва да се развива според отговорностите. Ръководството трябва да разбира кои решения изискват неговото участие и как се провежда прегледът; собствениците на процеси — как се управляват резултатите и рисковете; вътрешните одитори — как се оценяват доказателствата; а оперативният персонал — изискванията към извършваните дейности и записи. При тълкуването на изискванията и определянето на необходимата компетентност може да бъде полезен материалът Изисквания на IRIS (ISO/TS 22163) – система за управление на качеството в железопътния сектор. Самото обучение обаче не потвърждава внедряване. Компетентността трябва да се вижда в решенията, действията и процесните записи.

След задействането на системата управляващият комитет трябва периодично да оценява изпълнението на анализа на пропуските, дела на процесите с определен собственик, показатели, рискове и критерии за контрол, както и наличността на записи за пълния цикъл на изпълнение. Честотата на прегледите трябва да съответства на темпа на промените и обема на натрупаните задачи. Завършването на всеки етап следва да се одобрява от собственика на резултата съвместно с лицето, отговорно за внедряването, въз основа на предварително определени критерии за приключване. Преминаването към вътрешен или сертификационен одит е обосновано едва когато системата е проверена чрез реални случаи, а установените пропуски са отстранени и резултатът е верифициран.

Генерална репетиция преди одита

Генералната репетиция трябва да оцени функционирането на системата при условия, близки до тези на сертификационния одит, а не комплектността на папките. Вътрешният одит следва да бъде планиран процесно и на основата на риска, като обхваща всички съществени процеси и местоположения в обхвата на системата. Вместо отделните звена да се проверяват изолирано, одиторите трябва да проследяват конкретни поръчки, проекти, промени, доставки и несъответствия през последователните области на организацията. Извадката трябва да включва процеси с по-слаби резултати, значими промени, проблеми с доставчици и области, в които вече са установявани несъответствия.

Надеждността на оценката зависи от независимостта на одиторите и качеството на извадката от записи. Лицето, отговорно за даден процес, не трябва да оценява собствената си работа. Това се отнася и за процесите, управлявани от отдела по качеството, които следва да бъдат проверени от компетентен одитор извън тази област или от подходящо избран външен одитор. Пълният вътрешен одит трябва да се проведе достатъчно рано, за да остане време за анализ на причините, изпълнение на действията и оценяване на тяхната ефикасност. Твърде късното провеждане обикновено води до административно закриване на констатациите без проверка на резултатите.

Представителна извадка може да се изгради около поръчка, включваща съгласуване на изискванията, планиране, снабдяване, изпълнение, контрол и приемане, след което да се свърже с техническа промяна, закъсняла доставка или рекламация. Така одиторът проверява не само наличието на документи, но и съответствието между решенията и записите, надеждността на показателите и начина на реакция при отклонения. Мярка за готовност са пълните извадки, обхващащи целия жизнен цикъл на продукта, услугата, поръчката или проекта, включването на процесите и местоположенията в одитната програма и действителният статус на несъответствията.

След пробния одит ръководството трябва да проведе преглед, основан на актуални данни, а не на презентация, подготвена само за срещата. Прегледът трябва да води до документирани решения относно ресурсите, рисковете, резултатите от процесите, доставчиците и действията за подобрение. Ефикасността на коригиращите действия изисква специална оценка. Обучение, промяна на формуляр или формално закриване на задача не доказват отстраняването на причината за проблема. Необходимо е потвърждение, че проблемът не се повтаря и че промененият начин на работа функционира на практика.

При генералната репетиция е целесъобразно да се използват принципите, представени в материала „Как да подготвите организацията за одит от втора страна при ключов доставчик?“, особено по отношение на подготовката на собствениците на процеси, наличността на доказателства и даването на отговори, основани на факти. Разликата в целта обаче трябва да се запази: одитът от клиент обикновено е насочен към неговите изисквания, конкретни продукти и рискове за доставките, докато сертификационният одит оценява системно обхвата на организацията, съответствието и ефикасността на процесите. Референтната рамка за тази оценка остава IRIS (ISO/TS 22163) – система за управление на качеството в железопътния сектор.

Решение за готовност

Готовността за одит означава способност на организацията да представи последователни доказателства за функционирането на системата в целия деклариран обхват. Тя не се изчерпва с приключването на процедурите или формалното одобряване на документацията. Ръководството трябва да потвърди, че процесите се прилагат, резултатите им могат да бъдат проследени в записите, а собствениците могат да обяснят решенията, отклоненията и предприетите действия.

Окончателното потвърждаване на датата за одит трябва да бъде оформено като контролна точка за управленско решение. Условията за допускане на организацията до одит са:

• одобрен обхват на системата;
• внедрени процеси, включени в обхвата;
• налични представителни записи;
• проведени вътрешни одити;
• проведен преглед от ръководството;
• потвърдена ефикасност на приключените коригиращи действия.

Неотстранени пропуски могат да останат само ако са определени тяхното влияние, отговорните лица, сроковете за реакция и начинът на наблюдение, а ръководството съзнателно е приело остатъчния риск.

Одитът трябва да бъде отложен, ако записите не обхващат типичния ход на поръчка или проект, отговорностите са неясни, остават открити системни проблеми или ефикасността на коригиращите действия не е потвърдена. Същото решение е обосновано при съществено разминаване между документацията и практиката. Процедурата за управление на промените не е доказателство за готовност, ако реалните технически промени са одобрявани извън установения ред или без оценка на въздействието им.

Картата за решение, представяна на ръководството, трябва да определя статуса на всеки критерий като „изпълнен“, „условно изпълнен“ или „неизпълнен“ и да посочва нерешените системни рискове, собствениците на действията и сроковете за реакция. Заключението трябва да бъде еднозначно: „пристъпване към одит“, „условно пристъпване към одит“ или „отлагане“. Формалното решение се взема от ръководството, което отговаря за обхвата и ресурсите, а не само от представителя на системата.

Надеждният график се изгражда след диагностика на пропуските и разпределяне на ресурсите, а не чрез обратно броене от желаната дата за получаване на сертификат. Окончателната оценка трябва да отчита критериите за одитна готовност и изискванията, представени в материала Изисквания на IRIS (ISO/TS 22163) – система за управление на качеството в железопътната индустрия.