Что стандарт требует по рискам на самом деле
ISO 9001:2015 требует трёх шагов: определить риски и возможности, которые влияют на результат системы менеджмента, запланировать действия по ним и проверить, сработали ли эти действия. Риск-ориентированное мышление в ISO 9001 описано во введении к стандарту, а конкретные требования собраны в пункте 6.1. Предупреждающих действий как отдельного пункта в версии 2015 года больше нет, их заменил этот подход.
Формальную процедуру стандарт не навязывает. В приложении A сказано, что требований к формальным методам управления рисками и к документированному процессу нет, а глубину работы организация выбирает сама. Главная планка в пункте 6.1.2: действия соразмерны возможному влиянию на соответствие продукции и услуг. Именно эти требования проверяют на аудите при сертификации по ISO 9001. В Беларуси действует идентичный стандарт СТБ ISO 9001-2015, поэтому номера пунктов те же.
Где ещё в стандарте встречаются риски
Риски не заканчиваются на пункте 6.1, и аудитор пройдёт по связанным требованиям. Если подтверждения есть только в одном месте, у проверяющего возникнет вопрос, живёт ли подход в системе.
Вот пять мест, где стандарт возвращается к теме:
- пункт 4.4.1: при описании процессов учитывают риски и возможности, определённые по пункту 6.1;
- пункт 5.1.1: руководство продвигает процессный подход и работу с рисками;
- пункт 9.1.3: при анализе данных оценивают результативность действий по рискам и возможностям;
- пункт 9.3.2: итоги этих действий входят в материалы для анализа со стороны руководства;
- пункт 10.2.1: после корректирующего действия при необходимости обновляют риски и возможности, определённые при планировании.
Вместе получается цепочка: определили, встроили в процессы, проверили, довели до руководства, обновили. Аудитор может проверять её с любого звена.
Риски и возможности: чем отличаются
Риск может помешать результату, а возможность может дать системе дополнительный результат. Пункт 6.1.1 требует работать с обеими сторонами, а возможности в записях легко теряются. Среди вариантов реакции пункт 6.1.2 называет даже принятие риска ради возможности.
Условный пример: срыв поставки ключевого сырья относится к рискам, а новое оборудование, которое сократит брак, к возможностям. Одна ситуация бывает и тем и другим. Смена поставщика снижает зависимость от одного партнёра и заодно может открыть более короткий срок поставки. Возможность тоже требует действия с ответственным и проверкой, иначе она остаётся пожеланием.
Как найти риски, не изобретая метод
Начните с контекста организации: пункт 6.1.1 прямо отсылает к внешним и внутренним факторам (пункт 4.1) и к требованиям заинтересованных сторон (пункт 4.2). Значит, исходный материал у вас уже есть в анализе контекста.
Группу лучше собрать из руководителей процессов, а не поручать одному специалисту по качеству: тот, кто знает процесс изнутри, видит сбои раньше, чем документ. Дальше пройдите по процессам и задайте каждому один вопрос: что может помешать получить результат? Подсказками служат жалобы клиентов, несоответствия, итоги внутренних аудитов и сбои у поставщиков. В этих записях риск уже один раз реализовался, поэтому они надёжнее догадок.
Таблица рисков для небольшой организации
Небольшой организации хватает одной таблицы, где каждый риск привязан к процессу и имеет ответственного. Ниже условный пример записи риск-ориентированного мышления, который можно взять за основу.
| Процесс | Что может помешать или помочь | Действие | Кто и когда проверяет |
|---|---|---|---|
| Закупки | Поставщик срывает срок по ключевому материалу | Резервный поставщик, оценка поставщиков раз в квартал | Руководитель закупок, раз в квартал |
| Производство | Новое оборудование снизит долю брака (возможность) | Пробный запуск на одной линии, сравнение брака до и после | Главный инженер, через три месяца |
| Работа с клиентами | Жалобы на долгий ответ по рекламациям | Единый журнал обращений и контроль срока ответа | Менеджер по качеству, ежемесячно |
Колонка с проверкой закрывает требование оценить результативность действий (пункт 6.1.2). Без неё таблица остаётся списком опасений.
Баллы и матрицы стандарт не требует. Если вы их применяете, заранее определите, при каком значении риск требует действий, иначе оценки не влияют на решения.
Что показать аудитору
Аудитору нужно подтверждение, что риск-ориентированное мышление в ISO 9001 влияет на решения, а форма записи вторична. Это может быть таблица рисков, протокол совещания, SWOT-анализ или карта процесса с отмеченными рисками.
Перед аудитом соберите цепочку из пяти звеньев:
- Анализ контекста и заинтересованных сторон, из которого взяты риски.
- Запись с рисками, возможностями и действиями по ним.
- Места, где действия встроены в процессы: инструкции, критерии приёмки, графики проверок.
- Результат проверки действий: что сработало и что нет.
- Протокол анализа со стороны руководства, где итоги рассмотрены.
Аудитор может попросить показать на примере. Возьмите одно действие и проведите его от строки в таблице до протокола руководства. Если хотя бы одно звено пустое, подход работает только на бумаге.
Условный проход одного риска выглядит так. В анализе контекста отмечено, что клиенты ждут быстрого ответа на рекламации (пункт 4.2). В таблице появляется риск потери клиентов из-за долгих ответов и действие: единый журнал обращений с контролем срока. Правило вписано в инструкцию по работе с рекламациями. Через квартал в данных видно, сколько обращений закрыто в срок (пункт 9.1.3). Итог попадает в протокол анализа руководством, где записано решение: оставить действие, усилить или заменить.
Из-за чего аудитор записывает замечания
По пункту 6.1 аудитор может записать замечание в нескольких типичных ситуациях:
- риски определили при внедрении системы и больше не пересматривали;
- таблицу скопировали из шаблона, и в ней риски, которых у организации нет;
- действия записаны, но их результативность никто не оценивал;
- возможностей в таблице нет совсем;
- оценка в баллах есть, а решение по высоким рискам не принято;
- итоги не дошли до анализа со стороны руководства.
Все шесть случаев объединяет одно: запись существует отдельно от работы. Лечится это привязкой каждого риска к процессу, ответственному и сроку проверки.
Как держать подход живым без лишней бумаги
Пересматривайте риски там, где система и так оценивается: при плановом анализе руководством, после внутреннего аудита, при изменении процесса, появлении нового поставщика, серьёзной жалобе или корректирующем действии. Отдельный ритуал вводить не нужно, достаточно строки в повестке этих событий. Так подход остаётся рабочим инструментом.
Та же логика действует и в других стандартах менеджмента. Например, система по ISO 14001 тоже требует определять риски и возможности, поэтому таблицу можно сделать общей для нескольких систем.
Где пригодится консультант
Мы работаем с 2011 года и сопровождаем компании от разработки системы менеджмента до сертификации. Помощь нужна и на стыке нескольких стандартов, когда риски приходится вести в интегрированной системе без дублирования записей. Стоимость и срок зависят от размера организации и числа стандартов, поэтому рассчитываются индивидуально после оценки документов.
