ISO19011：2018管理体系审核指南

ISO19011:2018管理体系审核指南前言ISO（国际标准化组织）是各国标准化团体（ISO成员团体）组成的世界性联合会。制定国际标准的工作通常由ISO的技术委员会完成。各成员团体若对某技术委员会确立的项目感兴趣，均有权参加该委员会的工作。与ISO保持联系的各国际组织（官方的或非官方的）也可参加有关工作。在电工技术标准化方面，ISO与国际电工委员会（IEC）保持密切合作关系。ISO/IEC指令第1部分描述了用于开发和保持本标准的程序。特别是，应注意不同类型的ISO文档所需的不同批准标准。本文件是根据ISO/IEC指令第2部分的编辑规则起草的（见）。本文中的某些内容可能涉及一些专利问题，对此应引起注意，ISO不负责识别任何或所有的此类专利权问题。在文件制定过程中已经确认的任何专利权的详细信息将在引言/或收到的专利声明ISO清单中（见）。本文中使用的任何商标名称都是为方便用户而提供的信息，并不构成认可。有关标准的自愿性质的解释，与合格评定相关的ISO特定术语和表达的含义，以及ISO在技术性贸易壁垒（TBT）中遵守世界贸易组织（WTO）原则的信息，请参阅本文件由ISO/PC302管理体系审核指南项目委员会编写。第三版取消并取代了第二版（ISO19011：2011），该版本已经过技术性修订。与第二版相比的主要差异如下：——增加了基于风险方法的审核原则；——扩大了审核方案管理的指南，包括审核方案风险；——扩大审核实施的指南，特别是审核策划部分；——扩大了审核员的一般能力要求；——调整术语以反映过程而不是对象（“事项”）；——删除了附件中包含审核特定管理体系专业能力要求（由于太多的管理体系标准，将所有专业的能力要求包括在内是不切实际的）;——扩展附件A，以为审核（新）概念提供指南，如组织环境，领导作用和承诺，虚拟审核，合规和供应链。引言本文件第二版自2011年出版以来，已经出版了许多新的管理体系标准，其中许多标准具有共同的结构、相同的核心要求以及共同的术语和核心定义。因此，有必要考虑更广泛的管理体系审核方法，并提供更通用的指导。审核结果可以为业务计划的分析方面提供输入，并且可以有助于识别改进需求和活动。审核可以依据一系列单独或组合的审核准则进行，包括但不限于：——在一个或多个管理体系标准中定义的要求；——有关相关方指定的方针和要求；——法律和法规要求；——组织或其他各方确定的一个或多个管理体系过程；——与管理体系特定输出(如质量计划、项目计划)有关规定相关的管理体系策划。本文件提供的指南适用于所有规模和类型组织的不同范围和规模的审核，包括由大的审核组（通常为大型组织）以及由单个审核员进行的审核，无论其是大型组织还是小型组织。本指南宜与审计方案的范围、复杂程度和规模相适宜。本文件注重于内部审核（第一方）和组织对其外部供方和其他外部相关方（第二方）进行的审核。本文件也可用于第三方管理体系认证以外的其他目的的外部审核。ISO/IEC170211为管理体系第三方认证规定了要求。该文件可以提供有用的附加指导（见表1）表1-审核类型的区分第一方审核第二方审核第三方审核内部审核外部供方的审核认证和或委派审核其他外部相关方出于法律法规、行政监管和类似目的的审核为了简化本文件的可读性，文件中的“管理体系”是单数形式，但是读者可以结合自身的具体情况实施该指南。这也适用于“人员（单数）”和“人员（复数）”、“审核员（单数）”和“审核员（复数）”的使用。本文件拟适用于广泛的潜在使用者，包括审核员、实施管理体系的组织以及由于合同或法律法规要求需要实施管理体系审核的组织。本文的使用者可以应用这些指南制定其与审核相关的要求。本文档中的指南也可用于自我声明，对参与审核员培训或人员认证的组织有用。就灵活运用本文档的指南。正如本文所述，应根据组织管理体系的规模、成熟度水平、受审核组织的性质和复杂所实施的审核目标和范围的不同，来使用本指南。本标准采用的方法适用于两个或更多的不同领域的管理体系共同审核的场合。当这些管理体系整合为一个管理体系时，审核原则和过程与结合审核相同（有时称为“结合审核”）。本文为审核方案的管理、管理体系审核的策划和实施以及审核员和审核组的能力和评价提供指南。管理体系审核指南1范围本文件提供了管理体系审核指南，包括审核原则，审核方案的管理和管理体系审核的实施，也对参与管理体系审核过程的人员的能力提供了评价指南，这些活动包括管理审核方案、审核员和审核组的人员。本标准适用于需要策划和实施管理体系内部审核、外部审核或需要管理审核方案的所有组织。只要对所需要的特定能力给予特殊考虑，本文件也可应用于其他类型的审核。2规范性引用文件本文件无规范性引用文件。3术语和定义下列术语和定义适用于本文件。ISO和IEC在以下地址保持用于标准化的术语数据库：——ISO在线浏览平台：可在/obp获得；——IECElectropedia：可在/获得。Audit审核为获得客观证据（）并对其进行客观的评价，以确定满足审核准则（）的程度所进行的系统的、独立的并形成文件的过程。注1：内部审核，有时称为第一方审核，由组织自己或以组织的名义进行。注2：通常，外部审核包括第二方和第三方审核。第二方审核由组织的相关方，如顾客或由其他人员以相关方的名义进行，第三方审核由外部独立的审核组织进行，如提供合格认证/注册的组织或政府机构。【源自：ISO9000:2015,，改写——注已被修改】combinedaudit多体系审核在一个受审核方（），对两个或两个以上管理体系（）一起实施的审核（）。注1：当两个或两以上多个不同领域的管理体系整合为一个管理体系时，称为整合管理体系。【源自：ISO9000:2015，，改写】jointaudit联合审核在一个受审核方（），由两个或两个以上审核组织同时实施的审核（）【源自：ISO9000:2015，】auditprogramme审核方案针对特定时间段所策划并具有特定目标的一组（一次或多次）审核的安排。【源自：ISO9000:2015，，改写——修改后的措辞已添加到定义中】auditscope审核范围审核的内容和界限注1：审核范围通常包括对实际和虚拟位置、职能、组织单元、活动和过程以及所涵盖时间段的描述。注2：虚拟位置指允许个人在不同的物理位置使用在线环境执行工作或提供服务的位置。【源自：ISO9000:2015，，改写——注1已被修改，注2为增加】auditplan审核计划对审核（）活动和安排的描述【源自：ISO9000:2015，】auditcriteria审核准则用于与客观证据（）进行比较的一组要求（）注1：如果审核准则是法律要求（包括法定或监管），审核发现（）中经常使用“合规”或“不合规”。注2：要求可能包括方针、程序、工作指示、法律要求、合同义务等。【源自：ISO9000:2015，，改写——定义已被修改，注1和注2为增加】objectiveevidence客观证据支持事物存在或其真实性的数据注1：客观证据可通过观察、测量、试验或其他方法获得。注2：通常，用于审核（）目的的客观证据，是由与审核准则（）相关的记录、事实陈述或其他信息所组成并可验证。【源自：ISO9000:2015，】auditevidence审核证据与审核准则（）有关并能够证实的记录、事实陈述或其他信息【源自：ISO9000:2015，】auditfindings审核发现将收集的审核证据（）对照审核准则（）进行评价的结果注1：审核发现表明符合（）或不符合（）。注2：审核发现可导致识别改进的风险、机会或记录良好实践。注3：英文中，如果审核准则选自法律要求或法规要求，审核发现称为合规或不合规。【源自：ISO9000:2015，，改写——注2和注3已被修改】auditconclusion审核结论考虑了审核目标和所有审核发现（）后得出的审核（）结果【源自：ISO9000:2015，】auditclient审核委托方要求审核（）的组织或个人注1：在内部审核的情况下，审核委托方也可以是受审核方（）或审核方案管理员。外部审核可能来自监管机构、协议方或潜在、现顾客等的要求。【源自：ISO9000:2015，，改写——注1为增加】auditee受审核方被审核的组织整体或其部分【源自：ISO9000:2015，，改写】auditteam审核组实施审核（）的一名或多名人员，需要时，由技术专家（）提供支持注1：审核组（）中的一名审核员（）被指定作为审核组长。注2：审核组可包括实习审核员。【源自：ISO9000:2015，】auditor审核员实施审核（）的人员【源自：ISO9000:2015，】technicalexpert技术专家审核向审核组（）提供特定知识或专业技术的人员注1：特定知识或专业技术指与组织、活动、过程、产品、服务、审核领域以及语言或文化有关。注2：审核组的技术专家（）不作为审核员（）。【源自：ISO9000:2015，，改写——注1和注2已被修改】observer观察员随同审核组（）但不作为审核员（）的人员【源自：ISO9000:2015，，修改】managementsystem管理体系组织建立方针和目标以及实现这些目标的过程（）的相互关联或相互作用的一组要素。注1：一个管理体系可以针对单一的领域或几个领域，如质量管理、财务管理或环境管理。注2：管理体系要素规定了组织的结构、岗位和职责、策划、运行、方针、惯例、规则、理念、目标，以及实现这些目标的过程。注3：管理体系的范围可能包括整个组织，组织中可被明确识别的职能或可被明确识别的部门，以及跨组织的单一职能或或多个职能。【源自：ISO9000:2015，，改写——注4已删除】risk风险不确定性的影响注1：影响是指偏离预期，可以是正面的或负面的。注2：不确定性是一种对某个事件，或是事件的局部的结果或可能性缺乏理解或知识方面的信息的情形。注3：通常，风险是通过有关可能事件（如ISO指南73：2009中所定义，）的后果（如ISO指南73：2009,中所定义）或两者的组合来描述其特性的。注4：通常，风险是以某个事件的后果（包括情况的变化）及其发生的可能性（如ISOGuide73：2009,中定义）的组合来表述的。【源自：ISO9000:2015，，改写——注5和注6已被删除】Conformity合格/符合满足要求（）【源自：ISO9000:2015，，改写——注1已被删除】nonconformity不合格/不符合未满足要求（）【源自：ISO9000:2015，，改写——注1已被删除】competence能力应用知识和技能实现预期结果的本领【源自：ISO9000:2015，，改写——注已被删除】requirement要求明示的、通常隐含的或必须履行的需求或期望注1：“通常隐含”是指组织和相关方的惯例或一般做法，所考虑的需求或期望是不言而喻的。注2：规定要求是经明示的要求，如在成文信息中阐明。【源自：ISO9000:2015，，改写——注3,4,5和6已被删除】process过程利用输入实现预期结果的相互关联或相互作用一组活动【源自：ISO9000:2015，，改写——注已删除】performance绩效可测量的结果注1：绩效可能涉及定量的或定性的结果。注2：绩效可能涉及活动、过程（）、产品、服务、体系或组织的管理。【源自：ISO9000:2015，，改写——注3已被删除】Effectiveness有效性完成策划的活动并得到策划结果的程度【源自：ISO9000:2015，，改写——注1已被删除】4审核原则审核的特征在于其遵循若干原则。这些原则有助于使审核成为支持管理方针和控制的有效与可靠的工具，并为组织提供可以改进其绩效的信息。遵循这些原则是得出相应和充分的审核结论的前提，也是审核员独立工作时，在相似情况下得出相似结论的前提。第5章~第7章中给出的指南是基于下列七项原则。a)诚实正直：职业的基础审核员和审核方案管理员应：——以诚实和负责任的精神道德地从事他们的工作；——只在有能力的情况下从事审核活动；——以不偏不倚的态度从事工作，即对待所有事