Rokiškis Rabinovičius

Kadangi užsižiebė šioks toks triukšmas dėl ISO sertifikavimo įmonės TUV Uolektis bei jos galimai įtariamų sąsajų su konsulatacine įmone Uolektis, tai parašysiu truputį komentarų iš reikalų, susijusių su ISO sertifikacijomis. Mano asmeninė nuomonė čia labai paprasta, tačiau kadangi pagal galimybę noriu būti nešališkas kolegų blogerių atžvilgiu, savo nuomonę paremsiu atitinkamais kriterijais, susijusiais su standartų reikalavimais.

Visi sertifikavimo ir auditavimo reikalavimai yra apibrėžiami standartais (visų pirma reiktų žiūrėti į ISO-17021 ir ISO-19011) ir jie yra pakankamai aiškūs ir detalūs, kad kiekvienas pats galėtų pasakyti, kas per reikalas yra ir kur čia kam nors gali kilti abejonės. Todėl pateiksiu ir atitinkamus standartų reikalavimus, kad kiekvienas galėtų susidaryti savo nuomonę.

Noriu tik pabrėžti, kad reikalas nėra nereikšmingas: ISO sertifikavimo mechanizmai yra viena iš prasmingiausių nevalstybinio reguliavimo priemonių. Įmonės, kurios atitinka vienų ar kitų ISO standartų reikalavimus, geba veikti gerai, todėl valstybinės priežiūros joms reikia mažiau, o negana to – verslo partneriai jomis gali pasitikėti daug labiau. Tačiau kai į sertifikavimus įlenda negeros praktikos, sertifikatai praranda prasmę ir vertę.

Lietuvoje ISO-9001 ir panašūs sertifikavimai yra gerokai nuvertėję, daugelio laikomi tiesiog popieriukais, kurie nieko nereiškia. Taip atsitinka dėl vienos priežasties: jei kažkurios sertifikuojančios įstaigos išduoda tuos sertifikatus, kai realios atitikties standarto reikalavimams nėra, tai žmonės ir supranta paprastai, kad popierius tėra popierius. Dėl to paskui labai kenčia ir Lietuvos įmonės, kuriomis nepasitiki užsienio partneriai, ir dėl to jau visai šaliai blogiau.

Kai kokia nors firma turi draugišką (pvz., per nuosavybę susijusią, dukterinę ar tuos pačius darbuotojus turinčią) įmonę ir toje draugystėje pirmoji konsultuoja, o antroji sertifikuoja – tai gali būti labai konkreti neatitiktis audituojančių ir sertifikuojančių organizacijų reikalavimams. Kadangi ISO standartai reikalauja ne formalaus teisinio, o pagrindžiamo ir neformalaus požiūrio, su kuriuo būtų pateikiami pozityvūs atitikties įrodymai, klausimas čia nėra teisinis, kaip gal būt kažkam gali pasirodyti irba gal būt kažkam gali norėtis pavaizduoti.

Vertinant atitiktį standartams, reiktų remtis imperatyvu, nurodančiu, kad vertinamasis turi parodyti, o tikrintojas – gauti įrodymus, kad atitiktis standartų reikalavimams yra. Remtis prielaida, kad atitiktis yra pagal nutylėjimą – negalima, nes pati standartizacijos esmė yra susijusi su reikalavimu pateikti įrodymą, kad atitiktis yra.

Kadangi klausimas čia kyla dėl atitikties ISO-17021 standarto reikalavimams bei ISO-19011 standarto gairėms, minėtasis klausimas yra nagrinėtinas, preziumuojant, kad kilus bet kokioms abejonėms, vertinamasis turėtų pademonstruoti, kad jis atitinka tuos reikalavimus, o bet kokios abejonės, kylančios vertinančiai pusei, turi būti išsklaidomos faktais ir įrodymais, kurie pozityviai pademonstruotų atitiktį reikalavimams, įvardinamiems standarte. Nesant atitinkamų faktų ir įrodymų, turėtų būti konstatuojama, kad atitiktis atitinkamu atveju nėra pademonstruota, atitinkamai, įrodymų dėl jos nėra.

Todėl, remiantis imperatyvu dėl atitikties įrodymo, nesant atitikčių įrodymų ar galimas neatitiktis paneigiančių įrodymų, atitikties negalime patvirtinti. Kitaip tariant, negana to, kad turi būti demonstruojama atitiktis atitinkamų standartų reikalavimams, būtent abejones kelianti pusė turi pademonstruoti, kad tos abejonės nėra teisingos arba kad yra imamasi priemonių, kurios užtikrintų, kad atitiktis realizuojama kitais būdais.

Kalbant visai trumpai, nagrinėjant atitiktį standarto reikalavimams, preziumuojama, kad atitikties nėra ir pagal visus atitikties reikalaujančius standarto punktus turėtų būti tikrinama, ar yra įrodymai, kad atitiktis yra. Štai tą ir pasižiūrėkime.

Duotuoju atveju ginčas apie audituojančių ir konsultuojančių įmonių atskyrimą kyla dėl to, kad tos įmonės yra susijusios. Šiuo atveju ISO/IEC 17021:2011 standartas turi nemažai punktų. Čia vat pažiūrėkime į kai kuriuos (toli gražu ne visus), kurie gali būti įdomesni:

4.2.1 Being impartial, and being perceived to be impartial, is necessary for a certification body to deliver certification that provides confidence.

4.2.2 It is recognized that the source of revenue for a certification body is its client paying for certification, and that this is a potential threat to impartiality.

4.2.3 To obtain and maintain confidence, it is essential that a certification body’s decisions be based on objective evidence of conformity (or nonconformity) obtained by the certification body, and that its decisions are not influenced by other interests or by other parties.

4.2.4 Threats to impartiality include the following.

a) Self-interest threats: threats that arise from a person or body acting in their own interest. A concern related to certification, as a threat to impartiality, is financial self-interest.

b) Self-review threats: threats that arise from a person or body reviewing the work done by themselves. Auditing the management systems of a client to whom the certification body provided management systems consultancy would be a self-review threat.

c) Familiarity (or trust) threats: threats that arise from a person or body being too familiar with or trusting of another person instead of seeking audit evidence.

d) Intimidation threats: threats that arise from a person or body having a perception of being coerced openly or secretively, such as a threat to be replaced or reported to a supervisor.

4.4.1 The client organization, not the certification body, has the responsibility for conformity with the requirements for certification.

4.5.1 A certification body needs to provide public access to, or disclosure of, appropriate and timely information about its audit process and certification process, and about the certification status (i.e. the granting, extending, maintaining, renewing, suspending, reducing the scope of, or withdrawing of certification) of any organization, in order to gain confidence in the integrity and credibility of certification. Openness is a principle of access to, or disclosure of, appropriate information.

4.7 Responsiveness to complaints. Parties that rely on certification expect to have complaints investigated and, if these are found to be valid, should have confidence that the complaints will be appropriately addressed and that a reasonable effort willbe made to resolve the complaints. Effective responsiveness to complaints is an important means of protection for the certification body, its clients and other users of certification against errors, omissions or unreasonable behaviour. Confidence in certification activities is safeguarded when complaints are processed appropriately.

5.2.1 The certification body shall have top management commitment to impartiality in management system certification activities. The certification body shall have a publicly accessible statement that it understands the importance of impartiality in carrying out its management system certification activities, manages conflict ofinterest and ensures the objectivity of its management system certification activities.

5.2.2 The certification body shall identify, analyse and document the possibilities for conflict of interests arising from provision of certification including any conflicts arising from its relationships. Having relationshipsdoes not necessarily present a certification body with a conflict of interest. However, if any relationship creates a threat to impartiality, the certification body shall document and be able to demonstrate how it eliminates orminimizes such threats. This information shall be made available to the committee specified in 6.2. The demonstration shall cover all potential sources of conflict of interests that are identified, whether they arise from within the certification body or from the activities of other persons, bodies or organizations.

5.2.6 The certification body and any part of the same legal entity shall not offer or provide internal audits toits certified clients. The certification body shall not certify a management system on which it provided internal audits within two years following the end of the internal audits. This also applies to that part of government identified as the certification body.

5.2.7 The certification body shall not certify a management system on which a client has received management system consultancy or internal audits, where the relationship between the consultancy organization and the certification body poses an unacceptable threat to the impartiality of the certification body.

5.2.9 The certification body’s activities shall not be marketed or offered as linked with the activities of an organization that provides management system consultancy. The certification body shall take action to correct inappropriate claims by any consultancy organization stating or implying that certification would be simpler, easier, faster or less expensive if the certification body were used. A certification body shall not state or imply that certification would be simpler, easier, faster or less expensive if a specified consultancy organization were used.

5.2.10 To ensure that there is no conflict of interests, personnel who have provided management system consultancy, including those acting in a managerial capacity, shall not be used by the certification body to take part in an audit or other certification activities if they have been involved in management system consultancy towards the client in question within two years following the end of the consultancy.

5.2.11 The certification body shall take action to respond to any threats to its impartiality arising from the actions of other persons, bodies or organizations.

5.2.12 All certification body personnel, either internal or external, or committees, who could influence the certification activities, shall act impartially and shall not allow commercial, financial or other pressures to compromise impartiality.

5.3.2 The certification body shall evaluate its finances and sources of income and demonstrate to the committee specified in 6.2 that initially, and on an ongoing basis, commercial, financial or other pressures do not compromise its impartiality.

6.2.3 Although this committee cannot represent every interest, a certification body should identify and invite key interests. Such interests may include: clients of the certification body, customers of organizations whose management systems are certified, representatives of industry trade associations, representatives of governmental regulatory bodies or other governmental services, or representatives of non-governmental organizations, including consumer organizations.

Kaip matome, punktų, kurie turėtų būti nagrinėjami, yra pakankamai nemažai. Detalizuojant ir verčiant į lietuvių kalbą, šie punktai verčia užduoti tokius klausimus, į kuriuos norėtųsi atsakymų:

4.2.1 Kadangi nešališkumas yra privaloma sąlyga, ar yra pozityvūs įrodymai, kad nagrinėjama įmonė yra nešališka ir gali vykdyti pasitikėjimą keliančią sertifikaciją?

4.2.2 Kadangi pajamos, kurias gauna sertifikuotojas iš įmonės, yra gaunamos iš kliento, pajamų šaltiniai ir finansinės sąsajos turi būti nagrinėjami, kaip galintys turėti įtaką nešališkumui. Ar yra įrodymai, kad finansinės sąsajos nedaro tokios įtakos?

4.2.3 Tam, kad būtų galima pasitikėti tokia sertifikacija, sertifikuotojo sprendimai turi būti paremti objektyviais įrodymais ir neturi būti įtakojami kitų interesų ar trečiųjų šalių. Ar yra įrodymai, kad kokie nors galimi interesai ar trečiosios šalys čia negali padaryti įtakos?

4.2.4 Detalizuojant pavojus nešališkumui, reikia išnagrinėti šiuos punktus:

a) Savo interesų keliami pavojai. Ar nėra pavojų nešališkumui, susijusių su paties sertifikuotojo ar tenai dirbančių asmenų interesais, pvz., finansiniais?

b) Savęs vertinimo pavojai. Ar nėra pavojų nešališkumui, susijusių su galimu savo pačių darbo vertinimu?

c) Pasitikėjimo pavojai. Ar nėra pavojų nešališkumui, kylančių iš pasitikėjimo asmenimis ar organizacijomis, siekiančiomis sertifikacijos?

d) Bauginio ar nesaugumo pavojai. Ar nėra pavojų nešališkumui, kylančių dėl to, kad tiesiogiai ar netiesiogiai kas nors iš darbuotojų gali būti nubaustas už kokius nors veiksmus?

4.4.1 Kliento organizacija, o ne sertifikuotojas turi užtikrinti atitiktį sertifikavimui. Šiuo atveju turime užduoti klausimą dėl to, kad ir šiam standartui turintis atitikti sertifikuotojas nagrinėtinas kaip akreditacinio proceso klientas, kuris irgi turi užtikrinti atitiktį sertifikavimui, kitaip tariant, sugebėti pateikti atitinkamus įrodymus dėl atitikties.

4.5.1 Sertifikuojanti organizacija turi suteikti viešą informaciją apie tai, kokios organizacijos ir kaip yra sertifikuojamos, kad būtų galima įvertinti sertifikacijos tinkamumą. Atvirumas yra pagrindinis principas, kuriuo čia turėtų būti vadovaujamasi. Ar tikrai sertifikuojančioji organizacija duotuoju atveju pateikia informaciją apie save ir sertifikuojamas įstaigas, kuri leistų įsitikinti jos vykdomų sertifikacijų nešališkumu ir patikimumu?

4.7 Gebėjimas užtikrinti skundų sprendimą. Kadangi šalys, kurioms sertifikavimas yra svarbu (įskaitant ir sertifikuojamas įmones, ir tas, kurios daro sprendimus, remiantis tų įmonių sertifikatais), turi būti užtikrintos, kad skundai bus išnagrinėti ir jei jie pasiteisins, bus imtasi priemonių, kad neigiamos pasekmės būtų ištaisytos. Efektyvus nusiskundymų valdymas yra svarbi priemonė, skirta ir paties sertifikuotojo, ir jo sertifikuojamų įmonių saugumo ir gero įvaizdžio užtikrinimui. Tai verčia užduoti klausimą, ar sertifikuotojas išties reaguoja į jam keliamus klausimus ir ar sugeba pateikti atsakymus per priimtiną laiką?

5.2.1 Sertifikuojančios organizacijos aukščiausioji vadovybė turi užtikrinti, kad valdymo sistemų sertifikavimas bus nešališkas. Sertifikuotojas turi turi viešai deklaruoti, kad jis supranta nešališkumo svarbą, vykdydamas valdymo sistemų sertifikavimą, valdo interesų konfliktus ir užtikrina, kad valdymo sistemų sertifikavimo veiksmai bus teisingi. Norėtųsi sužinoti, kur yra skelbiamas nagrinėjamos organizacijos įsipareigojimas dėl galimų interesų konfliktų valdymo?

5.2.2 Sertifikuojanti įstaiga privalo identifikuoti, išanalizuoti ir sudokomentuoti galimybes interesų konfliktui, kylančias, sertifikuojant, įskaitant ir konfliktus, kylančius dėl įvairių sąsajų. Sąsajų buvimas nebūtinai reiškia, kad interesų konfliktas yra. Bet jei kokie nors sąryšiai kelia pavojų nešališkumui, sertifikuojanti organizacija privalo tai dokumentuoti ir sugebėti pademonstruoti, kaip tą pavojų ji panaikina. Ši informacija privalo būti pateikiama 6.2 nurodytam komitetui. Sertifikuojanti organizacija čia turi išnagrinėti visus galimus pavojų šaltinius, kurie tik yra identifkuoti, nesvarbu, ar jie kyla iš organizacijos vidaus, ar iš kitų asmenų ar organizacijų. Klausimas, ar sertifikuojanti organizacija užtikrina ir kaip ji užtikrina, kad galimi pavojai išties yra identifikuojami, išnagrinėjami ir eliminuojami efektyviai?

5.2.6 Sertifikuotojas ir bet kuri tos pačios organizacijos dalis negali siūlyti ar vykdyti vidinių auditų savo klientams. Sertifikuojanti organizacija negali sertifikuoti valdymo sistemų, kurių vidinį auditą vykdė, du metus nuo vidinių auditų pabaigos. Čia yra vienas iš klausimų apie tai, kaip užtikrinama, kad esant susijusioms įmonėms, bus nevykdomi sertifikavimai iki tol audituotoms įmonėms?

5.2.7 Sertifikuotojas negali sertifikuoti valdymo sistemos, kai dėl jos klientas gavo konsultacijas ar vidinius auditus, kai sąsajos tarp sertifikuotojo ir konsultuojančios organizacijos kelia nepriimtiną grėsmę sertifikuotojo nešališkumui. Štai čia yra raktinis klausimas, kurį jau ir patys suprantate – visas triukšmas yra dėl to.

5.2.9 Sertifikuotojo veiksmai negali būti siūlomi rinkai, kaip susiję su konsultuojančios organizacijos veiksmais. Sertifikuotojas turi imtis veiksmų tam, kad būtų pataisomi neteisingi teiginiai, kuriuos gali platinti bet kokia konsultuojanti organizacija, teigianti ar besiremianti prielaida, kad sertifikacija gali būti paprastesnė, lengvesnė, greitesnė ar pigesnė, jei bus pasirinktas duotasis sertifikuotojas. Sertifikuotojas negali teigti ar kaip nors remtis prielaidomis apie tai, kad sertifikavimas bus lengvesnis, greitesnis, paprastesnis ar pigesnis, jei klientui padės konkreti konsultacinė firma. Čia galime ir apsiriboti klausimu apie pavadinimų panašumą, bet galime ir daugiau klausimų užduoti – kokių tik į galvą šautų.

5.2.10 Tam, kad būtų užtikrinta, kad čia nėra interesų konflikto, darbuotojai, kurie vykdė valdymo sistemos konsultacijas, įskaitant ir tuos, kas vadovavo, neturi būti naudojami sertifikuojamų organizacijų auditavimui du metus nuo konsultacijų pabaigos. Čia ir vėl norėtųsi užtikrintumo, nes klausimas atrodo visai paprastas, tiesa?

5.2.11 Sertifikuotojas turi imtis veiksmų, tam, kad būtų apsisaugota nuo pavojų nešališkumui, kylančių iš kitų asmenų ar organizacijų. Čia ir vėl užduokime klausimą, kokių veiksmų imtasi?

5.2.12 Visi sertifikuotojo darbuotojai, ir vidiniai, ir išoriniai, taip pat ir komitetai, kurie gali įtakoti sertifikavimo veiksmus, turi elgtis nešališkai ir turi neleisti komercinių, finansinių ar kitų įtakų, kurios gali įtakoti nešališkumą. Čia ir vėl tas pats klausimas, kokių veiksmų imamasi, užtikrinant nešališkumą ir tų galimų pavojų stabdymą?

5.3.2 Sertifikuotojas privalo vertinti savo finansus ir pajamų šaltinius ir parodyti kometetui, nurodytam 6.2, kad nuosekliai nuo pat pradžių komercinės, finansinės ar kitos įtakos nepažeidžia nešališkumo.

6.2.3 Nors 6.2 įvardinamas komitetas negali atstovauti bet visų interesų, sertifikuotojas privalo identifikuoti ir įtraukti į komitetą svarbių interesų atstovus. Tokių interesų atstovai gali būti sertifikuotojo klientai, sertifikuojamų organizacijų klientai, verslo asociacijos, valdžios reguliuojančios įstaigos, visuomeninės organizacijos, įskaitant ir vartotojų organizacijas, etc.. Čia yra dar vienas klausimas: kokios organizacijos įeina į atitinkamą komitetą, užtikrinantį nagrinėjamos įmonės nešališkumą? Ir kaip užtikrinama, kad tarp tų organizacijų bus tos, kurios išties yra suinteresuotos nešališku sertifikavimo atlikimu?

Mano akimis, Commonsense.lt yra suinteresuoti, kad auditai ir sertifikavimai ISO standartui būtų vykdomi nešališkai ir tiksliai. Kadangi jie užsiima verslo konsultavimu pagal ToC, teisingas sertifikavimas jiems yra labai aktualus: esant geroms, ISO-9001 atitinkančioms valdymo sistemoms, jie gali kardinaliai lengviau gauti informaciją apie konsultuojamas įmones, ten esančius procesus, efektyviau vykdyti tų įmonių veiklos gerinimą.

Todėl, mano akimis, TUV Uolektis galėtų pasikviesti Commonsense.lt į priežiūros komitetą, numatytą ISO/IEC 17021 6.2 punktu, taip ir užtikrindami savo pačių nešališkumą, ir gaudami galimybę įrodyti, kad išties yra nešališki. Tai būtų paprasčiausias sprendimas, kuris padėtų visiems, juoba, kad jis atitinka standarto ISO/IEC 17021 reikalavimus ir turėtų atitikti TUV Uolektis interesus dėl nešališkumo užtikrinimo.

Rimtesnis sprendimas būtų, jei Nacionalinis Akreditacijos Biuras prie Ūkio Ministerijos, įvertinęs galimus įtarimus dėl sąsajų galimybės, imtųsi veiksmų, kreipdamasis dėl galimų neatitikčių įvertinimo į Vokietijos Deutsche Akkreditierungsstelle GmbH (DAkkS), taip sukeliant klausimą dėl nešališkumo ir TUV Uolektis motininei bendrovei TÜV THÜRINGEN e.V.