審査の現場から（その2）
かつては、規格要求事項をすべて網羅したマニュアルや規程・手順書があって、その通りに実施したことを示す記録がある、これが審査の前提でした。
審査員：内部監査の手順を説明してください。
組 織：「内部監査規程」に定めています。管理責任者は毎年〇月に「内部監査計画書」を作成し、監査員を指名します。指名された監査員は「内部監査チェックリスト」を作成し、当日に備えます。監査終了後、「内部監査報告書」を作成し、不適合があれば「是正処置報告書」を作成し、対応します。
審査員：では、最近実施した内部監査で作成した文書を見せてください。
てな、感じでした。多くの監査項目が「～の手順を説明してください」「手順通りに実施した証拠（記録）を見せてください」みたいなやりとり。で、承認蘭にハンコがないと、「〇が承認することになっているのに、その通りになっていない」で、不適合。
ある意味、審査もラクでしたよね。
文書化要求が少なくなった今、文書化されていないから不適合はありません。もちろん、現在の規格でも文書化を求められている項目があるので、その文書がなければ不適合となりますが…
イメージでは、かつては行動のすべてを文書化し、その通りに実施した証拠として記録を作る、でした。現在は仮に文書化されていなくても、活動が規格を満たしていれば適合とする、こんな感じです。
私は審査では、新規認証審査を除いて、組織が作ったとされるマニュアルや規程は見ません。
組織が作ったとされる＝コンサルタントが作った
多くの場合は規格要求事項のコピペ、またはオウム返しで実態と整合していないことが多いため、見ての意味がないと感じているからです。
どんなに優秀なコンサルタントでも、組織の実態に合ったマニュアルや規程を作るのはかなり難しいです。
次回はISO/IEC27001附属書A（適用宣言書）でありがちな事例を紹介します。
