Вимоги ISO 9001 за розділами 4-10 (ДСТУ EN ISO 9001:2018 та ISO 9001:2026) і процедура акредитованої сертифікації СУЯ з Еконтроль

Коли підприємство виходить на міжнародний контракт з європейським замовником або готує тендерну пропозицію в системі державних закупівель, першим бар'єром комплаєнсу стає наявність сертифікованої системи управління якістю (СУЯ, англійською Quality Management System, QMS). На практиці директори з виробництва та головні інженери часто стикаються з парадоксом: текст стандарту ISO 9001 займає лише три десятки сторінок, але під час реального сертифікаційного аудиту непідготовлені компанії отримують суттєві невідповідності через нерозуміння того, як саме інспектор перевіряє кожну вимогу в цеху, на складі чи в ІТ-відділі.

Якщо вам спершу потрібен базовий огляд без інженерної термінології, радимо переглянути статтю ISO 9001 простими словами, а загальну концепцію побудови системи ми розглядали у матеріалі повний посібник з ISO 9001. У цьому інженерному розборі ми препаруємо вимоги ISO 9001 за розділами 4-10 очима провідного аудитора: які саме докази, реєстри та записи перевіряються під час Stage 1 і Stage 2, як узгоджуються між собою національні та міжнародні редакції стандарту та що змінює перехід на нову редакцію ISO 9001:2026.

Співвідношення ISO 9001:2015, ДСТУ ISO 9001:2015 та ДСТУ EN ISO 9001:2018 в Україні

В українському правовому полі розроблення і застосування національних стандартів регулюється Законом України «Про стандартизацію» № 1315-VII, а процедура сертифікації та акредитації підпорядкована Закону України «Про технічні регламенти та оцінку відповідності» № 124-VIII. Через те, що в тендерній документації замовники використовують різні позначення стандарту, варто чітко розрізняти три індекси:

1. ISO 9001:2015 (Quality management systems. Requirements). Оригінальна міжнародна редакція стандарту п'ятого видання, яку використовують іноземні корпорації під час проведення Vendor Due Diligence та міжнародні органи сертифікації.
2. ДСТУ ISO 9001:2015. Національний стандарт України, прийнятий методом ідентичного перекладу (ступінь відповідності IDT) міжнародного тексту 2015 року.
3. ДСТУ EN ISO 9001:2018. Національний стандарт України, гармонізований із європейською регіональною редакцією EN ISO 9001:2015 у межах євроінтеграційних зобов'язань України. Саме цей індекс найчастіше фігурує в актуальних реєстрах акредитації та специфікаціях публічних закупівель.

Усі три документи містять абсолютно ідентичну структуру розділів 1-10 та дослівно однакові нормативні вимоги до СУЯ. Жодної окремої «української специфіки» у вимогах до процесів немає: якщо ваша система управління якістю побудована за розділами 4-10, вона одночасно відповідає ДСТУ EN ISO 9001:2018, ДСТУ ISO 9001:2015 та міжнародному ISO 9001:2015.

Структура високого рівня Annex SL та інженерна логіка циклу PDCA

Стандарт побудований за уніфікованою структурою Annex SL (High-Level Structure, HLS), яка складається з 10 розділів. Перші три розділи (Розділ 1 «Сфера застосування», Розділ 2 «Нормативні посилання», Розділ 3 «Терміни та визначення» з відсиланням до словника ISO 9000:2015) не містять вимог для аудиту. Усі обов'язкові вимоги, за якими аудитор формує чек-лист перевірки, зосереджені в розділах 4-10 і працюють як замкнений інженерний контур за циклом PDCA (Plan-Do-Check-Act):

• Блок планування та архітектури системи (Plan): Розділ 4 (Контекст організації та сфера СУЯ), Розділ 5 (Лідерство і розподіл відповідальності) та Розділ 6 (Планування, управління ризиками, цілі якості та керування змінами).
• Блок забезпечення ресурсами та виконання операцій (Do): Розділ 7 (Підтримування: обладнання, метрологія, компетентність персоналу, документована інформація) та Розділ 8 (Операційна діяльність: від аналізу контракту і проєктування до закупівель, виробництва і контролю браку).
• Блок вимірювання та ревізії (Check): Розділ 9 (Оцінювання дієвості: моніторинг KPI, задоволеність клієнтів, внутрішній аудит і аналіз СУЯ з боку керівництва).
• Блок системної корекції та розвитку (Act): Розділ 10 (Поліпшення: робота з невідповідностями, аналіз кореневих причин і коригувальні дії CAPA).

Кліматична поправка Amd 1:2024 та вирівнювання з новою редакцією ISO 9001:2026 (FDIS)

Проєктуючи або оновлюючи СУЯ сьогодні, інженер з якості має враховувати дві нормативні зміни. По-перше, у лютому 2024 року набула чинності обов'язкова поправка ISO 9001:2015/Amd 1:2024 (Climate Action Changes), яка додала прямі вимоги щодо оцінки впливу кліматичних чинників до пунктів 4.1 і 4.2. По-друге, фінальний проєкт шостого видання стандарту ISO 9001:2026 (FDIS, розроблений технічним підкомітетом ISO/TC 176/SC 2) інтегрує цю кліматичну вимогу безпосередньо в основний текст і додає чотири точкові інженерні акценти:

• Культура якості та етична поведінка (п. 5.1.1 та п. 7.3): вище керівництво тепер зобов'язане демонструвати активні дії з формування культури якості та етики (неприпустимість фальсифікації протоколів випробувань, приховування дефектів чи тиску на контролерів ВТК), а персонал має усвідомлювати свою роль у підтримці цієї культури.
• Розділення ризиків та можливостей на окремі підпункти (п. 6.1.1, 6.1.2, 6.1.3): якщо в редакції 2015 року компанії записували ризики і можливості в одну колонку формальної таблиці, то в ISO 9001:2026 вимоги розділено: п. 6.1.1 встановлює загальні правила ідентифікації, п. 6.1.2 регулює превентивні дії щодо ризиків (загроз стабільності процесу), а п. 6.1.3 вимагає окремого опрацювання можливостей розвитку (впровадження нових технологій, диджиталізації, виходу на суміжні ринки).
• Посилений контроль змін у СУЯ (п. 6.3): додано вимогу не лише планувати зміни, а й забезпечувати структуровану комунікацію під час трансформації та проводити обов'язкову пост-оцінку результативності внесених змін.
• Операційна стійкість ланцюгів постачання і цифровізація (п. 7.1.3, 8.4 та розширений Додаток А): уточнено вимоги до управління ІТ-інфраструктурою, віддаленими командами, хмарними сервісами та безперервністю постачання критичних компонентів.

Розділ 4 задає інженерні координати всієї системи управління якістю. Якщо припуститися помилки тут, наприклад неправильно сформулювати сферу сертифікації або намалювати відірвану від життя карту процесів, проблеми спливуть уже на першому етапі сертифікаційного аудиту (Stage 1).

Пункти 4.1 та 4.2: Контекст організації, зацікавлені сторони та кліматичний фактор

Пункт 4.1 вимагає визначити зовнішні та внутрішні чинники, які впливають на здатність компанії стабільно випускати якісний продукт, а пункт 4.2 зобов'язує оцифрувати потреби й очікування зацікавлених сторін (Interested Parties). Сертифікаційний аудитор не прийме загальні фрази з Вікіпедії про «політичну та макроекономічну ситуацію». Він шукає конкретні прикладні чинники вашого виробництва чи сервісу:

• Внутрішні чинники: зношеність парку верстатів, рівень автоматизації обліку в ERP/WMS, дефіцит вузькопрофільних фахівців (наприклад, налагоджувальників ліній або інженерів-хроматографістів), робота в кілька змін.
• Зовнішні чинники та зацікавлені сторони: вимоги ключових B2B-покупців щодо допусків і маркування, технічні регламенти ЄС, митні процедури, ліміти енергоспоживання, вимоги банків-кредиторів та державних замовників у тендерах.
• Аналіз кліматичних змін (за Amd 1:2024 та ISO 9001:2026): ви маєте документально підтвердити, чи впливають кліматичні фактори на вашу СУЯ. Для виробничого або логістичного підприємства це цілком конкретні речі: ризик відключень електроенергії через екстремальні погодні умови або пошкодження мереж (вирішується встановленням дизель-генераторів та ДБЖ на критичних лініях), підтримка температурно-вологісного режиму в цеху чи рефрижераторах у літню спеку +38 °C, а для металургії, хімії чи агроекспорту це вимоги європейських клієнтів щодо звітності про вуглецевий слід продукції (CBAM).

Пункт 4.3: Визначення сфери застосування СУЯ (Scope) і правила виключень з Розділу 8

Сфера застосування (Scope of QMS) має бути підтримуваною як документована інформація. Саме це формулювання слово в слово потрапляє на бланк вашого майбутнього сертифіката ISO 9001. Під час подачі на тендер Prozorro або прекваліфікації в іноземного контрагента юристи звіряють текст сфери сертифікації та коди видів економічної діяльності (КВЕД / NACE / IAF) із предметом закупівлі. У пункті 4.3 ви обов'язково фіксуєте:

1. Види продукції та послуг, на які поширюється система.
2. Фізичні адреси всіх локацій (офіс, виробничі цехи, віддалені склади), охоплених сертифікацією.
3. Обґрунтування будь-якої вимоги стандарту, яку компанія визнає незастосовною (Non-applicable clauses).

Коли дозволено виключати вимоги стандарту? Стандарт дозволяє визнати незастосовними виключно окремі пункти Розділу 8 (і в окремих випадках п. 7.1.5, якщо вимірювальне обладнання фізично не використовується в сервісному бізнесі), за умови що це не впливає на здатність компанії забезпечувати відповідність продукції та не знімає з неї відповідальності.

Найпоширеніший інженерний кейс стосується пункту 8.3 «Проєктування та розроблення продукції і послуг». Якщо ваш завод виготовляє деталі суворо за кресленнями, технічними умовами та 3D-моделями замовника, або ваша компанія займається дистрибуцією і логістикою готових товарів без зміни їхніх характеристик, ви маєте повне право виключити п. 8.3 зі сфери СУЯ. Проте будьте уважні: якщо у вашому штаті є конструкторський чи технологічний відділ, який змінює геометрію вузлів, розробляє власні рецептури чи створює архітектуру програмного продукту, аудитор не дозволить виключити п. 8.3 і вимагатиме повної верифікації та валідації розробок.

Пункт 4.4: Процесний підхід, ландшафт процесів та інженерна діаграма «Черепаха» (Turtle Diagram)

Пункт 4.4.1 вимагає не просто перелічити відділи за штатним розписом, а побудувати наскрізну модель бізнес-процесів. На практиці під час впровадження ISO 9001 ми поділяємо процеси на три ешелони:

• Управлінські процеси: стратегічне планування, управління ризиками, внутрішні аудити та аналіз СУЯ керівництвом.
• Основні (операційні) процеси створення цінності: маркетинг і контрактний аналіз, проєктування (R&D), закупівлі, виробництво або надання послуг, контроль якості, складська та транспортна логістика.
• Підтримувальні процеси: управління персоналом і навчанням, метрологічне забезпечення, ІТ-інфраструктура, технічне обслуговування і ремонт обладнання (ППР / TPM), керування документованою інформацією.

Щоб виконати всі вісім підпунктів 4.4.1 (a-h) на одному наочному аркуші, провідні інженери з якості та сертифікаційні аудитори використовують Діаграму «Черепаха» (Turtle Diagram) для кожного ключового процесу:

• Голова (Входи / Inputs): що запускає процес (наприклад, підписана специфікація клієнта, креслення ревізії № 3, заявка в ERP, партія сировини).
• Хвіст (Виходи / Outputs): що є вимірюваним результатом процесу (готова партія деталей із паспортом якості, змонтований вузол, реліз ПЗ у production).
• Передня ліва лапа (З чим / Resources & Equipment): яке технологічне обладнання, ПЗ, вимірювальні прилади та виробниче середовище необхідні.
• Передня права лапа (Хто / Process Owner & Competence): хто є єдиним власником процесу, які ролі залучені та які вимоги до їхньої кваліфікації згідно з п. 7.2.
• Задня ліва лапа (Як / Methods & Controls): які робочі інструкції (SOP), технологічні карти, чек-листи та ризик-бар'єри керують процесом.
• Задня права лапа (Скільки / KPIs & Criteria): за якими метриками результативності оцінюється процес (наприклад, FPY $\ge 98,5%$, час переналадки SMED $\le 25$ хв, OTIF $\ge 99%$).

Якщо Розділ 4 визначає межі системи, то Розділи 5 і 6 формують управлінський стрижень компанії. Під час сертифікаційного аудиту перевірка цих розділів відбувається не у відділі якості, а безпосередньо в кабінеті генерального директора та керівників департаментів.

Розділ 5. Лідерство, культура якості (п. 5.1), Політика (п. 5.2) та матриця RACI (п. 5.3)

У редакції ISO 9001:2015 розробники стандарту свідомо ліквідували обов'язкову посаду «Представника керівництва з якості» (Management Representative), яка існувала у версії 2008 року. Чому це зробили? Бо на багатьох підприємствах директори призначали наказом інженера з якості «відповідальним за ISO», а самі згадували про систему за день до приїзду аудитора. Тепер пункт 5.1.1 прямо закріплює невідчужувану підзвітність вищого керівництва за результативність СУЯ.

У новій редакції ISO 9001:2026 вимоги до першої особи посилюються ще відчутніше: керівник має демонструвати лідерство у формуванні культури якості та етичної поведінки. Детально список запитань сертифікаційного аудитора до CEO ми розбирали у спеціальному матеріалі про лідерство та зобов'язання керівництва в ISO 9001:2026. Якщо коротко, аудитор перевіряє три практичні речі:

1. Інтеграція в бізнес-процеси (п. 5.1.1): чи обговорюються показники браку, рекламацій та вчасності поставок на щотижневих операційних нарадах поруч із фінансовими показниками?
2. Політика у сфері якості (п. 5.2): цей обов'язковий документ має відповідати стратегічному напрямку бізнесу, містити зобов'язання виконувати застосовні вимоги і постійно поліпшувати СУЯ, а головне слугувати базою для оцифрованих цілей якості. Політика має бути доведена до відома працівників (п. 5.2.2) так, щоб майстер зміни міг своїми словами пояснити, як його робота впливає на її виконання, без заучування тексту напам'ять.
3. Організаційні ролі, відповідальність і повноваження (п. 5.3): хто конкретно має повноваження зупинити відвантаження партії при підозрі на брак? Щоб уникнути розмитої відповідальності на стиках відділів, ми в Еконтроль зводимо вимоги п. 5.3 в єдину Матрицю RACI (Responsible, Accountable, Consulted, Informed), де кожна функція стандарту закріплена за конкретною посадовою роллю.

Розділ 6. Планування: реєстр ризиків і можливостей (п. 6.1), цілі якості (п. 6.2) та керування змінами (п. 6.3)

Розділ 6 замінив застарілу концепцію «запобіжних дій» на проактивне управління ризиками на етапі планування кожного процесу.

Як побудувати робочий Реєстр ризиків і можливостей за п. 6.1 (з урахуванням структури 6.1.1-6.1.3 в ISO 9001:2026): Хоча стандарт формально не примушує вести ризики у вигляді складної таблиці за ISO 31000 або IEC 31010 (FMEA), на практиці під час аудиту найкраще працює структурований Реєстр ризиків і можливостей, прив'язаний до карти процесів:

• Для кожного процесу визначається конкретний сценарій відмови (наприклад: у процесі закупівель це зрив поставки імпортного полімеру або надходження сировини з підвищеною вологістю; у процесі виробництва це збій калібрування термопластавтомата або помилка оператора при завантаженні програми ЧПК).
• Оцінюється Ймовірність ($P$) за шкалою від 1 до 5 та Тяжкість наслідків ($S$) для якості продукту й клієнта за шкалою від 1 до 5. Добуток $R = P \times S$ дає початковий рівень ризику.
• Для всіх середніх і високих ризиків ($R \ge 8$) призначаються конкретні превентивні бар'єри (наприклад, атестація резервного постачальника, впровадження захисту від помилок Poka-Yoke, автоматичне блокування станка без сканування штрих-коду технологічної карти) та розраховується залишковий ризик після впровадження заходів.
• Окремим блоком (відповідно до підпункту 6.1.3 у редакції ISO 9001:2026) фіксуються Можливості: автоматизація контролю якості за допомогою машинного зору, перехід на енергоефективне обладнання, відкриття власної випробувальної лабораторії або вихід на експортні тендери ЄС.

Вимоги до цілей у сфері якості (п. 6.2): Пункт 6.2.1 вимагає, щоб цілі якості були вимірюваними, узгодженими з Політикою якості та підлягали моніторингу, а пункт 6.2.2 зобов'язує оцифрувати план їх досягнення: що буде зроблено, які ресурси потрібні, хто відповідальний, коли буде завершено і як оцінюватимуться результати. Аудитор одразу забракує ціль «Підвищити задоволеність клієнтів та зменшити кількість браку». Правильний інженерний запис виглядає так: «Знизити рівень рекламацій за геометричними відхиленнями у цеху штампування з 1,4% до 0,35% за підсумками 2026 року шляхом заміни штампового оснащення пресів № 2 і № 4 (бюджет: 420 000 грн, відповідальний: головний інженер, термін: до 30.09.2026, метод контролю: щомісячний звіт ВТК у ERP)».

Планування змін у СУЯ (п. 6.3): Коли компанія переносить виробничий цех на нову локацію, переходить з паперового обліку на нову ERP-систему, скорочує зміну або передає частину операцій на аутсорсинг, пункт 6.3 вимагає провести попередню оцінку ризиків такої зміни: як це вплине на цілісність СУЯ, чи достатньо ресурсів і як перерозподіляються повноваження. На аудиті це підтверджується коротким протоколом або чек-листом управління змінами (Management of Change, MoC).

Розділ 7 охоплює ресурсне та інформаційне забезпечення системи. Саме за пунктами 7.1.5 (метрологія), 7.2 (компетентність) та 7.5 (документована інформація) сертифікаційні аудитори фіксують до 40% усіх невідповідностей на промислових підприємствах.

Пункти 7.1.1-7.1.4: Інфраструктура та середовище для функціонування процесів

За пунктом 7.1.3 компанія має підтримувати працездатність будівель, виробничих ліній, інженерних мереж, транспорту та інформаційно-комунікаційних систем. На практиці аудитор просить показати Графік планово-попереджувальних ремонтів (ППР / Preventive Maintenance) і журнали технічного обслуговування критичного обладнання. Якщо верстат працює лише «до поломки», це пряма невідповідність п. 7.1.3.

Пункт 7.1.4 регулює виробниче середовище: температуру, вологість, освітленість, чистоту повітря, захист від електростатичного розряду (ESD) при монтажі електроніки або мікробіологічну чистоту у фармацевтиці й харчовому виробництві. Якщо технологічний регламент вимагає фарбувати метал при температурі від +15 °C до +25 °C і вологості не вище 75%, у малярній камері має висіти повірений термогігрометр, а показники повинні фіксуватися перед початком зміни.

Пункт 7.1.5: Ресурси для моніторингу та вимірювання і зв'язок з ISO/IEC 17025

Пункт 7.1.5.2 встановлює жорстку вимогу: коли метрологічна простежуваність є законодавчою вимогою або очікуванням замовника, вимірювальне обладнання повинно бути відкаліброване або повірене через визначені інтервали до національних чи міжнародних еталонів.

Ось чотири контрольні точки, які аудитор перевіряє фізично в цеху та лабораторії:

1. Ідентифікація та статус кожного приладу: кожен штангенциркуль, мікрометр, манометр, тензодатчик ваг, термопара чи pH-метр має мати інвентарний/серійний номер та візуальне маркування (наприклад, бірку з датою останнього та наступного калібрування або статус у цифровому реєстрі). Якщо в тумбочці токаря лежить особистий неперевірений мікрометр без маркування і він ним міряє деталі, аудитор випише невідповідність.
2. Метрологічна простежуваність через акредитовані лабораторії: калібрування засобів вимірювальної техніки (ЗВТ) та випробувального обладнання повинні виконувати лабораторії з підтвердженою технічною компетентністю за стандартом ISO/IEC 17025. Якщо ваше підприємство розвиває власні випробувальні або калібрувальні лабораторії, вимоги п. 7.1.5 ISO 9001 стають прямою сходинкою до повноцінної акредитації за ДСТУ EN ISO/IEC 17025:2019.
3. Захист від несанкціонованого регулювання: прилади мають бути захищені пломбами, паролями доступу до сервісного меню контролера та правилами зберігання.
4. Ретроспективна оцінка при виході приладу за межі допуску (п. 7.1.5.1): якщо під час чергового калібрування виявилося, що прилад дає похибку понад допустиму межу, ви зобов'язані документально проаналізувати вплив цієї похибки на всі попередні партії продукції, виміряні цим приладом, і вжити коригувальних дій аж до повторного контролю на складі або повідомлення клієнта.

Пункти 7.1.6, 7.2, 7.3 та 7.4: Знання організації, Матриця компетентностей і комунікація

Пункт 7.1.6 («Знання організації») вимагає захистити компанію від втрати технологічної експертизи при звільненні ключових спеціалістів: бази знань у Confluence, відеоінструкції з наладки складних вузлів, каталоги типових дефектів (Defect Libraries) і протоколи розбору проєктів (Lessons Learned) повністю закривають цю вимогу.

У пункті 7.2 («Компетентність») аудитор бере вибірку з 5-7 працівників різних підрозділів (наприклад, зварювальника, оператора лінії, менеджера із закупівель, контролера якості та внутрішнього аудитора) і просить показати:

• Встановлені кваліфікаційні вимоги до їхньої ролі.
• Об'єктивні докази компетентності (посвідчення, сертифікати, протоколи внутрішньої атестації чи стажування).
• Оцінку результативності проведеного навчання. Недостатньо просто записати в журналі «прослухав інструктаж 2 години». Треба показати, як перевірили засвоєння матеріалу: тестуванням, практичним іспитом біля верстата або зниженням кількості операційних помилок після навчання.

Пункт 7.5: Повний перелік обов'язкової документованої інформації за ISO 9001

Стандарт ISO 9001:2015 (ДСТУ EN ISO 9001:2018) поділяє документовану інформацію на дві категорії: документи, які необхідно підтримувати в актуальному стані (Maintain documented information), тобто політики, сфера СУЯ, регламенти та робочі інструкції, і записи, які необхідно зберігати як докази виконання (Retain documented information).

При цьому вимоги п. 7.5.2 і 7.5.3 зобов'язують забезпечити чітку ідентифікацію кожного документа, контроль ревізій (версій), захист від втрати чи несанкціонованих правок, вилучення застарілих версій з робочих місць та визначені строки зберігання записів. Нижче у зведеному інженерному довіднику наведено всі вимоги розділів 4-10 разом із точним переліком обов'язкових документів та записів.

Розділ 8 («Операційна діяльність») акумулює найбільше обов'язкових записів, адже саме тут створюється продукт або послуга. Під час сертифікаційного аудиту Stage 2 аудитор проводить на виробничому майданчику або в операційних відділах близько 60% усього часу.

Пункти 8.1 та 8.2: Операційне планування та аналіз вимог клієнта (Contract Review)

Пункт 8.1 вимагає встановити критерії для процесів і критерії приймання продукції (технічні умови, стандарти, плани якості або Inspection and Test Plans, ITP). Далі вступає в дію пункт 8.2.3: до того як підписати договір, специфікацію чи взяти замовлення в роботу, компанія зобов'язана провести і зберегти докази аналізу вимог:

• Явно сформульованих клієнтом (креслення, хімічний склад, терміни доставки, пакування).
• Не сформульованих клієнтом, але необхідних для використання за призначенням.
• Законодавчих та нормативних вимог, застосовних до продукції.

Якщо в ході виконання замовлення замовник змінює технічне завдання чи обсяг партії, пункт 8.2.4 вимагає внести зміни до відповідної документованої інформації та повідомити весь залучений персонал, щоб цех не продовжував роботу за старою специфікацією.

Пункт 8.3: Проєктування та розроблення (Design & Development)

Коли компанія розробляє нову продукцію, обладнання, рецептуру чи програмне забезпечення, пункт 8.3 вимагає керованого проходження шести фаз з обов'язковими записами:

1. Планування проєктування (п. 8.3.2): визначення етапів, відповідальних інженерів і контрольних точок.
2. Вхідні дані проєктування (п. 8.3.3): функціональні та експлуатаційні вимоги, законодавчі норми, досвід попередніх аналогічних розробок та потенційні наслідки відмови (Design FMEA).
3. Засоби контролю проєктування (п. 8.3.4): тут інженери та аудитори чітко розрізняють три види контролю:
   • Аналіз проєктування (Design Review): колегіальна оцінка проміжних результатів на відповідність графіку та цільовим характеристикам.
   • Верифікація (Verification): камеральна та стендова перевірка того, що вихідні дані проєктування відповідають вхідним вимогам ТЗ (інженерні розрахунки міцності, моделювання, перевірка креслень, рев'ю коду та юніт-тести).
   • Валідація (Validation): практичне випробування готового дослідного зразка або пілотної партії в реальних чи змодельованих умовах експлуатації, щоб підтвердити, що виріб виконує своє цільове призначення у кінцевого користувача.
4. Вихідні дані проєктування (п. 8.3.5): затверджені конструкторські креслення, специфікації матеріалів (BOM), рецептури, технологічні регламенти та критерії приймального контролю.
5. Зміни проєктування (п. 8.3.6): будь-яка зміна в конструкції чи рецептурі оформлюється через офіційне Повідомлення про зміну (Engineering Change Order, ECO) з повторною верифікацією, валідацією та оцінкою впливу на вже випущені партії.

Пункт 8.4: Керування зовнішніми постачальниками (AVL) та аутсорсинговими процесами

Пункт 8.4.1 зобов'язує компанію встановити та застосовувати критерії для оцінювання, вибору, моніторингу результативності та повторного оцінювання зовнішніх надавачів. Як це реалізується на практиці без зайвої бюрократії:

• Усі постачальники діляться на категорії критичності A, B, C (де категорія А охоплює основну сировину, комплектуючі, пакування, що контактує з продуктом, калібрувальні послуги та критичний виробничий аутсорсинг).
• Формується Реєстр затверджених постачальників (Approved Vendor List, AVL). Відділ закупівель технічно не може розмістити замовлення на критичну сировину у контрагента, який не пройшов первинну кваліфікацію і не внесений до AVL.
• Раз на квартал або раз на рік проводиться переоцінка постачальників за об'єктивною бальною шкалою: частка партій, прийнятих без зауважень на вхідному контролі, дотримання термінів доставки (OTIF), наявність супровідних сертифікатів якості (CoA) і швидкість реакції на претензії.
• Окрема увага приділяється аутсорсинговим процесам (наприклад, коли ви віддаєте деталі підряднику на термообробку, цинкування або лазерну порізку): такий процес залишається в контурі вашої СУЯ, і ви повинні визначити методи його контролю у договорі та специфікації.

Пункти 8.5, 8.6 та 8.7: Керовані умови виробництва, простежуваність, випуск і карантин браку

У пункті 8.5.1 аудитор перевіряє, чи відбувається виробництво або надання послуг у керованих умовах. Зокрема, підпункт 8.5.1 (f) вимагає валідації та періодичної ревалідації «спеціальних процесів», тобто таких технологічних операцій, де отриманий результат неможливо повністю перевірити подальшим моніторингом чи вимірюванням без руйнування виробу (наприклад, зварювання відповідальних конструкцій, термічна обробка, нанесення захисних покриттів, пастеризація або стерилізація). Для таких процесів атестується сама технологія (WPS/WPQR у зварюванні), кваліфікація оператора та параметри обладнання.

Ідентифікація та простежуваність (п. 8.5.2): на складі сировини, у виробничому цеху та в зоні експедиції кожна палета, тара чи деталь має бути чітко промаркована (номер партії, найменування, статус контролю: «Очікує перевірки», «Придатний», «Брак»). Повна простежуваність дозволяє за номером готової партії відновити весь ланцюжок: від сертифіката вхідної сировини до прізвища оператора і протоколу фінального контролю.

Випуск продукції (п. 8.6) та керування невідповідними виходами (п. 8.7): жодна партія не може залишити завод або бути передана клієнту без документального дозволу уповноваженої особи (інженера ВТК, завідувача лабораторії або технолога за п. 8.6). Якщо ж виявлено відхилення від специфікації (п. 8.7), невідповідна продукція негайно блокується у системі обліку і фізично переміщується у виділену зону карантину (Ізолятор браку) з червоним маркуванням, щоб унеможливити її випадкове змішування з придатною продукцією. Далі щодо неї приймається одне з чотирьох документованих рішень:

1. Корекція (доопрацювання або переробка) з обов'язковою повторною верифікацією за п. 8.6.
2. Відокремлення, повернення постачальнику або утилізація (списання в брухт за актом).
3. Дозвіл на використання з відхиленням (Concession) за офіційним погодженням з уповноваженим технічним спеціалістом або клієнтом.
4. Інформування замовника (якщо невідповідність виявлено вже після відвантаження партії).

Галузева глибина Розділу 8 масштабується під профіль бізнесу: на підприємствах харчової промисловості та аграрного сектору операційний контроль поєднується з критичними точками керування HACCP та вимогами ISO 22000; у секторі оборонної промисловості додається жорсткий конфігураційний менеджмент і поштучна простежуваність комплектуючих; а для ІТ-компаній вимоги Розділу 8 інтегруються безпосередньо в пайплайни CI/CD, Code Review та управління релізами.

Побудовані процеси та інструкції перетворюються на дієву систему управління лише тоді, коли компанія вимірює їхню результативність, проводить самоперевірку та усуває системні збої. Цю функцію виконують Розділи 9 і 10.

Пункт 9.1: Моніторинг, вимірювання, аналіз та оцінювання дієвості

За пунктом 9.1 компанія повинна визначити, що саме потрібно моніторити, якими методами для отримання достовірних результатів і в які періоди аналізувати ці дані. Замість формальних звітів інженерно зрілі компанії відстежують конкретні операційні метрики:

• FPY (First Pass Yield): відсоток продукції, яка пройшла весь виробничий цикл і приймальний контроль з першого разу без доопрацювань.
• OTIF (On-Time In-Full): частка замовлень, відвантажених клієнту точно в узгоджений термін і в повній комплектації.
• COPQ (Cost of Poor Quality): сумарні фінансові втрати від внутрішнього браку, переробок, простоїв лінії, гарантійних замін і штрафних санкцій.
• Індекси відтворюваності процесу ($C_p$ та $C_{pk}$): статистична оцінка того, наскільки стабільно технологічний процес утримує параметри в межах поля допуску.
• Задоволеність замовників (п. 9.1.2): аналіз не лише анкет зворотного зв'язку (CSI / NPS), а й динаміки повторних замовлень, рекламацій, повернень і звітів дилерів.

Пункт 9.2: Внутрішній аудит СУЯ за настановами ISO 19011

Без проведеного повного циклу внутрішніх аудитів жоден акредитований орган сертифікації не допустить компанію до Stage 2. Пункт 9.2 вимагає розробити річну програму аудитів з урахуванням важливості процесів, змін у компанії та результатів попередніх перевірок. Організація внутрішнього аудиту спирається на керівний стандарт ISO 19011 (ДСТУ ISO 19011:2019) і вимагає дотримання трьох залізних правил:

1. Повнота охоплення: до моменту сертифікаційного аудиту внутрішніми перевірками мають бути охоплені всі розділи стандарту (4-10) та всі процеси вашої СУЯ.
2. Об'єктивність та неупередженість аудиторів (п. 9.2.2 c): внутрішній аудитор не має права перевіряти власну роботу або очолюваний ним підрозділ. Тому на практиці ми навчаємо перехресну групу з 2-4 спеціалістів: наприклад, головний технолог перевіряє відділ закупівель і склад, а керівник логістики чи менеджер з якості перевіряє виробничий цех і відділ продажів.
3. Документовані докази: у звіті внутрішнього аудиту фіксуються конкретні перевірені вибірки (номери замовлень, дата партії, серійні номери приладів, опитані співробітники), а на кожне виявлене відхилення відкривається запис про невідповідність і коригувальну дію.

Пункт 9.3: Аналіз СУЯ з боку вищого керівництва (Management Review)

Після завершення циклу внутрішніх аудитів генеральний директор та керівники ключових напрямів проводять підсумковий аналіз системи управління якістю (Management Review). Пункти 9.3.2 і 9.3.3 жорстко регламентують структуру протоколу цього засідання.

Обов'язкові вхідні дані (п. 9.3.2), які мають бути відображені у звіті:

• Статус виконання рішень попереднього аналізу з боку керівництва.
• Зміни у зовнішніх і внутрішніх чинниках (зокрема кліматичних, регуляторних і ринкових), що стосуються СУЯ.
• Інформація про дієвість системи: задоволеність клієнтів і відгуки зацікавлених сторін, ступінь досягнення цілей у сфері якості (п. 6.2), показники процесів (KPI) і відповідність продукції, статус невідповідностей і коригувальних дій (CAPA), результати моніторингу та внутрішніх аудитів, а також оцінка роботи зовнішніх постачальників (п. 8.4).
• Достатність ресурсів (персоналу, обладнання, бюджету, вимірювальної бази).
• Результативність дій, ужитих щодо ризиків і можливостей (п. 6.1), та можливості для поліпшення.

Обов'язкові вихідні дані (п. 9.3.3), тобто управлінські рішення директора: Протокол Management Review не може закінчуватися фразою «Визнати роботу СУЯ задовільною». У ньому обов'язково фіксуються конкретні рішення щодо: (a) можливостей для поліпшення; (b) будь-якої потреби у змінах до СУЯ (оновлення процесів, цілей чи політики); (c) потреби в ресурсах (виділення бюджету на закупівлю обладнання, найм персоналу, навчання або модернізацію ІТ-системи).

Розділ 10 (10.1 - 10.3): Керування невідповідностями та система CAPA

Пункт 10.2 встановлює алгоритм дій при виникненні будь-якої невідповідності, включаючи скарги та рекламації клієнтів. Тут криється головна інженерна відмінність між двома поняттями:

• Корекція (Correction): негайна дія для усунення самого виявленого дефекту (замінити браковану деталь клієнту, перепакувати палету, виправити помилку в накладній).
• Коригувальна дія (Corrective Action, CAPA): системна дія для усунення кореневої причини (Root Cause) невідповідності, щоб вона не могла повторитися на цій або інших ділянках.

Щоб знайти справжню кореневу причину, замість формальної відписки «провести позаплановий інструктаж оператору» застосовується метод «5 Чому» (5 Whys), діаграма Ісікави (6M: Man, Machine, Material, Method, Measurement, Milieu) або звіт формату 8D. Наприклад: чому в партії виявили відхилення розміру? Бо збився упор на верстаті. Чому він збився? Бо ослабло різьбове кріплення від вібрації. Чому кріплення не перевірили? Бо перевірка фіксатора упора не була внесена у чек-лист щозмінного обслуговування оператора. Коренева причина усувається встановленням контргайки з візуальною міткою зміщення та внесенням пункту в чек-лист запуску зміни. Через 30-60 днів відповідальний інженер перевіряє результативність коригувальної дії (чи були повторні випадки) і лише після цього закриває запис у реєстрі CAPA.

Процедура офіційної сертифікації системи управління якістю в будь-якій країні світу регулюється міжнародним стандартом ISO/IEC 17021-1 (в Україні чинний як ДСТУ EN ISO/IEC 17021-1, що встановлює вимоги до органів, які здійснюють аудит і сертифікацію систем менеджменту) та обов'язковим документом Міжнародного форуму з акредитації IAF MD 5 (Визначення часу аудиту систем менеджменту якості, екологічного менеджменту та охорони праці).

Жоден легітимний акредитований орган сертифікації не має права видати сертифікат «за один день без аудиту», оскільки НААУ або європейський орган акредитації під час щорічного нагляду перевіряє розрахунок аудито-днів кожного клієнта за таблицями IAF MD 5.

Як розраховується тривалість аудиту за IAF MD 5

Згідно з IAF MD 5, базова кількість людино-днів (аудито-днів) на первинну сертифікацію (Stage 1 + Stage 2) визначається на основі:

1. Ефективної чисельності персоналу (Effective Number of Personnel): враховуються всі штатні співробітники, керівництво та залучені підрядники, які працюють у межах сфери СУЯ. При цьому для однотипних низькокваліфікованих операцій (наприклад, фасувальники, вантажники, водії або оператори на ідентичних лініях у кілька змін) IAF MD 5 дозволяє законно застосовувати коефіцієнт редукції ефективної чисельності.
2. Складності та ризиковості процесів: чи є на підприємстві власне проєктування (п. 8.3), складні технологічні процеси, небезпечні виробничі фактори або виїзні монтажні бригади.
3. Кількості виробничих локацій (Multi-site sampling за IAF MD 1): чи розташоване все виробництво за однією адресою, чи компанія має мережу філій і елеваторів у різних областях.

Етап 1 сертифікаційного аудиту (Stage 1 Audit: Readiness & Documentation Review)

Перший етап сертифікації зазвичай становить близько 20-30% від загального розрахункового часу аудиту і може проводитися як на майданчику компанії, так і дистанційно (або у комбінованому форматі). Головна мета Stage 1 за ISO/IEC 17021-1 полягає в оцінці готовності підприємства до основного аудиту:

• Провідний аудитор перевіряє документовану інформацію СУЯ (сферу застосування за п. 4.3, карту процесів за п. 4.4, Політику та цілі якості, реєстр ризиків, процедури контролю документів, метрології та CAPA) на відповідність усім пунктам ДСТУ EN ISO 9001:2018 / ISO 9001:2015.
• Оцінюються специфічні умови локації підприємства, застосовні законодавчі та регуляторні норми.
• Перевіряється наявність об'єктивних доказів того, що компанія вже провела щонайменше один повний цикл внутрішніх аудитів (п. 9.2) та Аналіз СУЯ з боку вищого керівництва (п. 9.3).

За підсумками Stage 1 аудитор видає офіційний звіт, де зазначає виявлені «зони занепокоєння» (Areas of Concern), які на етапі Stage 2 можуть перетворитися на невідповідності, і узгоджує план проведення другого етапу. Між Stage 1 і Stage 2 компанії зазвичай надається від 2 тижнів до 2-3 місяців (максимальний інтервал за правилами акредитації становить до 6 місяців), щоб спокійно усунути всі зауваження до документації та записів.

Етап 2 сертифікаційного аудиту (Stage 2 Audit: On-Site Assessment)

Другий етап становить 70-80% часу первинного аудиту і проводиться виключно в реальних робочих умовах (у цехах, лабораторії, на складах та в офісних підрозділах). Аудиторська група працює за методом наскрізної простежуваності (Audit Trail):

1. Вступна нарада (Opening Meeting): підтвердження плану аудиту, сфери сертифікації, правил конфіденційності та класифікації знахідок.
2. Інтерв'ю з вищим керівництвом: перевірка виконання вимог Розділів 4, 5, 6 та 9.3.
3. Польова перевірка операційних процесів (Розділи 7 і 8): аудитор обирає 3-5 реальних виконаних або поточних замовлень і проходить по всьому ланцюжку: як перевірили договір (п. 8.2), у кого купили сировину і як її прийняли на склад (п. 8.4), за якою ревізією креслення працював оператор (п. 7.5, 8.5), чи повірений мікрометр і ваги на цій ділянці (п. 7.1.5), чи мав зварювальник чинний допуск (п. 7.2) та хто підписав дозвіл на відвантаження (п. 8.6).
4. Перевірка контуру поліпшення (Розділи 9 і 10): аналіз рекламацій клієнтів, звітів внутрішніх аудитів і закритих записів CAPA.
5. Підсумкова нарада (Closing Meeting) і класифікація виявлень:
   • Суттєва невідповідність (Major Nonconformity): повна відсутність виконання обов'язкової вимоги стандарту або системний збій, який призводить до відвантаження клієнту бракованого продукту. При наявності Major NC сертифікат не видається до моменту впровадження та перевірки результативності коригувальних дій (зазвичай до 90 днів).
   • Несуттєва невідповідність (Minor Nonconformity): поодиноке, несистемне відхилення у веденні записів або виконанні процедури, яке не несе прямого ризику для якості продукції (наприклад, на одному з 15 перевірених приладів стерлася бірка при наявності чинного свідоцтва про калібрування). Для закриття Minor NC достатньо надати аудитору план коригувальних дій (CAPA) та аналіз кореневої причини.
   • Потенціал для поліпшення (Opportunity for Improvement, OFI): рекомендація аудитора, яка не є порушенням стандарту і не вимагає обов'язкового звіту CAPA.

Після схвалення звіту провідного аудитора незалежний сертифікаційний комітет органу сертифікації (асоційовані експерти, які не брали участі в самому аудиті, для дотримання принципу неупередженості за ISO/IEC 17021-1) приймає рішення про видачу сертифіката строком на 3 роки.

Наглядові аудити (1-й та 2-й рік) і Ресертифікація (3-й рік)

Отримання сертифіката запускає трирічний цикл підтримки:

• Перший наглядовий аудит (Surveillance 1): проводиться не пізніше ніж через 12 місяців від дати прийняття сертифікаційного рішення (тривалість за IAF MD 5 становить близько 1/3 від часу первинного аудиту).
• Другий наглядовий аудит (Surveillance 2): проводиться на 24-му місяці циклу.
• Ресертифікаційний аудит (Recertification): проводиться до закінчення 36-го місяця (становить близько 2/3 від часу первинного аудиту), охоплює всі процеси за три роки і продовжує дію сертифіката на новий трирічний період. Для компаній, сертифікованих за версією 2015 року, саме під час чергового наглядового або ресертифікаційного аудиту в межах трирічного перехідного вікна відбувається плановий перехід на редакцію ISO 9001:2026.

Юридична сила вашого сертифіката ISO 9001 прямо залежить від того, чи має орган сертифікації чинну акредитацію у відповідній галузі економіки. На українському ринку досі зустрічаються посередники, які пропонують «купити сертифікат ДСТУ ISO 9001 за 2 дні без виїзду аудитора». Такий документ друкується від імені неакредитованої приватної фірми й не має жодної законної сили.

Як перевірити легітимність органу сертифікації за 5 хвилин

Згідно із Законом України «Про технічні регламенти та оцінку відповідності» № 124-VIII, єдиним національним органом з акредитації в Україні є Національне агентство з акредитації України (НААУ). НААУ є повноправним підписантом Угоди про взаємне визнання з Європейською кооперацією з акредитації (EA MLA) у сфері сертифікації систем менеджменту (ДСТУ EN ISO/IEC 17021-1).

Перед підписанням договору з органом сертифікації обов'язково виконайте три кроки перевірки:

1. Перевірте реєстр НААУ або національного органу країни ЄС: відкрийте офіційний сайт НААУ (або реєстр DAkkS у Німеччині, PCA у Польщі, UKAS у Великій Британії, CAI у Чехії) і знайдіть орган сертифікації за номером атестата акредитації.
2. Звірте сферу акредитації за кодами IAF / КВЕД: орган сертифікації може бути акредитований, наприклад, на торгівлю (код IAF 29), але не мати акредитації на виробництво машин та устаткування (код IAF 18) або будівництво (код IAF 28). У тендерах Prozorro замовники та юристи конкурентів перевіряють додаток до атестата акредитації органу: якщо вашого галузевого коду там немає, сертифікат визнається недійсним і пропозиція учасника відхиляється.
3. Перевірте валідацію в глобальній базі IAF CertSearch: для експортерів, які постачають продукцію чи ІТ-послуги міжнародним корпораціям, глобальним стандартом верифікації є єдиний реєстр акредитованих сертифікатів IAF CertSearch. Наявність вашої компанії в цій базі знімає будь-які питання комплаєнс-офіцерів у ЄС, США, Канаді чи країнах Близького Сходу.

Інтеграція ISO 9001 з ISO 14001 (довкілля) та ISO 45001 (охорона праці)

Завдяки тому, що всі сучасні стандарти ISO побудовані на єдиній архітектурі Annex SL (розділи 4-10), промислові, будівельні, аграрні та логістичні підприємства рідко зупиняються лише на одному стандарті якості. Одночасне впровадження Інтегрованої системи управління (ІСУ / IMS), яка поєднує ISO 9001, систему екологічного менеджменту ISO 14001 та систему управління охороною здоров'я і безпекою праці ISO 45001, дає бізнесу потрійну перевагу:

• Єдине ядро документованої інформації: контекст організації (п. 4.1-4.2), керування документами і записами (п. 7.5), матриця компетентностей (п. 7.2), програма внутрішніх аудитів (п. 9.2), протокол Management Review (п. 9.3) та процедура коригувальних дій CAPA (п. 10.2) створюються в одному примірнику відразу для трьох стандартів.
• Комплексна оцінка ризиків: у єдиному реєстрі одночасно враховуються технологічні ризики браку (ISO 9001), екологічні аспекти та керування відходами/викидами (ISO 14001) і виробничі небезпеки на робочих місцях (ISO 45001).
• Економія бюджету і часу на сертифікації за IAF MD 11: під час проведення комбінованого аудиту інтегрованої системи управління орган сертифікації офіційно зменшує сумарну кількість аудито-днів на 20-30% порівняно з трьома окремими перевірками.

Скільки часу та інвестицій потребує підготовка до сертифікації ISO 9001 на практиці? Усе визначається стартовою зрілістю ваших бізнес-процесів, штатною чисельністю та кількістю виробничих майданчиків. Детальну калькуляцію тарифів органів сертифікації та консалтингу ми розбирали в огляді скільки коштує сертифікація ISO 9001 в Україні.

Найдорожча помилка, яку роблять компанії при самостійній підготовці, полягає в спробі переписати під себе шаблонні документи з інтернету за два тижні до аудиту. Коли зовнішній аудитор бачить у процедурі машинобудівного заводу згадки про неіснуючі відділи, а в цеху немає жодного живого запису про вхідний контроль чи калібрування приладів, аудит закінчується перенесенням Stage 2 і втратою тендерного контракту.

Як побудований інженерний консалтинг Еконтроль на кожному етапі

Команда Еконтроль (Ekontrol) будує системи управління якістю так, щоб вони реально працювали на зменшення операційних втрат і без зауважень проходили перевірки українських (НААУ) та європейських органів сертифікації:

1. Початкова діагностика та Gap Analysis: ми починаємо проєкт із глибокого діагностичного аудиту СУЯ. Наші провідні інженери вивчають вашу організаційну структуру, виробничий цикл, складську логістику, метрологічну базу та ІТ-інфраструктуру. Ви отримуєте покроковий звіт про розриви за кожним пунктом розділів 4-10 з точним планом робіт і бюджетом.
2. Проєктування процесів і розроблення документації СУЯ без води: у межах послуги впровадження ISO 9001 під ключ ми не перевантажуємо ваш бізнес паперовими томами. Ми розробляємо компактну і зрозумілу документацію під вашу специфіку: сферу СУЯ, процесну карту, діаграми Черепахи, реєстр ризиків і можливостей (вже з урахуванням Amd 1:2024 та структури ISO 9001:2026), матриці компетентностей, односторінкові візуальні SOP для робочих місць і форми записів у вашій ERP/CRM.
3. Навчання персоналу, внутрішній аудит за ISO 19011 та Management Review: ми навчаємо власників процесів і внутрішніх аудиторів, проводимо повноцінний внутрішній аудит усіх підрозділів (п. 9.2), допомагаємо оформити реальні записи коригувальних дій CAPA (п. 10.2) та готуємо вище керівництво до проведення результативного аналізу СУЯ (п. 9.3).
4. Повний інженерний супровід під час сертифікаційного аудиту (Stage 1 та Stage 2): у межах супроводу сертифікаційного аудиту ми допомагаємо обрати оптимальний акредитований орган сертифікації під ваші бізнес-цілі (НААУ для тендерів Prozorro або європейський орган із реєстру EA MLA / IAF CertSearch для експорту), супроводжуємо команду під час Stage 1 і Stage 2 та оперативно закриваємо всі технічні питання аудиторів.
5. Постсертифікаційна підтримка протягом 3-річного циклу: щоб ваша система залишалася живою між перевірками, а наглядові аудити на 1-му та 2-му роках і плановий перехід на ISO 9001:2026 проходили без відриву ваших ключових інженерів від виробництва, ми забезпечуємо формат річної підтримки системи управління якістю.

Нижче в порівняльній таблиці наведено орієнтири тривалості впровадження, обсягу аудиту за IAF MD 5 та ключових акцентів підготовки залежно від масштабу вашого бізнесу. Щоб отримати індивідуальний розрахунок термінів і вартості під ваш КВЕД та штат, залиште запит на сторінці контактів Еконтроль.

Зібрали відповіді на ключові практичні запитання керівників підприємств, головних інженерів, менеджерів з якості та фахівців тендерних відділів щодо вимог ДСТУ EN ISO 9001:2018 (ISO 9001:2015), переходу на ISO 9001:2026 та проходження сертифікаційних аудитів.