2-й етап без стресу: чому послідовність важливіша за паніку
Через 7 днів до вас приходить аудитор. Команда нервує, директор питає «а що якщо щось не так», а керівник з якості зайвий раз перечитує процедури. Це нормальна реакція, але вона ґрунтується на міфі, що 2-й етап (Stage 2) є екзаменом з невідомими питаннями.
Насправді другий етап аудиту: структурована перевірка з передбачуваною послідовністю кроків, регламентованими ролями і чіткими правилами поведінки сторін. Ці правила прописані в ISO/IEC 17021-1:2015, §9.4 «Проведення аудиту», і кожен орган сертифікації (CB) зобов'язаний їх дотримуватись.
Знаючи послідовність, команда може підготуватися без авралу: розподілити ролі, заздалегідь зібрати записи у відповідних місцях, відрепетирувати відповіді на типові питання. У цій статті ми покажемо погодинну логіку 2–3-денного 2-го етапу аудиту, дамо матрицю часу аудитора за типами активностей і, як ключовий елемент, проведемо реальний розрахунок тривалості аудиту за IAF MD 5:2023 для трьох розмірів компанії.
Це не теорія з підручника. Це послідовність, яку ми спостерігали на 200+ супроводжених аудитах: ISO 9001, ISO 22000, FSSC 22000, ISO 14001, ISO 45001, на одному майданчику та на кількох (multi-site), в Україні та для українських експортерів.
1-й vs 2-й етап: у чому ключова різниця
Сертифікаційний цикл за ISO/IEC 17021-1 розбивається на два формальні етапи. Часто плутанина починається саме тут: керівники готуються до 2-го етапу так, ніби це продовження 1-го. Це різні події з різними цілями.
1-й етап (Stage 1): перевірка готовності системи. Аудитор оцінює, чи документація достатньо зріла, чи внутрішній аудит і аналіз з боку керівництва (Management Review) вже відбулися, чи зрозуміла сфера сертифікації, чи зібрані докази для базового набору вимог. 1-й етап зазвичай завершується звітом із зонами стурбованості (areas of concern): ще не невідповідностями, а сигналами ризику.
2-й етап (Stage 2): перевірка ефективності системи в реальній операційній практиці. Аудитор уже не питає «де ваша процедура», а перевіряє «як вона працює щодня і як ви це можете довести записами».
| Параметр | 1-й етап | 2-й етап |
|---|---|---|
| Фокус | Готовність системи: сфера, документація, зрілість | Ефективність системи в практиці: докази, простежуваність |
| Локація | Часто дистанційно (огляд документів) або 0,5–1 день на майданчику | Завжди на майданчику, на всіх заявлених локаціях |
| Тривалість | Зазвичай 20–40% часу 2-го етапу (за IAF MD 5) | Повна базова тривалість за таблицями IAF MD 5:2023 |
| Результат | Звіт 1-го етапу з зонами стурбованості | Звіт 2-го етапу з невідповідностями (major/minor) + рекомендація органу сертифікації |
| Типи виявлень на аудиті | Зони стурбованості, можливості для покращення | Major NC, Minor NC, OFI |
| Учасники | Вище керівництво + керівник з якості + ключові власники процесів | Вище керівництво + керівник з якості + усі власники процесів + операторський персонал |
| Підсумок | Готовність до 2-го етапу (так/ні) | Рекомендація органу сертифікації на видачу сертифіката |
| Подальші дії | Закриття зон стурбованості до 2-го етапу | Закриття невідповідностей у визначені терміни (до 3 міс. для major, до 6 міс. для minor) |
Якщо на 1-му етапі ви отримали 5+ зон стурбованості, не йдіть на 2-й етап «як є». Ризик major NC різко зростає, а повторне проведення 2-го етапу коштує дорожче за відтермінування. Корисно зробити попередню оцінку готовності до сертифікації і закрити критичні розриви.
Що передує 2-му етапу: підсумки першого етапу і план аудиту
За 2–4 тижні до 2-го етапу ви отримуєте від органу сертифікації пакет документів: підсумковий звіт 1-го етапу, оновлений план аудиту та порядок денний. Це не формальність: ваша інструкція з підготовки.
Як читати звіт 1-го етапу. Зверніть увагу на формулювання зон стурбованості: вони показують, де аудитор уже бачить ризик і куди обов'язково повернеться на 2-му етапі. Якщо у звіті написано «докази проведення аналізу з боку керівництва за 2025 рік не надано», підготуйте повний пакет за 12 місяців з протоколами, входами/виходами і коригувальними діями (CAPA).
Як читати план аудиту. Стандартний план 2-го етапу містить: дати, склад команди аудиторів, перелік аудитованих процесів з прив'язкою до пунктів стандарту, розподіл часу по днях, ролі представників компанії на кожній сесії. Кожна стрічка: сигнал, кого з ваших людей треба підготувати.
Що зробити за 7 днів до 2-го етапу:
- Підтвердити план аудиту і повідомити орган сертифікації про конфлікти (відрядження вищого керівництва, зупинка лінії).
- Розіслати персональні інструкції кожному учаснику: коли його сесія, які питання очікуються, які записи треба мати під рукою.
- Підготувати кімнату для аудиту з доступом до інтернету, проектором, окремим столом для аудитора.
- Перевірити, що всі коригувальні дії з останніх внутрішніх аудитів закриті або мають план з реалістичними термінами.
- Провести коротку репетицію з керівником з якості та вищим керівництвом: 30 хвилин з 5 типовими питаннями.
Детальний цикл підготовки за 90 днів описаний у нашому 90-денному плані підготовки до сертифікаційного аудиту, він закриває не лише 2-й етап, а й попередні фази аналізу розривів і внутрішнього аудиту.
День 1: вступна нарада + початковий огляд документації
Перший день, найнапруженіший за враженнями і найважливіший за тоном. Те, як команда поведе себе на вступній нараді, визначає атмосферу всього аудиту.
| Час | Активність | Хто бере участь | Ключові артефакти |
|---|---|---|---|
| 08:30 – 09:00 | Вступна нарада | Команда аудиторів + вище керівництво + керівник з якості + усі власники процесів | План аудиту, опис сфери, перелік свідчень довіри |
| 09:00 – 10:30 | Інтерв'ю з вищим керівництвом (Лідерство, §5) | Провідний аудитор + CEO/директор | Політика, Цілі у сфері якості, KPI, аналіз з боку керівництва |
| 10:30 – 12:00 | Огляд документованої інформації §7.5 | Провідний аудитор + керівник з якості | Перелік процедур, контроль документів, журнал версій |
| 12:00 – 13:00 | Обідня перерва | — | — |
| 13:00 – 15:00 | Інтерв'ю з керівником з якості: планування, ризики (§6), компетентність (§7) | Провідний аудитор + керівник з якості + HR | Реєстр ризиків, матриця навчання, записи компетентності |
| 15:00 – 16:30 | Огляд внутрішнього аудиту + аналізу з боку керівництва (§9) | Провідний аудитор + внутрішній аудитор + керівник з якості | Програма внутрішнього аудиту, звіти, протоколи MR, журнал коригувальних дій |
| 16:30 – 17:00 | Підбиття підсумків дня (внутрішнє для команди аудиторів) | Команда аудиторів | Робочі нотатки аудитора |
Вступна нарада: 30 хвилин, які задають тон
Що каже аудитор. Керівник команди аудиторів представляє склад команди, підтверджує сферу та критерії аудиту, нагадує про конфіденційність і неупередженість (вимога §5 ISO/IEC 17021-1), описує метод вибірки і пояснює, що не всі процеси будуть перевірені: робиться через відбір вибірки, тому відсутність питання не означає, що зона «чиста».
Що каже компанія. Вище керівництво відкриває словами «ми готові до перевірки і відкриті до співпраці». Керівник з якості представляє склад команди компанії і ролі. Не варто намагатись справити враження, аудитор оцінює систему, а не PR.
Типова помилка. Команда починає захищатись ще до того, як аудитор поставив питання. Фрази «ну, у нас не зовсім ідеально, але…» створюють негативне враження ще до огляду доказів.
На вступній нараді аудитор питає, чи маєте ви до нього скарги щодо неупередженості: формальна вимога ISO/IEC 17021-1 §5. Якщо у складі команди аудиторів є людина, яка раніше консультувала вашу систему останні 2 роки,: підстава для відводу. Не бійтесь користуватись цим правом.
Дні 1–2: обходи процесів та інтерв'ю з персоналом
Після початкового огляду документів аудитор виходить на виробництво або в офіс. Це найбільший блок аудиту за часом, і найбільш стресовий для лінійного персоналу. Зайва тривога знімається підготовкою: коли оператор знає 3–4 типові питання, він відповідає впевнено.
| Роль | Тривалість | Типові питання аудитора | Що мати під рукою |
|---|---|---|---|
| CEO / Директор | 30 хв | Як ви демонструєте лідерство? Які KPI системи? Коли востаннє був аналіз з боку керівництва? Які рішення з нього прийняті? | Політика, протоколи MR, дашборд KPI |
| Керівник з якості / FSMS-менеджер | 2 год | Як ідентифікуєте ризики (§6.1)? Як планували зміни цього року? Як здійснюєте контроль документованої інформації? | Реєстр ризиків, журнал змін, реєстр документів |
| HR / Навчання | 30–45 хв | Як визначаєте вимоги до компетентності? Як ведете записи про навчання? Як оцінюєте ефективність навчання? | Матриця навчання, записи про навчання, форми оцінювання |
| Внутрішній аудитор | 45 хв | Як планували програму внутрішнього аудиту? Як обиралися аудитори? Як забезпечували неупередженість? Чи всі невідповідності закриті? | Програма внутрішнього аудиту, звіти, записи компетентності аудиторів |
| Керівник виробництва | 1 год | Як контролюєте параметри процесу? Що робите при відхиленні? Як простежуєте партію продукту? | Записи контролю процесу, журнал відхилень |
| Оператор на CCP / критичній операції | 30 хв × N | Покажіть, як ви заповнюєте цей запис. Що робите, якщо температура вийшла за межі? Кому повідомляєте? | Працюючий запис, інструкція на робочому місці |
| Технічне обслуговування / Калібрування | 45 хв | Який план калібрування? Як ідентифікуєте обладнання, що потребує калібрування? Що робите з результатами поза допуском? | Реєстр калібрування, перелік обладнання, сертифікати |
Що питає аудитор у персоналу і як готувати команду
Питання операторам не вимагають теоретичних знань стандарту. Вони перевіряють, чи людина розуміє свою операцію, її ризики і свою роль у системі. Три типові формати питань:
- «Покажіть, як ви це робите», оператор має продемонструвати дію (заповнити запис, провести вимірювання, перевірити CCP).
- «А якщо?», гіпотетичний сценарій («що ви робите, якщо температура хокера падає нижче 70°C?»).
- «Простежте назад», аудитор бере партію готового продукту і просить простежити її компоненти, дату виробництва, оператора, результати лабораторного контролю.
Підготовка команди: проведіть за 2–3 дні до 2-го етапу репетиційні інтерв'ю по 15–20 хвилин з кожним ключовим оператором. Не репетируйте відповіді слово в слово, вчіть структуру: «коротка відповідь → демонстрація → запис».
На цьому етапі аудитор найчастіше знаходить найпоширеніші невідповідності. Огляд того, що саме ці типові невідповідності що знаходять на 2-му етапі аудиту, допоможе закрити вразливі зони ще до приходу органу сертифікації.
Дні 2–3: відбір вибірки записів і тести простежуваності
На цьому етапі аудитор переходить від «як ви це робите» до «доведіть записами, що це робиться щодня». Відбір вибірки записів: не суцільна перевірка, а вибірка, що базується на ризику і репрезентативності.
Логіка вибірки. Провідний аудитор обирає 3–10 партій / транзакцій / випадків з останніх 6–12 місяців. Критерії: зразок із зони високого ризику, зразок із зони низького ризику, зразок з періоду відомої події (рекламація клієнта, несправність обладнання, кадрова зміна).
Типовий тест простежуваності для ISO 22000 / FSSC 22000. Аудитор бере 3 партії готового продукту з різних дат і просить:
- Простежити кожну партію назад до сировини (номери партій, постачальник, CoA).
- Показати записи CCP на момент виробництва кожної партії.
- Знайти результати лабораторного контролю готового продукту (мікробіологія, фізико-хімія).
- Підтвердити навчання оператора, який виконував критичну операцію.
- Перевірити калібрування обладнання, що використовувалось.
Норматив часу для повного тесту простежуваності: 2–4 години для 3 партій. Якщо команда не може зібрати ці записи за 30 хвилин: сигнал для major NC по §8.3 (Простежуваність).
Перед 2-м етапом проведіть власний тест простежуваності: оберіть 2–3 партії за останні 6 місяців і пройдіть весь шлях до сировини. Якщо знайдете розрив у записах: майже гарантована невідповідність на 2-му етапі. Передаудит від консультанта виявить такі розриви до приходу аудитора, коли їх ще можна закрити без формальних наслідків.
Як аудитор оцінює достатність вибірки
Якщо в обраних 3 партіях все чисто, аудитор не зробить висновок «система працює». Він додасть ще 2–3 зразки з суміжних зон. Якщо в одному зразку знайшовся розрив: не одразу major NC, але аудитор збільшить вибірку до 5–7 зразків, щоб оцінити, чи це випадковість, чи систематична проблема. Саме систематичність і перетворює minor у major.
Для ISO 9001 типова вибірка інша: аудитор бере замовлення клієнтів, виробничі наряди, протоколи невідповідностей продукції, рекламації. Для ISO 14001, реєстр екологічних аспектів, моніторинг викидів, дозвільна документація. Для ISO 45001, звіти про інциденти, аналіз ризиків робіт (JSA), навчання з охорони праці.
Останній день: консолідація виявлень і заключна нарада
Передостанньою активністю команди аудиторів є закрита робоча сесія: 1,5–2 години без присутності компанії. Аудитори консолідують спостереження, кваліфікують їх (Major NC / Minor NC / OFI / Сильні сторони) і готують презентацію. У цей час корисно зайнятись адміністративними питаннями і не намагатись «дізнатися заздалегідь» про виявлення: створює тиск і сприймається негативно.
| Тип | Визначення (за ISO/IEC 17021-1 §9.4.9) | Реакція компанії |
|---|---|---|
| Major NC (значна невідповідність) | Системний збій або відсутність процесу, що ставить під сумнів здатність системи досягати запланованих результатів | Підтвердити розуміння, узгодити план коригувальних дій з термінами (зазвичай до 3 міс.) |
| Minor NC (незначна невідповідність) | Окрема невідповідність, що не загрожує цілісності системи | Підтвердити розуміння, узгодити коригувальні дії з термінами (до 6 міс.) |
| OFI (Можливість для покращення) | Не порушення вимог, а пропозиція для покращення | Прийняти до відома, рішення про впровадження — за компанією |
| Сильна сторона | Сильні сторони системи, що варті визнання | Поінформувати команду — це мотиваційний інструмент |
Як реагувати на виявлення: 3 правила
1. НЕ заперечувати. Навіть якщо вам здається, що аудитор помилився, не починайте сперечатись на заключній нараді. Скажіть «дякую за спостереження, ми розглянемо його» і запросіть деталі.
2. НЕ виправдовуватись. Фрази «у нас же тільки одна людина в цьому процесі» або «у попередньому році ми це обговорювали з іншим аудитором» працюють проти вас. Аудитор не оцінює пом'якшуючі обставини, він фіксує факт.
3. Ставити уточнюючі питання. Це професійна реакція. «Чи можете уточнити, який пункт стандарту ви вважаєте порушеним?», «Який обсяг записів ви розглядали при формуванні цього висновку?», «Чи це поодинокий випадок, чи систематичний паттерн?», такі питання дають вам інформацію для якісних коригувальних дій, а не для оскарження.
Якщо ви категорично не згодні з кваліфікацією невідповідності, у вас є формальне право подати апеляцію в орган сертифікації протягом терміну, прописаного в договорі (зазвичай 14–30 днів). Але це інший канал, не заключна нарада.
Провідний аудитор завершує заключну нараду рекомендацією для органу сертифікації: «рекомендувати до сертифікації», «рекомендувати до сертифікації за умови закриття невідповідностей» або «не рекомендувати». Сама сертифікація видається не аудитором, а незалежним сертифікаційним комітетом органу сертифікації після перевірки коригувальних дій: вимога §9.5 ISO/IEC 17021-1.
Матриця розподілу часу аудитора: куди йде час
Знаючи, як аудитор розподіляє час, ви можете розставити свої сили відповідно. Ця матриця базується на даних з 200+ супроводжених 2-х етапів і добре корелює з рекомендаціями ISO 19011:2018 щодо розподілу аудиторської активності.
| Активність | % часу | Що готувати компанії |
|---|---|---|
| Вступна нарада | 5% | Список присутніх, конференц-зал, проектор |
| Огляд документів (процедури, політика, докази) | 25% | Реєстр документів з версіями, контрольовані копії |
| Обхід виробництва / візит на майданчик | 20% | Чисті проходи, актуальні інструкції на робочих місцях, готовність операторів |
| Інтерв'ю (вище керівництво, власники процесів, оператори) | 30% | Інструкції за ролями, доступність людей у заявлені слоти |
| Відбір вибірки записів + тести простежуваності | 15% | Доступ до архіву записів за 12 міс., швидке знаходження (5 хв на партію) |
| Заключна нарада + закрита робоча сесія | 5% | Той самий зал, повна присутність команди компанії |
Якщо ви бачите у плані аудиту дисбаланс (наприклад, 60% часу на огляд документів і 5% на обхід виробництва): повод запитати провідного аудитора, чи відповідає план сфері сертифікації. Дисбаланс часто свідчить про недосвідченого аудитора або помилку в плануванні.
Розрахунок на прикладі: людино-дні за IAF MD 5:2023
Тривалість 2-го етапу, не довільна цифра. Її обчислюють за формулою з IAF MD 5:2023 («Визначення часу аудиту систем менеджменту якості, екологічного менеджменту та охорони праці»). Цей документ обов'язковий для всіх IAF-визнаних органів сертифікації. На жаль, лише 2 з 10 топових україно- і англомовних статей про сертифікацію взагалі цитують MD 5, а формулу не наводить ніхто. Тому розберемо її на прикладах.
Базова формула
H = базова таблиця × коефіцієнти коригування
Де:
- Базова таблиця. Таблиці QMS-1 / EMS-1 / OHS-1 з MD 5, що дають H у людино-днях як функцію кількості ефективних співробітників.
- Коефіцієнти коригування, підвищувальні (висока складність, новий стандарт, відсутність попередньої сертифікації) або знижувальні (зріла система, повторна сертифікація, інтегровані системи).
Для 1-го + 2-го етапів разом базова таблиця дає сумарне H. 1-й етап зазвичай ≈ 30% від первинного сертифікаційного аудиту, 2-й етап, решта 70%.
Ефективна кількість персоналу = повний штат – персонал, що повторює ті самі функції на тих самих змінах. Тобто 50 операторів на 3 змінах із однаковою функцією: 50 ефективних, а не 150.
| Сценарій | Ефективний персонал | Базова H (1-й + 2-й етапи) | Коригування | Підсумкові людино-дні |
|---|---|---|---|---|
| 50 співробітників, ISO 9001 один майданчик, нова сертифікація | 50 | ≈ 3 (Таблиця QMS-1: діапазон 26–65 → 3 дні) | низька складність (–0%), один майданчик (×1.0) | ≈ 3 людино-дні (1-й етап ≈ 1, 2-й етап ≈ 2) |
| 200 співробітників, FSSC 22000 кілька майданчиків (3 по ≈70 осіб) | 200 | ≈ 5 (Таблиця FSMS — діапазон 176–275 → 5 днів для головного офісу) | + ≈ 1,5 на кожен виробничий майданчик (Додаток 3 MD 5) = +3 | ≈ 5 + 3 = 8 людино-днів (з яких 2-й етап ≈ 5,5) |
| 500 співробітників, інтегрована 9001 + 14001 + 45001 | 500 | ≈ 8 (Таблиця QMS-1: діапазон 426–625 → 8 днів як база) | EMS +30%, OHS +30%, знижка за інтегровану систему –20% | ≈ 8 × 1,3 × 1,3 × 0,8 ≈ 11 людино-днів (2-й етап ≈ 7,5) |
Як читати таблиці IAF MD 5:2023
Таблиця 1 (QMS-1) і Таблиця 2 (EMS-1): базові таблиці для ISO 9001 і ISO 14001. Лівий стовпець, діапазон ефективних співробітників, правий, H у людино-днях для первинного аудиту (1-й + 2-й етапи сумарно).
Таблиця 3 (OHS-1), для ISO 45001. Розрахунок аналогічний QMS-1, але з вищим базовим часом через специфіку охорони праці.
Додаток 3 регулює мультимайданчиковий аудит: для кожного додаткового виробничого майданчика додається ≈ 1–2 людино-дні залежно від складності. Якщо у вас 3 однотипні склади: не 3× час, а ≈ 1,3× базової H через вибірку.
Знижка за інтегрований аудит, якщо ви сертифікуєтесь одночасно за ISO 9001 + ISO 14001 + ISO 45001, MD 5 дозволяє знизити сумарну тривалість на 10–30% через спільні елементи (Лідерство, Контроль документів, Внутрішній аудит, Аналіз з боку керівництва).
Наглядові аудити = ⅓ від первинного. Ресертифікаційний аудит = ⅔ від первинного. Деталі вибірки за майданчиками добре розкриває European Accreditation FAQ Question 38-2.
Якщо орган сертифікації пропонує тривалість 2-го етапу, що значно нижча за розрахунок MD 5 (наприклад, 1 день для 200 співробітників): тривожний сигнал. Або CB порушує MD 5, або не врахував сферу сертифікації. У цьому випадку ризик відмови IAF-акредитації для вашого сертифіката реальний. Сертифікат може бути визнаний недійсним через 1–2 роки за результатами взаємної експертної оцінки IAF.
Знаючи розрахунок за MD 5, ви можете обґрунтовано порівняти комерційні пропозиції різних органів сертифікації. Якщо різниця в ціні: 20%, а різниця в людино-днях: 50%, то один із органів або занижує час (ризик якості), або завищує (комерційна перевага). Замовте послугу супроводу аудиту, ми перевіримо коректність розрахунків і виявимо такі розбіжності ще до підписання договору.
Що відбувається після 2-го етапу
Заключна нарада: ще не сертифікація. Далі йдуть:
- 0–14 днів: провідний аудитор готує підсумковий звіт аудиту і передає його в орган сертифікації.
- 14–30 днів: ви подаєте план коригувальних дій для всіх невідповідностей з кореневим аналізом і термінами.
- 30–90 днів: реалізація коригувальних дій, надання доказів закриття.
- 90–120 днів: незалежний сертифікаційний комітет органу сертифікації перевіряє пакет і ухвалює рішення про сертифікацію.
- 120–150 днів: видача сертифіката (зазвичай на 3 роки з річним наглядовим циклом).
Після видачі сертифіката починається інша фаза, підтримка системи у відповідному стані. Річний супровід системи допомагає не «втратити форму» між наглядовими аудитами, що типово стається у компаній на 2-му році сертифікації.
Якщо вам потрібно поглянути на повний 3-річний цикл або підготувати команду до конкретної сертифікації за ISO 9001 чи ISO 22000, напишіть нам, розрахуємо часові і фінансові показники під вашу сферу сертифікації.
Часті запитання
Найпоширеніші запитання про другий етап сертифікаційного аудиту ISO, з реальної практики 200+ супроводжених аудитів і відповідних популярних запитів Google.
Теги
Потрібна консультація щодо сертифікації?
Безкоштовна консультаціяЗміст сторінки
- 2-й етап без стресу: чому послідовність важливіша за паніку
- 1-й vs 2-й етап: у чому ключова різниця
- Що передує 2-му етапу: підсумки першого етапу і план аудиту
- День 1: вступна нарада + початковий огляд документації
- Дні 1–2: обходи процесів та інтерв'ю з персоналом
- Дні 2–3: відбір вибірки записів і тести простежуваності
- Останній день: консолідація виявлень і заключна нарада
- Матриця розподілу часу аудитора: куди йде час
- Розрахунок на прикладі: людино-дні за IAF MD 5:2023
- Часті запитання
2-й етап без стресу: чому послідовність важливіша за паніку
Через 7 днів до вас приходить аудитор. Команда нервує, директор питає «а що якщо щось не так», а керівник з якості зайвий раз перечитує процедури. Це нормальна реакція, але вона ґрунтується на міфі, що 2-й етап (Stage 2) є екзаменом з невідомими питаннями.
Насправді другий етап аудиту: структурована перевірка з передбачуваною послідовністю кроків, регламентованими ролями і чіткими правилами поведінки сторін. Ці правила прописані в ISO/IEC 17021-1:2015, §9.4 «Проведення аудиту», і кожен орган сертифікації (CB) зобов'язаний їх дотримуватись.
Знаючи послідовність, команда може підготуватися без авралу: розподілити ролі, заздалегідь зібрати записи у відповідних місцях, відрепетирувати відповіді на типові питання. У цій статті ми покажемо погодинну логіку 2–3-денного 2-го етапу аудиту, дамо матрицю часу аудитора за типами активностей і, як ключовий елемент, проведемо реальний розрахунок тривалості аудиту за IAF MD 5:2023 для трьох розмірів компанії.
Це не теорія з підручника. Це послідовність, яку ми спостерігали на 200+ супроводжених аудитах: ISO 9001, ISO 22000, FSSC 22000, ISO 14001, ISO 45001, на одному майданчику та на кількох (multi-site), в Україні та для українських експортерів.
1-й vs 2-й етап: у чому ключова різниця
Сертифікаційний цикл за ISO/IEC 17021-1 розбивається на два формальні етапи. Часто плутанина починається саме тут: керівники готуються до 2-го етапу так, ніби це продовження 1-го. Це різні події з різними цілями.
1-й етап (Stage 1): перевірка готовності системи. Аудитор оцінює, чи документація достатньо зріла, чи внутрішній аудит і аналіз з боку керівництва (Management Review) вже відбулися, чи зрозуміла сфера сертифікації, чи зібрані докази для базового набору вимог. 1-й етап зазвичай завершується звітом із зонами стурбованості (areas of concern): ще не невідповідностями, а сигналами ризику.
2-й етап (Stage 2): перевірка ефективності системи в реальній операційній практиці. Аудитор уже не питає «де ваша процедура», а перевіряє «як вона працює щодня і як ви це можете довести записами».
| Параметр | 1-й етап | 2-й етап |
|---|---|---|
| Фокус | Готовність системи: сфера, документація, зрілість | Ефективність системи в практиці: докази, простежуваність |
| Локація | Часто дистанційно (огляд документів) або 0,5–1 день на майданчику | Завжди на майданчику, на всіх заявлених локаціях |
| Тривалість | Зазвичай 20–40% часу 2-го етапу (за IAF MD 5) | Повна базова тривалість за таблицями IAF MD 5:2023 |
| Результат | Звіт 1-го етапу з зонами стурбованості | Звіт 2-го етапу з невідповідностями (major/minor) + рекомендація органу сертифікації |
| Типи виявлень на аудиті | Зони стурбованості, можливості для покращення | Major NC, Minor NC, OFI |
| Учасники | Вище керівництво + керівник з якості + ключові власники процесів | Вище керівництво + керівник з якості + усі власники процесів + операторський персонал |
| Підсумок | Готовність до 2-го етапу (так/ні) | Рекомендація органу сертифікації на видачу сертифіката |
| Подальші дії | Закриття зон стурбованості до 2-го етапу | Закриття невідповідностей у визначені терміни (до 3 міс. для major, до 6 міс. для minor) |
Якщо на 1-му етапі ви отримали 5+ зон стурбованості, не йдіть на 2-й етап «як є». Ризик major NC різко зростає, а повторне проведення 2-го етапу коштує дорожче за відтермінування. Корисно зробити попередню оцінку готовності до сертифікації і закрити критичні розриви.
Що передує 2-му етапу: підсумки першого етапу і план аудиту
За 2–4 тижні до 2-го етапу ви отримуєте від органу сертифікації пакет документів: підсумковий звіт 1-го етапу, оновлений план аудиту та порядок денний. Це не формальність: ваша інструкція з підготовки.
Як читати звіт 1-го етапу. Зверніть увагу на формулювання зон стурбованості: вони показують, де аудитор уже бачить ризик і куди обов'язково повернеться на 2-му етапі. Якщо у звіті написано «докази проведення аналізу з боку керівництва за 2025 рік не надано», підготуйте повний пакет за 12 місяців з протоколами, входами/виходами і коригувальними діями (CAPA).
Як читати план аудиту. Стандартний план 2-го етапу містить: дати, склад команди аудиторів, перелік аудитованих процесів з прив'язкою до пунктів стандарту, розподіл часу по днях, ролі представників компанії на кожній сесії. Кожна стрічка: сигнал, кого з ваших людей треба підготувати.
Що зробити за 7 днів до 2-го етапу:
- Підтвердити план аудиту і повідомити орган сертифікації про конфлікти (відрядження вищого керівництва, зупинка лінії).
- Розіслати персональні інструкції кожному учаснику: коли його сесія, які питання очікуються, які записи треба мати під рукою.
- Підготувати кімнату для аудиту з доступом до інтернету, проектором, окремим столом для аудитора.
- Перевірити, що всі коригувальні дії з останніх внутрішніх аудитів закриті або мають план з реалістичними термінами.
- Провести коротку репетицію з керівником з якості та вищим керівництвом: 30 хвилин з 5 типовими питаннями.
Детальний цикл підготовки за 90 днів описаний у нашому 90-денному плані підготовки до сертифікаційного аудиту, він закриває не лише 2-й етап, а й попередні фази аналізу розривів і внутрішнього аудиту.
День 1: вступна нарада + початковий огляд документації
Перший день, найнапруженіший за враженнями і найважливіший за тоном. Те, як команда поведе себе на вступній нараді, визначає атмосферу всього аудиту.
| Час | Активність | Хто бере участь | Ключові артефакти |
|---|---|---|---|
| 08:30 – 09:00 | Вступна нарада | Команда аудиторів + вище керівництво + керівник з якості + усі власники процесів | План аудиту, опис сфери, перелік свідчень довіри |
| 09:00 – 10:30 | Інтерв'ю з вищим керівництвом (Лідерство, §5) | Провідний аудитор + CEO/директор | Політика, Цілі у сфері якості, KPI, аналіз з боку керівництва |
| 10:30 – 12:00 | Огляд документованої інформації §7.5 | Провідний аудитор + керівник з якості | Перелік процедур, контроль документів, журнал версій |
| 12:00 – 13:00 | Обідня перерва | — | — |
| 13:00 – 15:00 | Інтерв'ю з керівником з якості: планування, ризики (§6), компетентність (§7) | Провідний аудитор + керівник з якості + HR | Реєстр ризиків, матриця навчання, записи компетентності |
| 15:00 – 16:30 | Огляд внутрішнього аудиту + аналізу з боку керівництва (§9) | Провідний аудитор + внутрішній аудитор + керівник з якості | Програма внутрішнього аудиту, звіти, протоколи MR, журнал коригувальних дій |
| 16:30 – 17:00 | Підбиття підсумків дня (внутрішнє для команди аудиторів) | Команда аудиторів | Робочі нотатки аудитора |
Вступна нарада: 30 хвилин, які задають тон
Що каже аудитор. Керівник команди аудиторів представляє склад команди, підтверджує сферу та критерії аудиту, нагадує про конфіденційність і неупередженість (вимога §5 ISO/IEC 17021-1), описує метод вибірки і пояснює, що не всі процеси будуть перевірені: робиться через відбір вибірки, тому відсутність питання не означає, що зона «чиста».
Що каже компанія. Вище керівництво відкриває словами «ми готові до перевірки і відкриті до співпраці». Керівник з якості представляє склад команди компанії і ролі. Не варто намагатись справити враження, аудитор оцінює систему, а не PR.
Типова помилка. Команда починає захищатись ще до того, як аудитор поставив питання. Фрази «ну, у нас не зовсім ідеально, але…» створюють негативне враження ще до огляду доказів.
На вступній нараді аудитор питає, чи маєте ви до нього скарги щодо неупередженості: формальна вимога ISO/IEC 17021-1 §5. Якщо у складі команди аудиторів є людина, яка раніше консультувала вашу систему останні 2 роки,: підстава для відводу. Не бійтесь користуватись цим правом.
Дні 1–2: обходи процесів та інтерв'ю з персоналом
Після початкового огляду документів аудитор виходить на виробництво або в офіс. Це найбільший блок аудиту за часом, і найбільш стресовий для лінійного персоналу. Зайва тривога знімається підготовкою: коли оператор знає 3–4 типові питання, він відповідає впевнено.
| Роль | Тривалість | Типові питання аудитора | Що мати під рукою |
|---|---|---|---|
| CEO / Директор | 30 хв | Як ви демонструєте лідерство? Які KPI системи? Коли востаннє був аналіз з боку керівництва? Які рішення з нього прийняті? | Політика, протоколи MR, дашборд KPI |
| Керівник з якості / FSMS-менеджер | 2 год | Як ідентифікуєте ризики (§6.1)? Як планували зміни цього року? Як здійснюєте контроль документованої інформації? | Реєстр ризиків, журнал змін, реєстр документів |
| HR / Навчання | 30–45 хв | Як визначаєте вимоги до компетентності? Як ведете записи про навчання? Як оцінюєте ефективність навчання? | Матриця навчання, записи про навчання, форми оцінювання |
| Внутрішній аудитор | 45 хв | Як планували програму внутрішнього аудиту? Як обиралися аудитори? Як забезпечували неупередженість? Чи всі невідповідності закриті? | Програма внутрішнього аудиту, звіти, записи компетентності аудиторів |
| Керівник виробництва | 1 год | Як контролюєте параметри процесу? Що робите при відхиленні? Як простежуєте партію продукту? | Записи контролю процесу, журнал відхилень |
| Оператор на CCP / критичній операції | 30 хв × N | Покажіть, як ви заповнюєте цей запис. Що робите, якщо температура вийшла за межі? Кому повідомляєте? | Працюючий запис, інструкція на робочому місці |
| Технічне обслуговування / Калібрування | 45 хв | Який план калібрування? Як ідентифікуєте обладнання, що потребує калібрування? Що робите з результатами поза допуском? | Реєстр калібрування, перелік обладнання, сертифікати |
Що питає аудитор у персоналу і як готувати команду
Питання операторам не вимагають теоретичних знань стандарту. Вони перевіряють, чи людина розуміє свою операцію, її ризики і свою роль у системі. Три типові формати питань:
- «Покажіть, як ви це робите», оператор має продемонструвати дію (заповнити запис, провести вимірювання, перевірити CCP).
- «А якщо?», гіпотетичний сценарій («що ви робите, якщо температура хокера падає нижче 70°C?»).
- «Простежте назад», аудитор бере партію готового продукту і просить простежити її компоненти, дату виробництва, оператора, результати лабораторного контролю.
Підготовка команди: проведіть за 2–3 дні до 2-го етапу репетиційні інтерв'ю по 15–20 хвилин з кожним ключовим оператором. Не репетируйте відповіді слово в слово, вчіть структуру: «коротка відповідь → демонстрація → запис».
На цьому етапі аудитор найчастіше знаходить найпоширеніші невідповідності. Огляд того, що саме ці типові невідповідності що знаходять на 2-му етапі аудиту, допоможе закрити вразливі зони ще до приходу органу сертифікації.
Дні 2–3: відбір вибірки записів і тести простежуваності
На цьому етапі аудитор переходить від «як ви це робите» до «доведіть записами, що це робиться щодня». Відбір вибірки записів: не суцільна перевірка, а вибірка, що базується на ризику і репрезентативності.
Логіка вибірки. Провідний аудитор обирає 3–10 партій / транзакцій / випадків з останніх 6–12 місяців. Критерії: зразок із зони високого ризику, зразок із зони низького ризику, зразок з періоду відомої події (рекламація клієнта, несправність обладнання, кадрова зміна).
Типовий тест простежуваності для ISO 22000 / FSSC 22000. Аудитор бере 3 партії готового продукту з різних дат і просить:
- Простежити кожну партію назад до сировини (номери партій, постачальник, CoA).
- Показати записи CCP на момент виробництва кожної партії.
- Знайти результати лабораторного контролю готового продукту (мікробіологія, фізико-хімія).
- Підтвердити навчання оператора, який виконував критичну операцію.
- Перевірити калібрування обладнання, що використовувалось.
Норматив часу для повного тесту простежуваності: 2–4 години для 3 партій. Якщо команда не може зібрати ці записи за 30 хвилин: сигнал для major NC по §8.3 (Простежуваність).
Перед 2-м етапом проведіть власний тест простежуваності: оберіть 2–3 партії за останні 6 місяців і пройдіть весь шлях до сировини. Якщо знайдете розрив у записах: майже гарантована невідповідність на 2-му етапі. Передаудит від консультанта виявить такі розриви до приходу аудитора, коли їх ще можна закрити без формальних наслідків.
Як аудитор оцінює достатність вибірки
Якщо в обраних 3 партіях все чисто, аудитор не зробить висновок «система працює». Він додасть ще 2–3 зразки з суміжних зон. Якщо в одному зразку знайшовся розрив: не одразу major NC, але аудитор збільшить вибірку до 5–7 зразків, щоб оцінити, чи це випадковість, чи систематична проблема. Саме систематичність і перетворює minor у major.
Для ISO 9001 типова вибірка інша: аудитор бере замовлення клієнтів, виробничі наряди, протоколи невідповідностей продукції, рекламації. Для ISO 14001, реєстр екологічних аспектів, моніторинг викидів, дозвільна документація. Для ISO 45001, звіти про інциденти, аналіз ризиків робіт (JSA), навчання з охорони праці.
Останній день: консолідація виявлень і заключна нарада
Передостанньою активністю команди аудиторів є закрита робоча сесія: 1,5–2 години без присутності компанії. Аудитори консолідують спостереження, кваліфікують їх (Major NC / Minor NC / OFI / Сильні сторони) і готують презентацію. У цей час корисно зайнятись адміністративними питаннями і не намагатись «дізнатися заздалегідь» про виявлення: створює тиск і сприймається негативно.
| Тип | Визначення (за ISO/IEC 17021-1 §9.4.9) | Реакція компанії |
|---|---|---|
| Major NC (значна невідповідність) | Системний збій або відсутність процесу, що ставить під сумнів здатність системи досягати запланованих результатів | Підтвердити розуміння, узгодити план коригувальних дій з термінами (зазвичай до 3 міс.) |
| Minor NC (незначна невідповідність) | Окрема невідповідність, що не загрожує цілісності системи | Підтвердити розуміння, узгодити коригувальні дії з термінами (до 6 міс.) |
| OFI (Можливість для покращення) | Не порушення вимог, а пропозиція для покращення | Прийняти до відома, рішення про впровадження — за компанією |
| Сильна сторона | Сильні сторони системи, що варті визнання | Поінформувати команду — це мотиваційний інструмент |
Як реагувати на виявлення: 3 правила
1. НЕ заперечувати. Навіть якщо вам здається, що аудитор помилився, не починайте сперечатись на заключній нараді. Скажіть «дякую за спостереження, ми розглянемо його» і запросіть деталі.
2. НЕ виправдовуватись. Фрази «у нас же тільки одна людина в цьому процесі» або «у попередньому році ми це обговорювали з іншим аудитором» працюють проти вас. Аудитор не оцінює пом'якшуючі обставини, він фіксує факт.
3. Ставити уточнюючі питання. Це професійна реакція. «Чи можете уточнити, який пункт стандарту ви вважаєте порушеним?», «Який обсяг записів ви розглядали при формуванні цього висновку?», «Чи це поодинокий випадок, чи систематичний паттерн?», такі питання дають вам інформацію для якісних коригувальних дій, а не для оскарження.
Якщо ви категорично не згодні з кваліфікацією невідповідності, у вас є формальне право подати апеляцію в орган сертифікації протягом терміну, прописаного в договорі (зазвичай 14–30 днів). Але це інший канал, не заключна нарада.
Провідний аудитор завершує заключну нараду рекомендацією для органу сертифікації: «рекомендувати до сертифікації», «рекомендувати до сертифікації за умови закриття невідповідностей» або «не рекомендувати». Сама сертифікація видається не аудитором, а незалежним сертифікаційним комітетом органу сертифікації після перевірки коригувальних дій: вимога §9.5 ISO/IEC 17021-1.
Матриця розподілу часу аудитора: куди йде час
Знаючи, як аудитор розподіляє час, ви можете розставити свої сили відповідно. Ця матриця базується на даних з 200+ супроводжених 2-х етапів і добре корелює з рекомендаціями ISO 19011:2018 щодо розподілу аудиторської активності.
| Активність | % часу | Що готувати компанії |
|---|---|---|
| Вступна нарада | 5% | Список присутніх, конференц-зал, проектор |
| Огляд документів (процедури, політика, докази) | 25% | Реєстр документів з версіями, контрольовані копії |
| Обхід виробництва / візит на майданчик | 20% | Чисті проходи, актуальні інструкції на робочих місцях, готовність операторів |
| Інтерв'ю (вище керівництво, власники процесів, оператори) | 30% | Інструкції за ролями, доступність людей у заявлені слоти |
| Відбір вибірки записів + тести простежуваності | 15% | Доступ до архіву записів за 12 міс., швидке знаходження (5 хв на партію) |
| Заключна нарада + закрита робоча сесія | 5% | Той самий зал, повна присутність команди компанії |
Якщо ви бачите у плані аудиту дисбаланс (наприклад, 60% часу на огляд документів і 5% на обхід виробництва): повод запитати провідного аудитора, чи відповідає план сфері сертифікації. Дисбаланс часто свідчить про недосвідченого аудитора або помилку в плануванні.
Розрахунок на прикладі: людино-дні за IAF MD 5:2023
Тривалість 2-го етапу, не довільна цифра. Її обчислюють за формулою з IAF MD 5:2023 («Визначення часу аудиту систем менеджменту якості, екологічного менеджменту та охорони праці»). Цей документ обов'язковий для всіх IAF-визнаних органів сертифікації. На жаль, лише 2 з 10 топових україно- і англомовних статей про сертифікацію взагалі цитують MD 5, а формулу не наводить ніхто. Тому розберемо її на прикладах.
Базова формула
H = базова таблиця × коефіцієнти коригування
Де:
- Базова таблиця. Таблиці QMS-1 / EMS-1 / OHS-1 з MD 5, що дають H у людино-днях як функцію кількості ефективних співробітників.
- Коефіцієнти коригування, підвищувальні (висока складність, новий стандарт, відсутність попередньої сертифікації) або знижувальні (зріла система, повторна сертифікація, інтегровані системи).
Для 1-го + 2-го етапів разом базова таблиця дає сумарне H. 1-й етап зазвичай ≈ 30% від первинного сертифікаційного аудиту, 2-й етап, решта 70%.
Ефективна кількість персоналу = повний штат – персонал, що повторює ті самі функції на тих самих змінах. Тобто 50 операторів на 3 змінах із однаковою функцією: 50 ефективних, а не 150.
| Сценарій | Ефективний персонал | Базова H (1-й + 2-й етапи) | Коригування | Підсумкові людино-дні |
|---|---|---|---|---|
| 50 співробітників, ISO 9001 один майданчик, нова сертифікація | 50 | ≈ 3 (Таблиця QMS-1: діапазон 26–65 → 3 дні) | низька складність (–0%), один майданчик (×1.0) | ≈ 3 людино-дні (1-й етап ≈ 1, 2-й етап ≈ 2) |
| 200 співробітників, FSSC 22000 кілька майданчиків (3 по ≈70 осіб) | 200 | ≈ 5 (Таблиця FSMS — діапазон 176–275 → 5 днів для головного офісу) | + ≈ 1,5 на кожен виробничий майданчик (Додаток 3 MD 5) = +3 | ≈ 5 + 3 = 8 людино-днів (з яких 2-й етап ≈ 5,5) |
| 500 співробітників, інтегрована 9001 + 14001 + 45001 | 500 | ≈ 8 (Таблиця QMS-1: діапазон 426–625 → 8 днів як база) | EMS +30%, OHS +30%, знижка за інтегровану систему –20% | ≈ 8 × 1,3 × 1,3 × 0,8 ≈ 11 людино-днів (2-й етап ≈ 7,5) |
Як читати таблиці IAF MD 5:2023
Таблиця 1 (QMS-1) і Таблиця 2 (EMS-1): базові таблиці для ISO 9001 і ISO 14001. Лівий стовпець, діапазон ефективних співробітників, правий, H у людино-днях для первинного аудиту (1-й + 2-й етапи сумарно).
Таблиця 3 (OHS-1), для ISO 45001. Розрахунок аналогічний QMS-1, але з вищим базовим часом через специфіку охорони праці.
Додаток 3 регулює мультимайданчиковий аудит: для кожного додаткового виробничого майданчика додається ≈ 1–2 людино-дні залежно від складності. Якщо у вас 3 однотипні склади: не 3× час, а ≈ 1,3× базової H через вибірку.
Знижка за інтегрований аудит, якщо ви сертифікуєтесь одночасно за ISO 9001 + ISO 14001 + ISO 45001, MD 5 дозволяє знизити сумарну тривалість на 10–30% через спільні елементи (Лідерство, Контроль документів, Внутрішній аудит, Аналіз з боку керівництва).
Наглядові аудити = ⅓ від первинного. Ресертифікаційний аудит = ⅔ від первинного. Деталі вибірки за майданчиками добре розкриває European Accreditation FAQ Question 38-2.
Якщо орган сертифікації пропонує тривалість 2-го етапу, що значно нижча за розрахунок MD 5 (наприклад, 1 день для 200 співробітників): тривожний сигнал. Або CB порушує MD 5, або не врахував сферу сертифікації. У цьому випадку ризик відмови IAF-акредитації для вашого сертифіката реальний. Сертифікат може бути визнаний недійсним через 1–2 роки за результатами взаємної експертної оцінки IAF.
Знаючи розрахунок за MD 5, ви можете обґрунтовано порівняти комерційні пропозиції різних органів сертифікації. Якщо різниця в ціні: 20%, а різниця в людино-днях: 50%, то один із органів або занижує час (ризик якості), або завищує (комерційна перевага). Замовте послугу супроводу аудиту, ми перевіримо коректність розрахунків і виявимо такі розбіжності ще до підписання договору.
Що відбувається після 2-го етапу
Заключна нарада: ще не сертифікація. Далі йдуть:
- 0–14 днів: провідний аудитор готує підсумковий звіт аудиту і передає його в орган сертифікації.
- 14–30 днів: ви подаєте план коригувальних дій для всіх невідповідностей з кореневим аналізом і термінами.
- 30–90 днів: реалізація коригувальних дій, надання доказів закриття.
- 90–120 днів: незалежний сертифікаційний комітет органу сертифікації перевіряє пакет і ухвалює рішення про сертифікацію.
- 120–150 днів: видача сертифіката (зазвичай на 3 роки з річним наглядовим циклом).
Після видачі сертифіката починається інша фаза, підтримка системи у відповідному стані. Річний супровід системи допомагає не «втратити форму» між наглядовими аудитами, що типово стається у компаній на 2-му році сертифікації.
Якщо вам потрібно поглянути на повний 3-річний цикл або підготувати команду до конкретної сертифікації за ISO 9001 чи ISO 22000, напишіть нам, розрахуємо часові і фінансові показники під вашу сферу сертифікації.
Часті запитання
Найпоширеніші запитання про другий етап сертифікаційного аудиту ISO, з реальної практики 200+ супроводжених аудитів і відповідних популярних запитів Google.
