De fleste punkter i ISO 9001:2015 fortæller en organisation, hvad den skal opnå, og overlader hvordan til den. Punkt 9.3 er anderledes: Det fortæller topledelsen at holde et møde, opregner, hvad der skal på bordet, og opregner, hvad der skal komme ud af det. Det er det punkt, en auditor læser referatet op imod, linje for linje, og det, der oftest findes mangelfuldt, for et ledelsesmøde, hvor kvalitet blev drøftet, er ikke det samme som ledelsens evaluering med de tretten input foran sig. Denne artikel er punktet som dagsorden, registreringen hvert input kommer fra, og hvad referatet skal vise, i vores læsning af teksten; ordlyden er ISO's og gengives ikke.
Hvad mødet er til (9.3.1)
9.3.1 siger, at topledelsen evaluerer kvalitetsledelsessystemet med planlagte mellemrum for at sikre, at det forbliver egnet, tilstrækkeligt og effektivt og i overensstemmelse med organisationens strategiske retning. Fire ord at måle systemet mod, og et femte krav, der er let at overse: Evalueringen er topledelsens, ikke kvalitetschefens. Kvalitetschefen forbereder den; de mennesker, der fastlægger den strategiske retning, holder den, fordi overensstemmelsen med den retning er en af de fire ting, der bedømmes.
»Planlagte mellemrum« er den eneste hyppighed, standarden giver. Årligt er den almindelige praksis og det, certificeringsorganer forventer at se mellem overvågningsaudits; for en NIS2-enhed i sektorerne under gennemførelsesforordning (EU) 2024/2690 skal sikkerhedspolitikken alligevel gennemgås af ledelsesorganerne mindst én gang om året (punkt 1.1.2 i dens bilag), og de tolv registreringer, den forordning beder ledelsesorganet om, passer ind i det samme møde.
De tretten input (9.3.2), som dagsorden
9.3.2 opregner, hvad evalueringen planlægges og gennemføres under hensyntagen til. Seks punkter, hvoraf det tredje har syv underpunkter, tretten linjer i alt. Hver er et dagsordenspunkt, og hver har et sted i systemet en registrering, den læses fra.
| Punkt | Input | Registreringen, det kommer fra |
|---|---|---|
| 1 | Status på handlinger fra tidligere ledelsesevalueringer | Det forrige referat og dets handlingsliste |
| 2 | Ændringer i eksterne og interne forhold, der er relevante for systemet | Kontekstanalysen efter 4.1 og de interesserede parter efter 4.2, ajourført |
| 3 | Kundetilfredshed og tilbagemeldinger fra relevante interesserede parter | Overvågningen af kundernes opfattelse efter 9.1.2: undersøgelser, klager, anmeldelser, returneringer |
| 4 | I hvilket omfang kvalitetsmålene er nået | Målene efter 6.2 med deres målepunkter og resultater |
| 5 | Procespræstation og overensstemmelse for produkter og ydelser | Procesindikatorer fra 4.4, frigivelsesregistreringer fra 8.6 |
| 6 | Afvigelser og korrigerende handlinger | Afvigelsesregistret efter 10.2 |
| 7 | Resultater af overvågning og måling | Resultaterne efter 9.1.1 |
| 8 | Auditresultater | De interne auditrapporter efter 9.2 og enhver ekstern audit |
| 9 | Eksterne leverandørers præstation | Leverandørevalueringerne efter 8.4 |
| 10 | Ressourcernes tilstrækkelighed | 7.1: mennesker, infrastruktur, miljø, måleressourcer, viden |
| 11 | Effektiviteten af handlinger til håndtering af risici og muligheder | De handlinger for risici og muligheder, der er planlagt efter 6.1, og deres resultater |
| 12 | Muligheder for forbedring | 10.1, og alt ovenfor |
Punkt 3 til 9 er de syv underpunkter i inputtet om præstation og effektivitet, og standarden beder om tendenser i hvert af dem, ikke et øjebliksbillede: En evaluering, der siger »kundetilfredshed: god«, har ikke taget nogen tendens i betragtning. Den trettende linje er inputtets egen overskrift, information om systemets præstation og effektivitet, som de syv tilsammen udgør.
To af inputtene er dem, en første evaluering oftest mangler. Kundetilfredshed (punkt 3) kræver, at overvågningen efter 9.1.2 er sat op på forhånd; en virksomhed, der aldrig har spurgt sine kunder, har intet at komme med. Procespræstation (punkt 5) kræver de indikatorer, 4.4.1 beder hver proces om; en virksomhed, der har kortlagt sine processer uden målepunkter, har et kort og ingen aflæsning. Begge dele besluttes måneder før mødet, og derfor er dagsordenen værd at læse ved årets begyndelse frem for ugen før.
De tre output (9.3.3), og hvad referatet skal vise
9.3.3 siger, at evalueringens output omfatter beslutninger og handlinger om tre ting: muligheder for forbedring, ethvert behov for ændringer af kvalitetsledelsessystemet og ressourcebehov. Så den sætning, der gør mødet til en registrering: Organisationen opbevarer dokumenteret information som bevis for resultaterne af ledelsens evalueringer.
Hvad det bevis skal vise, følger af de to lister. Referatet nævner datoen og deltagerne, og at topledelsen var blandt dem. Det viser, at hvert af de tretten input blev taget i betragtning, med tendensen, ikke kun at det stod på dagsordenen. Det registrerer beslutningerne under de tre overskrifter i 9.3.3, og for hver handling en ejer og en dato, fordi punkt 1 i den næste evaluering er status på netop disse handlinger. En enkelt linje »ingen ændringer nødvendige« ud for et output er en beslutning og er i orden; et input uden noget ud for sig er et hul, en auditor skriver op.
Hvad referatet ikke behøver, er længde. En evaluering i en lille virksomhed, der læser tolv registreringer og træffer seks beslutninger, kan være på to sider; registreringerne selv opbevares, hvor de bor, under deres egne punkter, og referatet henviser til dem.
Én evaluering for ISO 9001 og ISO 27001
Punkt 9.3 er en del af Harmonized Structure, det fælles skelet i ISO's ledelsessystemstandarder, og ISO/IEC 27001:2022 har et punkt 9.3 af samme form: topledelse, planlagte mellemrum, input, output, opbevaret bevis. Inputtene overlapper og adskiller sig. Begge beder om status på tidligere handlinger, ændringer i eksterne og interne forhold, afvigelser og korrigerende handlinger, resultater af overvågning og måling, auditresultater, opfyldelsen af målene og muligheder for forbedring. ISO 27001 tilføjer ændringer i interesserede parters behov og forventninger, resultaterne af risikovurderingen og status på risikobehandlingsplanen samt tilbagemeldinger fra interesserede parter; ISO 9001 tilføjer kundetilfredshed, procespræstation og produktoverensstemmelse, eksterne leverandørers præstation, ressourcernes tilstrækkelighed og effektiviteten af handlinger for risici og muligheder.
En virksomhed, der er certificeret efter begge, holder én evaluering med foreningen af de to lister, og et referat, der markerer, hvilken standard hvert input tjener. Sådan fører StandardOS det: én registrering af ledelsens evaluering pr. periode, dens dagsorden trukket fra de standarder, organisationen har, inputtene knyttet til de registreringer, de læses fra, og handlingerne ført videre til den næste evaluering som punkt 1. Hvilke punkter i ISO 9001 produktet dækker fuldt, delvist eller slet ikke, er offentliggjort punkt for punkt; 9.3 er blandt dem, der er markeret delvist, og registret siger hvorfor. De dokumenter, evalueringen læser, og den dokumenterede information, punkt 7.5 beder om, er ledsagestykket.
Kilder
- ISO 9001:2015, punkt 4.1, 4.2, 4.4.1, 6.1, 6.2, 7.1, 8.4, 8.6, 9.1.1, 9.1.2, 9.2, 9.3.1, 9.3.2, 9.3.3, 10.1 og 10.2, citeret ved nummer; teksten er ISO's og gengives ikke.
- ISO/IEC 27001:2022, punkt 9.3, for de input, de to evalueringer deler, og dem, de ikke deler.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag, punkt 1.1.2, for den årlige gennemgang af politikken ved ledelsesorganerne.
Dette er ikke certificeringsrådgivning. Om en evaluering er tilstrækkelig, er certificeringsorganets vurdering ved audit; punktet ovenfor er det, det læser referatet op imod.