De meeste paragrafen van ISO 9001:2015 zeggen een organisatie wat zij moet bereiken en laten het hoe aan haar over. Paragraaf 9.3 is anders: zij zegt de directie een vergadering te houden, somt op wat op tafel moet liggen, en somt op wat eruit moet komen. Het is de paragraaf waartegen een auditor de notulen regel voor regel leest, en de paragraaf die het vaakst tekortschiet, omdat een directievergadering waarin over kwaliteit is gesproken niet hetzelfde is als een directiebeoordeling met de dertien inputs ervoor. Dit artikel is de paragraaf als agenda, de registratie waar elke input vandaan komt, en wat de notulen moeten laten zien, in onze lezing van de tekst; de bewoording is die van ISO en wordt niet weergegeven.
Waar de vergadering voor is (9.3.1)
9.3.1 zegt dat de directie het kwaliteitsmanagementsysteem met geplande tussenpozen beoordeelt om te waarborgen dat het geschikt, toereikend en doeltreffend blijft, en afgestemd op de strategische richting van de organisatie. Vier woorden om het systeem aan te toetsen, en een vijfde eis die gemakkelijk over het hoofd wordt gezien: de beoordeling is die van de directie, niet die van de kwaliteitsmanager. De kwaliteitsmanager bereidt haar voor; de mensen die de strategische richting bepalen, houden haar, omdat afstemming op die richting een van de vier dingen is die worden beoordeeld.
"Geplande tussenpozen" is de enige frequentie die de norm geeft. Jaarlijks is de gangbare praktijk en wat certificatie-instellingen tussen toezichtaudits verwachten te zien; voor een NIS2-entiteit in de sectoren van Uitvoeringsverordening (EU) 2024/2690 moet het beveiligingsbeleid sowieso ten minste jaarlijks door de bestuursorganen worden geëvalueerd (punt 1.1.2 van haar bijlage), en de twaalf records die die verordening van het bestuursorgaan vraagt passen in dezelfde vergadering.
De dertien inputs (9.3.2), als agenda
9.3.2 somt op wat bij het plannen en uitvoeren van de beoordeling in overweging wordt genomen. Zes punten, waarvan het derde zeven subpunten heeft, dertien regels in totaal. Elk is een agendapunt, en elk heeft ergens in het systeem een registratie waaruit het wordt gelezen.
| Punt | Input | De registratie waar hij vandaan komt |
|---|---|---|
| 1 | De status van acties uit eerdere directiebeoordelingen | De vorige notulen en hun actielijst |
| 2 | Wijzigingen in externe en interne onderwerpen die relevant zijn voor het systeem | De contextanalyse van 4.1 en de belanghebbenden van 4.2, geactualiseerd |
| 3 | Klanttevredenheid en feedback van relevante belanghebbenden | De monitoring van de klantperceptie onder 9.1.2: enquêtes, klachten, beoordelingen, retouren |
| 4 | De mate waarin de kwaliteitsdoelstellingen zijn behaald | De doelstellingen van 6.2 met hun maatstaven en resultaten |
| 5 | Procesprestaties en conformiteit van producten en diensten | Procesindicatoren uit 4.4, vrijgaveregistraties uit 8.6 |
| 6 | Afwijkingen en corrigerende maatregelen | Het afwijkingenregister van 10.2 |
| 7 | Resultaten van monitoring en meting | De resultaten van 9.1.1 |
| 8 | Auditresultaten | De interne-auditrapporten van 9.2 en elke externe audit |
| 9 | De prestaties van externe aanbieders | De leveranciersbeoordelingen van 8.4 |
| 10 | De toereikendheid van middelen | 7.1: mensen, infrastructuur, omgeving, meetmiddelen, kennis |
| 11 | De doeltreffendheid van maatregelen om risico's en kansen op te pakken | De onder 6.1 geplande maatregelen voor risico's en kansen en hun resultaten |
| 12 | Kansen voor verbetering | 10.1, en alles hierboven |
De punten 3 tot en met 9 zijn de zeven subpunten van de input over prestaties en doeltreffendheid, en de norm vraagt voor elk trends, geen momentopname: een beoordeling die zegt "klanttevredenheid: goed" heeft geen trend in overweging genomen. De dertiende regel is de kop van de input zelf, informatie over de prestaties en doeltreffendheid van het systeem, die de zeven samen vormen.
Twee van de inputs zijn de inputs die een eerste beoordeling het vaakst mist. Klanttevredenheid (punt 3) vereist dat de monitoring van 9.1.2 vooraf is ingericht; een bedrijf dat zijn klanten nooit iets heeft gevraagd, heeft niets in te brengen. Procesprestaties (punt 5) vereisen de indicatoren die 4.4.1 voor elk proces vraagt; een bedrijf dat zijn processen zonder maatstaven in kaart heeft gebracht, heeft een kaart en geen meting. Beide worden maanden vóór de vergadering beslist, en daarom is de agenda het waard om aan het begin van het jaar te lezen in plaats van de week ervoor.
De drie outputs (9.3.3), en wat de notulen moeten laten zien
9.3.3 zegt dat de outputs van de beoordeling besluiten en acties omvatten over drie dingen: kansen voor verbetering, elke behoefte aan wijzigingen in het kwaliteitsmanagementsysteem, en de behoefte aan middelen. Dan de zin die van de vergadering een registratie maakt: de organisatie bewaart gedocumenteerde informatie als bewijs van de resultaten van directiebeoordelingen.
Wat dat bewijs moet laten zien, volgt uit de twee lijsten. De notulen noemen de datum en de aanwezigen, en dat de directie daarbij was. Ze laten zien dat elk van de dertien inputs in overweging is genomen, met de trend, niet alleen dat hij op de agenda stond. Ze leggen de besluiten vast onder de drie koppen van 9.3.3, en voor elke actie een eigenaar en een datum, omdat punt 1 van de volgende beoordeling de status van precies deze acties is. Een regel "geen wijzigingen nodig" bij een output is een besluit en is prima; een input zonder iets ertegenover is een tekortkoming die een auditor opschrijft.
Wat de notulen niet nodig hebben, is lengte. Een beoordeling van een klein bedrijf dat twaalf registraties leest en zes besluiten neemt, past op twee pagina's; de registraties zelf worden bewaard waar ze leven, onder hun eigen paragrafen, en de notulen verwijzen ernaar.
Eén beoordeling voor ISO 9001 en ISO 27001
Paragraaf 9.3 maakt deel uit van de Harmonized Structure, het gemeenschappelijke skelet van de ISO-managementsysteemnormen, en ISO/IEC 27001:2022 heeft een paragraaf 9.3 van dezelfde vorm: directie, geplande tussenpozen, inputs, outputs, bewaard bewijs. De inputs overlappen en verschillen. Beide vragen de status van eerdere acties, wijzigingen in externe en interne onderwerpen, afwijkingen en corrigerende maatregelen, resultaten van monitoring en meting, auditresultaten, het behalen van de doelstellingen en kansen voor verbetering. ISO 27001 voegt wijzigingen in de behoeften en verwachtingen van belanghebbenden, de resultaten van de risicobeoordeling en de status van het risicobehandelplan, en feedback van belanghebbenden toe; ISO 9001 voegt klanttevredenheid, procesprestaties en productconformiteit, de prestaties van externe aanbieders, de toereikendheid van middelen en de doeltreffendheid van maatregelen voor risico's en kansen toe.
Een bedrijf dat voor beide gecertificeerd is, houdt één beoordeling met de vereniging van de twee lijsten, en notulen die aangeven welke norm elke input dient. Zo houdt StandardOS het bij: één directiebeoordelingsrecord per periode, de agenda ervan ontleend aan de normen die de organisatie voert, de inputs gekoppeld aan de registraties waaruit ze worden gelezen en de acties als punt 1 meegenomen naar de volgende beoordeling. Welke paragrafen van ISO 9001 het product volledig, deels of helemaal niet dekt, is paragraaf voor paragraaf gepubliceerd; 9.3 hoort bij de als deels gemarkeerde, en het register zegt waarom. De documenten die de beoordeling leest en de gedocumenteerde informatie die paragraaf 7.5 vraagt zijn het bijbehorende stuk.
Bronnen
- ISO 9001:2015, paragrafen 4.1, 4.2, 4.4.1, 6.1, 6.2, 7.1, 8.4, 8.6, 9.1.1, 9.1.2, 9.2, 9.3.1, 9.3.2, 9.3.3, 10.1 en 10.2, aangehaald op nummer; de tekst is die van ISO en wordt niet weergegeven.
- ISO/IEC 27001:2022, paragraaf 9.3, voor de inputs die de twee beoordelingen delen en de inputs die zij niet delen.
- Uitvoeringsverordening (EU) 2024/2690 van de Commissie, bijlage, punt 1.1.2, voor de jaarlijkse beleidsevaluatie door de bestuursorganen.
Dit is geen certificatieadvies. Of een beoordeling toereikend is, beoordeelt de certificatie-instelling tijdens de audit; de paragraaf hierboven is waartegen zij de notulen leest.