浅议ISO/IEC 17021-1:2015标准中有关再认证和认证周期的要求及实践
《质量与认证》2018.2
文/郑永亮
点击输入标题
     【摘要】 针对ISO/IEC 17021-1:2015标准中个别条款存在的语义理解方面的歧义,本文结合合格评定的基本原则与认证实践的经验进行了分析,并提出了对标准相关规定理解和实施的建议。
     【关键词】 认证 认可 17021-1 再认证 认证周期
点击输入标题
      2015版ISO/IEC 17021-1《合格评定管理体系审核与认证机构要求 第一部分:要求》(以下简称“标准”)发布至今已有两年时间,各机构的标准转换工作也均已完成。通过对标准的学习、理解及实践,笔者感觉新版标准对上一版进行了较大的修订和完善,使标准的严谨性和可操作性得到了进一步提升,但新标准在个别地方仍存在语义上的歧义,给认证认可机构的理解和实施带来了一定的困惑。
一、对于到期后如何恢复认证容易引起歧义
      标准9.6.3.2.5条款规定“在认证到期后,如果认证机构能够在6个月内完成未尽的再认证活动,则可以恢复认证,否则应至少进行一次第二阶段才能恢复认证”,对于这段话从字面理解可以有两种截然不同的含义:
       第一,无论证书过期多长时间,认证机构都可以恢复认证。区别仅在于,过期半年以内只需完成未尽的再认证活动,而过期半年以上则需要进行一次补充的第二阶段审核。
       第二,只有在过期半年以内,且完成未尽的再认证活动时,认证机构才能恢复认证。
       仅从这一段的字面意思来看,第一种解读似乎逻辑更严谨、语意更完整。因为第二种解读无法解释该段最后一句“否则应至少进行一次第二阶段才能恢复认证”与前几句之间的逻辑关系。但笔者认为,如果联系上下文,并从认证认可传递信任的根本原则来看,则应该采用第二种解读。主要理由如下:
      (一)有利于增强认证结果采信方的信任,规避认证认可机构的风险
      从传递信任的角度来说,初次认证和再认证传递给采信方的信任程度是不同的,这就如同一个百年老店和一个新店带给消费者的信任感是不一样的。再考虑到标准9.6.3.1.1、9.6.3.1.2以及9.5.4条款中,强调管理体系持续的符合性和有效性,以及对整个认证周期内绩效的关注,还有基于整个认证周期内的体系评价结果做出是否更新认证的决定等与再认证有关的要求。因此,假如完全忽视长时间的认证“空白期”,仅基于一次补充的二阶段审核结果以及半年甚至更长时间之前的评价结果和绩效,就做出再认证决定,会显得证据不充分、信心不足。其结果只能是增加认证认可机构和认证结果采信方的信任风险。
      (二)有利于增强可操作性
       对于标准9.6.3.2.4和9.6.3.2.5两个条款之间是否存在相互矛盾的问题,笔者认为前者强调的是原证书到期后即失效,而后者强调的是在特殊情况下对已失效的认证可以恢复再认证,因此这两个条款的规定并不矛盾。
      即到期前未完成再认证审核或对严重不符合的验证,就不推荐再认证是通常的处理方式;而恢复认证仅适用于在特殊情况下,且满足了到期半年内完成未尽再认证活动等条件时。这体现了标准宽严相济和增强可操作性的原则,就如同标准中关于每个日历年进行一次监督审核的规定是为了适应季节性生产等特殊情况,而并非无原则的普遍适用。
      (三)标准在个别语句的表达上可能存在瑕疵
       对于标准9.6.3.2.5条款中的“否则应至少进行一次第二阶段才能恢复认证”,笔者认为这属于标准原文中表述方式的纰漏。按笔者的理解,这句话与标准9.5.3.2条款关于二阶段审核后6个月内不能完成对严重不符合的验证时,应在推荐认证前再做一次二阶段审核一样,都是出于增强授予或更新认证所需信任的考虑。
       因此笔者认为标准9.6.3.2.5条款的本意应为:“特殊情况下,在认证到期后半年内认证机构可以恢复认证,前提是应完成未尽的再认证活动。并且,如果再认证审核结束后6个月内不能完成对严重不符合的验证,认证机构应在恢复认证前再实施一次补充的第二阶段审核”。
       (四)避免证书信息误导采信方
        对于恢复认证的情况,认证机构应如何将“该证书曾中断过”的信息准确传递给采信方,在标准中也给出了明确的要求。即标准8.2.2.b条款的注释规定,当认证存在一段时间的失效,而认证机构又要在证书上保留原始的认证日期,以增强采信方的信任,就必须同时标注当前认证周期的起止时间,以及上一认证周期截止时间和再认证审核时间。
二、关于认证周期的确定有待进一步补充说明
       对于标准9.1.3.2条款“第一个三年的认证周期从初次认证决定算起。以后的周期从再认证决定算起”的规定,ISO/CASCO 17021-1联合项目组组长阿里斯特﹒达尔林普在2017年9月深圳研讨会上的解读为,除森林认证等特定行业的认证方案另有规定外,认证周期通常为3年,到36个月就失效。对此笔者认为有待商榷。
       (一)恢复认证和提前再认证都可能导致后续的认证周期不是36个月
       首先,按照9.6.3.2.5条款规定恢复认证时,新的认证周期最短有可能缩至30个月;其次,对于提前再认证的情况,也可能出现后续认证周期超过36个月的情况。例如,原证书将于2017年10月18日到期,但由于各种原因,认证机构于2017年6月18日完成了再认证审核及后续工作,并做出了推荐再认证的决定。此时在不违反标准规定的前提下,新证书上的颁证日期可能为2017年6月18日,而证书有效期将截止到2020年10月18日,这样新的认证周期就变成了40个月。
       在笔者的认证实践中就曾遇到过不少获证组织申请提前再认证的情况,其中最典型的就是当组织需要协调几个不同步的管理体系认证审核时,甚至有可能提前1~2年申请对一个或几个管理体系进行再认证。在这种极端情况下,新一轮的认证周期有可能延长到4~5年。
     (二)如把所有认证周期都严格控制在36个月,将给实际操作带来极大不便
       首先,对于恢复认证的情况,后续的认证周期肯定会短于36个月;其次,如认证机构不论在到期前多长时间做出再认证决定,都以原证书到期日作为新证书的颁发时间,并在此基础上增加三年作为新证书的有效期,则会出现提前较长时间、甚至提前1~2年“早产”证书的情况,这也会给获证组织和采信方使用证书带来诸多不便;另外,如认证机构在到期前做出再认证决定,并以认证决定日期作为新证书的颁发时间,同时在此基础上增加三年作为新证书的有效期,将会给获证组织带来“损失证书有效期”的主观体验。在笔者的认证实践中,获证组织为了避免这种情况,往往有意将再认证审核时间拖延到距原证书到期很短的时间内。客观上给认证机构的再认证审核及后续工作安排带来了极大压力,既增加了认证过期的风险,也在一定程度上导致认证机构将“恢复认证”这种特殊的处理方式变成了常规的处理方式。
       因此,基于以上分析笔者认为该款所指的“三年一个认证周期”,主要是针对初次认证的周期,而再认证的周期则有可能不是严格的36个月。