马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。
您需要 登录 才可以下载或查看，没有账号？免费注册用户名
×
原文 ： http://www.anytesting.com/news/214589.html
% j8 n+ F) x; c' ?: e笔者从事认证审核15年，期间与地方两局认证认可执法检查人员打交道多次。凭心而论，大部分的执法检查部门和执法检查人员是不错的，具有较好的专业知识面和良好的个人素养，能够准确理解认证和审核的性质和特点，也能体谅作为认证机构和审核人员对待具体问题的自由裁量权。但不得不说，对于部分地市的地方两局的认证认可执法检查部门和执法检查人员的专业能力，我深表堪忧。他们不但对于自愿性认证活动的本质、法律关系，认证机构和受审核企业在认证活动中的角色和地位，对ISO、IAF相关认证活动的标准和规范，对CNCA、CNAS关于认证认可的规则、规范文件缺乏适度的理解，甚至对于执法权力的边界都缺乏起码的认知。由此我甚至不惮于对于其执法动机产生很坏的揣测。鉴于此前多年，我一直身在认证机构内，虽然可以自我标榜文责自负不代表机构立场，但总是担心自己的一个不冷静给所在机构带来不必要的负面影响，因此一直不便于发声。
" T, l; ]* W+ J0 I5 J" U; l `但上周，《质量与认证》微信公众号编发了一篇《独家 | 一起减少遗漏认证程序的案件的启示》，看完之后，如鲠在喉，实在不吐不快。十几年审核员工作养成的职业毛病——较真劲又犯了。考虑到自己已经离开认证审核行业两年有余，身上没有了机构的标签，有些话说一说，估计也不会带来太大负面影响了。于是试做此文，和诸位看客一起，来论一论这个理儿。
$ l5 `3 m& a/ I( R* ~5 \1 k《启示》原文载：
. t7 r4 o) J7 G; G$ j6 p* i& K5 P* n0 x
" `# W; B$ d. Z0 u* d( ~
H市质监局在对A管业有限公司进行认证认可行政监管专项检查时发现，A管业有限公司正在使用的6台压力容器未按照规定办理使用登记且使用未取得相应资格的人员从事该批压力容器作业。违反了《特种设备安全法》第三十三条：“特种设备使用单位应当在特种设备投入使用前或者投入使用后三十日内，向负责特种设备安全监督管理的部门办理使用登记，取得使用登记证书。登记标志应当置于该特种设备的显著位置。”第八十六条第2项：“使用未取得相应资格的人员从事特种设备安全管理、检测和作业的，执法人员立即责令该公司限期改正。”经查，A管业有限公司于2013年4月通过了上海某管理体系认证有限公司的审核，获得了ISO9001:2008质量管理体系认证，并在2014年3月通过了该公司的第一次监督审核。据此，可以初步判定上海某管理体系认证有限公司涉嫌减少、遗漏认证基本规范、认证规则规定程序要求，即ISO9001：2008标准中6.2.2 a）“确定从事影响产品质量工作的人员所必要的能力”；b）“提供培训或采取其他措施以满足这些需求”；2008标准中7.5.1 c）“使用适宜的设备”的规定。执法人员向上海某管理体系认证有限公司邮寄了通知书，要求其在规定的时间内前来H市质监局接受调查。2014年11月，上海某管理体系认证有限公司授权委托人市场部经理王某来到H市质监局接受调查。王某向执法人员提供了DQS-UL证书授予合同、初审审核计划、初审审核报告、第一次监督审核报告和记录等材料。在初审审核报告中，上海某管理体系认证有限公司未能向A管业有限公司提出6台压力容器存在未按照规定办理使用登记且使用未取得相应资格的人员从事该批压力容器的作业的问题，在2014年3月第一次的监督审核报告和记录中，也未能向A管业有限公司提出上述两个问题。2015年1月，H市质监局召开案件审理委员会对该公司减少、遗漏认证基本规范、认证规则规定程序要求的行为进行审理，审理认为该案符合法定程序，且违法事实清楚，证据确凿，应依法予以行政处罚。2015年2月，H市质监局向该公司送达了行政处罚告知书，处罚款人民币共计7.5万元整。在行政处罚告知书送达后，上海某管理体系认证有限公司以书面形式向H市质监局提出如下陈述申辩：设备安全相关法规要求；质量管理体系认证；审核员技能；持续改善。H市质监局经复核，对该公司的陈述申辩作如下回复：第一，在本案中，《特种设备安全法》和《特种设备安全监察条例》面向的行政当事人为A管业有限公司，该公司已在规定时间改正了压力容器存在的违法行为，且H市质监局认为，关于特种设备的相关工作，无论从任何角度出发，都应符合法律的规定，只有在保证人民群众生命和财产安全的基础上，才能进行其他相关性的工作。上海某管理体系认证有限公司提出，“对企业来说，将上述条例分别列入三个体系中重复管理，显然其合理性存在争议”。H市质监局认为，作为执法者，必须严格执法，确保加强对认证机构的监督管理，规范认证活动，提高认证有效性。
& Q5 [! p$ l8 c' {) W
: D6 ]; W" ~$ p& R5 Z& n) D5 T# j/ ?6 f第二，H市质监局在行政处罚告知书中指出，上海某管理体系认证有限公司减少、遗漏认证基本规范、认证规则规定程序要求，即ISO9001：2008标准中6.2.2 a）、b）和7.5.1 c）的规定，在该公司提供的相关材料中，涉及到“焊工”“焊接”“电镀”等相关内容，均未发现涉及到本案中A管业有限公司存在的未按照规定办理使用登记且使用未取得相应资格的人员从事该批压力容器进行作业的违法行为。该公司在陈述申辩中提出，《简单压力容器安全技术监察规程》（TSGR0003-2007）和《固定式压力容器安全技术监察规程》（TSGR0004-2009）中说明“简单压力容器无注册登记要求，人员无必须持有压力容器操作证的要求”。经H市质监局核实，其中五个压力容器（储气罐），均不符合《简单压力容器安全技术监察规程》（TSG R0003-2007）第三条第4项，即：“容积小于或者等于1000L”的要求，不应被划为简单压力容器的范围。其中，该公司提出出厂编号为1102G-xx的储气罐为简单压力容器，其符合上述要求，H市质监局予以认可。《简单压力容器安全技术监察规程》（TSGR0003-2007）中未对压力容器操作人员做出特殊要求，故无论压力容器是否被划入简单压力容器的范围，都应保证压力容器作业人员持证上岗。第三，特种设备是指涉及生命安全、危险性较大的设备设施，该公司依据获取的企业信息，确定审核抽样的样本，H市质监局认为，关于涉及特种设备认证工作的审核，采取抽样的方法，不能全面排除特种设备的违法行为并消除其隐患。H市质监局再次召开案审会，对上海某管理体系认证有限公司陈述申辩中提出的出厂编号为1102G-74的储气罐为简单压力容器予以认可，其余部分内容不予采信。认为该公司行为违反了《认证机构管理办法》第二十五条：“认证机构应当按照认证基本规范、认证规则规定的程序对认证全过程实施有效控制，确保认证和产品测试过程完整、客观、真实，并具有可追溯性，不得增加、减少或者遗漏认证程序和活动，并配备具有相应能力和专业的认证人员对上述过程进行评价。”，依据该办法第五十五条：“认证机构有下列情形之一的，地方认证监管部门应当责令其改正，处5万元以上10万元以下罚款，有违法所得的，没收违法所得；情节严重的，国家认监委应当责令其停业整顿6个月直至撤销其批准证书。”鉴于该公司能积极配合调查取证，H市质监局决定对该公司处罚款人民币计7.5万元。
+ H" B& E2 X M" Q- y/ }: t$ S0 \! A8 S4 ^" y, ^
& B% s* R1 [, X- P/ p. a4 Q6 U/ g& g6 Z3 e8 N; Q8 A4 Q2 j
6 W+ V8 D+ `3 R" g. U
通览《启示》一文，作者对H市质监局的处罚作为本身并无异议，全文的重点，旨在论述处罚依据在上位法和下位法之间选择的合理性。
$ a2 t4 f5 {; A根据《启示》一文得知，H市质监局的处罚依据主要是在《认证认可条例》第二十二条：“认证机构以及与认证有关的检查机构、实验室从事认证以及与认证有关的检查、检测活动，应当完成认证基本规范、认证规则规定的程序，确保认证、检查、检测的完整、客观、真实，不得增加、减少、遗漏程序。”和《认证机构管理办法》第二十五条（2015版《办法》已改为第二十三条，笔者注）：“认证机构应当按照认证基本规范、认证规则规定的程序对认证全过程实施有效控制，确保认证和产品测试过程完整、客观、真实，并具有可追溯性，不得增加、减少或者遗漏认证程序和活动，并配备具有相应能力和专业的认证人员对上述过程进行评价。”之间做权衡，最终选择了后者作为处罚依据。
/ ]: a `' |* h+ }; @3 Q但我们可以看到，无论是《条例》还是《办法》，判断认证机构在这一条上是否违法的依据的核心都是“是否增加、减少、遗漏了认证基本规范、认证规则规定的程序”。那么，何为“程序”？按照ISO9000:2015标准给出的定义，程序是“为进行某项活动或过程所规定的途径”，由此我想问，在现场审核中，遗漏了一个审核过程中的技术关注点，算不算减少和遗漏了审核活动的程序？另外，何为“认证基本规范、认证规则”？ISO 9001标准算不算是认证基本规范、认证规则？熟悉认证认可领域的人士都清楚，这里所提到的“认证基本规范”，只能是CNAS发布的《CNAS-CC01 管理体系认证机构要求》（等同ISO17025）等一系列认可规范类文件，这里所提到的“认证规则”，只能是CNCA发布的《质量管理体系认证规则》以及其他认证项目的认证规则。因此这里所提到的“程序”，只能是CNAS-CC01和《规则》里面所提到的三个程序：初次认证程序，监督审核程序，再认证程序。ISO 9001只是认证的依据标准，因此不可能构成“认证基本规范、认证规则规定的程序”。对此，《认证认可条例》第二条规定：“本条例所称认证，是指由认证机构证明产品、服务、管理体系符合相关技术规范、相关技术规范的强制性要求或者标准的合格评定活动”，注意此处使用的术语是“相关技术规范……”，很显然与“认证基本技术规范”是有显著概念区别的，所以ISO9001标准很显然不属于“认证基本规范”的概念范畴。同时《认证认可条例》第十八条规定：“认证基本规范、认证规则由国务院认证认可监督管理部门制定；涉及国务院有关部门职责的，国务院认证认可监督管理部门应当会同国务院有关部门制定”。很显然ISO9001不属于CNCA制定，因此也就不可能属于“认证基本规范”。
+ D. ~1 l& ~' j% C) C在上述该案中，认证机构已经向执法人员出示了证书授予合同、初审审核计划、初审审核报告、第一次监督审核报告和记录等可证实认证过程实施程序的材料，此举显然是为了证实认证机构的认证行为是符合相关程序的。但H市质监局执法人员和案件审理委员会对此视而不见，反而仅以“现场审核时未审核6台压力容器是否按照规定办理使用登记和是否使用取得相应资格的人员从事该批压力容器作业”这一个审核技术上的瑕疵，就认定认证机构“增加、减少、遗漏了认证基本规范、认证规则规定的程序”，很显然属于对于《认证认可条例》和《认证机构管理办法》的扩大解读。如果按照这个道理，足球裁判误判，医院医生误诊，都属于违法问题了？ ! }# v* ]: G( s/ C; w. z( ?
ISO9001标准从87版、94版，发展到今天的2008版、2015版，已经脱离了其原先的“质量保证模式”的性质，形成了今天的“质量管理体系-要求”，具有了广泛适用性、高度的理论性、高度的概括性、很强的专业性的特点。标准本身并没有试图去统一质量管理体系的结构或文件。任何企业在实施ISO9001标准时，或准确地说，依据ISO9001标准建立自己的质量管理体系时，均需要充分结合自身产品特点、企业性质、企业运营特点、企业文化积淀和自身资源，参考和学习最新的质量管理思想、质量管理方法论和质量管理工具，在此基础上按照ISO9001标准的要求加以展开，从而建立适用于自身的质量管理体系。可以说，任何两个企业，即使都按照ISO9001标准建立了质量管理体系，但其质量管理体系的细节部分仍然有可能是千差万别的。
/ _& i& b$ Y5 E) z0 E( t/ i$ E由此可见，标准所描述的质量管理体系的广度和深度的界限，从来就不是清晰和明确的。因此在对质量管理体系进行审核的时候，没有办法也无法做到去建立一个标准的固定条数的检查清单，所有条数检查核对完毕就宣布质量管理体系符合和有效。因此，无论是IAF的文件，ISO17021标准，还是CNAS-CC01等认可规范，对认证机构的要求——也是认证机构一直在实施的原则，就是在做认证决定的时候，判断依据是：“受审核方的质量管理体系整体上而言，是否符合ISO9001标准的要求，是否实施有效”，并不要求也无法做到要求受审核方的质量管理体系在所有细节上全部符合、全部有效。这就是我们通常说的“实质性”原则。 ' N" G9 c1 Y3 D/ s
基于上述原则，认证审核员在实施现场审核时，在有限的审核时间内（认证审核的时间有ISO、IAF、CNAS的规范文件所明确界定，对其增加和减少，那就真的是“增加、减少、遗漏了认证基本规范、认证规则规定的程序”了），理所当然应该选取那些对最终判断“受审核方的质量管理体系整体上而言，是否符合ISO9001标准的要求，是否实施有效”的重点体系要素实施审核，而对于做出上述判断影响轻微的体系要素，可以从轻审核或干脆不审核。这也是我们一直对于一个审核员是否优秀的评判标准。只有垃圾级别的审核员，才会所有体系要素平均分配时间，囫囵吞枣审核一圈，结果所有的点都是蜻蜓点水走马观花，到最后对受审核方的管理体系的整体符合性和有效性给出的还是一个模糊的认识。 # i3 k+ K7 `+ u3 Z- n1 D
回到这个案例，对于“6台压力容器是否按照规定办理使用登记和是否使用取得相应资格的人员从事该批压力容器作业”这一体系要素，是否对最终判断“受审核方的质量管理体系整体上而言，是否符合ISO9001标准的要求，是否实施有效”具有实质性影响呢？从而是否应该成为必须要审核的重点体系要素呢？笔者认为不属于。诚然，从特种设备行政管理部门的角度来说：“关于特种设备的相关工作，无论从任何角度出发，都应符合法律的规定，只有在保证人民群众生命和财产安全的基础上，才能进行其他相关性的工作。”但从“增强顾客满意”为目标的“质量管理体系”角度来说，还有太多的工作比这个更加重要更加具有实质性。况且，国家已经设立了行政主管部门来具体管控企业的这项工作，作为自愿性认证活动的审核员来讲，理论上应该充分相信政府行政主管部门的工作绩效，而不应该越俎代庖去对自己并不专业同时也没有管辖权的领域说三道四。说到底，认证机构不过是民间的第三方机构，认证审核活动其实质也不过是一种技术服务活动，如果说认证机构在授予证书之前必须先确认企业特种设备相关工作必须符合法律规定，那么，同样为企业提供服务的供水、供电、通讯等单位，是否也需要先对企业的此项工作确认合法之后再供水、供电和提供通讯服务呢？ * }2 i. B2 n: v9 S
不得不说，CNCA关于“认证机构应当对认证委托人委托认证的领域、产品和内容是否符合相关法律法规以及其法人资格等资质情况进行核实”（见《认证机构管理办法》2015修订版第二十二条）和“审核应至少覆盖以下内容：……遵守适用的法律法规及强制性标准的情况”（见《质量管理体系认证规则》2016版第4.3.3.2条）的相关规定，是一个巨大的“口袋罪”，只要执法检查人员想抓你，审核员人人都有罪。因为什么叫“适用的法律法规及强制性标准”从来就不是一个内涵和外延边界确定的东西。 0 T) M1 k0 o6 o6 v6 _
大家都知道，我国是一个法律法规非（shu）常（liang）完（zhong）善（duo）的国家，国家的、地方的、各部委的，法律的、法规的、规章的、发文的、通知通告的，新的、旧的、打补丁的。而且还有一个问题：没有一个集中的获取途径，使用者只能一个个慢慢去找。我没有仔细统计过，不说上千吧，几百个总是有的。别的部委就不说了，就说质监系统，生产许可、特种设备、特种作业人员、计量、标准化、强制性认证……，就这几个口子，相关“法律法规及强制性标准”怕就有几十个吧？就一个特种设备，要看设备合格证、看验收和登记、看日常维护、看年检、看操作人员资质，一个企业10-20台起重设备，3-5台电梯，7-8辆叉车，1-2台锅炉，再几个压力容器，搞一搞几百个审核点了吧？再按照CNCA的要求，看看营业执照、生产许可证、安全许可、组织机构代码、3C证书，再看看其他一堆法规和标准对应的相关工作，起码好几千个审核点了吧？这没有个3-5个审核人天能看得完？这还没有算上ISO9001:2008的5大章节51个条款384个要求点，细化到企业的业务过程，怕也有好几千个审核点了吧？这样的审核，一个100人规模五脏俱全的企业，不审核个20-30天能审核完？而问题是，没有生产许可证，没有3C证书，这个企业的管理体系就真的做不到实质性符合和有效吗？审核了一大堆合法合规性的东西，你的认证证书上也没看见写“兹证明获证企业符合适用的法律法规和强制性标准”啊。 3 o6 v. U) H8 z' x- W8 T9 e, z$ ]
前面说到审核人天，根据最新的《CNAS-CC105:2016确定管理体系审核时间(QMS、EMS、OHSMS)》，100人规模的企业质量管理体系认证审核的初次审核（一阶段+二阶段）的审核人天基准值是7个工作日，根据该文件确定的规则，初次审核二阶段（按要求应该是完整体系审核）的现场审核人天不会多于5个人天，而监督审核不会多于2个人天（考虑到必须覆盖的过程和条款，以及确认管理体系变更和跟踪验证上次审核不符合项，实际工作量不会少于初次审核二阶段的60%）。考虑到审核组通常派出2人，去除审核过程中的会议、审核组沟通、准备报告的用时，实际用于现场审核的时间屈指可数，而且往往还要花时间浪费在等待受审核方前去拿证据资料和联络合适的受审核人员前来提供证实。所以综合以上，我经常和一些前同事开玩笑，如果要求一次审核真的面面俱到，覆盖所有应该审核的点，那么全世界的企业，没有一个是100%符合审核准则（不仅仅是ISO标准，还有CNCA的《认证规则》等一系列要求）的要求，同样，全中国所有的审核员——包括CNAS的评审员和CNCA的官员，甚至ISO/TC176的标准起草组成员，没有一个审核员是合格的，我都可以从他们的审核中发现出大量的问题。
% V( U3 S" A# r; a6 ^认证的本质到底是什么？ISO/IEC 17000:2004《合格评定词汇和通用原则》（我国已经等同采用为 GB/T27000‐2006）对认证的定义：“与产品、过程、体系或人员有关的第三方证明”。我国《认证认可条例》也将“认证”定义为：“由认证机构证明产品、服务、 管理体系符合相关技术规范、相关技术规范的强制性要求或者标准的合格评定活动”。很显然，认证的本质是提供证明。那自愿性管理体系认证的本质是什么呢？自然是对受审核方的管理体系的符合性和有效性的证明。除此之外，别无其他。所有其他搭管理体系认证的便车，搭车运货的做法，都是对自愿性管理体系认证这一具有国际统一惯例的行为的曲解和误用。
: l% k+ _ R" {, _《认证认可条例》第二十三条规定“认证机构及其认证人员对认证结果负责”，那到底怎么负责呢？回归到认证的本质，既然认证是“提供证明”，那么凭什么来证明呢？自然是凭认证机构自身的信誉。一个没有信誉的认证机构很难说能为谁提供证明。而且，这种信誉只能来自认证机构自身的积累和创造，别人无法授予，国家也无法授予（否则就变成“国家对认证结果负责”了）。因此，我们常说的“认证风险”，理所当然应该是“失败的认证结果对认证机构自身信誉的损害”这样的风险。可是现在越来越多的认证机构和认证从业人员眼中的风险、心中的风险和嘴巴上的风险，都错误地变为“被认证认可监管执法机构查处的风险”。
1 {" f( W' X8 l! h" S/ T1 u近些年来，笔者越来越痛心于管理体系审核员队伍素质的下滑，姑且不论知识面和专业素质，就是审核的技巧、审核的态度方面，能秉持“实质性原则”，分得清审核重点，从整体上来判断受审核方管理体系的符合性和有效性的审核员也越来越凤毛麟角。而大量缺乏审核思路，缺乏严谨专业的态度，满足于走马观花，混日子、拿工分的审核员越来越充斥街头。这些审核员往往开口闭口和你谈“审核风险”，但对他们而言，“审核风险”从来和受审核方管理体系的实际表现无关，只与受审核方所在的地域和所处的行业有关。地域是因为某些地区的认证监管严，比如鄂西北某地，苏北某地；行业则是因为某些行业的产品容易出新闻事故，比如食品，比如危化品运输。再看看他们的审核方式，往往是上来先把特种设备、计量、标准化、生产许可证、资质证书、3C证书、强制性标准这些方面重点看看，至于管理体系过程，那就是走马观花，一目十行，一套标准的电子版审核记录，查找替换一下关键字就搞定。他们的审核不再是以判断企业的管理体系的符合性和有效性为目的，他们审核的目标就是让机构的技术评审人员和执法机构的认证监管检查人员找不到漏洞。我得承认他们比我更聪明，但从业15年的认证行业人员最终不如一些初入行业2-3年的审核员如鱼得水，这是不是属于一种“逆淘汰”呢？而另一方面，越来越多的企业开始觉得认证对他们的价值越来越小，我们的行业政策制定部门是否也可以做一些反思呢？ 1 ], y: T9 j: F
最后，想寄语一下我们的认证认可监管执法部门，提出3点建议，权当做我积累数年的怨气最终以一种善意的方式释放出来。也权当我这边小文的结语： 9 [; }& K9 I" B& H1 E# A. K
1、 加强执法人员的专业性学习，不要外行监管内行，不要自恃执法权在手就指鹿为马。多学习ISO、IAF、CNCA、CNAS关于认证活动的标准和规范，理清认证活动的本质和认证机构的角色（不是政府执法机构）。
( W& L/ p* ~1 s7 y2 T2、 厘清执法的边界。搞清楚什么是认证违法问题，什么是认证审核过程的技术问题。认证违法问题严格依据CNCA的授权开展查处工作，绝不姑息。认证审核过程的技术问题交由CNAS去管理，当然你也可以将相关线索移交给CNAS。 9 \% H" o3 d# O& H+ U
3、 给管理体系认证活动减负，改变行政管理的跨部门联合执法（连坐式执法）的惯性思维，减少搭车运私货，行政管理的事情交给行政管理，管理体系的事情交给管理体系，还自愿性管理体系认证以本来面目。
" V/ q2 @" ?" r! C' |' b | 
IP卡
狗仔卡
发表于 11-19 19:52:24
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
显身卡
）。! M# Y7 O: ^. W0 d5 a5 D: w
! Z, E9 o8 T( [
，大家看看现在的认证机构是否已在计量器具和特种设备方面的审核方面放在了首位------就是已经偏离了认证的重点和方向，似乎朝着给质监局做检查员的方向去了
