Аудит ISO 28000:2022 (ГОСТ Р ИСО 28000-2019) - Технические условия для систем менеджмента безопасности цепи поставок.

Существуют разные подходы к систематизации аудитов систем менеджмента. Чаще всего выделяются следующие виды аудитов ISO 28000:

• Внутренний аудит ISO 28000. Суть внутреннего аудита заключается в том, что организация проверяет систему менеджмента безопасности цепи поставок сама или с привлечением внешних экспертов, которые проводят аудит от имени организации. Внутренний аудит ISO 28000 проводится для того, чтобы оценить качество внедренной в компании системы менеджмента, например, перед прохождением аудита со стороны заказчика или сертификационного аудита. Для того, чтобы обеспечить независимость аудита и объективность полученных результатов, следует по возможности назначать аудиторами тех сотрудников, чья деятельность не связана с проверяемыми областями системы менеджмента. Внутренние аудиты также называют аудитами первой стороны.
• Внешний аудит ISO 28000. Внешний аудит системы менеджмента безопасности цепи поставок отличается от внутреннего тем, что его проводит сторонняя компания. Он может проводиться компанией или лицом, заинтересованном в деятельности проверяемой организации. Например, компанией-заказчиком товаров или услуг. Такой аудит называют аудитом второй стороны. Также внешний аудит может проводить полностью независимая от проверяемой компании организация, например, орган по сертификации. Как правило, такие аудиты используются для подтверждения соотвтетсвия системы безопасности цепи поставок требованиям стандарта ISO 28000. Их принято называть сертификационными аудитами.
• Сертификационный аудит ISO 28000. Сертификационный аудит - это вид внешнего аудита, при котором система менеджмента предприятия оценивается на соответствие требованиям стандарта ISO 28000:2022 (ГОСТ Р ИСО 28000-2019) и готовность к сертификации по нему. Сертификационный аудит СМБЦП - это аудит третьей стороны, он проводится независимыми компаниями - органами по сертификации систем менеджмента. Как правило, процесс сертификационного аудита разделяют на два основных этапа. На первом этапе проверяется готовность предприятия к прохождению сертификации, выявляются несоответствия и даются рекомендации по их устранению. На втором этапе проводится проверка внедренной на предприятии системы менеджмента безопасности цепи поставок в действии и, если не выявлено несоответствий, выдается сертификат соответствия ISO 28000.
• Инспекционный аудит ISO 28000. Инспекционный аудит или инспекционный контроль сертифицированной системы безопасности цепи поставок проводится органами по сертификации в отношении организаций, которые уже получили сертификат ISO 28000:2022 (ГОСТ Р ИСО 28000-2019). Инспекционный контроль нужен для подтверждения того, что система менеджмента безопасности цепи поставок сертифицированной компании продолжает соответствовать требованиям стандарта ISO 28000. Такой аудит проводится регулярно - не реже одного раза в год. Это позволяет сертифицированным компаниям совершенствовать внедренную систему безопасности цепи поставок с учетом изменений, а также устранять появившиеся с момента сертификации отклонения от требований стандарта.

Помимо приведенных выше, существуют другие способы классифицировать аудиты по стандарту ISO 28000. В зависимости от того, какую из заинтересованных сторон представляют аудиторы, выделяют аудиты:

• первой стороны или внутренние аудиты - когда организация проводит аудит ISO 28000 сама или с привлечением внешних специалистов, действующих от ее имени;
• второй стороны или аудиты поставщика - в этом случае заинтересованная организация проверяет поставщика или потенциального поставщика, чтобы выяснить, соответствует ли он ее требованиям;
• третьей стороны - аудит проводится независимой организацией, например, органом по сертификации.

В зависимости от объекта проверки выделяют аудиты:

• горизонтальные - когда аудиторы проверяют один процесс от его начала и до конца и только потом переходят к следующему процессу;
• вертикальные - когда при обнаружении в ходе проверки процесса связи с другим процессом, аудитора переключаются на него;
• аудиты в прямом направлении - когда процесс проверяется последовательно от его начала и до итогового результата;
• аудиты в обратном направлении - когда процесс проверяется от результата к началу процесса.

По своей сути аудит ISO 28000 представляет собой исследование того, как функционирует система менеджмента безопасности цепи поставок организации. Как и другие виды исследовательской деятельности, аудит проводится по определенным методам, с помощью которых объекты аудита проверяются на соответствие критериям аудита. В данном случае в качестве критериев используются требования стандарта ISO 28000:2022 (ГОСТ Р ИСО 28000-2019).