ISO 9001:2015 vs. ISO 9001:2008

[Андрей Горбунов]

Можно по-разному относиться к стандартам серии ISO 9000 (эту тему я тоже планирую затронуть), но они давно стали фактом нашей жизни и вошли в практику менеджмента.
К чести ISO следует признать, что она, как может, старается развивать свои стандарты (кто бы что ни говорил по этому поводу). Вот «этапы большого пути»: 1987-1994-2000-2008-2015.
Первые три версии давно канули в Лету и интересны, разве что, специалистам, занимающимся историей развития этой линейки стандартов. Я же хотел бы сравнить две последних версии, отметив – безусловно, исключительно с личной точки зрения – плюсы и минусы каждой из них.
В первую очередь я бы отметил, как несомненное преимущество последней версии, приближение к интересам бизнеса. Это заметно в снижении требований к числу документов, в появлении механизмов реального, а не формального, управления.
К таковым я отношу:
- анализ контекста. Я уже как-то писал, что компаниям, которым я помогал выстраивать СМК по ISO 9001:2008, в этом плане ничего особенного дополнительно делать при переходе к новой версии не надо было, т.к. я всегда считал необходимым при построении системы анализировать бизнес-среду. И приветствую то, что это стало требованием. Сложившаяся на данный момент практика перехода/разработки СМК по ISO 9001:2015 показывает, что это полезно для бизнеса;
- оценка рисков. Думаю, что и самой ISO надоело пояснять и отвечать на вопросы, что же такое предупреждающие действия (ПД) и, как говорится, с чем их едят. На подобный вопрос я всегда отвечал: забудьте про ПД, занимайтесь управлением рисками и будет вам счастье. И, вот, свершилось! ISO от вымученных предупреждающих действий, живших в какой-то параллельной Вселенной, перешло к реалиям нашей жизни и, наконец, назвало менеджмент рисков менеджментом рисков . Нормальный бизнес весь пропитан этим, хотя, зачастую, люди сами и не осознают, что используют Risk-based thinking, как Остап Бендер в Васюках и не подозревал, что разыгрывает «такие мудреные дебюты». Когда народ с глазами «по пять копеек» в панике спрашивает меня, мол, как нам выполнить требования по управлению рисками, я улыбаюсь и говорю: вы прислушайтесь к себе на совещаниях, у вас же едва ли не половина времени уходит на обсуждение рисков. Просто вы не отдаете себе в этом отчета, оцениваете их интуитивно. И плюс стандарта в том, что он выводит эту деятельность, так сказать, «из тени», делает ее осмысленной и в необходимой мере формализованной. И это тоже полезно для бизнеса;
- детализация требований к процессам. Я всегда крайне скептически относился к разного рода «схемам» и «ландшафтам» процессов (примерами коих Интернет полнится), единственным назначением которых была демонстрация аудитору, как доказательство «внедрения» процессного подхода. Никакого отношения к практике управления они не имели. И с этой точки зрения нельзя не приветствовать те 8 пунктов из раздела 4.4, это движение в правильном направлении. Еще бы вернули замечательное положение о том, что преимуществом процессного подхода является обеспечение единства управления (оно было в ISO 9001:2008). Это, в общем-то, квинтэссенция процессного управления. И, на мой взгляд, его исчезновение в новой версии говорит о том, что сами разработчики стандарта до конца не понимают, как работает этот механизм. Что не может не печалить. Да, возвращаясь к тем самым восьми пунктам. Теперь аудитор получил твердое основание, чтобы отправлять в корзину все эти «процессные ландшафты» и требовать от организации реального применения процессной технологии. А это, скажу я вам, непросто… Но если уж сделали, как надо, то бизнесу только на пользу;
- унификация внешних поставщиков. Если в прежних версиях было разделение на аутсорсинг и закупки с вечным вопросом «в чем отличие между ними?», то, видимо, утомившись отвечать на многочисленные подобные вопросы, ISO все «загнала» под внешние закупки. И правильно сделала, ибо между аутсорсингом и, скажем, закупкой сырья нет особой разницы с точки зрения СМК. Как следствие – организации не надо тратить интеллектуальные ресурсы на понимание различий и она может использовать их на пользу бизнеса;
- структура стандарта. Вместо прежней мозаики разделов мы теперь видим более-менее логичное следование разделов, в структуре которых явственно проглядывает цикл PDCA. И картинка №1 из стандарта нам на то же намекает. Хотя, будь я разработчиком, я бы сделал несколько иначе: выделил бы две части – 1) требования к системе (структура по циклу PDCA) и 2) требования к обрамлению системы (лидерство, корпоративная культура и все такое прочее). Когда человек понимает логику требований, ему проще их реализовывать, а, стало быть, и бизнесу легче, затрат меньше .
В чем минусы новой версии? Да, в общем-то, в том же, что и старой:
- в методологических прорехах (о них отдельная ветка) и
- в большом количестве требований, связанных с доказыванием аудитору, а не потребностями бизнеса.
Хотя с максимализмом типа «ISO 9001 нужен только для сертификации» я не могу согласиться. Внедрение прописанных в стандарте механизмов реально позволяет упорядочить бизнес. Правда, следует сделать оговорку, что такое упорядочивание стоит производить тогда, когда организация уже доросла до него и отсутствие системности управления тормозит бизнес. Иначе – профанация, сопротивление и обиды, бессмысленная трата ресурсов на то, в чем еще нет необходимости.

[Роман Озеранский]

Первые три версии давно канули в Лету и интересны, разве что, специалистам, занимающимся историей развития этой линейки стандартов. Я же хотел бы сравнить две последних версии, отметив – безусловно, исключительно с личной точки зрения – плюсы и минусы каждой из них.

Поправь меня, если я не прав. 2000 принципиально отличался от 1994 (как минимум по структуре построения стандарта), 2015 принципиально отличается от 2008 (опять же, как минимум по структуре построения стандарта). 2008 принципиально НЕ отличается от 2000.

[Андрей Горбунов]

В ходе своего развития стандарты серии 9000 претерпевали два серьезных изменения: в 2000 и 2015 годах. В редакции последнего года прошлого века было два крупных изменения:
1) вместо комплекса стандартов 9000-(1,2,3,4):19ХХ, 9001:1994, 9004-(1,2,3,4)-19ХХ появилось три документа: ISO 9000:2000, ISO 9001:2000 и ISO 9004:2000 с четким разделением назначения каждого,
2) 20 элементов системы менеджмента качества уступили место более системному подходу.
Версия 2008 года ничего по сути не меняла, никаких требований не добавляла, а содержала лишь незначительные правки. Но, с другой стороны, стоит отметить следующее:
- в разделе «Общие положения» введения уже прозвучал тезис о том, что на СМК влияет внешняя среда. Непонятно, почему потребовалось еще 7 лет, чтобы в стандарт вошло требование анализа контекста, если понимание его необходимости было уже тогда;
- было расширено понятие продукции, которое распространили не только на конечный, но и на промежуточные результаты производства.
Из минусов ISO 9001:2008.
Во-первых, в эту редакцию перекочевал жуткий «Рис.1», глядя на который многие рисовали «схему процессов СМК», состоящую из 5 процессов, названия которых совпадали с названиями разделов 4-8 стандарта. За этот рисунок разработчики стандарта, безусловно, заслужили пожизненный эцих с гвоздями, но ладно уж, дело прошлое…
Во-вторых, была непонятна логика выбора пресловутых «шести обязательных процедур», неоднозначно понимаемые требования к которым вели к бессмысленной трате ресурсов. Например, народ с упорством, достойным лучшего применения, пытался написать единую процедуру управления несоответствующей продукцией. Учитывая разнообразие этой продукции, выхода было два: либо все это разнообразие честно описывать в неподъемном талмуде, либо ограничиться парой листочков формального описания. И то, и другое, признаться, «не айс». С другой стороны, нигде в стандарте не было написано, что та же процедура управления несоответствующей продукцией должна быть оформлена, как отдельный документ. Более того, в примечании к п. 4.2.1 так и было указано, что один документ может содержать несколько процедур, а одна процедура может быть описана в нескольких документах. Но это не очень сильно помогало: народ упорно полз на кладбище (это из Жванецкого, если что), то бишь, разрабатывал единые процедуры, которые, конечно, были совершенно нефункциональны.
В-третьих, уже знакомые нам предупреждающие действия. Это была одна из самых животрепещущих тем, народ никак не мог взять в толк, что же это за зверь такой и что надо демонстрировать аудиторам. При сертификации спасало то, что сами аудиторы это плохо понимали и особо в тему не лезли, доброжелательно выслушивая ту ахинею, которую несли представители организации. Главное, чтобы это было то, «во что не стыдно поверить».

[Андрей Горбунов]

Теперь о том, легко ли выполнить требования ISO 9001 и какой с этой точки зрения вариант проще – 2008 или 2015 года.
Нередко можно слышать достаточно критические высказывания в адрес стандарта, которые бы я сгруппировал в две основные категории:
1) стандарт «для начинающих»,
2) стандарт «для сертификации».
Первая группа мнений отражает ту точку зрения, что требования стандарта не так уж и сложны в реализации и ориентированы на начальный уровень управления, этакий «стандарт для первоклассников».
Имея за плечами вполне себе репрезентативный набор проектов, могу аргументированно не соглашаться с этим мнением. Более того, выскажу встречное: так могут говорить только те, кто реально даже не пробовал внедрить ISO 9001 в полном объеме.
Кстати, несколько лет назад я на форуме инициировал обсуждение на тему, точную формулировку которой уже не помню, но смысл сводился к следующему: в чем вам видится непригодность ISO 9001 для улучшения управления? И, увы, конструктивных ответов так и не дождался…
Стандарт содержит вполне разумные требования, выполнение которых позволит повысить уровень системности управления. Другое дело, что потребность в этом возникает лишь на определенном этапе жизненного цикла организации, если пользоваться классификацией Адизеса, то это стадия раннего или позднего развития – не раньше.
Для улучшения управления из стандарта достаточно взять одну вещь: цикл PDCA. Но только реализовать его в полном объеме!
Сегодняшняя практика российского менеджмента показывает, что он, в основном, сосредоточен на этапе «Do» (давай, делай!), есть определенные попытки что-то планировать, но вот с чем совсем худо, так это с анализом и принятием решений. По сути, это приводит к тому, что обратная связь, которая, собственно, и делает управление управлением, отсутствует. Т.е. российский менеджмент – это, зачастую, цепочка «указивок» с последующими «наказанием невиновных» и «награждением непричастных». Руководители разных рангов искренне полагают, что главное в их работе – это выдать указания и «строго спросить» за выполнение. О том, что существует такая штука как системное построение организации, масса руководителей даже и не догадывается.
Хотя, надо признать, что есть и более продвинутые компании, где анализ показателей – вполне себе регулярный процесс. Одна беда, а точнее, две: 1) за анализом не следует действий и 2) причины проблем видятся в людях (пресловутый «человеческий фактор»), а не системе.
Я не устаю повторять своим консультируемым: реализуйте в полном объеме цикл PDCA и все остальное к вам постепенно придет. Стандарт в этом плане может помочь, выступая в роли некоей «дорожной карты».
Что до претензий второй категории, то да, тут я готов со многим согласиться. С точки зрения бизнеса ряд требований никак не играют на него, а введены исключительно в целях сертификации. Это касается, например, предписывания определенных действий или тех же записей. В информационных материалах, посвященных версии 9001:2015, сама ISO указывает, что одной из целей пересмотра было снижение предписывающих требований к тому, что надо делать, и больший акцент на результаты. Это заметно, хотя и не в той степени, в какой могло бы быть.
Например, для меня загадкой был и остается раздел 8.4 в ISO 9001:2008 и аналогичный ему теперь раздел 9.1.3 в ISO 9001:2015. Мне всегда казалось, что их исключение из стандарта ничего бы не изменило, эти действия будут выполняться в силу требований из других разделов.
Если сравнивать просто реализации стандарта в версии 2008 и 2015 годов, то тут двоякое впечатление. С одной стороны, более четкие и детально прописанные требования упрощают разработчикам жизнь. С другой стороны, при сертификации теперь у аудиторов есть более четкие критерии, которые уже сложно, как это было ранее, трактовать по-разному.
Яркий пример – процессный подход. Появление требования, что для выделенного процесса необходимо определить входы и выходы превращают в макулатуру кучу всех этих «ландшафтов процессов», нарисованных в период действия ISO 9001:2008. А выполнение этого требования, должен вам сказать, это не так просто. Но и весьма полезно! Организация вдруг начинает немного понимать, как она работает. И на этом пути неизменно встречаются открытия, о которых раньше и не подозревали. Вот что «систематизация животворящая» делает .
Но несмотря на определенную ориентацию на сертификацию, стандарт может быть весьма полезен бизнесу с точки зрения встраивания системного управления. Конечно, он не обеспечит какого-то прорыва в новой продукции, не откроет новых рынков, не выведет компанию в мировые лидеры; я бы сказал, что ISO 9001 – это лопата, а не волшебная палочка. Он способствует более эффективному созданию ценности, но сам не создает ценности.
Кто-то скажет, что в стандарте про эффективность ничего не говорится. Да, это так, но парадокс в том, что выполнение его требований – в конечном итоге – снижает затраты на управление (как минимум) и, тем самым, повышает эффективность.