ISO 19011：2018《管理體系審核指南》指出，審核是系統的、獨立的形成文件的過程?？梢?，認證審核是系統的、正規的檢查活動，不是即興的動作。認證機構在開始審核前，要與受審核方進行充分的溝通，配備好相應的資源，做好全面的安排，才能開始審核。這里的安排，既包括審核組人員的配備與組成、審核時間上的安排等資源方面的，也包括審核組專業技術上的考慮、文件的準備等以確?，F場審核是有備而來。

1.制定審核方案

對一個管理體系認證企業來說，一個認證周期是3年，因此，就一個初審企業來說，在總體策劃上，認證機構應制定能覆蓋3年認證周期的審核方案。在制定審核方案時，我們要從以下幾個方面防范認證風險：

（1）要以控制風險的意識來策劃審核方案，確保審核關注于受審核方的重要事項、關鍵過程以及認證機構審核目標的實現，要優先考慮將資源和方法分配給管理中具有較高風險和較低績效水平的事項上；

（2）確保覆蓋審核的范圍和詳略程度、抽樣審核場所的數量、持續的時間與強度、地點和時間表；

（3）資源的充分性，避免在時間或培訓不足的情況下實施審核；

（4）審核組的選擇，著力避免審核的整體能力不足；

（5）確保在與受審核方溝通順暢的情況下進行審核方案的制定；

（6）加強對審核方案的監視、評審和改進，對不適宜之處及時作出調整與改進；

（7）確保受審核方的協助與配合以及抽樣證據的可獲得性。

2.制定現場審核計劃

有了審核方案，審核組長要根據審核方案中的信息和受審核方提供的成文信息，就某次審核進行現場審核的策劃，制定現場審核計劃。在制定審核計劃時，應從以下幾方面防范認證風險：

（1）樹立風險意識，采用基于風險的方法來策劃現場審核；

（2）現場能否正常生產是能否實施現場審核的前提條件，要提前與受審核方做好充分溝通，嚴禁發生到現場后受審核方沒有生產而導致的失敗審核；

（3）策劃應能促進現場審核活動的高效和協調，以便有效地實現審核目標；

（4）認真做好文件審查，在充分了解受審核方基本情況的前提下制定審核計劃；

（5）審核計劃應依據審核的范圍和復雜程度而選擇詳略得當的方式制訂，確?？紤]了可能的不能實現審核目標的風險；

（6）審核組的組成及其整體能力，除通用的審核知識與技能外，應確保審核組具備與受審核方產品有關的特定技術領域審核所需的知識與技能；

（7）為尋找客觀證據而確定的恰當的抽樣技術；

（8）對關鍵區域、關鍵過程的審核安排不充分的風險；

（9）要把專業審核員安排到有特定技術領域審核需求的部門與過程中去；

（10）當實施多領域認證結合審核時，要特別注意對不同領域的專業審核員的合理安排。

1.選擇合格的審核組長

要使審核組作為一個團隊開展有效和高效的現場審核，避免審核無效的風險，首先是要選擇一位具備足夠能力的審核員擔任審核組長。一個合格的審核組長應具備以下能力：

（1）根據每個審核組成員的具體能力策劃審核工作，并分配審核任務；

（2）與受審核方的最高管理者討論戰略問題，以確定他們在評價風險和機遇時是否考慮過這些問題；

（3）具備足夠的管理審核過程的能力，在審核中能有效地利用和調整資源，有效管控審核目標實現過程中的不確定性；

（4）具有管理權威，能夠指揮審核組成員；

（5）預防和解決審核期間可能發生的沖突和問題，包括審核組內部的沖突和問題；

（6）代表審核組與審核方案管理人員、審核委托方和受審核方進行溝通的能力；

（6）帶領審核組與各方達成審核結論的能力，包括可能的不通過審核的結論。

在過往的審核中，我們發現，一個不合格的審核組長，如果不能總體上把控整個的現場審核，往往會出現以下情況：

（1）組長能力不夠或缺乏領導力，由此而表現出不自信，甚至對一些審核員的不恰當言行都不敢管，掌控不了審核組；

（2）在主持首末次會議時，該說的沒說或沒說到位，致使受審核方不理解，缺乏有效的審核配合，進而影響到審核目標的實現，或審核結果、發現問題闡述不清，導致受審核方不清楚如何對審核發現的問題加以整改，為后續的問題跟蹤留下隱患；

（3）審核信息不能通過有效的評審而得到增值，組長只知道悶頭編寫審核報告，審核組內部的溝通、討論會形同虛設，開會不討論甚至不開會。這樣的審核總結，勢必造成盲人摸象的后果，不同的審核員得出的審核證據與信息相互矛盾，無法對受審核方的管理體系得出客觀的評價，因而也無法做出客觀、公正的審核結論。

2.審核證據的獲得及其驗證

只有經過某種程度驗證的信息才能被接受為審核證據。在驗證程度較低的情況下，風險也就隨之而來了，這時，審核員應運用其專業判斷來確定可將其作為證據的可信度，以有效降低風險。審核組應記錄足夠的審核證據以支持審核發現。在收集客觀證據的過程中，如果有任何新的或變化的情況，無論風險或機遇，審核組應敏銳感知并予以關注。

審核員應考慮信息是否提供了充足的客觀證據來證實認證標準的要求已得到滿足。信息可能存在以下風險問題：

（1）不夠完整（成文信息中不能包含所有期望的內容），如果信息的提供方式不同于預期（例如，由不同的個人或替代媒介提供），則應評估證據的完整性；

（2）不正確（內容不符合標準和法規等其他可靠來源）；

（3）不一致（成文信息本身以及與相關文件不一致）；

（4）不是現行有效的（內容不是最新的）。

3.審核的抽樣

現場審核時，收集信息的方法包括訪談、觀察和成文信息的評審等。但是，由于受審核方日常管理運行留下的信息量是巨大的，我們不可能檢查所有可獲得的信息，因此，現場審核的過程也是一個抽樣檢查的過程。當受審核方的記錄太過龐大或地域分布太過分散，以至于無法對每個項目進行檢查時，我們還需分層進行抽樣，這時，抽樣的風險是：從總體中抽取的樣本也許不具有代表性，從而可能導致審核員的結論出現偏差，與對總體進行全面檢查的結果不一致。因此，抽樣時，我們應充分考慮可用數據的質量，因為抽樣數量不足或數據不準確將不能提供有用的結果。應根據抽樣方法和所要求的數據類型選擇適當的樣本。

典型的審核抽樣包括以下步驟：

（1）明確抽樣方案的目標；

（2）選擇抽樣總體的范圍和組成；

（3）選擇抽樣方法；

（4）確定樣本量；

（5）進行抽樣；

（6）收集信息、評價和報告結果并形成文件。

4.開具不符合報告

應對審核證據進行評審以確定審核發現。審核發現包括符合項與不符合項。當對照認證依據的標準條款發現了不符合項時，審核員應記錄不符合及支持不符合的審核證據，開具不符合報告，責成受審核方通過原因分析、舉一反三地采取糾正措施，避免同類的問題今后重復發生，這是認證機構、審核組有效降低認證風險的重要手段，包括對受審核方在守法方面的不符合，也應開具不符合報告，在發證前控制其違法的風險。

可以根據組織所處的環境及其風險對不符合進行分級。這種分級可以是定量的（如打分法），也可以是定性的（如分成輕微不符合與嚴重不符合兩種類型）。審核組可與受審核方一起評審不符合，以確認審核發現是準確的，并使受審核方理解不符合，厘清對不符合整改的思路。

有些審核員受各種因素的干擾或壓力，往往喜歡把明顯的不符合項問題口頭向受審核方交流而不開不符合報告，為認證埋下了隱患與風險。開具不符合報告至少有兩方面的重要意義：一是糾正，它能通過對不符合項的糾正來控制不符合問題本身的風險；二是糾正措施，能防止受審核方在今后的管理、運行中出現重復的錯誤，控制了認證帶來的風險。

5.強化合規性審核

獲證方能否遵守法律法規，這是認證機構應守護的認證底線，也是認證機構應堅守的社會責任。一方面，受審核方由于這樣那樣的歷史原因，可能會存在一些違法違規的歷史遺留問題；另一方面，少數受審核方不重視守法、合規，不注意及時收集、吸收不斷更新的相關法規，也會導致其管理上出現可能的違法違規后果。因此，現場審核時，要始終關注并強化對受審核方合規性的審核。合規性審核應至少從以下幾方面控制風險：

（1）現場核實其行政許可等相關資質（第一階段審核時），雖然在認證申請階段受審核方提供了一些行政許可資質、合規性的基本信息，但信息的真實性以及地方法規要求，需要審核組現場核實，如企業的生產許可證（指實施生產許可證的行業，如水泥行業）、環評與環保驗收證據、采礦許可證與礦山安全生產許可證；

（2）認證范圍與營業執照范圍或行政許可范圍的相容性；

（3）新、改、擴項目的環保等手續；

（4）環保監測、安全監測、安全設施的監測、職業場所有害物監測、職業病體檢等；

（5）企業自身開展的合規性評價的有效性。

與此同時，審核組還應審核并評估受審核方是否具備以下合規性管理過程：

（1）識別其法律法規要求及其承諾的其它要求；

（2）管理其活動、產品和服務，以實現對這些要求的合規；

（3）評價其合規狀況；

（4）有能勝任的人員管理其合規過程；

（5）根據監管方或其他相關方的要求，保持并提供關于其合規狀況的適當的成文信息；

（6）在內部審核中包括了合規要求；

（7）應對任何不合規事件；

（8）在管理評審中考慮其合規績效。

2001年11月，ISO/CASCO推出了開展合格評定活動的基本方法，即“合格評定功能法”，其基本模式就是“選取+確定+復核與證明”。認證是其中一種合格評定活動（“認證”一詞的英文原意就是出具證明文件的合格評定活動），認證活動的最終結果就是提供“證明”——認證機構出具的認證證書。認證證書要以最容易使所有證書使用者理解的形式做出獲證方“已證實滿足規定要求的符合性”的說明。而認證證書中風險最高、技術性最強的部分就是認證范圍的給定。一個合格的認證范圍既要準確地表述被認證對象的范圍和特性，包括已審核的范圍與界限，組織的場所與單元、活動及過程，同時又要能被獲證方所接受。

客觀地說，大部分受審核方都希望證書中認證范圍描述的外延與內涵越大越好，以便其滿足不同采購方的采購需求、投標要求。因此，作為認證機構的審核組，如何通過有效的審核與證據的收集支撐其確定的認證范圍，存在著很強的技術性，也蘊含著很大的風險。

首先，我們要糾正一個錯誤的觀念：認證范圍是認證機構與申請人協商確定的，與現場審核無關。我們都知道，確定認證范圍是審核組的主體責任，需要審核組結合現場審核的范圍，受審核方的過程、活動與產品，以及審核證據收集的充分性等方方面面的情況最終確定，必要時應與受審核方溝通。審核組有權縮小認證范圍，但如果擬超出認證合同確定的認證范圍，則必須與認證機構溝通，這里存在著重新進行申請評審與認證合同變更的問題。下面，筆者給出兩個認證范圍確定失敗的案例：

案例1：認證范圍（邊界）的界定錯誤（能源管理體系認證）：

某陶瓷企業有4條陶瓷磚生產線，含1條瓷質磚生產線、3組陶質磚生產線。

錯誤的認證范圍描述如下：

位于廣東省佛山市南海區XX鎮XX區的廣東XX陶瓷有限公司陶瓷磚的生產與能源管理。

生產工藝與用能過程（邊界）：4條陶瓷磚生產線，含1條瓷質磚生產線、3組陶質磚生產線，涵蓋原料球磨、噴霧制粉、干壓成型、干燥、燒成、拋光磨邊等過程；

產品能耗指標：

錯誤的原因是：陶質磚與瓷質磚的生產工藝不同，陶質磚沒有拋光磨邊的工藝過程（用能過程），而燒成卻有素燒+釉燒兩個工序。該認證范圍的描述將不同生產工藝及不同的產品混同，并導致無法區分不同產品對應的產品能耗。審核組可能不熟悉產品的相關能耗標準，不精通產品的生產工藝及生產過程的主要能源使用。

正確的“生產工藝與用能過程（邊界）”描述應該是：

1條瓷質磚生產線，涵蓋原料球磨、噴霧制粉、干壓成型、干燥、燒成、拋光磨邊等過程；3條陶質磚生產線，涵蓋原料球磨、噴霧制粉、干壓成型、干燥、素燒、釉燒等過程。

案例2：審核證據不足以支撐認證范圍（質量管理體系認證）：

內審抽查發現，某檢驗檢測有限公司質量管理體系初次認證的認證范圍是“位于XX省XX市XX區XX大道的某檢驗檢測有限公司非金屬礦物材料研制、推廣與應用等管理活動”，但審核記錄中對材料部分的檢查記錄寫到——“目前業務主要為貿易銷售，將外購的摩擦密封產品原材料——礦物纖維進行銷售，采購的物資主要是：礦物纖維”，未見收集“非金屬礦物材料研制、推廣與應用等管理活動”的審核證據。

顯然，確定的認證范圍偏大，受審核方的業務只局限于非金屬礦物材料的一種——礦物纖維材料的研發、推廣與應用等管理活動。審核組正確的做法是，根據現場審核證據與情況，縮小申請的認證范圍，改成：礦物纖維材料的研發、推廣與應用等管理活動。當然，審核組應做好與受審核方的溝通，力爭雙方達成一致。

綜上所述，作為負責任的認證機構與審核組，認證范圍給定的原則應該是：準確、恰當，文字描述的外延與內涵不大不小。以能源管理體系認證為例，要準確界定認證范圍（邊界），應遵循以下幾項標準：

（1）產品工藝與用能過程描述完整；

（2）主要用能過程描述突出，注意不遺漏余熱或余能利用過程，如水泥企業的余熱發電過程；

（3）不同的產品及其用能過程、產品能耗應分別表述，并滿足國家或地方相應的產品能耗標準的特定要求，如陶瓷企業不同吸水率的陶瓷磚應分別表述用能過程與產品能耗，商品混凝土企業應分別表述混凝土的生產能耗與運輸能耗，保溫材料企業應分別表述保溫材料的綜合能耗與熔融焦耗等。