Запрос почти всегда звучит одинаково: «нам нужна сертификация». Иногда потому, что закупщик обронил это в конце встречи. Иногда потому, что конкурент повесил логотип на главную страницу сайта. Редко потому, что компания знает, какая именно сертификация ей нужна и зачем.
И это нормально. ISO, GMP и «био» — три никак не связанных между собой регуляторных объекта, которые складывают в одну коробку, потому что все они заканчиваются логотипом. Путаница обходится дорого: либо компания оплачивает аудит, который не отвечает на запрос клиента, либо запускает восемнадцатимесячный проект там, где хватило бы шести недель наведения порядка.
Три логики, а не три уровня
ISO 9001, ISO 22000: ваша организация
Эти стандарты описывают систему менеджмента. Аудитор приходит не оценивать ваш продукт. Он проверяет, знаете ли вы, кто и что решает, как вы обрабатываете рекламацию, что делаете, когда что-то пошло не так. Компания может иметь сертификат ISO 9001 и выпускать посредственный продукт: стандарт гарантирует управляемость процесса, а не уровень товара.
GMP: то, как вы производите
Здесь всё зависит от отрасли, и отсюда берётся большинство недоразумений. В фармацевтике надлежащая производственная практика опирается на EudraLex, том 4, а инспекцию проводит государственный орган (во Франции — ANSM), а не частная компания. В производстве биологически активных добавок и в пищевой промышленности под «GMP» чаще всего понимают утверждённое руководство по надлежащей гигиенической практике либо частный стандарт, который навязывает заказчик.
Когда закупщик пишет «GMP» в техническом задании, первое, что стоит сделать, — спросить, какой именно. Вопрос кажется наивным. Он таким не является: в каждом втором случае ответ приходит с задержкой в несколько дней, потому что автор технического задания сам этого не знает.
«Био»: соответствие регламенту
Европейская органическая маркировка — это не добровольная инициатива по качеству. Это применение регламента (ЕС) 2018/848. Чтобы написать «био» на упаковке, нужно уведомить французское агентство Agence BIO и проходить контроль в сертифицирующем органе, аккредитованном INAO: не реже раза в год, плюс внеплановые проверки. Облегчённой версии не существует.
Для сельхозпроизводителей добавляется переходный период для земель. У переработчиков переходного периода нет, но и права заявлять маркировку до получения сертификата у них тоже нет.
Эти три процедуры не заменяют друг друга и не складываются автоматически. Компания с сертификатом ISO 22000 находится не ближе к «био», чем любая другая.
Кто именно этого требует?
Именно этот вопрос снимает три четверти темы, и именно с него я начинаю разговор.
Сертификация имеет экономическую ценность тогда, когда кто-то конкретный отказывается подписывать договор без неё. Розничная сеть, которая требует IFS или BRCGS. Заказчик, которому нужен стандарт, признанный GFSI. Экспортный рынок, где вход зависит от местного регулирования. Надпись «био» на упаковке, которая делает контроль обязательным без вариантов.
Когда её никто не требует, сертификация превращается во вложение в коммуникацию. В этом нет ничего дурного, но тогда стоит честно так к ней и относиться и сравнить с другими способами потратить тот же бюджет. Две сильные клиентские рекомендации нередко убеждают лучше логотипа, а стоят несопоставимо меньше.
Поэтому первое действие умещается в одно письмо: попросить закупщика письменно назвать точное имя стандарта и его версию. Три строки, которые иногда экономят несколько тысяч евро.
Куда на самом деле уходит бюджет
Коммерческие предложения сертифицирующих органов считаются в человеко-днях аудита. Количество дней зависит от численности персонала, числа площадок, сложности процессов, иногда от количества смен. Два органа могут показать близкие суммы при разном объёме дней: сравнивать нужно именно дни, а не итог внизу страницы.
Дальше вступает в силу сам цикл. В ISO первичный аудит проходит в два этапа: анализ документации, затем аудит на площадке. Потом идут ежегодные надзорные аудиты, а через три года — ресертификация. Бюджет на сертификацию никогда не бывает бюджетом первого года. Это обязательство минимум на три года, и закладывать его нужно именно так.
Самая тяжёлая статья при этом не фигурирует ни в одном коммерческом предложении: внутреннее время. Написать процедуры, обучить людей, ежедневно вести записи, закрывать несоответствия по итогам аудита. Подготовка требует больше ресурсов, чем сам аудит, и почти всегда ложится на одного человека, у которого уже есть полная занятость. Компания, которая не назначила этого человека и не разгрузила его, в собственный график не уложится.
Порядок, который работает
- Опишите свои реальные процессы, а не те, которые хотелось бы иметь. Двух-четырёх недель достаточно, и эта работа пригодится при любом выбранном стандарте.
- Сначала закройте требования законодательства. Гигиена, прослеживаемость, маркировка, отраслевые обязанности: этот фундамент обязателен независимо от сертификации. Исправить его заранее почти ничего не стоит. Обнаружить пробел во время аудита стоит переноса сроков.
- Выбирайте стандарт вместе с конечным клиентом. Не раньше него и не вместо него.
- Запросите два-три предложения и сравните дни. Заодно выясните, знает ли аудитор вашу отрасль: тот, кто знакомится с ней впервые, отнимет время у обеих сторон.
- Проведите внутренний пробный аудит. Даже несовершенный, он вскроет основную часть расхождений, пока их ещё бесплатно исправить.
Три самые дорогие ошибки
Покупать стандарт до того, как его попросили
Компания получает сертификат, которого никто не требовал, и ежегодную документальную нагрузку, которую тянет следующие три года.
Полностью отдавать написание документации на сторону
Получившаяся система аккуратна, логична и не похожа на компанию. Аудитор замечает это за одно утро: он сверяет написанное с тем, что операторы делают на самом деле, и расхождение видно сразу. Привлекать внешнего специалиста — да. Писать без участия команды — никогда.
Считать тему закрытой в день вручения сертификата
Получение сертификата открывает цикл, а не завершает его. Компании, которые тяжело переживают надзорные аудиты, почти всегда те же самые, кто убрал папку в шкаф после первого успеха.
Сертификацию не выбирают по каталогу. Она выводится из конкретного коммерческого требования, и пока это требование нигде не зафиксировано, самая окупаемая работа — привести в порядок собственную организацию. Это в любом случае первый шаг на каждом из трёх путей.