一、审核质量方针、质量目标和管理评审

1.审核质量方针

只有在整体的审核结果基础之上,才能对质量方针及其是否已得到有效贯彻进行真正意义上的评估。

审核方法应该包括：

—与管理者进行交谈以了解他们对质量的态度和承诺。

—通过管理评审记录，评价最高管理者在建立、实施、监视和更新质量方针中所做的承诺及参与情况。

—评估管理层是否已有效地将质量方针在组织的各个层次上“翻译”成能够理解的词语和指示，并在各个相关的职能/层次上都有与之相对应的质量目标。

—与组织的员工进行访谈，以验证他们在组织的质量方针如何与他们自身活动相互关联方面的意识、理解和认知，但别在意这些员工用什么术语来表达他们的理解。
—搜集通过适当的沟通方式有效传达质量方针的证据。

2.审核质量目标

审核员需要验证组织是否规定了总体质量目标，这些目标是否反映了质量方针并与组织的总体经营目标（包括顾客期望）是高度一致、对应和兼容的。否则，审核员需要进一步评价最高管理者对质量的承诺。

质量目标的实现应可测量并形成文件。

质量目标并没有一种特定的文件化形式，质量目标可以通过经营计划，管理评审的输出，年度预算等形式出现，由审核员自己判断目标是否已充分文件化。

审核员应获得质量目标如何在整个组织构架和过程中得到适当分解、如何与总体战略目标和管理目标直至特定的操作活动等联系起来的证据。

建议在文件评审阶段对文件化的质量目标进行检查。

在审核结束之前，审核员应确定组织的质量目标是切实可行的，组织已为责任人实现其目标提供了适当的资源。应从组织的所有层面获得这方面的证据。

质量目标不是静态的，需要根据当前的经营气候和持续改进的要求进行更新。审核员应该验证组织总体绩效是否反映出质量方针的目的，以及是否合理地满足了质量目标。

审核员应牢记到质量目标可以使用定量或者是定性的方式进行衡量，同时也应牢记在质量方针、质量目标的动态更新方面和组织对于持续改进的承诺之间存在着明确的联系。

３、审核管理评审

ISO9001:2000要求最高管理层在计划的时间间隔内评审组织的质量管理体系，以确保其持续的适宜性、充分性和有效性。评审可以在单独的会议上进行，但这不是标准的要求。最高管理层可以采取很多方法来评审质量管理体系，比如接受并评审管理者代表或其他人员提出的报告，电子形式的沟通或召开定期的管理会议，在会上也讨论诸如预算和目标等的事宜。
管理评审是一个过程，应该采用过程方法来加以实施和审核。
ISO9001５.6.2条款明确说明了管理评审过程的输入，这些关于输入的议题应该涵括在评审内，但并不是唯一的议题。这些议题可能不是被单独或同时提出，而是作为对总体业务评审的一部分。审核员应该意识到输入可以有很多形式，如报告，发展趋势图表等。
作为管理评审过程的输出，应该有做出以下决定的证据：
—质量方针和目标的变化
—改进计划和可能的改进措施
—资源变化
—修订的商业计划
—预算

输出不仅仅与改进或变化相关，也包括对其他重要事宜作出的决定，如引进新产品的计划。
要求保留管理评审记录，但并未规定记录的形式。会议记要是最常见的记录，但电子记录，统计图表，讲演稿等也是能接受的记录形式。
管理评审过程也可以包括质量管理体系策划的要素，在质量管理体系策划中过程和体系的变化应得到考虑。在这种情况下（如果是这样的话），审核员应该评审是否已考虑以下方面：
—管理体系或经营的变化会对体系或经营的其他部分产生影响吗？
—在实施前提议的变化得到评估吗？
—在准备战略计划时，考虑了诸如标准４.1里要求的事宜吗？
—在分包过程之前，需要的控制措施得到识别了吗？
管理评审过程不仅仅是为了满足标准和审核员的要求，还应该成为组织经营管理过程的不可分割的一部分。全面（整体）管理评审是一个在组织各层面实施的复杂过程，是由最高管理层基于组织各层面的输入而产生的一个（相互）双向的过程。这些活动可能每天、每周、每月都有变化，形式有组织会议、简单的讨论或报告。
审核员应该寻找证据以表明管理评审过程的输入和输出与组织的规模以及复杂程度相关，并用于（提高）改进业务。审核员也要考虑组织的管理是怎样安排的，管理评审过程在组织的管理结构中是如何运用的。

二、审核法律法规要求

ISO9001要求组织识别并控制适用于其产品（包括服务）的法律法规要求，而在其QMS内如何识别和控制这些要求则由组织自己决定。

组织应证实适用于其产品/服务的法律法规要求已被适当地识别、是可获取的且易于检索。

审核员需要了解适用于受审核方QMS所涵盖产品/服务的通用及特定的法律法规要求。在审核准备阶段，审核组应从内部或外部渠道获取法律法规要求的相关信息，这样可以使审核员对在QMS中引入这些要求的适宜性进行判断。这些要求需要得到识别并整合到组织的资源管理和产品实现活动中。
在审核阶段，审核组应：

—确保组织有用于识别、保持和更新所有适用法律法规要求的方法

—在监视“过程输出 ”与要求的符合性时, 确保这些法律法规的要求被当作“过程输入 ”。

—确保组织能够恰当地证实与标准和法律法规要求的符合性。

—如果在审核时有证据表明组织遗漏了有关法律法规要求的特定信息，审核员应出具不符合项。

—如果直接识别出了与这些法律法规要求的不符合，审核员也应当出具不符合项。

由于可能会产生责任问题，审核员应避免声称什么样的法律法规要求适用于该组织的产品/服务，或者应采用什么方法来满足这些要求。

只有识别出与组织的产品/服务相关的法律法规要求方面的系统缺陷或者直接违背法律法规要求时，才应该开出不符合项。

当然，如果审核时恰巧发现了与其他法律法规（如健康安全、环境等）要求的不符合，审核组不应忽略这个事实。审核组应当及时向受审核方进行通报，有要求时，也要向审核委托方通报。

如果在审核之前、 审核过程中或审核实施之后，审核员意识到有任何影响质量管理体系形象和可信性的故意的与法律的不符合（包括，比如，违反反托拉斯法、违反劳动法、违反健康和安全或环境法规），那么应该适宜地考虑这些不符合，并对其进一步调查。除了执法（法规）当局采取的措施外，审核员应该评估质量管理体系在满足客户要求方面（明示或通常隐含）的有效性，并把评估结果报告给认证/注册机构以便其采取适当的措施。

三、审核“能力”和“所采取措施的有效性”

提供以下信息用来指导审核员，在实施认证审核时理解ISO 9001条款6.2.2对于“能力”和“所采取措施的有效性”的要求，例如培训。

这些要求通常作为审核产品实现过程的一部分来加以审核，而不是孤立地来审核。然而也得承认，有些组织可能具有独立的人力资源过程，从中可以发现所需要的大部分证据。

本文识别了组织开展的旨在确保其人员能力和评估所采取措施有效性的典型活动，给出了审核员应致力寻找的证据类型的指南，并在适宜时提供了范例。

为满足ISO 9001的能力/有效性要求，通常组织需要：

—识别从事对质量有影响的工作的人员应具备什么能力
—识别哪些已经从事工作的人员具备所要求的能力
—决定还要求何种附加能力
—决定如何获得这些附加能力——人员培训（外部或内部）、理论或实践培训、招聘有能力的新人、给现有的有能力的员工分配不同的工作
—培训、招聘或重新分配人员
—评审为满足能力需求所采取措施的有效性
—定期评审人员的能力

在整个过程中，要求组织保持教育、培训、技能和经验方面的适当记录。然而，ISO 9001标准并没有详细说明如何建立该过程或者保持何种记录。

在审核组织对于能力和培训评估要求的符合性时，审核员通常应寻找如下证据：

1．组织需要识别从事影响质量工作的人员应具备的能力

指南 — 审核员的目标应是确定组织是否有系统的方法去识别这些能力，以及验证该方法是否有效。过程的输出可能是清单、登记簿、数据库、人力资源计划、能力发展计划、合同、项目或产品计划等等。

开始应与最高管理者进行讨论，确保他们理解识别所需能力的重要性。关于新的或已变更的活动或过程可能也是潜在信息源，这些可以导致组织中的不同能力要求。

评价新的投标或合同时，可能也需要对能力进行评审。这方面的证据可在相关的记录中寻找。当分包方的活动可以影响过程和/或产品质量特性时，能力要求可能包含在合同文本中。

在监督审核期间，审核员需要确定组织是否已经对新的或变更的能力需求进行了识别。

2．是否指派具备能力的人员从事需控制其过程或产品质量特性的工作？

指南 — 验证是否进行了某种方式的评估过程，以确保能力对于组织的活动而言是适当的，并确保被选定的人员表现出应具备的能力。同时，该过程也应确保任何能力不足都在采取了相应的措施，并确保也在监测了人员的效力。验证影响质量的活动是否由选定的具备能力的人员来从事。在审核中关注人为介入会产生巨大影响的过程、活动、任务、产品，就会得到证据。审核员可以评审岗位描述、试验或检验活动、监视活动、管理评审记录、职责和权限规定、不合格报告、审核报告、顾客抱怨、过程确认记录等。

3．组织需要评估为满足能力需求而采取的措施的有效性

指南 — 组织可以使用很多的技术，包括角色扮演、同事互评、观察、培训和从业记录评审和/或面试等（更多的例子参见ISO 19011表2）。特定评估方法的适宜性取决于很多因素。例如，可以查看培训记录以验证培训课程已成功完成（但注意，单凭这点不能作为受训者具备能力的证据）。然而，不能以这种相同的方法评价审核员在审核过程中表现得是否令人满意。相反地，可能要求观察、同事互评、面谈等等。组织需要通过教育、培训和/或工作经验相结合来证明其人员已经具备能力。

4．能力的保持

指南 — 审核员需要验证组织具有某种方式的有效监控过程，并正在得以遵照实施。这包括持续专业发展过程（诸如在ISO19011中描述的某一种）、对人员及其绩效的定期评价、或者对由个人或小组负责的产品的定期检验、试验或审核。实时更新能力要求，可表明组织在维持人员绩效水平方面是积极主动的。