ГОСТ Р 72611-2026/ISO/IEC TS 17012:2024. Национальный стандарт Российской Федерации. Оценка соответствия. Руководящие указания по использованию методов дистанционного аудита при аудите систем менеджмента

(утв. и введен в действие Приказом Росстандарта от 09.04.2026 № 325-ст)

Утвержден и введен в действие

ОЦЕНКА СООТВЕТСТВИЯ

Предисловие

1 ПОДГОТОВЛЕН Федеральным автономным учреждением «Национальный институт аккредитации» (ФАУ НИА) на основе собственного перевода на русский язык англоязычной версии документа, указанного в пункте 4

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 9 апреля 2026 г. № 325-ст

4 Настоящий стандарт идентичен международному документу ISO/IEC TS 17012:2024 «Оценка соответствия. Руководящие указания по использованию методов дистанционного аудита при аудите систем менеджмента» (ISO/IEC TS 17012:2024 «Conformity assessment — Guidelines for the use of remote auditing methods in auditing management systems», IDT).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты, сведения о которых приведены в дополнительном приложении ДА

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. № 162-ФЗ «О стандартизации в Российской Федерации». Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе «Национальные стандарты», а официальный текст изменений и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.rst.gov.ru)

Введение

Настоящий стандарт был разработан в ответ на стремительное развитие технологий и изменения в практике работы, основанные на разнообразном опыте, включая опыт пандемии коронавируса. Применение методов дистанционного аудита может принести множество преимуществ всем сторонам, участвующим в аудите. В настоящем стандарте содержится руководство по результативному проведению аудита и достижению целей аудита при использовании методов дистанционного аудита.

Методы дистанционного аудита могут повысить результативность аудитов за счет сокращения времени и расходов на поездки и улучшения ситуации с общим углеродным следом, а также они помогут избежать риска в поездках, обеспечивая виртуальный доступ к большему количеству объектов. Еще одним преимуществом является содействие разнообразию участников аудита и более активное участие технических экспертов в аудите. Такое содействие включает в себя трансграничную деятельность, которая может повысить общую эффективность аудита, сохраняя при этом непрерывность бизнеса, особенно в сложных ситуациях и условиях.

Целью настоящего стандарта является обеспечение уверенности в том, что методы дистанционного аудита представляют собой дополнительный устойчивый и гибкий способ проведения аудитов систем менеджмента и обеспечивают доверие заказчиков, регулирующих органов, владельцев схем и других заинтересованных сторон.

Настоящий стандарт включает в себя руководство по риск-ориентированному подходу, которого следует придерживаться при планировании и использовании методов дистанционного аудита, которые могут применяться к организациям всех типов и размеров. В таблице 1 и таблице 2 приведены примеры рисков и возможностей.

Настоящий стандарт может быть использован для поддержки аудита на месте, дистанционного или гибридного подхода к аудиту систем менеджмента.

Примечание - В ИСО 19011:2018, таблица 1, приведены примеры различных типов аудита.

Настоящий стандарт также может использоваться для поддержки других видов деятельности по оценке соответствия, таких как оценка в целях аккредитации, сертификация продукции или паритетная оценка.

Настоящий стандарт поддерживает неизменную целостность аудитов первой, второй и третьей сторонами, включая сертификационные аудиты систем менеджмента, чтобы способствовать их проведению компетентным, тщательным и прозрачным образом, когда используются методы дистанционного аудита. Настоящий стандарт также может быть использован для поддержки других видов деятельности по оценке соответствия, таких как аккредитация, сертификация продукции или паритетная оценка. Настоящий стандарт представляет собой дополнительное руководство по применению ИСО 19011:2018 и ИСО/МЭК 17021-1.

Настоящий стандарт подчеркивает важность обеспечения того, чтобы результаты любого процесса аудита соответствовали целям программы аудита. Он не имеет приоритета над требованиями других стандартов/схем.

Настоящий стандарт имеет ту же структуру, что и ИСО 19011:2018, чтобы облегчить совместное использование этих стандартов.

1 Область применения

Настоящий стандарт содержит руководящие указания по использованию методов дистанционного аудита при проведении аудитов систем менеджмента. Он применим ко всем организациям, которые планируют и проводят все виды внутренних и внешних аудитов (т.е. аудиты первой, второй и третьей стороной) систем менеджмента.

Настоящий стандарт поддерживает общие принципы аудита, приведенные в ИСО 19011:2018, и содержит дополнительные указания по конкретным условиям, возможностям и ограничениям для применения методов дистанционного аудита.

Настоящий стандарт предназначен для укрепления доверия к использованию методов дистанционного аудита для аудита систем менеджмента среди заказчиков, регулирующих органов, органов по аккредитации, органов по сертификации, владельцев схем, промышленности, сотрудников, потребителей, поставщиков и других заинтересованных сторон.

Использование методов дистанционного аудита для аудита систем менеджмента не предназначены для замены методов аудита на месте. Напротив, методы дистанционного аудита призваны служить инструментом для эффективного и результативного проведения аудита.

Примечание - Настоящий стандарт может быть использован для других видов аудитов и оценок.

2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие стандарты [для датированных ссылок применяют только указанное издание ссылочного стандарта, для недатированных — последнее издание (включая все изменения)]:

ISO/IEC 17000, Conformity assessment — Vocabulary and general principles (Оценка соответствия. Словарь и общие принципы)

ISO 19011:2018, Guidelines for auditing management systems (Руководящие указания по проведению аудита систем менеджмента)

3 Термины и определения

В настоящем стандарте применены термины по ИСО 19011:2018, ИСО/МЭК 17000, а также следующие термины с соответствующими определениями.

ИСО и МЭК поддерживают терминологические базы данных, используемые в целях стандартизации, по следующим адресам:

• платформа онлайн-просмотра ИСО: доступна по адресу https://www.iso.org/obp;
• Электропедия МЭК: доступна по адресу https://www.electropedia.org/.

3.1 метод дистанционного аудита (remote auditing method): Метод, используемый для проведения аудитов из любого места, отличного от места нахождения проверяемой организации.

Примечание 1 — Методы дистанционного аудита могут использоваться в сочетании с методами, применяемыми при аудите на месте, для достижения полного и результативного аудита.

Примечание 2 — Методы дистанционного аудита могут использоваться для виртуальных мест проведения аудита, т.е. когда организация выполняет работу или предоставляет услугу, используя онлайн-среду, позволяющую физическим лицам выполнять процессы независимо от физического местоположения.

Примечание 3 — Методы дистанционного аудита могут использоваться аудитором при аудите одного места проверяемой организации для аудита другого места.

4 Принципы проведения аудита

Принципы проведения аудита приведены в ИСО 19011:2018, раздел 4.

5 Управление программой аудита

5.1 Общие положения

5.1.1 Общие руководящие указания приведены в ИСО 19011:2018, 5.1.

5.1.2 В отношении использования методов дистанционного аудита при подготовке программы аудита организации следует учитывать следующее:

a) принципы, упомянутые в разделе 4;

b) риски, относящиеся к результативности программы аудита (см. 5.3) и мерам противодействия;

c) возможности, относящиеся к программе аудита (см. 5.3);

d) проблемы информационной безопасности, конфиденциальности и неприкосновенности частной жизни, относящиеся к методам дистанционного аудита;

e) наличие информации, необходимой для принятия решения об их применимости;

f) пригодность и ограничения для владельцев схем, регулирующих и других специальных органов;

g) возможность их применения.

5.2 Постановка целей программы аудита

5.2.1 Общие руководящие указания приведены в ИСО 19011:2018, 5.2.

5.2.2 Организация, проводящая аудит системы менеджмента, может использовать методы дистанционного аудита, но не ограничиваться только ими, при следующих условиях:

a) методы дистанционного аудита не препятствуют достижению целей программы аудита;

b) использование методов дистанционного аудита целесообразно и принято соответствующими заинтересованными сторонами;

c) были выбраны технологии, и было определено управление ими;

d) информация, необходимая для использования методов дистанционного аудита, является достаточной;

e) область использования методов дистанционного аудита (критерии и границы аудита) определена в программе аудита;

f) подтверждена возможность обеих сторон (т.е. аудиторской группы и проверяемой организации) использовать методы дистанционного аудита, включая компетентность персонала, технические и физические возможности;

g) организация, проводящая аудит системы менеджмента, и проверяемая организация разрешили любые разногласия в понимании методов дистанционного аудита;

h) имеется соглашение об изменении метода дистанционного аудита в случае необходимости.

Примечание - Изменение методов дистанционного аудита может включать другие дистанционные или применяемые на месте методы аудита.

5.2.3 При необходимости организации, проводящей аудит системы менеджмента, следует подготовить и внедрить процесс изучения возможности проверяемой организации использовать методы дистанционного аудита.

Организации, проводящей аудит системы менеджмента, следует проанализировать полученную информацию, относящуюся к методам дистанционного аудита, и связаться с проверяемой организацией, чтобы:

a) проверить, соответствует ли проверяемая организация условиям применения методов дистанционного аудита, как определено при оценке риска, связанного с их использованием (см. 5.3);

b) подтвердить следующее:

1. возможность достижения целей аудита в рамках установленной области аудита при использовании методов дистанционного аудита;

2. условия поддержки при использовании методов дистанционного аудита, включая технологическую поддержку для решения любых проблем;

3) любые конкретные или дополнительные требования к согласованным методам дистанционного аудита, включая компетентность.

5.3 Определение и оценка рисков и возможностей для программы аудита

5.3.1 Общие руководящие указания приведены в ИСО 19011:2018, 5.3.

5.3.2 Организации, проводящей аудит системы менеджмента, следует рассмотреть риски и возможности для программы аудита, принимая во внимание знания проверяемой организации и любой предыдущий опыт, чтобы определить, являются ли методы дистанционного аудита выполнимыми. Методы дистанционного аудита не должны применяться, если оценка риска выявляет неприемлемую угрозу для результативности процесса аудита. Для последующего планирования следует:

• предотвратить или снизить риски, связанные с методами дистанционного аудита;
• использовать возможности, выявленные в результате использования методов дистанционного аудита;
• охватывать оценку результативности действий, предпринятых для реагирования на риски и возможности;
• обеспечить, чтобы ожидаемые результаты аудита были достигнуты.

5.3.3 Примеры рисков и возможностей, связанных с программой аудита, и их потенциального воздействия приведены в таблице 1 и таблице 2.

Таблица 1

Риски, связанные с программами аудита, и потенциальное воздействие от использования методов дистанционного аудита

Риски	Потенциальное воздействие
Процессы, требующие наблюдения, недостаточно отражены в программе аудита	Аудит процессов не будет проведен результативно
Невозможно использовать методы дистанционного аудита в связи с характером процесса
Ограничения в применении случайной выборки
Неизвестна возможность проверяемой организации содействовать применению методов дистанционного аудита	Необходимое техническое оборудование не является достаточным, поэтому препятствует беспроблемному процессу аудита
Недостаточная общая компетентность аудиторской группы для результативного проведения аудита с использованием методов дистанционного аудита	Цели аудита будут под угрозой
Потеря времени в связи с недостаточной оцифровкой	Необходимая информация должна быть сначала оцифрована. Потеря времени может помешать изучить всю информацию
Ограниченная компетентность или опыт в использовании технологий дистанционного аудита	Нерезультативное или неправильное использование технологий может ограничить процесс и качество выполнения плана аудита
Не предусмотрен альтернативный план на случай, если методы дистанционного аудита не сработают	Цели аудита могут быть под угрозой
Не учтены конкретные требования к защите данных и информационной безопасности при обмене цифровой информацией	Возможно нарушение законодательства о защите данных
Неадекватные или ненадежные технологии (например, связанные со стабильностью и качеством Интернета)	Аудит невозможно провести, или он проводится нерезультативно
Невозможность предоставления надлежащей сенсорной информации	Низкое качество визуальной и звуковой связи, а также отсутствие восприятия запахов, вибрации, температуры и относительной влажности могут ограничить возможности получения достоверных свидетельств аудита
Целостность свидетельств аудита может быть под угрозой при использовании методов дистанционного аудита (например, снижение разборчивости документированной информации, плохое разрешение видео, отсутствие видимости отдельных частей процесса)	Возможны ошибки или снижение надежности заключений по результатам аудита

Таблица 2

Возможности	Потенциальное воздействие
Время на дорогу сокращено или устранено	Сокращение времени на дорогу ведет к экономии средств, повышению производительности, непрерывности аудита и сокращению выбросов углекислого газа от поездок
Оптимизирована продолжительность аудита	Можно исключить или сократить время на вводный инструктаж на месте и перемещение между местами проведения аудита или процессами; использование технологий для осмотра обширных территорий
Короткое время реагирования	Запись возможностей и рисков происходит своевременно, особенно в местах, требующих длительных поездок. Следовательно, программа и план аудита могут быть быстро скорректированы
Упрощенное планирование и результативное участие, несмотря на то, что заинтересованные стороны находятся в разных местах	Планирование аудитов, особенно для участников и наблюдателей, находящихся в разных местах, куда сложно запланировать или организовать поездку, упрощается, поскольку место проведения не является сдерживающим фактором
Легкое привлечение внешних сторон	Временное привлечение внешних сторон (например, технических экспертов) легко спланировать и осуществить, когда это необходимо только на короткий срок
Возможность аудита процессов в разных местах	Процессы в разных местах и их интерфейсы легко планируются и проходят аудит в едином ключе, их не нужно разделять
Проведение специальных оценок в короткие сроки по экстренным вопросам	В случае внезапных отклонений определенная группа участников может запланировать и провести аудит в короткие сроки, чтобы прояснить возникшие проблемы
Упрощенная документация и отчетность	Ввиду большого количества свидетельств в электронном виде деятельность по управлению документацией и отчетностью может быть сокращена
Прямой доступ к данным	Наличие свидетельств аудита в электронных приложениях не требует передачи больших файлов данных и обеспечивает надлежащее управление электронной безопасностью
Здоровье и безопасность аудиторской группы	Отсутствие воздействия потенциально опасных условий (например, конфликты, гражданские беспорядки, риски для здоровья, радиация, транспортные риски)

5.4 Разработка программы аудита

5.4.1 Общие руководящие указания приведены в ИСО 19011:2018, 5.4.

5.4.2 При подготовке программы аудита организации, проводящей аудит системы менеджмента, следует:

a) убедиться, что использование методов дистанционного аудита не противоречит принципам, изложенным в разделе 4;

b) рассмотреть, но не ограничиваться соответствующими аспектами, указанными в 5.4.3.

5.4.3 Организации, проводящей аудит системы менеджмента, следует поддерживать связь с проверяемой организацией по применению методов дистанционного аудита, подтверждать и согласовывать с проверяемой организацией следующие соответствующие аспекты:

a) компетентность и ответственность организации, проводящей аудит системы менеджмента (включая персонал), проверяемой организации и внешних поставщиков [например, поставщиков услуг по информационно-коммуникационным технологиям (ИКТ), используемых для методов дистанционного аудита, таких как сторонние программные платформы];

b) риски информационной безопасности и меры управления;

c) область и границы применения методов дистанционного аудита;

d) ресурсы (включая программную платформу для дистанционного аудита), подходы и способы использования методов дистанционного аудита;

e) действия, включая, если необходимо, альтернативную связь в отношении любых проблем, связанных с нарушением работы;

f) оценку результатов аудита и результативности методов дистанционного аудита в достижении целей аудита;

g) информационную безопасность и риски, связанные с защитой прав интеллектуальной собственности.

Примечание - Могут применяться требования законодательства.

5.5 Выполнение программы аудита

5.5.1 Общие руководящие указания приведены в ИСО 19011:2018, 5.5.

5.5.2 Организации, проводящей аудит системы менеджмента, следует назначить аудиторскую группу, способную использовать методы дистанционного аудита, и сообщить соответствующие требования программы аудита руководителю аудиторской группы.

5.5.3 Дистанционный доступ к документированной информации, относящейся к аудиту, следует сохранять по меньшей мере до момента представления аудитором отчета.

Примечание - Дистанционный доступ к документированной информации может быть предоставлен, если это необходимо для последующей деятельности по итогам аудита.

5.6 Мониторинг программы аудита

5.6.1 Общие руководящие указания приведены в ИСО 19011:2018, 5.6.

5.6.2 При мониторинге программы аудита организации, проводящей аудит системы менеджмента, следует отслеживать использование методов дистанционного аудита для обеспечения результативности программы аудита:

a) организации, проводящей аудит системы менеджмента, следует определить содержание отслеживаемой программы аудита, включая, но не ограничиваясь:

1. адекватность и пригодность ресурсов аудита, включая компетентность персонала и результаты деятельности методов дистанционного аудита;

2) соответствия действий (когда это применимо), включая альтернативную связь вследствие любых сбоев;

3. результативность мер управления конфиденциальностью и информационной безопасностью;

b) организации, проводящей аудит системы менеджмента, следует определить периодичность мониторинга на основе результатов идентификации и оценки рисков. Методы мониторинга включают, но не ограничивают, использование технологии, соответствующей методам дистанционного аудита, для наблюдения за аудиторской деятельностью аудиторской группы;

c) если результаты мониторинга показывают, что процесс аудита не осуществляется в соответствии с программой аудита или не достигает целей аудита, следует провести дополнительный аудит с альтернативными методами аудита на месте или методами дистанционного аудита или принять другие меры по исправлению ситуации. Соответствующая документированная информация должна быть сохранена в качестве свидетельства мониторинга.

5.7 Анализ и улучшение программы аудита

5.7.1 Общие руководящие указания приведены в ИСО 19011:2018, 5.7.

5.7.2 Анализируя программу аудита организации, проводящей аудит системы менеджмента, следует оценить пригодность и адекватность данной программы при использовании методов дистанционного аудита.

5.7.3 В целях улучшения программы аудита следует рассмотреть результаты аудита и отзывы об использовании методов дистанционного аудита, включая следующее:

a) были ли достигнуты цели аудита, и какие изменения необходимо внести;

b) эффективность или другие преимущества или возникшие трудности;

c) другие соответствующие отзывы (например, относительно пригодности методов дистанционного аудита для конкретных процессов, мест или функций или в отношении новых потребностей в части компетентности);

d) уроки, извлеченные из применения методов дистанционного аудита.

5.7.4 На основе аспектов, изложенных в 5.7.3, можно внести изменения и улучшения в существующую программу аудита для последующих аудитов и будущих программ аудита.

6 Проведение аудита с использованием методов дистанционного аудита

6.1 Общие положения

6.1.1 Общие руководящие указания приведены в ИСО 19011:2018, 6.1.

6.1.2 Выбор методов дистанционного аудита для проведения аудита зависит от типа аудита, цели(ей) и области проводимого аудита.

Примечание — Руководящие указания по применению методов дистанционного аудита приведены в приложении A.

6.1.3 Участникам аудита следует сотрудничать для обеспечения результативного использования методов дистанционного аудита.

6.1.4 Ответственность аудитора (см. 5.5) заключается в соблюдении применимых требований информационной безопасности при проведении аудита с использованием методов дистанционного аудита.

6.2 Инициирование аудита

6.2.1 Общие руководящие указания приведены в ИСО 19011:2018, 6.2.

6.2.2 Руководителю аудиторской группы следует установить контакт с проверяемой организацией, чтобы:

a) подтвердить полномочия на проведение аудита с использованием методов дистанционного аудита, определенных для данного аудита;

b) предоставить проверяемой организации информацию о конкретных методах дистанционного аудита, которые будут использоваться;

c) получить от проверяемой организации информацию о данных по предоставляемым методам дистанционного аудита (например, об информационной платформе);

d) запросить удаленный доступ к соответствующей информации для планирования и проведения аудита;

e) установить степень доступности электронной документированной информации и объективных свидетельств для проведения аудита с использованием методов дистанционного аудита;

f) где это применимо, получить соответствующее согласие (например, на транскрипцию, записи, изображения);

g) подтвердить требования безопасности и конфиденциальности данных для методов дистанционного аудита, определенных для данного аудита;

h) подтвердить любые другие риски, которые могут ограничить проведение мероприятий на месте или потребовать проведения мероприятий на месте (например, здоровье и безопасность, ограниченный доступ, электронная клетка Фарадея);

i) подтвердить компетентность проверяемой организации для использования запланированных методов дистанционного аудита;

j) рассмотреть любые возможности, которые могут снизить риск (например, для безопасности аудиторов) благодаря методам дистанционного аудита.

6.2.3 Риски и возможности следует рассмотреть, чтобы определить, требуется ли изменение усилий и/или ресурсов для обеспечения достижения целей аудита. В результате анализа могут быть изменены применяемые методы аудита (например, вместо полностью дистанционных методов аудита может быть использовано сочетание методов).

6.3 Подготовка к проведению аудита

6.3.1 Выполнение анализа документированной информации

Общие руководящие указания приведены в ИСО 19011:2018, 6.3.1.

6.3.2 Планирование аудита

6.3.2.1 Общие руководящие указания приведены в ИСО 19011:2018, 6.3.2.

6.3.2.2 При планировании аудита следует учитывать риски и возможности, связанные с использованием методов дистанционного аудита.

6.3.2.3 При подготовке к проведению аудита, включающему использование методов дистанционного аудита, следует рассмотреть и при необходимости согласовать с проверяемой организацией следующее:

a) при анализе плана аудита подтвердить продолжительность аудита на каждый день с учетом часовых поясов;

b) согласовать альтернативные средства связи на случай, если основной инструмент станет недоступным;

c) подтвердить протоколы по управлению использованием ИКТ, таких как аудио- и видеоплатформы;

d) где это применимо, обеспечить функциональность технологии для методов дистанционного аудита, включая:

1. доступность платформы, в частности, для удовлетворения особых потребностей (например, наличие транскрипции, если необходимо),

2. подтверждение доступности документированной информации с помощью электронных средств;

3. использование файлообменных сервисов;

4. качество аудио- и видеоплатформы;

5) каналы трансляции или дополнительные платформы;

6. организацию дистанционных секционных совещаний;

e) заключить соглашения о конфиденциальности, неприкосновенности частной жизни, безопасности данных и требованиях к доступу;

f) подтвердить любую информацию, которую проверяемой организации необходимо предоставить заранее (например, перечень типовой документированной информации, объективные свидетельства, а также роли и обязанности);

g) согласовать инструменты и методы перевода (включая технологии перевода и транскрипции), которые будут использоваться до и во время аудита;

h) рассмотреть необходимость обеспечения технической поддержки любой технологии, которая будет использоваться для метода дистанционного аудита, выбранного для данного аудита, включая распределение ролей по поддержке платформы (камера, аудио), безопасности и доступу (см. 6.4.2);

i) рассмотреть вопросы защиты данных, хранения записей, интеллектуальной собственности, допуска к засекреченной информации и другие элементы управления использованием данных и доступа.

Примечание 1 — Могут применяться требования законодательства к защите данных;

j) рассмотреть возможность использования таких средств, как записи, транскрипции, фотографии и дроны.

Примечание 2 — Могут применяться требования законодательства;

k) подтвердить обязанности по предоставлению доступа к платформе участникам аудита, включая членов аудиторской группы, представителей проверяемой организации, переводчиков, наблюдателей и вспомогательный персонал;

l) при использовании сочетания методов дистанционного аудита и аудита на месте необходимо обеспечить, чтобы в плане четко определялось, какая часть аудита будет дистанционной, какой(ие) аудитор(ы) будет(ут) работать дистанционно, какой(ие) аудитор(ы) будет(ут) работать на месте и какие методы будут использоваться тем(и) или иным(и) аудитором(ами).

6.4 Проведение аудита

6.4.1 Общие положения

6.4.1.1 Общие руководящие указания приведены в ИСО 19011:2018, 6.4.1.

6.4.1.2 При использовании методов дистанционного аудита особое внимание следует уделять рискам и возможностям, которые могут возникнуть при проведении аудита, включая техники, которые не используются при очном проведении аудита. В приложении A приведены некоторые примеры.

6.4.2 Распределение ролей и обязанностей вспомогательного персонала и наблюдателей

6.4.2.1 Общие руководящие указания приведены в ИСО 19011:2018, 6.4.2.

6.4.2.2 При использовании методов дистанционного аудита вспомогательный персонал, наблюдателей и замещающих аудиторов (см. A.3.3) следует включить в процессы обмена информацией и планирования, при необходимости.

6.4.2.3 Вспомогательный персонал

Для методов дистанционного аудита роли и обязанности вспомогательного персонала аналогичны их ролям и обязанностям при проведении аудита на месте, и они могут выполняться проверяемой организацией или организацией, проводящей аудит. К вспомогательному персоналу может относиться целый ряд различных сотрудников, включая (не ограничиваясь) переводчиков, технический персонал в области информационных технологий (IT) и сопровождающих.

Вспомогательный персонал может помочь:

a) содействием в установке (например, камеры, аудио- и визуальное оборудование), обмене информацией и работой с методами дистанционного аудита [например, вступительное/заключительное заседание (совещание), интервью, наблюдение за процессами];

b) организовать доступ аудиторской группы и при необходимости вспомогательному персоналу к документированной информации проверяемой организации с помощью методов дистанционного аудита;

c) обеспечить, чтобы аудиторская группа и вспомогательный персонал использовали согласованные протоколы удаленного доступа, включая запрашиваемые устройства и программное обеспечение;

d) провести техническую проверку инструментов дистанционного аудита до начала аудита для решения технических проблем, таких как фоновый шум и прерывания;

e) обеспечить наличие и доведение до сведения всех участников аудита планов действий в чрезвычайных ситуациях (например, прерывание доступа, использование альтернативных технологий);

f) обеспечить конфиденциальность и неприкосновенность частной жизни во время использования методов дистанционного аудита (например, отключив микрофоны и приостановив работу камеры).

6.4.2.4 Наблюдатели

Дистанционным наблюдателям следует придерживаться тех же указаний, что и наблюдателям на месте. Наблюдателям следует иметь доступ к тем же используемым методам дистанционного аудита.

Если аудиторам передается какая-либо документированная информация (например, по электронной почте или с помощью других методов обмена данными), следует предусмотреть возможность доступа наблюдателя(ей) к документам по мере необходимости.

6.4.3 Проведение вступительного заседания

6.4.3.1 Общие руководящие указания приведены в ИСО 19011:2018, 6.4.3.

6.4.3.2 Содержание вступительного заседания не меняется при использовании методов дистанционного аудита. Следующие дополнительные аспекты могут повысить результативность аудита при использовании методов дистанционного аудита:

a) руководителю аудиторской группы следует подтвердить и зарегистрировать присутствующих на вступительном заседании, обеспечив идентификацию дистанционных участников совместно с другой соответствующей информацией. Соответствующая информация может включать роли участников в организации, роли участников в аудите, используемую платформу или технологию и часовые пояса;

b) дистанционное присутствие может быть использовано для привлечения дополнительных участников, чтобы обеспечить представительство организации и/или образовательные возможности, при условии, что размер заседания будет управляемым;

c) участникам следует иметь возможность внести свой вклад в заседание (например, задать вопросы или получить разъяснения);

d) руководитель аудиторской группы определяет ожидания по проведению и вкладу в аудит и подтверждает функциональность и информацию, которая будет предоставлена и/или использована, а также одобряет включение участников в аудиторскую деятельность. Руководитель аудиторской группы/вспомогательного персонала обеспечивает, чтобы информация, представленная на вступительном заседании, была доступна дистанционным участникам и наблюдателям (например, план аудита следует показать всем участникам);

e) подтверждаются любые изменения в графике аудита, методах дистанционного аудита или доступе;

f) следует обеспечить аудиозапись, чтобы участники могли слышать заседание, а также чтобы участники могли использовать технологическую платформу и связь;

g) руководителю аудиторской группы следует объяснить любую необходимость внесения изменений в проведение аудита, чтобы учесть использование методов дистанционного аудита (например, для записи результатов аудита, что может привести к коротким перерывам).

6.4.4 Обмен информацией в ходе аудита

6.4.4.1 Общие руководящие указания приведены в ИСО 19011:2018, 6.4.4.

6.4.4.2 При проведении аудитов с использованием методов дистанционного аудита следует рассмотреть дополнительные потребности в обмене информацией, включая (не ограничиваясь):

a) дополнительные частные каналы связи (например, отдельная комната для аудиторской группы, приложения для осуществления связи);

b) резервный метод или метод поддержки для обеспечения продолжения связи, если основная платформа нестабильна или потеряна во время аудита;

c) возможность обмена информацией со вспомогательным персоналом/сопровождающим во время аудита;

d) техническую поддержку при использовании нескольких методов дистанционного аудита;

e) определение правил асинхронной связи (передача данных, не зависящих от времени, когда время создания и потребления данных может отличаться, например электронная почта, чат, записанные видео, модули самообучения/асинхронные модули).

6.4.5 Наличие и доступ к информации об аудите

Общие руководящие указания приведены в ИСО 19011:2018, 6.4.5.

6.4.6 Анализ документированной информации в ходе проведения аудита

6.4.6.1 Общие руководящие указания приведены в ИСО 19011:2018, 6.4.6.

6.4.6.2 Использование методов дистанционного аудита может привнести дополнительные риски и возможности, связанные с анализом документированной информации. Аудиторам следует помнить о рисках целостности и достоверности информации, а также о возможностях увеличения объема выборки и доступа к данным при проведении аудита.

6.4.7 Сбор и проверка информации

6.4.7.1 Общие руководящие указания приведены в ИСО 19011:2018, 6.4.7.

6.4.7.2 При использовании методов дистанционного аудита может потребоваться дополнительное рассмотрение при верификации информации. Например, искусственный интеллект (ИИ) или моделирование могут потребовать дополнительного анализа входных данных до их использования аудиторской группой.

6.4.7.3 При использовании методов дистанционного аудита для сбора информации следует рассмотреть следующее:

a) ограничения в применении методов дистанционного аудита для получения объективных свидетельств по таким аспектам, как области, места, процессы и оборудование;

b) при использовании асинхронных инструментов (например, приложений для обмена сообщениями, соединений с удаленными серверами или системами внешних поставщиков) необходимы дополнительные шаги для проверки информации (например, согласование времени отклика, осведомленность о техническом обслуживании системы);

c) риск, при котором объективность свидетельств аудита ставится под угрозу (например, целостность программного обеспечения и данных, целостность представленной информации);

d) риск, связанный с ограничением доступа к свидетельствам аудита;

e) признание возможностей повышения результативности аудита (например, за счет увеличения выборки, доступа к различным видам свидетельств аудита, охвата большего количества мест, ускорения процесса сбора);

f) выборка информации может быть более результативной для данных и записей, но может создавать дополнительные риски в таких областях, как интервью и наблюдения;

g) обеспечение гибкости в отношении времени и места проведения интервью;

h) отсутствие сенсорной информации, такой как запах;

i) риск злоупотребления/обмана.

Примечание — В приложении B приведены дополнительные рекомендации по полезной практике.

6.4.8 Формирование обнаружений аудита

Общие руководящие указания приведены в ИСО 19011:2018, 6.4.8.

6.4.9 Подготовка заключений по аудиту

Общие руководящие указания приведены в ИСО 19011:2018, 6.4.9.

6.4.10 Проведение заключительного заседания

6.4.10.1 Общие руководящие указания приведены в ИСО 19011:2018, 6.4.10.

6.4.10.2 Содержание заключительного заседания не меняется при использовании методов дистанционного аудита. Дополнительные аспекты по повышению результативности аудита см. в 6.4.3.

6.5 Подготовка и рассылка отчета по аудиту

6.5.1 Общие руководящие указания приведены в ИСО 19011:2018, 6.5.

6.5.2 В отчете об аудите следует регистрировать использованные методы дистанционного аудита, их объем и результативность, включая любые преимущества или ограничения. В заявлении и заверениях, связанных с отчетом об аудите, следует продемонстрировать принципы конфиденциальности и должной профессиональной осторожности (например, степень использования ИИ при создании отчета). В отчетах об аудитах и соответствующих записях следует указывать степень использования ИКТ при проведении аудита.

6.6 Завершение аудита

Общие руководящие указания приведены в ИСО 19011:2018, 6.6.

6.7 Выполнение последующих действий по результатам аудита

6.7.1 Общие руководящие указания приведены в ИСО 19011:2018, 6.7.

6.7.2 Следует рассмотреть пригодность, результативность, риски и возможности методов дистанционного аудита для проведения последующей деятельности.

7 Компетентность и оценка аудиторов

7.1 Общие положения

Общие руководящие указания приведены в ИСО 19011:2018, 7.1.

7.2 Определение компетентности аудиторов

Общие руководящие указания приведены в ИСО 19011:2018, 7.2.

7.2.1 Общие положения

При определении необходимой компетентности для проведения аудита следует рассмотреть знания и навыки аудитора, связанные со следующим:

a) методами проведения аудита, включая аудит на месте, дистанционный аудит или сочетание обоих методов.

Примечание - В ИСО 19011:2018, таблица A.1, приведены примеры методов аудита, которые могут быть использованы по отдельности или в сочетании для достижения целей аудита;

b) неопределенностью в достижении целей аудита, отмечая, что для методов дистанционного аудита неопределенность в достижении целей аудита может быть обусловлена следующим:

• подключением к Интернету;
• совместимостью программного обеспечения;
• доступностью оборудования;
• целостностью данных;
• информационной безопасностью и конфиденциальностью;
• надежностью объективных свидетельств, предоставленных проверяемой организацией в ходе дистанционного аудита;

c) другими требованиями, влияющими на методы и способы проведения дистанционного аудита.

7.2.2 Личные качества

Общие руководящие указания приведены в ИСО 19011:2018, 7.2.2. Однако при использовании методов дистанционного аудита желаемые личные качества могут проявляться по-разному. Следование дополнительным указаниям по личным качествам также может быть полезным.

Примеры личных качеств, относящихся к методам дистанционного аудита, могут включать:

a) готовность работать удаленно;

b) наблюдательность, т.е. активное наблюдение за тем, как и где происходит деятельность, и удобство работы с технологиями, позволяющими вести результативное наблюдение;

c) открытость к совершенствованию, т.е. освоение новых технологий;

d) терпение, например в отношении участников аудита, поиска записей и вопросов, а также в отношении таких технологических проблем, как подключение к Интернету;

e) уверенность в использовании технологии дистанционного аудита;

f) стрессоустойчивость;

g) чувствительность к конфиденциальности цифровых данных;

h) адаптивность, т.е. умение действовать в чрезвычайных ситуациях.

7.2.3 Знания и навыки

7.2.3.1 Общие положения

Аудиторам следует обладать знаниями и навыками, необходимыми для достижения запланированных результатов дистанционных аудитов, которые им предстоит проводить (например, компьютерные навыки, знания в области информационной безопасности и управления конфиденциальностью, работа с платформами для проведения онлайн-совещаний и использование информационно-коммуникационных технологий, необходимых для результативного проведения аудита).

Примечание - Могут применяться требования законодательства.

7.2.3.2 Общие знания и навыки аудиторов по системам менеджмента

Аудиторам следует понимать риски и возможности методов дистанционного аудита и обладать соответствующими знаниями и навыками:

a) понимать повышенные риски, неотъемлемо связанные с такими аудитами, включая потенциальные риски для конфиденциальности и информационной безопасности при использовании методов дистанционного аудита;

b) понимать необходимость более тщательных планирования и организации, необходимых для применения метода дистанционного аудита, включая обмен информацией с проверяемой организацией;

c) понимать влияние использования методов дистанционного аудита на продолжительность аудита, программу аудита и соответствующий план аудита;

d) обеспечивать, чтобы записи, изучаемые дистанционно, были теми, которые запросили аудиторы, а не теми, которые проверяемая организация предоставляет или хочет, чтобы аудиторы увидели;

e) при использовании методов дистанционного аудита прикладывать дополнительные необходимые усилия для установления обнаружений и заключений по результатам аудита (например, необходимо проанализировать несколько электронных источников или встроенных электронных файлов);

f) устанавливать целостность данных, анализируемых удаленно;

g) использовать различные технологии для проведения аудита и результативно взаимодействовать с другими членами группы и проверяемой организацией, в том числе при возникновении непредвиденных проблем с инфраструктурой и операционной средой (например, плохое сетевое соединение);

h) обладать способностью смягчать деструктивное поведение в удаленном месте (например, опоздания, невнимательность и спорное поведение);

i) иметь базовое представление о базах данных и ИИ, если они используются как часть методов дистанционного аудита.

7.2.3.3 Компетентность аудиторов в конкретном секторе или по конкретным дисциплинам

Аудиторам следует продемонстрировать следующую компетентность:

a) способность оценивать пригодность и риски методов дистанционного аудита для проверяемой отрасли промышленности и типа системы менеджмента;

b) понимание стандартов на системы менеджмента и других соответствующих требований, включая требования владельца схемы, относящиеся к методам дистанционного аудита (например, ограничения, влияющие на использование дистанционных аудитов).

7.2.3.4 Общая компетентность руководителя аудиторской группы

Руководителю аудиторской группы следует продемонстрировать следующую компетентность:

a) оказывать поддержку и реагировать на проблемы, возникающие у аудиторской группы при использовании методов дистанционного аудита;

b) обеспечивать согласованность между членами группы при использовании методов дистанционного аудита, включая сочетание методов взаимодействия на месте и дистанционно.

7.2.3.5 Знания и навыки для проведения аудита нескольких разных систем менеджмента

При проведении аудитов систем менеджмента нескольких дисциплин, аудиторской группе следует обладать пониманием о любых рисках и возможностях, связанных с методами дистанционного аудита при аудите различных систем менеджмента.

7.2.4 Достижение компетентности аудитора

Компетентность аудитора может быть достигнута путем обучения, наставничества и приобретения опыта в использовании методов и техники дистанционного аудита.

7.2.5 Компетентность руководителя аудиторских групп

Общие руководящие указания приведены в ИСО 19011:2018, 7.2.5.

7.3 Разработка критериев оценивания аудитора

Общие руководящие указания приведены в ИСО 19011:2018, 7.3.

7.4 Выбор метода оценивания аудитора

7.4.1 Общие руководящие указания приведены в ИСО 19011:2018, 7.4.

7.4.2 При выборе методов оценивания аудитора следует рассмотреть доступность и результативность технологии наблюдения, собеседования и тестирования аудитора при использовании методов дистанционного аудита.

7.4.3 Общие руководящие указания приведены в ИСО 19011:2018, таблица 2.

Дополнительные примеры, связанные с оцениванием аудитора с использованием методов дистанционного аудита, могут включать:

a) просмотр видеозаписей результатов деятельности аудитора;

b) проверку компетентности аудитора в применении методов дистанционного аудита;

c) использование транскрипции/прямой трансляции.

7.5 Проведение оценивания аудиторов

7.5.1 Общие руководящие указания приведены в ИСО 19011:2018, 7.5.

7.5.2 При проведении оценивания аудитора следует рассмотреть:

a) осуществимость и результативность технологии наблюдения, собеседования и тестирования аудитора при применении методов дистанционного аудита;

b) компетентность оценщика в выбранных методах оценки, технологиях, используемых для оценки, и в применении методов дистанционного аудита.

При наблюдении, требующем применения методов, отличных от тех, которые используются при проведении аудита, следует позаботиться о том, чтобы они не повлияли на ход аудита и аудит не был прерван.

7.6 Поддержание и повышение компетентности аудитора

7.6.1 Общие руководящие указания приведены в ИСО 19011:2018, 7.6.

7.6.2 Следует учитывать конкретные знания и навыки, такие как способность использовать новые или измененные методы дистанционного аудита, программное обеспечение и электронное оборудование, с учетом темпов изменения технологий.

Приложение A (справочное)

МЕТОДЫ ДИСТАНЦИОННОГО АУДИТА

A.1 Типы аудитов с использованием методов дистанционного аудита

A.1.1 Аудиты с использованием исключительно дистанционных методов аудита

При проведении аудита с использованием исключительно дистанционных методов аудита действия любого аудитора на месте не планируются. Осуществимость использования методов дистанционного аудита может быть определена путем оценки рисков, связанных с характером продукции и/или услуг организации, удаленным доступом к соответствующим процессам, местам и документации системы менеджмента организации, часовыми поясами аудитора и проверяемой организации и т.д.

A.1.2 Аудиты с использованием сочетания методов

Аудит, в котором используется сочетание методов и где хотя бы одна часть проводится на месте, может называться «гибридным» или «смешанным» аудитом. Например, один аудитор проводит определенные части аудита на месте, такие как производство и услуги, а другой аудитор проводит анализ документов удаленно с использованием ИКТ (в некоторых случаях это может быть полностью дистанционно, когда анализ документа проводится без взаимодействия с организацией до окончания анализа документа). Варианты применения могут включать использование на месте аудиторов с частичной квалификацией или проведение аудитов в течение длительного периода времени.

Примечание - Для определения оптимального подхода важно рассмотреть оценку риска, связанного с используемыми инструментами. Например, размещение серверов для хранения и передачи документов может стать проблемой, если используются многонациональные аудиторы или аудиторские группы.

A.2 Технологические аспекты

A.2.1 При реализации методов дистанционного аудита следует рассмотреть следующие технологические аспекты.

a) использование общих папок, ящиков обмена, серверов протокола передачи файлов (FTP), электронной почты, технологий шифрования [«сквозное (end-to-end)» (e2e)] и программного обеспечения для видеоконференций следует проверить на доступность/видимость и наличие аудио/видео, которые могут быть услышаны/просмотрены всеми участниками без помех;

b) протоколы связи следует довести до сведения участников до начала аудита (например, соглашение о том, когда участник может прервать говорящего, или использование поднятой руки или другого сигнала для вмешательства или ввода данных);

c) целостность и прослеживаемость данных следует обеспечить с помощью таких технологий, как цифровая подпись;

d) следует избегать соединений с частыми сбоями;

e) при использовании мобильных телефонов следует обеспечить резервное копирование. В начале аудита следует уточнить, как связаться с проверяемой организацией в случае возникновения технических трудностей;

f) следует обеспечить доступ к IT-поддержке в месте нахождения проверяемой организации, если проверяемая организация размещает/предоставляет платформу.

A.2.2 Следующие примеры могут быть предоставлены проверяемой организацией или организацией, проводящей аудит системы менеджмента:

a) использование функции стабилизации видеоизображения в мобильных телефонах, устойчивых держателей телефона (например, прикрепленных к шее, груди или столбу) и функций шумоподавления;

b) использование дронов в труднодоступных местах (разрешение на использование; оператор должен иметь квалификацию для полетов на дроне; всю информацию следует предоставить до начала аудита);

c) различные каналы связи для использования аудиторами, включая переговорные комнаты и каналы связи для разных членов группы;

d) метод, позволяющий аудиторской группе конфиденциально общаться друг с другом.

A.3 Примеры применения методов

A.3.1 Аудит документированной информации

Работа с документированной информацией при использовании методов дистанционного аудита может быть реализована с помощью следующих методов:

a) использование скриншотов и демонстрацию экрана следует разъяснить и согласовать: скриншоты могут быть методом получения конкретной информации, которая должна быть перенесена в записи аудита. Используя программное обеспечение для демонстрации экрана, аудиторы могут просматривать рабочий стол сотрудника или заинтересованной стороны, чтобы наблюдать за конкретными процессами или системами;

b) безопасные платформы обмена файлами: до начала аудита следует достичь соглашения о предоставляемой информации, о продолжительности доступа к ней (имеющееся у каждой стороны или платформы обмена), о том, когда предоставленные документы будут удалены, и о том, как будет происходить обмен конфиденциальной информацией (например, чтобы она предоставлялась только во время аудита, а не в платформе обмена);

c) удаленный доступ к данным: при соблюдении соответствующих мер безопасности аудиторы могут получить удаленный доступ к системам и базам данных организации для анализа данных и проведения тестов;

d) инструменты удаленной инвентаризации: физическая инвентаризация может проводиться удаленно с использованием устройств Интернета вещей (IoT), технологии радиочастотной идентификации (RFID) или видеозаписей для подтверждения результатов инвентаризации;

e) аналитика данных: аудиторы могут использовать инструменты анализа данных для удаленного анализа больших массивов данных и выявления тенденций, аномалий или потенциальных рисков;

f) удаленное картирование процессов: аудиторы могут использовать методы виртуального картирования процессов для понимания и оценки рабочих процессов и процедур организации.

Допускается использовать контрольный список для включения соответствующих пунктов, которые должны быть согласованы в рамках планирования аудита. Этот документ может быть сохранен в качестве вспомогательного документа, который может стать частью отчета об аудите.

При использовании этого подхода может быть полезным включить в отчет об аудите заявление о том, что методы и ИКТ были согласованы до начала аудита.

A.3.2 Аудит цифрового двойника организации

Цифровой двойник организации — это виртуальное представление или цифровая копия ее физических активов, процессов, систем и операций. Он может интегрировать данные в реальном времени от датчиков, устройств и других источников для создания динамичной и интерактивной симуляции. Цифровые двойники могут использоваться при аудите системы менеджмента, когда точность цифрового двойника может быть проверена. Аудит цифрового двойника может создать дополнительные риски и возможности.

A.3.3 Использование замещающих аудиторов

Замещающий аудитор — это человек, который лично присутствует на аудите и действует как «глаза и уши» аудиторской группы. Использование замещающих аудиторов следует согласовать при планировании программы аудита. Руководителю аудиторской группы следует запланировать, какие функции будет выполнять замещающий аудитор во время аудита. Замещающим аудиторам следует обладать компетентностью в процессе замещающего аудита. Замещающие аудиторы не обязаны задавать вопросы, за исключением поручения ответственного аудитора сделать это. Ответственность за документацию об аудите лежит на руководителе аудиторской группы.

Замещающим аудиторам следует отвечать тем же требованиям беспристрастности, что и аудиторам, и обладать достаточными навыками, включая владение языками как проверяемой организации, так и аудитора, если это необходимо.

Примечание - От замещающих аудиторов не ожидается, что они будут обладать той же технической компетентностью, что и сами аудиторы.

Для проведения аудита с использованием замещающего аудитора может потребоваться множество инструментов ИКТ. Аудитору, работающему удаленно, следует иметь средства руководства замещающим аудитором и непосредственного общения с замещающим аудитором и проверяемой организацией, которые могут быть отделены друг от друга.

Использование таких интерактивных средств связи позволяет:

a) проводить интервью;

b) наблюдать работой, проводимой с помощью дистанционного руководства;

c) заполнять контрольные списки и анкеты;

d) проводить анализ документов с участием проверяемой организации.

A.3.4 Анализ документов

При проведении анализа документов с участием проверяемой организации аудиторы могут запросить электронные копии соответствующих документов для изучения, таких как финансовые отчеты, политики, процедуры и документация по соблюдению требований. При этом могут использоваться следующие методы:

a) чтение документов (записей, ведомостей) в режиме реального времени с помощью ИКТ;

b) электронные документы [стандартные операционные процедуры (SOP), руководства по качеству, отчеты о внутреннем аудите и об анализе со стороны руководства];

c) удаленный доступ к компьютерам и данным;

d) программное обеспечение для анализа, перевода, поиска и категоризации документов, полученных удаленно во время аудита;

e) заранее записанные ответы на вопросы интервью.

A.3.5 Интервью с персоналом

Дистанционное интервьюирование персонала может быть проведено с использованием следующих методов:

a) очного интервью с использованием веб-платформы визуальной связи, которая соответствует указаниям, приведенным в настоящем стандарте;

b) чат-комнаты (или обмена сообщениями по электронной почте);

c) автоматического перевода или перевода с поддержкой ИИ;

d) веб-опросники: аудиторы могут направлять онлайн-опросники персоналу и руководству проверяемой организации для сбора информации.

A.3.6 Наблюдение за деятельностью

В случаях, когда необходимо провести аудит физических процессов, можно установить удаленные камеры или организовать прямые трансляции, чтобы аудиторы могли наблюдать за операциями. Дистанционное наблюдение может осуществляться с помощью следующих методов:

a) наблюдения в реальном времени с использованием ИКТ;

b) компиляции записанных последовательных действий (действие, которое происходит с течением времени путем последовательных шагов);

c) внутри объекта — осмотра с помощью видеокамеры;

d) снаружи объекта — наблюдения с помощью дронов;

e) записи результатов деятельности, подлежащих дистанционному аудиту.

(справочное)

B.1 Общая полезная практика

Организации следует рассмотреть возможность добавления цели аудита, касающейся пригодности и результативности методов дистанционного аудита, используемых в аудиторской деятельности.

Использование методов дистанционного аудита создает риски, которые не встречаются при проведении аудита на месте, поэтому должна быть рассмотрена возможность:

a) внезапного отключения электроэнергии;

b) перебоев в работе сети;

c) отказа инструментов ИКТ, включая оборудование и платформы;

d) несанкционированного доступа к защищенной платформе, используемой для проведения аудита.

B.2 Управление программой аудита

B.2.1 Процесс исследования

Когда это применимо, организации, проводящей аудит системы менеджмента, следует идентифицировать:

a) риски и возможности, которые могут повлиять на аудит для каждого из методов дистанционного аудита, используемых в аудите;

b) любые методы, используемые для управления выявленными рисками (а также подготовить и внедрить анкету/матрицу);

c) используемую систему проведения онлайн-совещаний;

d) доступную пропускную способность (например, в офисах и на заводах);

e) оборудование, подключенное к Интернету и необходимое для дистанционного аудита, включая компьютеры, микрофоны, динамики, камеры, телефоны, гарнитуры;

f) способы передачи больших файлов;

g) инструменты для дистанционной связи;

h) руководящие указания по проведению дистанционного аудита;

i) переводчика, если это необходимо;

j) любое рабочее место, где не разрешается использовать электронное оборудование для проведения дистанционного аудита;

k) конфиденциальные документы или информацию, передача или представление которых с помощью электронного оборудования для проведения дистанционного аудита не допускается (в противном случае имеется специальное оборудование);

l) технологии, обеспечивающие безопасность и целостность обмениваемой информации (например, антивирусы, шифрование, программное обеспечение для передачи данных).

B.2.2 Отбор аудиторской группы и ИКТ

Организации, проводящей аудит системы менеджмента, следует рассмотреть возможность привлечения к аудиту хотя бы одного аудитора, который участвовал в предыдущем аудите на месте и знаком с системой менеджмента проверяемой организации.

При выборе и определении необходимых ИКТ организации, проводящей аудит системы менеджмента с использованием методов дистанционного аудита, следует рассмотреть:

a) какие технологии были согласованы (например, камеры системы безопасности, платформа, платформа обмена файлами и доступ к ним, доступ к базам данных, системы управления, дроны, ИИ, виртуальная реальность);

b) ответственность за соблюдение любых нормативных требований, таких как разрешение на использование дронов;

c) определение компетентности или методов рассмотрения вопросов, связанных с обеспечением компетентности, необходимой для реализации согласованных технологий (например, навыков управления дроном);

d) уточнение для аудита параметров конфиденциальности и безопасности данных, включая соглашения о скриншотах, записях, транскрипциях и лицензиях на используемые технологии;

e) уточнение плана обмена информацией с учетом таких аспектов, как возможная потеря связи, доступ к микрофонам, доступ к камерам и их использование, а также соображения безопасности для сопровождающих.

B.2.3 Примеры методов

Примерами методов анализа информации во время дистанционного аудита являются:

• системы ИИ;
• аудио;
• камера (при необходимости используют несколько камер);
• платформы связи;
• компьютерные симуляции;
• программное обеспечение для контроля доступа;
• доступ к базе данных;
• прямой удаленный доступ;
• дрон;
• электронная почта;
• обмен файлами;
• телефон;
• бумага/печатная копия;
• фотография;
• доступ к системе безопасности и/или камерам;
• приложение для демонстрации экрана;
• демонстрация экрана проверяемой организации;
• осмотр/видео осмотр;
• видео — асинхронное;
• видео в прямом эфире;
• видео — записанное.

B.3 Проведение аудита

B.3.1 Анализ информации

В процессе планирования аудита важно подтвердить выбор методов, используемых для анализа информации. Это поможет обеспечить надлежащий анализ компетентности аудиторов в отношении методов, совместимости платформ, любых лицензионных или нормативных вопросов, а также в определении успехов и неудач, связанных с использованием методов дистанционного аудита.

Во время вступительного и заключительного заседаний следует подтвердить меры по управлению вопросами безопасности, доступности и целостности в следующих ситуациях:

• когда данные передаются или совместно используются между аудиторской группой и проверяемой организацией;
• когда данные поддерживаются и хранятся или записываются и хранятся в облачной среде или на других носителях используемой платформы.

Следует рассмотреть возможность тестирования любой платформы или технологии до начала аудита, чтобы дать время на решение любых необходимых вопросов или ситуаций, связанных с техническим подключением.

Следует рассмотреть необходимость резервного копирования различных технологий, используемых для обмена информацией.

B.3.2 Сбор и проверка информации

При необходимости следует рассмотреть любые внешние ресурсы, относящиеся к результатам деятельности проверяемой организации по соблюдению нормативных требований.

Следует убедиться, что выборка включает в себя разнообразие уровней, функций, видов деятельности и задач, представленных в рамках области аудита.

В тех случаях, когда важно наблюдать за невербальными сигналами, следует включать видеоинтервью с персоналом проверяемой организации.

Следует рассмотреть возможность проведения аудита, в ходе которого будут задействованы другие органы чувств в дополнение к зрению и слуху (например, осязание, чтобы можно было определить температуру, наличие сквозняка, выхлопных газов, шероховатости поверхности) или в ходе которого может возникать искажение информации при ее передаче (например, оценка освещения, цвета, чистоты и безопасности).

B.3.3 Вступительное заседание

Для ведущего аудитора и ключевых представителей организации следует использовать камеры. Необходимо договориться о том, когда должна быть обеспечена визуальную связь. Визуальные индикаторы языка тела могут помочь в процессе аудита. Визуальное взаимодействие помогает установить позитивную связь между аудиторской группой и организацией. Кроме того, камера может обеспечить контекст для аудиторской группы, показывая различных членов организации, участвующих в процессе аудита.

Аудиторская группа и проверяемая организация могут использовать программное обеспечение для проведения онлайн-совещаний, чтобы провести вступительное заседание удаленно и фиксировать его участников в виде скриншотов или видео.

Необходимо установить и довести до сведения участников правила проведения заседания. В начале следует уточнить, можно ли задавать вопросы и делиться информацией через чат во время онлайн-совещаний.

Следует рассмотреть возможность краткого представления каждого участника, чтобы понять, кто участвует в заседании.

Следует рассмотреть возможность использования наушников или динамиков/микрофонов с функцией эхоподавления для уменьшения фоновых шумов и эха.

В приглашении на заседание следует попросить всех участников присоединиться к заседанию на несколько минут раньше, поскольку это дает возможность устранить любые технические неполадки и правильно настроить аудио- и видеосигнал (включая громкость и положение камеры).

По возможности следует обеспечить визуальную связь, чтобы присутствующие могли видеть участников.

Таблица ДА.1

Обозначение ссылочного международного стандарта	Степень соответствия	Обозначение и наименование соответствующего национального стандарта
ISO/IEC 17000	-	<*>
ISO 19011:2018	IDT	ГОСТ Р ИСО 19011-2021 «Оценка соответствия. Руководящие указания по проведению аудита систем менеджмента»
<*> Соответствующий национальный стандарт отсутствует. До его утверждения рекомендуется использовать перевод на русский язык данного международного стандарта. Примечание — В настоящей таблице использовано следующее условное обозначение степени соответствия стандарта: - IDT — идентичный стандарт.

БИБЛИОГРАФИЯ

[1]	ISO/IEC 17021-1	Conformity assessment — Requirements for bodies providing audit and certification of management systems — Part 1: Requirements (Оценка соответствия. Требования к органам, проводящим аудит и сертификацию систем менеджмента. Часть 1. Требования)

УДК 658.562:006.354	ОКС 03.120.20
Ключевые слова: оценка соответствия, методы дистанционного аудита, аудит систем менеджмента, внутренние и внешние аудиты

---