يظهر اسم الآيزو في مواصفات المنتجات ووثائق الشركات ومتطلبات بعض العملاء. فما المقصود به؟ الآيزو منظمة دولية تُطوّر المعايير وتنشرها، وليست اسمًا لشهادة واحدة. لفهم دورها، نبدأ بوظيفتها، ثم نوضح ما تقدمه معاييرها وكيف تستفيد منها المؤسسات، وصولًا إلى التحقق من التطبيق والفرق بين التدقيق الداخلي والحصول على شهادة.
1. ما هي منظمة الآيزو؟
المنظمة الدولية للتوحيد القياسي (International Organization for Standardization)، المعروفة باسم ISO، منظمة دولية مستقلة وغير حكومية. تتكون عضويتها من هيئات المواصفات الوطنية، وتتيح تعاون خبراء من دول مختلفة لتطوير معايير مشتركة.
أما اسم ISO فهو اسم مختصر موحّد للمنظمة، وليس اختصارًا مأخوذًا من الحروف الأولى لاسمها الإنجليزي. اختير بالاستناد إلى الكلمة اليونانية «isos»، بمعنى «متساوٍ»، ليظل اسمها واحدًا بين اللغات.
لكن معرفة اسم المنظمة وطبيعتها لا تفسّر وحدها سبب الحاجة إليها. لفهم ذلك، نحتاج إلى النظر في المشكلة التي تساعد على معالجتها.
2. ما وظيفة الآيزو، ولماذا نحتاج إليها؟
تخيّل أن مصنعين يختبران الخاصية نفسها في منتج، لكن كلًا منهما يستخدم طريقة مختلفة. قد تبدو النتائج متشابهة، مع أنها لا تقيس الشيء نفسه بالطريقة نفسها. عندها يصعب على المشتري إجراء مقارنة واضحة.
هذا مثال افتراضي للتوضيح يبيّن الحاجة إلى مرجع مشترك. فالاتفاق على المصطلحات وطرق الاختبار والمتطلبات يساعد الأطراف على فهم المقصود وتقييمه على أساس معلوم.
تتمثل وظيفة الآيزو في تنظيم التعاون الذي ينتج هذه المراجع الدولية. يجمع هذا العمل خبرات الجهات المعنية بالموضوع، مثل المنتجين والمستخدمين والباحثين والجهات الحكومية. يناقش الخبراء الاحتياجات والحلول للوصول إلى توافق، بدل أن تضع جهة واحدة قواعدها ثم تتوقع من الجميع اتباعها.
وتظهر نتيجة هذا التعاون في وثائق منشورة، أهمها المعايير الدولية. فما الذي تحتويه هذه الوثائق؟
3. ماذا تصدر الآيزو؟ وما معنى المعيار؟
المعيار (Standard) وثيقة تحدد قواعد أو إرشادات أو خصائص تتعلق بنشاط أو بنتائجه. وبعبارة أبسط، هو مرجع يوضح ما ينبغي تحقيقه أو كيفية التعامل مع موضوع محدد، بحسب غرضه.
تختلف المعايير في محتواها. فقد يحدد معيار خصائص منتج، ويشرح آخر طريقة اختبار، بينما يقدّم ثالث إرشادات أو متطلبات لنظام إدارة. ونظام الإدارة هو طريقة ربط السياسات والمسؤوليات والعمليات لتحقيق أهداف المؤسسة.
وتنشر الآيزو أيضًا وثائق أخرى. منها المواصفات الفنية التي قد تعالج موضوعات ما زالت قيد التطوير، والتقارير الفنية التي تعرض معلومات أو نتائج معرفية. لذلك ينبغي قراءة عنوان الوثيقة ونطاقها وطبيعتها؛ فليس كل منشور صادر عنها يؤدي الوظيفة نفسها.
- ISO 9001: يحدد متطلبات نظام إدارة الجودة. يتعلق بطريقة إدارة العمل، وليس بمواصفات منتج واحد.
- ISO/IEC 27001: يحدد متطلبات نظام إدارة أمن المعلومات، ويتناول إدارة المخاطر المرتبطة بالمعلومات.
- ISO 26000: يقدم إرشادات للمسؤولية المجتمعية، ولا يحدد متطلبات لمنح شهادة مطابقة له.
كيف تدعم معايير نظم الإدارة التحسين المستمر؟
معايير نظم الإدارة لا تتوقف عند تنظيم العمل ووضع الإجراءات؛ فهي تربط التنفيذ بمراجعة النتائج والتحسين. ومن المنهجيات المستخدمة لتحقيق ذلك دورة خطّط، نفّذ، تحقّق، اتخذ إجراءً (Plan–Do–Check–Act — PDCA). وهي دورة متكررة تساعد المؤسسة على إدارة أعمالها والتعلّم من نتائجها.
تستخدم معايير نظم الإدارة، مثل ISO 9001، هذه المنهجية لدعم التحسين المستمر. ولا يعني ذلك أن جميع معايير الآيزو ووثائقها تقوم على النموذج نفسه.
| المرحلة | ماذا تفعل المؤسسة؟ |
|---|---|
| خطّط — Plan | تحدد الأهداف والمتطلبات، وطريقة العمل، والمسؤوليات والموارد، وكيف ستقيس النتائج. |
| نفّذ — Do | تطبّق ما خططت له، وتوفر التدريب والدعم اللازمين، وتحتفظ بأدلة التنفيذ. |
| تحقّق — Check | تتابع الأداء وتقيّم النتائج مقارنةً بالأهداف والمتطلبات، لتعرف ما تحقق وأين توجد فجوات. |
| اتخذ إجراءً للتحسين — Act | تعالج أسباب القصور وتطوّر طريقة العمل بناءً على النتائج، ثم تستخدم ما تعلّمته في التخطيط التالي. |
تتكرر الدورة مع استمرار العمل؛ فالتحسين لا ينتهي بمجرد تنفيذ إجراء أو تحقيق هدف. كما أنه لا يقتصر على تصحيح الأخطاء، بل يشمل تطوير الأداء حتى عندما تكون المتطلبات مستوفاة.
ويسهم التدقيق الداخلي، الذي سنشرحه في القسم 7، في مرحلة «تحقّق»، إلى جانب متابعة الأداء وقياس النتائج. ثم تُستخدم نتائجه في معالجة الفجوات والتحسين.
بهذا يتضح أن المعيار يقدم إطارًا للعمل، وأن قيمته تظهر في التطبيق والمراجعة والتحسين المتكرر. فما الفوائد التي يمكن أن تحققها المؤسسة من ذلك؟
4. كيف نستفيد من المعايير؟
تختلف الفائدة بحسب الموضوع. فمعايير الاختبار تساعد على إجراء التقييم بطريقة مشتركة، ومعايير إدارة الجودة تساعد على تنظيم العمل، ومعايير أمن المعلومات تتناول حماية المعلومات. وتشمل مجالات أخرى البيئة والطاقة وسلامة الغذاء والصحة والسلامة المهنية.
لنفترض، في مثال افتراضي للتوضيح، أن شركة صيانة تتلقى شكاوى متكررة بسبب تأخر الزيارات. يسجل بعض الموظفين الطلبات في البريد، وآخرون في رسائل الهاتف. ولا توجد مسؤولية واضحة عن متابعة الموعد.
قد يساعدها تنظيم العمل على تحديد طريقة واحدة لتسجيل الطلب، وتعيين مسؤول عنه، وتأكيد الموعد مع العميل. ثم تتابع الالتزام بالمواعيد وأسباب التأخر.
في هذا المثال، تستطيع الإدارة مقارنة ما وُعد به العميل بما حدث فعلًا. وإذا تكرر التأخر، تبحث في السبب: هل هو نقص الموارد، أم ضعف الجدولة، أم معلومات غير مكتملة؟
هذا المثال يشرح جانبًا من التفكير المنظم، ولا يمثل تطبيقًا كاملًا لمعيار بعينه. كما أنه لا يثبت تحقق نتيجة مسبقة. الفائدة تحتاج إلى ممارسة ومتابعة، ولا تنشأ بمجرد شراء الوثيقة أو إعداد ملفات تحمل اسم المعيار.
ولكي تظل هذه المراجع مفيدة، تحتاج هي أيضًا إلى إعداد منظم ومراجعة مع تغيّر المعرفة والاحتياجات.
5. كيف تُعد المعايير وتُراجع؟
يبدأ إعداد المعيار بتحديد الحاجة إليه. يعمل الخبراء على مسودة تُناقش وتُعدّل، ثم تمر بمراحل التعليق والتصويت والموافقة قبل النشر. وتختلف بعض تفاصيل المسار بحسب نوع الوثيقة والمشروع.
بعد النشر، تخضع المعايير للمراجعة الدورية لتحديد الحاجة إلى تحديثها. المراجعة لا تعني تلقائيًا صدور نسخة جديدة؛ فهي فحص لاستمرار صلاحية المحتوى. ولهذا ينبغي التحقق من إصدار الوثيقة وحالتها وتعديلاتها عند استخدامها، وعدم الاعتماد على ملف قديم لمجرد تشابه عنوانه.
ومع فهم مصدر المعيار وطريقة تطويره، يمكن الانتقال إلى كيفية استخدامه داخل المؤسسة.
6. كيف تطبق المؤسسة معيارًا مناسبًا لها؟
تبدأ المؤسسة بتحديد حاجتها: هل تريد معالجة تكرار الأخطاء؟ أم حماية المعلومات؟ أم تنظيم أثرها البيئي؟ ثم تبحث عن المعيار الذي يتناول هذه الحاجة.
وعند تطبيق معيار لنظام إدارة، يكون المقصود تنظيم السياسات والمسؤوليات والعمليات التي تساعد المؤسسة على تحقيق أهدافها. نظام الإدارة (Management System) هو طريقة إدارة هذه الأجزاء المترابطة، ويتناسب تعقيده مع طبيعة المؤسسة وحجمها ومخاطرها. ولا يعني بالضرورة إعداد عدد كبير من الوثائق.
ولتوضيح نقطة البداية، يقترح هذا المقال المسار العملي الآتي:
- قراءة نطاق المعيار والتأكد من صلته بالنشاط.
- مقارنة المتطلبات بما يجري فعليًا داخل المؤسسة.
- تحديد الفجوات والمسؤولين عن معالجتها.
- تنفيذ التغييرات وتدريب الأشخاص المعنيين.
- الاحتفاظ بما يثبت التنفيذ ومراجعة النتائج.
في شركة الصيانة الافتراضية، لا تكفي كتابة إجراء لتسجيل الطلبات. ينبغي التأكد من استخدامه، ومن اكتمال بيانات الطلبات ومتابعة المواعيد بالفعل.
ومعايير الآيزو طوعية في أصلها، لكن قد يُحال إلى معيار ضمن متطلب تنظيمي أو تعاقدي. لذلك تُراجع الالتزامات التي تنطبق على النشاط؛ فلا يُفترض أن كل معيار إلزامي، أو أن تطبيقه يغني عن المتطلبات النظامية.
يوضح الرسم المرافق رحلة أوسع، تبدأ بتحديد الحاجة وتنتهي باختيار الضمان الخارجي عند الحاجة إليه.
بعد التنفيذ يظهر سؤال طبيعي: كيف نعرف أن ما طُبق يحقق المتطلبات؟
7. كيف نتحقق من التطبيق؟ وما دور التدقيق الداخلي والشهادة؟
تحتاج المؤسسة إلى التحقق من أن ممارساتها تستوفي المتطلبات فعلًا. وهنا يأتي تقييم المطابقة (Conformity Assessment)، أي إثبات استيفاء متطلبات محددة. تختلف وسيلة التحقق بحسب الموضوع؛ فقد تشمل الاختبار أو التفتيش أو التدقيق، ولا تقتصر على الحصول على شهادة.
التدقيق الداخلي: هل نطبّق المتطلبات فعلًا؟
في نظم الإدارة، يساعد التدقيق الداخلي (Internal Audit) على تقييم مدى مطابقة نظام المؤسسة لمتطلبات المعيار ومتطلباتها الداخلية، والتحقق من فعالية التطبيق.
وهو فحص منظّم يعتمد على أدلة، مثل السجلات ومقابلات العاملين وملاحظة تنفيذ العمل. لذلك لا يكفي أن يجد المدقق إجراءً مكتوبًا؛ بل يبحث عما يثبت تطبيقه. ويُراعى في اختيار المدققين وتنفيذ التدقيق توافر الكفاءة والموضوعية والحياد.
بالعودة إلى شركة الصيانة في المثال الافتراضي للتوضيح، يمكن فحص عينة من طلبات العملاء. هل سُجلت البيانات المطلوبة؟ وهل حُدد المسؤول والموعد؟ وهل اتُّبعت آلية التعامل مع التأخر؟ تساعد الإجابات المدعومة بالأدلة على معرفة مواضع الالتزام والفجوات.
إذا كشف الفحص عدم استيفاء متطلب، تُسجّل حالة عدم مطابقة (Nonconformity)، مع تحديد المتطلب والدليل على عدم استيفائه. فقد تُظهر العينة، مثلًا، طلبات أُغلقت دون توثيق إتمام الخدمة، رغم اشتراط الإجراء الداخلي ذلك.
في هذا المثال، تبدأ المعالجة بالتحقق من حالة الطلبات وتصحيح سجلاتها. ثم تبحث المؤسسة عن سبب المشكلة وتعالجه، وتفحص طلبات لاحقة للتأكد من فعالية المعالجة. فاستكمال البيانات الناقصة وحده قد لا يمنع تكرار الخطأ.
وبذلك يمنح التدقيق الداخلي المؤسسة صورة تستند إلى الأدلة عن التطبيق. لكنه لا يمنحها شهادة، ولا يضمن خلو جميع أعمالها من الأخطاء؛ إذ ترتبط نتائجه بنطاق الفحص والأدلة والعينات التي شملها.
متى تأتي شهادة المطابقة؟
يمكن للمؤسسة الاستفادة من تطبيق نظام الإدارة دون الحصول على شهادة، ما لم يشترط التزام ينطبق عليها خلاف ذلك. وعندما تحتاج إلى تأكيد مستقل للمطابقة، تلجأ إلى جهة منح شهادات خارجية.
منح الشهادة (Certification) هو تقديم تأكيد مكتوب من جهة مستقلة بشأن استيفاء متطلبات محددة. وفي نظم الإدارة، تفحص جهة منح الشهادة التطبيق من خلال تدقيقها، ثم تتخذ قرار المنح وفق نتائج التقييم. ولا تمنح منظمة الآيزو نفسها شهادات للمؤسسات.
إذن، التدقيق الداخلي يساعد المؤسسة على فحص نظامها ومعالجة فجواته، بينما يقدّم تدقيق منح الشهادة تقييمًا مستقلًا لأغراض الشهادة. ولا يحل أحدهما محل الآخر.
بعد منح شهادة لنظام إدارة، يستمر تشغيل النظام والتدقيق الداخلي ومراجعة الإدارة ومعالجة حالات عدم المطابقة. وتشمل المحافظة على الشهادة تدقيقات متابعة دورية (Surveillance Audits)، ثم تقييمًا لإعادة منح الشهادة (Recertification) وفق البرنامج المنطبق. فالمتابعة تفحص استمرار استيفاء المتطلبات، وإعادة المنح تقيّم استمرار صلاحية الشهادة لدورة لاحقة؛ ولا يتحقق أي منهما بمجرد سداد الرسوم.
اتفق مع جهة منح الشهادة على جدول التدقيق وتاريخ الانتهاء ومتطلبات الإبلاغ عن التغييرات المهمة. عيّن مسؤولًا عن المواعيد والأدلة والإجراءات التصحيحية. تحقّق من قواعد البرنامج ونطاق الشهادة بدل افتراض أن جميع أنواع الشهادات لها المدة أو المتابعة نفسها.
ما الفرق بين الشهادة والاعتماد؟
بعد معرفة من يمنح الشهادة، يظهر سؤال آخر: كيف نتحقق من كفاءة هذه الجهة؟
هنا يأتي الاعتماد (Accreditation)، الذي يتعلق بالاعتراف بكفاءة جهة تقييم المطابقة. وعند اختيار جهة لمنح الشهادة، يُفحص اعتمادها ومدى شموله للخدمة المطلوبة. فالاعتماد يخص كفاءة الجهة، بينما تتعلق شهادة المؤسسة بمطابقتها للمتطلبات ضمن النطاق المحدد.
في شركة الصيانة، يبدأ العمل بتطبيق النظام، ثم فحصه داخليًا ومعالجة الفجوات، ثم طلب شهادة مستقلة إذا احتاجت إليها. ولا تعني الشهادة ضمان زيادة العملاء أو الإيرادات.
كما لا يصح افتراض أن جميع المعايير قابلة للشهادة؛ فمعيار ISO 26000، مثلًا، يقدم إرشادات للمسؤولية المجتمعية ولا يُستخدم لمنح شهادة مطابقة له.
8. كيف ترتبط هذه المفاهيم؟
بعد شرح الأدوار، يمكن تلخيص العلاقة بينها:
| المفهوم | دوره |
|---|---|
| منظمة الآيزو | تنظّم تطوير المعايير الدولية وتنشرها. |
| المعيار | يحدد المرجع والمتطلبات أو الإرشادات المتعلقة بالموضوع. |
| التطبيق | تحوّل المؤسسة ما ينطبق عليها إلى ممارسة فعلية. |
| تقييم المطابقة | يبيّن بالأدلة مدى استيفاء المتطلبات المحددة. |
| التدقيق الداخلي | يفحص مطابقة نظام المؤسسة وفعالية تطبيقه، ويساعد على كشف الفجوات ومعالجتها. |
| منح الشهادة | تصدر جهة مستقلة تأكيدًا مكتوبًا للمطابقة عندما ينطبق هذا المسار. |
| الاعتماد | يتعلق بكفاءة الجهة التي تنفذ نشاط تقييم المطابقة. |
تقييم المطابقة مفهوم واسع، والتدقيق إحدى وسائل الفحص المستخدمة في هذا المجال. أما التطبيق فهو العمل الذي تنفذه المؤسسة، وتأتي أنشطة التحقق لفحصه. لهذا نبدأ بفهم الحاجة والمعيار وتطبيقه، ثم نحدد وسائل التحقق والحاجة إلى الشهادة.
الخلاصة
يبدأ فهم الآيزو بمعرفة المنظمة، ثم فهم المعايير التي تنتجها، ثم اختيار ما يرتبط بالحاجة الفعلية للمؤسسة. وتتحقق قيمة التطبيق عندما تصبح المتطلبات جزءًا من العمل اليومي، وتُراجع الممارسات والنتائج بالأدلة.
ويساعد التدقيق الداخلي على معرفة مدى المطابقة وكشف الفجوات التي تحتاج إلى معالجة. أما الشهادة فتضيف تأكيدًا مستقلًا عندما تكون مطلوبة، دون أن تحل محل التطبيق أو المتابعة.
لذلك، قبل السؤال «كيف نحصل على شهادة؟»، ابدأ بسؤال أوضح: ما الذي نحتاج إلى تنظيمه أو تحسينه، وأي معيار يساعدنا على ذلك؟