ISO 45001 w praktyce: wdrożenie, wymagane dokumenty i przygotowanie do audytu certyfikującego

Najczęściej certyfikat jest wymaganiem klienta lub warunkiem udziału w przetargach — szczególnie w branży budowlanej, motoryzacyjnej, energetycznej i logistycznej. Coraz częściej pytają o niego także ubezpieczyciele i grupy kapitałowe raportujące wskaźniki ESG.

Równie ważny jest efekt wewnętrzny: uporządkowane odpowiedzialności, jedna metoda oceny ryzyka, działania korygujące doprowadzane do końca i dane, na podstawie których zarząd może podejmować decyzje. Organizacje, które traktują normę wyłącznie jako papier dla klienta, zwykle mają najwięcej kłopotów podczas audytów nadzoru.

Norma nie używa już pojęć „procedura” i „zapis”, tylko „informacja udokumentowana”. Część informacji trzeba utrzymywać (dokumenty opisujące, jak coś robimy), a część zachowywać (dowody, że to zrobiliśmy). Nie ma obowiązku pisania księgi systemu ani procedury do każdego punktu.

Wymagane informacje udokumentowane obejmują m.in.: zakres systemu zarządzania BHP; politykę BHP; role, odpowiedzialności i uprawnienia; metodykę i wyniki identyfikacji zagrożeń oraz oceny ryzyka i szans; wykaz wymagań prawnych i innych; cele BHP i plany ich osiągnięcia; dowody kompetencji pracowników; plany reagowania na sytuacje awaryjne.

Do dowodów, które trzeba zachowywać, należą m.in.: wyniki monitorowania i pomiarów (w tym kalibracja przyrządów, jeśli dotyczy); wyniki oceny zgodności z wymaganiami prawnymi; program i wyniki audytów wewnętrznych; protokoły przeglądów zarządzania; rejestr incydentów i niezgodności wraz z podjętymi działaniami oraz oceną ich skuteczności; dowody komunikacji i konsultacji z pracownikami.

W praktyce polskiego zakładu większość tych danych już istnieje — w ocenach ryzyka zawodowego, rejestrze wypadków, ewidencji szkoleń i badań, protokołach kontroli. Wyzwaniem nie jest ich stworzenie, tylko powiązanie ich w spójny, aktualny i łatwy do pokazania obraz.

1. Analiza luk: porównanie obecnych praktyk z wymaganiami normy. 2. Kontekst i zakres: określenie zainteresowanych stron, ich oczekiwań i granic systemu. 3. Polityka i odpowiedzialności: zaangażowanie najwyższego kierownictwa oraz ustalenie, jak konsultuje się decyzje z pracownikami. 4. Ryzyka i wymagania prawne: jednolita metodyka oceny ryzyka, wykaz przepisów, cele.

5. Działania operacyjne: hierarchia środków kontroli, zarządzanie zmianą, nadzór nad podwykonawcami, przygotowanie na sytuacje awaryjne. 6. Szkolenia i świadomość. 7. Uruchomienie systemu i zbieranie dowodów przez kilka miesięcy. 8. Audyt wewnętrzny i przegląd zarządzania. Dopiero po tym etapie warto zgłaszać się do jednostki certyfikującej.

Typowe wdrożenie w średniej organizacji trwa od kilku do kilkunastu miesięcy. Najdłużej trwa nie pisanie dokumentów, tylko wypracowanie nawyku: zgłaszanie zdarzeń, zamykanie działań w terminie i regularne przeglądy.

Audyt certyfikujący przebiega dwuetapowo. Etap 1 to ocena gotowości: audytor przegląda dokumentację, zakres systemu, wykaz wymagań prawnych, wyniki oceny ryzyka, audytu wewnętrznego i przeglądu zarządzania. Wynikiem są obszary wymagające poprawy przed etapem 2.

Etap 2 odbywa się na miejscu. Audytor rozmawia z kierownictwem i pracownikami, obchodzi stanowiska, sprawdza, czy ocena ryzyka odpowiada rzeczywistości, wybiera losowe zdarzenia i śledzi je od zgłoszenia przez analizę przyczyn aż po ocenę skuteczności działań. Pyta też pracowników, czy wiedzą, jak zgłosić zagrożenie i czy mogą odmówić pracy w sytuacji niebezpiecznej.

Niezgodności dzieli się zwykle na duże i małe. Duża (np. brak audytu wewnętrznego albo systemowe niezamykanie działań korygujących) może wstrzymać certyfikację do czasu jej usunięcia. Certyfikat jest ważny trzy lata, a w tym czasie odbywają się coroczne audyty nadzoru.

Sprawdź, czy: polityka BHP jest aktualna i znana pracownikom; ocena ryzyka obejmuje wszystkie stanowiska, także prace podwykonawców i prace niestandardowe; wykaz wymagań prawnych ma datę ostatniego przeglądu i ocenę zgodności; cele mają mierniki i właścicieli.

Sprawdź też, czy: każde zgłoszone zdarzenie ma analizę przyczyn i działanie z terminem; przeterminowane działania są wyjaśnione; szkolenia i badania lekarskie są aktualne; odbył się pełny cykl audytu wewnętrznego i przegląd zarządzania z udokumentowanymi decyzjami; zmiany w procesach przechodziły ocenę ryzyka przed wdrożeniem.

Przećwicz z kierownikami zmian i brygadzistami krótką rozmowę: jakie są główne zagrożenia na ich obszarze, jak zgłosić zdarzenie, jakie działania zostały wprowadzone po ostatnim incydencie. Te odpowiedzi audytor ceni bardziej niż prezentację.

V-IMS nie wydaje certyfikatu i nie zastępuje jednostki certyfikującej ani kompetentnej osoby prowadzącej system. Porządkuje natomiast informacje, o które audytor pyta najczęściej, w jednym miejscu i z historią zmian.

Zgłoszenia nieprawidłowości i zdarzeń trafiają do rejestru, z którego można przejść do analizy przyczyn i działań CAPA z terminami i odpowiedzialnymi. Ocena ryzyka zawodowego, ewidencja szkoleń, kwalifikacji i badań lekarskich, audyty i kontrole z listami kontrolnymi, zezwolenia na prace oraz zarządzanie zmianą działają na wspólnych danych.

Dzięki temu przed audytem nie trzeba składać dowodów z wielu arkuszy: łańcuch zdarzenie — przyczyna — działanie — weryfikacja skuteczności jest widoczny w systemie, a zaległe terminy widać, zanim zobaczy je audytor.