認證機構風險管理探討

1、認證審核中的風險控制李在卿一、概述隨著國家對認證行業(yè)監(jiān)管的不斷規(guī)范、認證認可制度的進一步完善、國民對認證認識的 提高、獲證組織的大量增加及需求的變化，認證機構也同其它行業(yè)的企業(yè)一樣，經營風險逐 步顯現，且不斷增大。當今的認證機構，早已不是十年前相對服務對象而言具有絕對優(yōu)勢的 一方，必須在法律法規(guī)及相關制度的規(guī)范和市場經濟規(guī)律的框架下運作。認證機構自身的違 規(guī)運作、獲證組織的各類事故、審核人員的不規(guī)范行為都可能給認證機構帶來風險，輕者賠 償經濟損失或罰款，重者可能會被撤銷機構的從業(yè)資格。如何規(guī)避認證機構的風險，確保認證機構健康持續(xù)又快又好地發(fā)展是認證機構普遍關 注的問題。全面、充分地認識認證機構

2、經營過程中的風險，合理準確地評價風險程度，對于認證 機構有針對性地防范風險，降低風險發(fā)生的頻率和風險等級，減少風險發(fā)生后的損失具有重 要意義。本文系統分析了認證機構的風險因素，采用風險矩陣和經營條件風險度評價法對各風 險因素進行了分析，并提出了風險控制的建議對策。二、風險識別與評價1定義風險因素是指可能導致認證機構經濟損失、人員流失、認證資格被暫停、撤銷、認可 業(yè)務范圍被縮小/暫停/撤銷等的原因或狀態(tài)。風險是指某一特定風險因素發(fā)生的可能性和后果的結合。風險分析就是識別認證機構的風險因素，確定其特性，評估其風險大小以及確定風險 是否可控制的過程。2風險因素識別認證機構的風險主要來自三個方面:機構

3、自身、獲證組織、審核人員三方面。就認證機構而言：風險因素可包括：因違反國家法律法規(guī)、違背認可規(guī)范、違反認可 協議、違反行業(yè)自律要求而引起的各種經營管理行為，以及人員能力不足或經營管理不善等 方面的因素。就獲證組織而言：可能給認證機構帶來風險的因素包括：組織違法經營，向認證機構 提供虛假信息，出現重大質量、環(huán)境、職業(yè)健康安全、食品安全事故，不遵守認證合同等方 面的因素。就審核人員而言：可能給認證機構帶來風險的因素可能包括：審核人員能力、身體、 工作態(tài)度，違反職業(yè)道德和行為規(guī)范要求，向認證機構提供虛假信息，審核過程中出現人身 傷亡事故等方面。表1對上述三大類的風險因素進行了詳細的風險描述，并說明了

4、其可能導致的結果， 共27個風險因素。表1認證機構風險因素識別序號風險來源風險因素風險描述可能導致的結果1認證機構 自身違反國家法律法規(guī)在機構經營、工商注冊、商標注冊、 財務管理、稅收、勞動用工制度、分被國家或地方相關黨政 機關、司法機關、公安配制度、知識產權保護、保密制度、 外事紀律等方面違反國家相關法律法 規(guī)要求機關實施處罰、罰款、 停業(yè)整頓、撤銷認證資 格、吊銷營業(yè)執(zhí)照2違反政府主管部門 政策1）違反認監(jiān)委有關認證機構設立、 運營管理規(guī)定；不被批準新領域或被認 監(jiān)委暫停、撤銷機構批 準書2）不按規(guī)定提交合格的機構重新登 記材料；不被重新登記3）超過認監(jiān)委批準的認證業(yè)務范困 從事認證活動；

5、被認監(jiān)委暫停、撤銷機 構批準書4）不按期接受資格年檢；被認監(jiān)委暫停5）不按期完成認監(jiān)委規(guī)定的報表、 上報材料；被通報批評6）對認監(jiān)委稽查、口常監(jiān)管過程中 發(fā)現的問題不及時整改或整改措 施不符合要求；被認監(jiān)委行政告誡、暫 停、撤銷7）違反認監(jiān)委發(fā)布的相關文件規(guī) 定。被認監(jiān)委突然稽查、行 政告誡、暫停、撤銷3違反認可 文件1）在管委會組成及運作機制、認證 決定、審核人員安排方面違反公 正性、客觀性原則；被認可委評審開具不符 合、暫停2）沒有識別或正確處理相關機構業(yè) 務活動與認證活動之間可能存在 的利益沖突；認可評審時文審通不過3）未對申請認證的產品、服務、管 理體系實施有效認證而頒發(fā)認證 證書：被

6、認可委暫停、撤銷相 應領域的認可資格4）未及時準確通報認證信息；被認可委暫停5）不能為相應的產品、服務、管理 體系認證滿足規(guī)定要求提供充分 信心：被認可委暫停、撤銷相 應體系的認可資格6）未對認證的產品、服務、管理體 系實施有效監(jiān)督或復評；被認可委暫停、撤銷相 應領域認可資格7）發(fā)現認證的產品、服務和管理體 系不能持續(xù)滿足認證要求，不及 時暫?；虺蜂N認證資格；被認可委暫停、撤銷認 可資格8）咨詢認證一條龍；序號風險來源風險因素風險描述可能導致的結果4認證機構自身違反認可 行業(yè)規(guī)則1）違反認證行業(yè)自律要求；1）被協會罰款；2）被協會通報批評；3）被協會取消會員資2）違反認證價格規(guī)定；3）不及時向

7、協會通報相關信息格5違反認可 協議1）無正當理由不按期接受認可監(jiān)督 或復評；1）認可評審時出現嚴 重不符合；2）被認可委暫停、撤 銷認可資格；2）不按規(guī)定及時繳納各種費用；3）虛報瞞報認證數量；4）認可要求變更后不能確保符合變 更后的要求；5）錯誤使用認可標志和認可證書。6違反認證 合同規(guī)定1）受理認證后不及時安排審核：1）被顧客投訴；2）顧客流失：3）不交費2）隨意變更認證費用；3）不提供相應公開文件；4）不提供企業(yè)要求的正當服務：5）不滿足組織提出的合理要求：6）無故拖延證書發(fā)放。7違反公開 承諾不兌現在管理體系文件、公開文件中 對組織的承諾機構信譽受到影響8出現重大人身傷亡 事故1）發(fā)生

8、火災、觸電、交通等事故：1）機構要賠償，經濟 上受損失：2）人才損失。2）在審核過程中出現重大審核人員 傷亡事故。9出現經營 危機1）認證合同少，不能有效開拓市場：1）機構經濟上受影 響，2）機構破產2）品牌和1碑差；3）獲證組織大量流失。10內部管理 混亂1）沒有建立和健全有效的管理制度 或制度不能被落實；1）機構缺乏競爭 力,會最終被市場淘汰；2）客戶流失；3）隊伍不穩(wěn)定， 容易人才流失；4）員工沒有工作 積極性；5）由于辦事處出 問題導致機構被認監(jiān)委/ 認可委處罰。2）沒有建立有特色的適宜的企業(yè)文 化；沒有良好的激勵機制；3）不能形成有效或高效的團隊，出 現信任危機；4）工作效率低下；5

9、）員工服務態(tài)度差；6）出現重大投訴；7）財務管理差；8）對關鍵場所和一般場所管理不到 位。11主要經營管理人員 違紀違法1）機構主要領導或班子成員個人違 法被國家專政機關處理；1）機構聲譽受影響： 從而影響市場；2）機構經濟損失。2）挪用、私分和貪污公款；3）個人另行辦相關企業(yè)。序號風險來源風險因素風險描述可能導致的結果12認證機構 自身投資人或主管機關1）投資人出現重大經濟問題；1）機構被主動撤銷；2）影響經營和正常工2）股東撤資；做出發(fā)生重要變化3）主管部門被撤銷/合并；作。4）主管部門職能發(fā)生重大變化。13人員與資源不滿足 要求1）領導缺乏管理能力；1）機構運作不暢，管 理效率低下；2）

10、專業(yè)能力不足，有 些業(yè)務難于開展；3）獎罰不分明，審核 人員流失：4）被認可機構縮小業(yè) 務范圍。2）人力資源不足；3）財務管理混亂，財力不足；4）對審核人員沒有動態(tài)考核和評 價：5）對審核員培訓不夠，人員能力不 能持續(xù)保持。14體系運行 與管理不 符合要求1）超過認可范圍發(fā)證；被認可委暫?；虺蜂N認 證資格2）未建立或有效運行人員能力分析 評價系統；3）內審沒有深度；4）管理評審走過場；5）內審沒有覆蓋全部分支機構：6）文件管理混亂；7）管理體系運行出現系統性問題。15審核與審 核管理不 符合要求1）認證審核中弄虛作假；被認可委暫?；虺蜂N認 證資格2）審核有效性差；3）超期未實施監(jiān)督或處理；4）

11、合同評審專業(yè)明顯判錯；5）實習審核員/技術專家獨立審核；6）審核人口數不足；7）不具備專業(yè)審核能力；8）不按計劃實施審核；9）審核員不到現場；10）審核策劃不具體，審核方案不當;11）審核作業(yè)指導書不能充分指導審核；12）對關鍵過程、重要環(huán)境因素、重大危險源審核不到位；13）對組織法律法規(guī)的符合性審核不到位：14）審核證據不支持審核結論；15）認證決定人員不具備能力。序號風險來源風險因素風險描述可能導致的結果16認證機構風險管理1）沒有識別不同組織的認證風險：1）被認可委暫停認證不七2）對認證活動中引發(fā)的責任沒作安 排。資格；2）組織出現問題后負 連帶責任。17信息管理不符合要 求1）不按期上

12、報信息；1）被認監(jiān)委行政處罰；2）被認可委暫停認證資 格。2）上報信息不完整；3）虛報瞞報認證信息。18認可評審1）不按期接受認可監(jiān)督評審；1）被認可委暫?；虺蜂N 認證資格。2）對認可評審提出的不符合整改不 符合要求；3）出現嚴重不符合；4）同類問題重復出現；5）不及時提供見證項目。19獲證組織提供虛假 信息1）提供虛假法律地位證明文件及其 它信息；2）虛報員工人數；3）提供虛假檢驗或監(jiān)測報告；4）隱瞞多現場或臨時現場。1）增加認證風險，導 致機構被認可委暫?；?撤銷認證資格；2）審核有效性差；3）審核人口數不足20提供虛假體系運行信息1）提供虛假內審報告、合規(guī)性評價 報告、管理評審報告；2）

13、提供虛假運行記錄。1）認證結論失實， 導致被認可委暫?；虺?銷認證資格。21出現事故5）出現產品質量事故；6）出現環(huán)境污染事故；7）出現職業(yè)健康安全事故；8）出現食品安全事故。1）機構負連帶責任；2）被認可委暫?；虺?銷認證資格。22經營出現 問題1）違法經營；2）超范圍經營：3）企業(yè)合并、解散、破產。1）機構負連帶責任；2）認證組織數量減 少。23不遵守合 同1）不按時接受監(jiān)督；2）不交納審核費用；3）不按規(guī)定使用認證標志；4）不提供審核的必要條件。1）審核費收入減少， 成本增加；2）客戶流失：3）機構負連帶責任；4）審核雅于實施。24審核員違反審核 人員職業(yè) 道德1）在現場審核過程中違反審

14、核人員 必備的職業(yè)道德要求和行為規(guī)范 要求；2）服務態(tài)度差；3）提供虛假記錄和證據。1）影響機構形象和聲 譽；2）審核風險增加，導 致被認可委處理；25能力不夠1）缺乏專業(yè)能力和獲取證據的能 力；2）語言表達能力和文字寫作能力 差；3）管理知識不足。1）審核有效性差；26出現意外 情況1）審核過程中出現突發(fā)疾?。?）審核過程中出現傷亡事故。經濟損失27違法個人出現違法情況。影響機構聲譽。3風險評價機構的總風險由機構自身風險、獲證組織帶來的風險、審核人員帶來的風險組成，其 中機構自身風險（用X表示）的權重為0.5,獲證組織帶來的風險（用Y表示）的權重為 0.35、審核人員帶來的風險（用Z表示）的

15、權重為0.15，各風險因素分別用X,、Y,、乙表 示，其權重分別用d,表示，則：機構自身各風險因素的風險=XM,；獲證組織帶來的風險中各風險因素的風險=Y,*di：審核人員帶來的風險中各風險因素的風險=乙，*d,：機構的總風險=0.5 X】*D】+0.35 L YD+0.15 乙*。單一風險因素的風險D=控制措施狀態(tài)（A）*可能性（B） *后果（C）。單一風險因素的風險的評價方法可采用風險矩陣法和經營條件風險評價法。表5給出了風險評價的結果。風險分為五級，【、II、III、IV、V級。3.1風險矩陣法用風險發(fā)生的可能性作為橫座標，用風險導致的后果作為縱座標，將可能性和后果的 級別分別賦值為1、

16、2、3、4,得出用相對數表示的風險程度，圖1為風險矩陣示意圖，表 2給出了風險可接受的程度、風險度指數及控制要求，表3根據風險控制措施情況和發(fā)生 頻率給出了風險發(fā)生的可能性，表4說明了風險發(fā)生的后果，表5確定了風險發(fā)生的程度。44812163369122246811741234圖1風險矩陣示意圖表2風險可接受程度風險度指數及控制措施要求風險可接受程度風險度指數控制行動輕微I1無，不監(jiān)控可承受1【2無，監(jiān)控中度【II34控制嚴重IV68緊急行動不可承受V立即行動表3風險發(fā)生的可能性（B）控制措施（A）頻率極少發(fā)生特殊或偶然很可能出現經常出現無控制措施（10）2344有措施但不充分（5）1233有

17、預防措施（1）0112措施完全有效， 能主動控制（0.1）0001表4風險發(fā)生的后果（C）處罰結果經濟損失5萬以下20萬以下50萬以下100萬以下縮小范圍0121警告1122暫停2333撤銷3444表5風險發(fā)生的程度（D）（C） 可能展12341IIIIIIIII2IIIIIIVIV3IIIIVVV4IIIIVVV3.2經營條件風險評價法風險等于控制措施狀態(tài)、風險出現的可能性及可能導致后果的乘積。艮化D=A*B*C表7 D值及風險級別D值風險級別3600V450-599IV300449III150-299II150I表8措施狀態(tài)（A）A值措施狀態(tài)5無控制措施3有控制措施，但不充分1有預防措施,

18、且能降低風險0.2措施充分，能消除風險表9可能性(B)B值可能性B值可能性10完全可能預料0.5很不可能，可以設想6相當可能0.2極不可能3可能，但不經常0.1實際不口J能1可能性小完全意外表10后果(C)C值后果C值后果100撤銷批準書100損失50萬元以上50撤銷認可資格502050萬元25暫停半年251020萬元20暫停3個月201015萬元15縮小認可業(yè)務范圍15510萬元10縮小認可專業(yè)范圍1015萬元5警告/通報51萬元以下表5風險分析風險來源及權重風險因素及權重風險描述風險評價風險等級代碼風險來源代碼風險因素控制措施（A）發(fā)生的可 能性（B）可能導致 的結果風險評價D-A-B*C

19、X認證機構0.5XI違反國家法律 法規(guī) 0.150.15在機構經營、工商注冊.商標 注冊.射務管理、稅收、勞動 用工制度、分配制度、知識產 權保護.保密制度.外事紀律 等方面違反國家相關法律法 規(guī)要求11100100IX2違反政府主管 部門政策 0.150.0201）違反認監(jiān)委有關認證機構 設立、運營管理規(guī)定：10.210020IX30.0152）不按規(guī)定提交合格的機構重新登記材料：0.20.11002IX40.0303）超過認監(jiān)委批準的認證業(yè) 務范圍從事認證活動：3350450IX50.0154）不按期接受資格年檢:10.25010IX60.0155）不按期完成認監(jiān)委規(guī)定的 報表、上報材料：

20、1155IX70.0256）對認監(jiān)委稍查.口常監(jiān)管過 程中發(fā)現的問題不及時整改 或整改措施不符合要求：10.25010IX80.0307）違反認監(jiān)委發(fā)布的相關文 件規(guī)定。10.25010IX9違反認可文件 0.150. 0151）在管委會組成及運作機制、 認證決定審核人員安排方面 違反公正性.客規(guī)性原則：0.20.2208X100. 0152）沒有識別或正確處理相關 機構業(yè)務活動與認證活動之 間可能存在的利益沖突：0.20.252IXll0.0253）未對申清認證的產品.服 務、管理體系實施有效認證而 頒發(fā)認證證書：10.52512.5IX120.014）未及時推確通報認證信息；132060I

21、X130.025）不能為相應的產品、服務、 管理體系認證滿足規(guī)定要求 提供充分信心：112020IX140.0256）未對認證的產品服務管 理體系實施有效監(jiān)皆或復評：3320ISO11X150.027）發(fā)現認證的產品服務和管 理體系不能持續(xù)滿足認證要 求不及時暫?；虺蜂N認證資 格：3620360111X160.028）咨詢認證一條龍，332522511X17違反認可行業(yè) 規(guī)則0.050.021）違反認證行業(yè)自律要求：10.520101XIS0.022）違反認證價格規(guī)定：1320601X190.013）不及時向協會通報相關信 息312060IX20違反認可協議0.10.021）無正當理由不按期接

22、受認 可監(jiān)督或復評：10.2255IX210.022）不按規(guī)定及時繳納各種費 用：5320300111X220.023）虛報瞞報認證數量：5625750VX230.024）認可要求變史后不能確保 符合變更后的要求：0.20.5101IX240.025）錯誤使用認可標志和認可 證書。0.20.1100.2IX25違反認證合同 規(guī)定0.010.0021）受理認證后不及時安排審 核：31515IX260.0012）隨意變更認證賢用:10.110.1IX270.0023）不提供相應公開文件:0.20.150.1IX280.0024）不提供企業(yè)要求的正當服 務：30.110.3IX290.0015）不淌

23、足組織提出的合理要 求：30.110.3IX300.0016）無故拖延證書發(fā)放0.20.110.02IX31違反公開承諾 0.010.01不兌現在管理體系文件、公開 文件中對組織的承諾53575IX32出現重大人身 傷亡事故 0.030.011）發(fā)生火災.觸電、交通等事 故：10.2255iX330.022）在審核過程中出現重大審 核人員傷亡事故。10.25010iX34出現經營危機0.020.0051）認證合1可少,不能有效開拓 市場：3650900VX350.0052）品牌和口碑差:3650900VX3(50.013）我證組織大量流失.56100300111X37內部管理混亂 0.030.

24、00041）沒有建立和健全有效的管 理制度或制度不能被落實：10.52010-X380.00032）沒有建立有特色的適宜的 企業(yè)文化：沒有息好的激勵機 制：531015011X390.0043）不能形成有效或高效的團 隊.出現信任危機：5320300IIIX400.0034） 1：作效率低下：53575IX410.0035）員1：服務態(tài)度差：3610ISOIIX420.0056）出現重大投訴：30.550751X430.0037）財務管理差：10.51051X440.0058）對關鍵場所和一般場所管 理不到位。3320ISOIIX45主要經營管理 人員違紀違法 0.020.01機構主要秘導或班

25、子成員 個人違法被國家專政機關處 理：30.2159IX460.0052）挪用.私分和貪污公款：10.2157.5IX470.0053）個人另行辦相關企業(yè).5615450lX4S投資人或主管 機關做出發(fā)生 重要變化 0.010.00251）投資人出現重大經濟問題：10.22041X490.00252）股東撤資：10.12021X500.00253）主管部門被撤銷/合并：10.520101X510.00254）主管部門職能發(fā)生重大變 化。1120201X52人員與資源不 滿足要求0.070.021）領導缺乏管理能力：5125125iX530.022）人力資源不足；1315451X540.013）

26、財務管理混亂，財力不足：3110301X 認證機構 0.5X550.014）對審核人員沒有動態(tài)考核 和評價：3610ISO11X5(50.015）對審核員培訓不夠人員能 力不能持續(xù)保持。331090IX57體系運行與管理不符合要求 o.os0.021）超過認可范圍發(fā)證；0.20.5505IX580.012）未建立或有效運行人員能 力分析評價系統：312575IX590.013）內審沒有深度：0.20.2200.8IX(500.014）管理評審走過場：5620600VX610.015）內審沒有覆蓋全部分支機 構：311545iX620.016）文件管理混亂:0.20.2200.8iX(530.0

27、17）管理體系運行出現系統性 問阪0.20.1200.4IX54審核與審核管 理不符合要求 0.100.0251）認證審核中弄虛作假；115050IX650.0062）審核有效性差：1325751X660.0273）超期未實施監(jiān)督或處理：3620360IIIX610.0024）合I可評審專業(yè)明顯判錯：1110101X680.0035）實習審核員/技術專家獨立 審核：311030IX690.0046）審核人日數不足：3620360IIIX700.0057）不具備專業(yè)審核能力：1120201X710.0018）不按計劃實施審核：0.23531X720.0039）審核員不到現場：3320ISO11X

28、730.00210）審核策劃不具體.審核方33151351案不當：X認證機構0.5X740.00111）審核作業(yè)指導書不能充分 指導審核：0.20.2100.4IX750.0112）對關鍵過程、重要環(huán)境因 素、重大危險源審核不到位；3620360IIIX750.00413）對組織法律法規(guī)的符合性審核不到位：3620360IIIX770.00314）審核證據不支持審核結 論：30.52030IX7S0.00715）認證決定人員不具備能 力。1320600VX79風險管理不當 0.020.011）沒有識別不1可組織的認證 風險：361527011xso0.012）對認證活動中引發(fā)的責任 沒作安fl

29、h0.20.1200.4IXS1信息管理不符令戲求0.020.0071）不按期上報信息：131545IXS20.0062）上報信息不完整：3615270liX830.0073）虛報瞞報認證信息。5325375IIIX84認可評審 0.050.011）不按期接受認可監(jiān)督評審：0.20.250.2IXS50.012）對認可評審提出的不符合 整改不符合要求：0.20.2150.6IX860.013）出現嚴重不符合：112020IXS70.014）同類問題重復出現:31020500VX8S0.015）不及時提供見證項目。0.20.550.5I風險來源及權重風險因素及權重風險描述風險評價風險等級代 碼風

30、險來源1代 碼風險因素權重控制措施（A）發(fā)生的可 能性（B）可能導致 的站果（C）風險評價D-ABCY獲證組織0.35YI提供虛假企業(yè) 信息0.21）提供虛假法律地位證明交 件及其它信息：2）虛報員工人數:3）提供虛假檢驗或監(jiān)測報告：4）隱瞞主現場或臨時現場。31020600VY2提供虛假體系 運行信息0.151）提供虛假內審報告、合規(guī)性 評價報告、管理評審報告：2）提供虛假運行記錄。1320601Y3出現事故0.41）出現產品質魚事故：2）出現環(huán)境污染事故：3）出現職業(yè)健康安全事 故：4）出現食品安全事故。5350750VY4經營出現問題0.11）違法經營：2）超范圍經營：3）企業(yè)合并、解故、破產。5115751Y5不遵守合同0.151）不按時接受監(jiān)侈：2）不交納審核費用：3）不按規(guī)定使用認證標志：4）不提供審核的必要條件。1610601風險來源及權重風險因素及權重風險描述風險評價風險等級代 碼風險來源代 碼風險因素權重控制措施（A）發(fā)生的可 能性（B）可能導致 的站果（C）風險評價D-A-BCZ審核人員0.15ZI違反審核人員 職業(yè)道德0.51）在