Как безопасно открыть подтверждающие материалы при дистанционной оценке по аккредитации

IAF MD 4 является обязательным документом IAF об использовании информационно-коммуникационных технологий (ИКТ) при оценке соответствия; действующая редакция, MD 4:2025, применяется с 30 января 2026 года. Документ написан для сертификации, валидации и верификации, распространяется и на органы по аккредитации и указывает, что его можно применять вместе с другими стандартами по оценке соответствия. Положения, важные для лаборатории, которая открывает подтверждающие материалы:

TÜRKAK опубликовал Руководство по дистанционному аудиту 8 мая 2020 года, во время пандемии COVID-19, чтобы инспекционные и повторные оценки могли продолжаться дистанционно. Основные требования к аккредитованным организациям:

• Организация, проходящая дистанционный аудит, подписывает форму F705-001 (Информационная декларация и обязательство по дистанционному аудиту) и загружает её на e-Portal TÜRKAK; процесс идёт по процедуре P705 для дистанционных аудитов.
• Записи держат готовыми в электронном виде, пригодном для передачи; записи, запрошенные группой по аудиту, загружают на e-Portal в раздел аудита «Записи дистанционного аудита».
• Перечень записей для лабораторий включает записи, показывающие, что лабораторная информационная система настроена и валидирована в соответствии со стандартом и законодательными требованиями, а также записи о мерах по обеспечению конфиденциальности.
• Тестовое подключение с ответственным за досье в TÜRKAK проводится не позднее чем за день до аудита; наблюдение проводится по видеосвязи в реальном времени, по видеозаписи, через интервью или изучение документов.
• Решение о записи аудита со звуком и видео принимает TÜRKAK с соблюдением требований конфиденциальности; снимки экрана, которые группа по аудиту делает для своего отчёта, удаляются после завершения процесса.

Руководство выпущено в 2020 году. Перед оценкой согласуйте метод, инструмент и способ передачи материалов с ответственным за ваше досье в TÜRKAK.

Набор материалов следует из пунктов, входящих в вашу область аккредитации. Перечень записей, который руководство TÜRKAK даёт для лабораторий, соотносится с ISO/IEC 17025 так:

Эксперт может выбрать один из образцов протоколов и проследить записи, которые за ним стоят; этот метод называется вертикальным аудитом. Держите образцы протоколов доступными вместе со связанными записями о полномочиях, калибровке и контроле.

Минимальные права означают, что эксперт видит только материалы в пределах области оценки и только за охватываемый ею период. Статья 4 KVKK требует, чтобы персональные данные были связаны с целью обработки, ограничены и соразмерны ей; ISO/IEC 17025 §4.2 относит информацию о заказчике к конфиденциальной. На практике:

• Помещайте в общую область только материалы по пунктам, входящим в область оценки.
• Задайте период записей под оценку, например время с прошлой оценки.
• В лаборатории с несколькими площадками открывайте только оцениваемую площадку.
• Открывайте имена заказчиков и скачивание файлов, только когда они нужны для оценки.
• Дайте эксперту персональный доступ с ограниченным сроком вместо общего аккаунта лаборатории; только так каждый просмотр привязан к человеку.

Когда ссылка и пароль идут разными путями, для открытия доступа нужно перехватить оба канала. Одно письмо, ушедшее не тому человеку, тогда содержит только половину нужного.

• Отправьте ссылку по электронной почте, а пароль сообщите по телефону или лично.
• Держите пароль вне переписки; пересланная цепочка писем уносит всё, что в ней есть.
• Если можете, добавьте третий шаг: одноразовый код на почту эксперта привязывает доступ к его почтовому ящику.
• Используйте способ, при котором ссылку и пароль можно увидеть только в момент их создания; пароль, который можно показать снова позже, это ещё и копия внутри лаборатории.

Доступ охватывает дни оценки и закрывается, когда оценка заканчивается. Если срок задан заранее, закрытие доступа никогда не зависит от того, вспомнит ли о нём кто-то.

• Открывайте доступ с датой начала и окончания; папка, открытая без даты окончания, остаётся открытой и после оценки.
• Ограничьте по времени и сеансы: сеанс, который закрывается при бездействии, ограничивает то, что может показать оставленный без присмотра компьютер.
• Если оценка затянулась, продлите доступ; когда она закончится, закройте его и сохраните об этом запись.
• Если после заключительного совещания запросили дополнительные материалы, откройте новый доступ с узкой областью.

Журнал просмотров позволяет лаборатории показать, какая информация, кому и когда была открыта. Статья 12 KVKK требует от ответственного за обработку данных принимать технические и организационные меры, необходимые для предотвращения незаконного доступа к персональным данным; ISO/IEC 17025 §7.11.3 требует защищать лабораторную информационную систему от несанкционированного доступа, вмешательства и потери.

Если каждая запись, открытая экспертом, каждый скачанный им файл и каждая отклонённая попытка входа есть в журнале с датами, то на вопросы «чьё личное дело открывали?» и «кому показывали пробы этого заказчика?» после оценки уже есть ответ. Храните журнал вместе с делом оценки.

Лаборатория является ответственным за обработку данных, который передаёт персональные данные своего персонала органу по аккредитации для оценки. Передаются в основном имена, должности, полномочия, записи об обучении и мониторинге компетентности сотрудников; в записях о пробах также видны имена тех, кто выполнял, утверждал и подписывал работу.

• Данные о здоровье относятся к особой категории персональных данных (статья 6 KVKK). Держите медицинские заключения из личных дел вне общей области.
• Ограничьте обмен его целью (статья 4): только нужные области, площадки и период записей.
• Проверьте обязанность информирования (статья 10): охватывает ли уведомление о конфиденциальности, которое получают сотрудники, передачу данных для оценки по аккредитации?
• Защищайте и информацию о заказчиках (§4.2): имена заказчиков в записях о пробах и жалобах показываются только там, где это нужно.
• Закройте доступ, когда оценка закончится.

Договоры и уведомления о конфиденциальности принадлежат лаборатории; готовьте их с вашим юристом.

Подготовка начинается с выбора материалов и заканчивается закрытием доступа. Примерная последовательность:

В PureField LIMS руководитель лаборатории или менеджер по качеству открывает эксперту выбранные материалы только для чтения и на ограниченный срок в разделе Kalite → Akreditasyon → Değerlendirici erişimi (Качество → Аккредитация → Доступ эксперта) кнопкой Yeni erişim (Новый доступ). Правила выше отражаются на экране так:

Вверху каждой страницы эксперт видит своё имя, отметку о том, что просмотр идёт только для чтения, и время окончания сеанса и доступа. В области обзора показаны лаборатория, её площадки, строки области аккредитации, заметки о подтверждениях по пунктам и, для пунктов в области оценки, карта соответствия ISO/IEC 17025. Карта показывает, какие экраны поддерживают каждый пункт; решение о соответствии принимает эксперт.