Start a new topic and get direct answers from the Expert Advice Community.
CREATE NEW TOPIC +Search results
11275 results
Guest
Guest
Create New Topic As guest or Sign in
Assign topic to the user
-
Selecting qualified ISO 27001 certification auditors
We’ve not done ISO 27001 before, therefore how can we find out if they are qualified to audit us and apply for certification?
Basically, does an ISO auditor need certain qualification? And how clients know the validity of the ISO 27001 certificate issued by them?
Answer: To obtain an ISO 27001 certification an organization must be audited by auditors from accredited certification bodies, which are organizations that are compliant with the ISO 17021 standard (Requirements for bodies providing audit and certification of management systems). So, no single auditor can certify an organization regarding ISO management systems. To verify if an organization is accredited to certify ISO 27001 management systems you should verify with the accreditation body in your country or in the country where the certification body has its headquarter.
Regarding qualifications, yes, an ISO 27001 certification auditor must have certain qualification, both related to ISO management system and specificities of market indus tries.
These articles will provide you further explanation about accreditation and certification:
- Accreditation vs. certification vs. registration in the ISO world https://advisera.com/articles/accreditation-vs-certification-vs-registration-in-the-iso-world/
- How to choose a certification body https://advisera.com/blog/2021/01/11/how-to-choose-an-iso-certification-body/
These materials will also help you regarding the certification process:
- Preparing for ISO Certification Audit: A Plain English Guide https://advisera.com/books/preparing-for-iso-certification-audit-plain-english-guide/
- Free webinar – ISO 27001/ISO 22301: The certification process https://advisera.com/27001academy/webinar/iso-27001iso-22301-certification-process-free-webinar-demand/ -
Conceptos y principios del SGC
La norma ISO 9001 es un estándar que establece los requisitos de un sistema de gestión de calidad. Ayuda a los negocios y las organizaciones a ser más eficientes y a mejorar la satisfacción del cliente.
La ISO 9001 se construye sobre siete principios de gestión de calidad. Seguir estos principios asegurará que la organización o el negocio se estructura de manera que cree valores sistemáticamente para sus clientes
1. Orientación al cliente. Cumplir con las necesidades del cliente es el objetivo principal del SGC y contribuirá a largo plazo al éxito de la compañía.
2. Liderazgo. Tener una única dirección o misión que viene de un liderazgo fuerte es esencial para asegurar que todo el mundo dentro de la organización entiende que es lo que se trata de alcanzar.
3. Implicación de los empleados. Crear valores para los clientes será más fácil si la organización es competente, está capacitada y comprometida a todos los niveles del negocio u organización.
4. Enfoque de procesos. Entender las actividades como procesos que se relacionan entre sí y funcionan como un sistema que ayuda a alcanzar resultados más coherentes y predecibles.
5. Mejora. La organizaciones de éxito tienen el objetivo de la mejora. La reacción a los cambios tanto internos como externos es necesario si se quiere continuar ofreciendo algo valioso a los clientes.
6. Toma de decisiones basadas en evidencias. La toma de decisiones nunca es fácil e implica un grado de incertidumbre, sin embargo asegurar que las decisiones están basadas en el análisis y la evolución de los datos llevará más probablemente a un resultado deseado.
7. Gestión de relaciones. La identificación de las relaciones importantes que se tienen con las partes interesadas, como la relación con los proveedores, así como establecer un plan para gestionarlos, dará como resultado el éxito mantenido en el tiempo.
Para más información, vea este artículo (en inglés): https://advisera.com/9001academy/blog/2014/02/04/seven-quality-management-principles-behind-iso9001-requirements/#
Los siguientes materiales le ayudarán con los sistemas de gestión ISO:
- Libro “Gestión de documentación ISO: una guía en un lenguaje sencillo”: https://advisera.com/books/gestion-de-documentacion-iso-una-guia-en-un-lenguaje-sencillo/
- Capacitación gratuita en línea: “Curso de fundamentos ISO 9001”: https://advisera.com/es/formacion/curso-fundamentos-iso-9001/
- Conformio (herramienta en línea para ISO 9001): https://advisera.com/conformio/ -
Manual de calidad y proveedores externos
La norma no requiere ya un manual de calidad, pero si decidiera la organización escribirlo, entonces lo podría hacer de la manera que encuentre más adecuada para la compañia. Una de los enfoques más comunes es hacerlo siguiendo las cláusulas del estándar.
La externalización de un proceso que necesita la organización estará sujeto normalmente a los requisitos de las cláusulas 8.4 (control de proveedores externos) y la cláusula 4.4 (SGC y sus procesos). Luego la organización tiene que asegurarse que los controles propuestos para el proveedor del proceso subcontratado son claramente definidos y adecuados.
Para más información sobre cómo escribir un manual de calidad, puedes ver: https://advisera.com/9001academy/pt-br/kit-de-documentacao-da-iso-9001/nowledgebase/escribir-un-breve-manual-de- calidad/
Para más información sobre subcontratación de proveedores, vea (en inglés): https://advisera.com/9001academy/blog/2015/05/05/how-to-control-outsourced-processes-using-iso-9001/#
Los siguientes materiales le ayudarán con los sistemas de gestión ISO:
- Libro “Gestión de documentación ISO: una guía en un lenguaje sencillo”: https://advisera.com/books/gestion-de-documentacion-iso-una-guia-en-un-lenguaje-sencillo/
- Capacitación gratuita en línea: “Curso de fundamentos ISO 9001”: https://advisera.com/es/formacion/curso-fundamentos-iso-9001/
- Conformio (herramienta en línea para ISO 9001): https://advisera.com/conformio/ -
Recertificación, auditoria externa y control de no conformidades
El acuerdo con la entidad de certificación continua después de la auditoria inicial (la auditoria de certificación), realizando además las auditorias rutinarias del sistema en curso (conocidas como auditorias de control o mantenimiento). Esto se lleva a cabo en un ciclo de tres años, en el cual la auditoria de certificación inicial examina al SGC ISO 9001 al completo, y en los dos años siguientes de auditorias de mantenimiento examina sólo partes del sistema. Las auditorias de mantenimiento pueden llevarse a cabo una vez al año, dos veces o más, dependiendo de lo que se haya acordado con la entidad certificadora; sin embargo, el mínimo es una vez al año durante el periodo en el cual la certificación es válida. Al final de los tres años, el ciclo comienza de nuevo si la compania decide mantener el certificado ISO 9001.
Para más información, vea el siguiente artículo(en inglés): https://advisera.com/9001academy/knowle dgebase/iso-9001-certification/?icn=free-knowledgebase-9001&ici=top-iso-9001-certification-what-is-it-for-individuals-and-companies-txt#
la norma dice que ya la documentación no es tan importante. que me evaluarían entonces en la auditoria externa ?
En la primera fase de la auditoria, el auditor examina la documentación y determina si cumple con los requisitos de la norma. En la segunda fase de la auditoria, el auditor examina los procesos y entrevista a los empleados para determinar si son llevados a cabo de acuerdo con la norma y la documentación del SGC.
Para más información, vea el siguiente artículo (en inglés): https://advisera.com/14001academy/blog/2019/08/27/key-iso-14001-benefits-to-customers/nowledgebase/what-will-the-iso-14001-auditor-ask-you-during-the-certification/
Qué factores son mas relevantes de la norma ? .
Obtener el apoyo de la alta dirección es crucial para tener éxito en el proceso de implementación. Sin este apoyo, la implementación de ISO 9001 seguramente fallará, ya que no se obtendrán los recursos necesarios para llevar a cabo un proyecto de tal complejidad.
Otro factor crítico es asegurarse de identificar todos los requisitos existentes para el SGC. Esto incluye los requerimientos de los consumidores, así como otros requisitos como regulaciones legales y las necesidades de la cultura de empresa.
Además, definir el alcance del SGC será de gran ayuda para asegurar que la organización conoce los límites de lo que necesita ser realizado, sin incluir áreas del negocio que pudieran no tener ningún efecto en el sistema
Para más información, vea el siguiente artículo (en inglés): https://advisera.com/9001academy/knowledgebase/checklist-of-iso-9001-implementation-certification-steps/#
Si me podrían asesorar en como hacer un control de servicio no conforme ?
Básicamente lo que hay que hacer es evitar que el problema se propague. Esto puede significar la incorporación de una inspección adicional después del proceso para revisar el problema en futuros productos o servicios, o la revisión de otros productos o servicios que ya habían sido creados por el proceso. Además, si es evidente de manera inmediata que un cierto parámetro del proceso ha cambiado, entonces habría que corregirlo en el parámetro anterior, a lo cual se conoce como acción de control.
Para más información, vea el siguiente artículo (en inglés):
https://advisera.com/9001academy/blog/2014/01/13/five-steps-iso-9001-nonconforming-products/
Los siguientes materiales le ayudarán con los sistemas de gestión ISO:
- Libro “Preparación para la auditoria de certificación ISO: una guía en un lenguaje sencillo”: https://advisera.com/books/preparacion-para-la-auditoria-de-certificacion-iso-una-guia-en-un-lenguaje-sencillo/
- Capacitación gratuita en línea: “Curso de fundamentos ISO 9001”: https://advisera.com/es/formacion/curso-fundamentos-iso-9001/
- Conformio (herramienta en línea para ISO 9001): https://advisera.com/conformio/ -
Content of the Design History File
Answer:
The design history file is an FDA term which you’ll find described in 21 CFR Part 820.30. It talks about your design controls and how they must be kept in a design history file. Design History File (DHF) is simply the collection of documents from the design and development process.
Here’s how the FDA describe it in 21 CFR Part 820.30(j):
“Each manufacturer shall establish and maintain a DHF for each type of device. The DHF shall contain or reference the records necessary to demonstrate that the design was developed in accordance with the approved design plans and the requirements of this part.”
Until recently, a DHF was technically only a requirement defined by FDA. ISO 13485:2003 made no direct mentioned of a DHF, or something similar. However, the updated ISO 13485:2016 does now specify the need to establish “design and development files”.
For more information, see : How to manage design and development of medical devices according to ISO 13485:2016 https://advisera.com/13485academy/blog/2017/08/24/how-to-manage-design-and-development-of-medical-devices-according-to-iso-134852016/ -
ISO 9001, CMMI and ISO 27001
Both CMMI and ISO 9001 aim at improving process quality. The fundamental difference between CMMI vs ISO 9001 is conceptual. CMMI is a process model and ISO 9001 is an audit standard.
CMMI is a set of related "best practices" derived from industry leaders and relates to product engineering and software development. Businesses receive CMMI ratings from Level 1 to Level 5 depending upon the extent of compliance to key performance areas specified in the selected CMMI process area.
ISO 9001 is a certification tool that certifies businesses whose processes conform to the laid down standards. Implementing ISO 9001 doesn't mean that you are compliant with CMMI, although it can be a good foundation for implementing CMMI.
What is your advice on implementing an enterprise quality assurance framework, in a nut shell? Does it sound correct, if I propose that use ISO 9001:2015 as overarching quality assura nce framework, where apply ISO 27001 for its information security?
ISO 9001 and ISO 27001 have their own purposes, ISO 9001 deals with quality while ISO 27001 is focusing on information security. They are complementary and can be implemented and maintained together as an integrated management system. For more information, see: How to integrate ISO 9001 and ISO 27001 https://advisera.com/9001academy/blog/2016/09/27/how-to-integrate-iso-9001-and-iso-27001/ -
Exclusions and ISO 9001:2015
Answer:
If the component is manufactured by your company it must be designed and the production process developed. If your company only assembles it must design and develop the assembled product but not the individual components. For example, a company can manufacture an industrial equipment. Design and development applies to the equipment as an whole and to some parts developed inside the company. The equipment incorporates a standard motor that the company buys to an approved supplier. The company do not need to design and develop that motor. And if during use, due to a breakdown of the equipment, the customer t hat bought the equipment orders a new motor, it is just a commercial operation included in the after-sales service. So, in that case you can exlude design and development for those standard components.
The following material will provide you information about exclusions:
• What clauses can be excluded in ISO 9001:2015? - https://advisera.com/9001academy/blog/2015/07/07/what-clauses-can-be-excluded-in-iso-90012015/2015/
•
Specific use of ISO 9001 design and development in the machining process - https://advisera.com/9001academy/blog/2017/03/14/specific-use-of-iso-9001-design-and-development-in-the-machining-process/
• - free online training ISO 9001:2015 Foundations Course – https://advisera.com/training/iso-9001-foundations-course/ -
ISO 27001 and Information Security manger
Answer: ISO 27001 does not define a role such as Information Security Manager, but authorities and responsibilities that must be fulfilled:
- ensure that the ISMS conforms to ISO 27001 standard; and
- report on the performance of the ISMS to top management
These authorities and responsibilities can be designated to the role of Information Security Manger, if it exist in the organization, or to any other role the organizations sees as appropriated.
These articles will provide you further explanation about authorities and responsibilities for the ISO 27001 ISMS:
- What is the job of Chief Information Security Officer (CISO) in ISO 27001? https://advisera.com/27001academy/knowledgebase/what-is-the-job-of-chief-information-security-officer-ciso-in-iso-27001/
- Chief Information Security Officer (CISO) – where does he belong in an org chart? https://advisera.com/27001academy/blog/2012/09/11/chief-information-security-officer-ciso-where-does-he-belong-in-an-org-chart/
- Role s and responsibilities of top management in ISO 27001 and ISO 22301 https://advisera.com/27001academy/blog/2014/06/09/roles-and-responsibilities-of-top-management-in-iso-27001-and-iso-22301/
- How to document roles and responsibilities according to ISO 27001 https://advisera.com/27001academy/blog/2016/06/20/how-to-document-roles-and-responsibilities-according-to-iso-27001/
These materials will also help you regarding authorities and responsibilities for the ISO 27001 ISMS:
- Book Secure & Simple: A Small-Business Guide to Implementing ISO 27001 On Your Own https://advisera.com/books/secure-and-simple-a-small-business-guide-to-implementing-iso-27001-on-your-own/
- Free online training ISO 27001 Foundations Course https://advisera.com/training/iso-27001-foundations-course/ -
Procesos externalizados
Mi respuesta:
La subcontratación de un proceso que necesita la organización está sujeto a los requisitos de las cláusulas 8.4 (Control de proveedores externos) y la cláusula 4.4 (SGC y sus procesos) de la norma ISO 9001:2015.
Hay que asegurarse de incluir todos los procesos externalizados que afectan a la calidad del producto o servicio en el alcance del SGC, en este caso la empresa que realiza el proceso de selección de los empleados. Es necesario identificar, definir y demostrar evidencia de controles suficientes sobre el proveedor externo del proceso externalizado para asegurar que tal proceso es llevado a cabo según los requisitos de I SO 9001:2015. La naturaleza y alcance de tales controles van a depender de la naturaleza del proceso externalizado o subcontratado y el riesgo que ello implica. Los procesos externalizados pueden ser controlados de muchas maneras, por ejemplo, facilitando especificaciones del servicio o el manual de calidad de proveedores que deben de cumplir; pidiéndoles resultados de inspecciones o certificados de conformidad, o la validación del proceso externalizado; realizando auditorias del servicio y auditorias del SGC del subcontratista; etc.
Para más información, puede leer el artículo"Cómo controlar procesos subcontratados utilizando la ISO 9001" (en inglés): https://advisera.com/9001academy/blog/2015/05/05/how-to-control-outsourced-processes-using-iso-9001/
Los siguientes materiales le ayudarán con los sistemas de gestión ISO:
- Libro “Preparación para el proyecto de implementación ISO: una guía en un lenguaje sencillo”: https://advisera.com/books/preparacion-para-el-proyecto-de-implementacion-iso-una-guia-en-un-lenguaje-sencillo/
- Capacitación gratuita en línea: “Curso de fundamentos ISO 9001”: https://advisera.com/es/formacion/curso-fundamentos-iso-9001/
- Conformio (herramienta en línea para ISO 9001): : https://advisera.com/conformio/ -
Inventory of assets
Answer: I saw that you covered assets most related to hardware and information media. Considering the ISO 27005 standard (information security risk management), annex B (identification and valuation of assets and impact evaluation), I think you should also consider the following for assets that will need some sort of control that will be relevant for every employee:
- Specific types of information (e.g., those with high cost to produce or replace, those related to business strategy and performance, people's privacy, etc.)
- People in specific positions (e.g., decision makers, key department managers, developers, products/processes specialists, etc.)
In the Inventory of Assets template that comes with your toolkit you have a list of assets you can consider (sheet "Checklist of assets").
If you still have any doubts, included in your toolkit you can schedule a meeting with one of our experts so he can provide you additional support. To schedule a meeting you can access this link: https://advisera.com/27001academy/consultation/