Załącznik SL – kiedy normy ISO zaczęły ze sobą rozmawiać

Pamiętasz chaos sprzed 2012 roku? Organizacje próbujące wdrożyć kilka norm ISO jednocześnie musiały walczyć z dokumentacją, która… no cóż, nijak do siebie nie pasowała. ISO 9001 mówiło jedno, ISO 14001 drugie, a ISO 27001 jeszcze coś innego. Wszystkie traktowały o systemach zarządzania, ale jakby każda norma żyła w swoim własnym uniwersum.

I wtedy ktoś w ISO wpadł na prosty pomysł: a gdyby tak… ujednolicić? Efektem był Załącznik SL (Annex SL), który oficjalnie nazywa się teraz „strukturą zharmonizowaną” – Harmonized Structure. Choć większość ludzi nadal mówi po prostu „Annex SL” albo HLS (High-Level Structure), bo stara nazwa jakoś lepiej się przyjęła.

Ale o co właściwie w tym wszystkim chodzi?

---

---

Załącznik SL to nie norma – to przepis na pisanie norm

Tutaj trzeba wyjaśnić jedną rzecz od razu. Załącznik SL sam w sobie nie jest normą ISO, którą organizacje mogą wdrażać. To zbiór zasad i wytycznych dla tych, którzy piszą standardy ISO dotyczące systemów zarządzania. Można powiedzieć, że to taki… szablon. Albo raczej wspólny fundament, na którym buduje się różne normy.

Ten dokument pojawił się jako dodatek (stąd nazwa „Annex”) do dyrektyw ISO/IEC – czyli oficjalnych instrukcji, jak tworzyć międzynarodowe standardy. Pierwotnie opublikowano go w 2012 roku, później w 2021 nastąpiła rewizja. Od tego czasu oficjalna nazwa brzmi Harmonized Structure, choć – przyznajmy szczerze – termin Annex SL wciąż króluje w branżowych rozmowach.

Co daje ta struktura? Przede wszystkim identyczny układ rozdziałów we wszystkich normach systemów zarządzania. To znaczy: niezależnie od tego, czy czytasz ISO 9001 (zarządzanie jakością), ISO 14001 (zarządzanie środowiskowe), ISO 27001 (bezpieczeństwo informacji), czy ISO 45001 (bezpieczeństwo i higiena pracy) – wszystkie mają tę samą szkieletową strukturę.

Załącznik SL narzuca również wspólne terminy i definicje. Zamiast różnych interpretacji tego samego pojęcia w różnych normach, mamy teraz jednolity słownik. Dla przykładu: termin „ryzyko” oznacza to samo w ISO 9001, co w ISO 14001, co w ISO 27001. Wydaje się oczywiste? Może teraz tak, ale wcześniej wcale tak nie było.

Oczywiście każda norma dodaje swoje specyficzne wymagania – to jasne. ISO 27001 będzie miał szczegółowe klauzule dotyczące bezpieczeństwa danych, których nie znajdziesz w normie o zarządzaniu jakością. Ale rdzeń, szkielet – to zawsze te same 10 klauzul (no dobra, technicznie klauzule 4-10 są wymaganiami, a 0-3 to wprowadzenie i definicje, ale…).

Zresztą, spójrzmy na to tak: przed 2012 próba wdrożenia dwóch systemów zarządzania jednocześnie przypominała układanie puzzli z dwóch różnych zestawów. Teraz to nadal puzzle, ale przynajmniej wszystkie elementy pasują do tej samej ramki.

Te 10 klauzul, które będziesz widział wszędzie

Każda norma oparta na Załączniku SL ma identyczną numerację i układ głównych rozdziałów. To wygląda tak:

• Punkt 0 (Wprowadzenie),
• Punkt 1 (Zakres),
• Punkt 2 (Powołania normatywne),
• Punkt 3 (Terminy i definicje),
• Punkt 4 (Kontekst organizacji),
• Punkt 5 (Przywództwo),
• Punkt 6 (Planowanie),
• Punkt 7 (Wsparcie),
• Punkt 8 (Funkcjonowanie),
• Punkt 9 (Ocena funkcjonowania),
• Punkt 10 (Doskonalenie).

Te trzy pierwsze (0-3) to głównie materiały referencyjne. Właściwe wymagania, od których zależy certyfikacja, zaczynają się w Punktach 4-10. To właśnie one układają się w cykl Plan-Do-Check-Act (Planuj-Wykonaj-Sprawdź-Działaj), czyli PDCA – klasyczna metoda ciągłego doskonalenia. Klauzule 4-6 to planowanie, 7-8 to wykonanie, 9 to sprawdzenie, a 10 to działanie korygujące.

Dlaczego to w ogóle ma sens?

Wyobraźmy sobie firmę budowlaną, która chce mieć certyfikat ISO 9001 (jakość) oraz ISO 14001 (środowisko). Przed erą Załącznika SL te dwie normy miały różną strukturę i terminologię. Firma musiała prowadzić dwa oddzielne systemy dokumentacji, szkolić ludzi na dwa różne sposoby, organizować niezależne audyty. Dużo papierkowej roboty, podwójny wysiłek.

Teraz? Obie normy mają tę samą strukturę. Polityka zarządzania jest w punkcie 5, planowanie w punkcie 6, monitorowanie w 9 – niezależnie od tego, czy mówimy o jakości, czy o środowisku. Dzięki temu organizacja może stworzyć jeden zintegrowany system zarządzania, który obejmuje oba standardy. Mniej dokumentów, mniej szkoleń, szybsze audyty.

To też oznacza, że audytorzy mają łatwiejszą robotę. Wcześniej audytor ISO 9001 i audytor ISO 14001 pracowali jakby na dwóch różnych planetach. Dziś mogą prowadzić audyty łączone, bo struktura jest identyczna. Efektywność rośnie, koszty spadają.

A dla małych i średnich przedsiębiorstw (MŚP)? Ogromna ulga. Bo małe firmy często nie mają osobnych działów do zarządzania normami – to te same osoby muszą ogarniać wszystko. Ujednolicenie struktury sprawia, że nie trzeba być ekspertem od każdej normy osobno. Zrozumiałeś jedną, zrozumiałeś wszystkie (oczywiście w zakresie tej podstawowej struktury, detale branżowe to osobna sprawa).

I jeszcze jedno – kiedy ISO aktualizuje normę, wcześniej to była totalna loteria. Mogła się zmienić numeracja rozdziałów, terminologia, układ wymagań. Teraz? Struktura pozostaje taka sama, zmieniają się tylko szczegóły.

Które normy już to stosują

ISO ma ponad 100 norm wykorzystujących Załącznik SL. Najważniejsze to: ISO 9001:2015 (jakość), ISO 14001:2015 (środowisko), ISO 27001:2022 (bezpieczeństwo informacji), ISO 45001:2018 (BHP), ISO 22301:2019 (ciągłość działania), ISO 22000:2018 (bezpieczeństwo żywności), ISO 50001:2018 (energetyka), ISO 21001:2018 (organizacje edukacyjne), ISO 37001:2016 (antykorupcja), ISO 55001:2014 (zarządzanie aktywami). ISO stawia sobie za cel, aby wszystkie nowe i rewidowane normy typu A (te, które pozwalają na certyfikację) korzystały z tej struktury. Normy typu B to tylko wytyczne, więc tam jest bardziej elastycznie.

Nie wszystko jest idealne

Dobra, ale powiedzmy sobie szczerze – Załącznik SL ma też swoje wady. Bo nic w życiu nie jest doskonałe, prawda?

Pierwsza krytyka: struktura hamuje innowacje. Ponieważ wszystkie normy muszą pasować do jednego szablonu, nie można wprowadzać radykalnych zmian. Na przykład, wiele osób od lat postuluje usunięcie wymogu dotyczącego polityki jakości z ISO 9001 (Punkt 5.2), ale… to niemożliwe. Bo struktura tego nie pozwala. Jest jak jest.

Druga sprawa – błędy w Załączniku SL rozprzestrzeniają się na wszystkie normy. Najlepszy przykład? Termin „udokumentowana informacja” (documented information). Brzmi profesjonalnie, ale w praktyce jest mega mylący, bo odnosi się zarówno do dokumentów, jak i zapisów. To jeden termin na dwie różne rzeczy. I teraz wszystkie normy ISO muszą się z tym męczyć.

Trzecia kwestia – niektóre wymagania, które mają sens w ISO 9001, nie mają większego sensu w innych normach. Weźmy klauzulę 4.4, która wymaga zdefiniowania procesów systemu zarządzania i ich wzajemnych powiązań. W ISO 9001 to jak najbardziej logiczne – zarządzanie jakością to zarządzanie procesami. Ale w ISO 14001? Tam chodzi o wpływ środowiskowy, niekoniecznie o procesy. No ale struktura jest jedna, więc wszyscy muszą to mieć.

Jest jeszcze sprawa „ryzyka i szans”. Różne normy podchodzą do tego różnie, zwłaszcza te w branżach regulowanych. Podczas rewizji Załącznika SL w 2021 toczyły się długie dyskusje o tym, jak definiować ryzyko i jak je adresować. Ostatecznie… nic się nie zmieniło. Definicja pozostała taka sama, mimo że w praktyce różne sektory potrzebują różnych podejść.

A, zapomniałem wspomnieć – w 2023 roku ISO dodało do Załącznika SL klauzule dotyczące zmian klimatycznych. Konkretnie w punktach 4.1 (zrozumienie kontekstu organizacji) i 4.2 (potrzeby i oczekiwania zainteresowanych stron) pojawił się wymóg, aby organizacje określiły, czy zmiany klimatu są dla nich istotną kwestią. To wynik tzw. London Declaration z 2021 roku, w której społeczność ISO zobowiązała się do walki ze zmianami klimatu. Wszystkie istniejące normy typu A muszą być automatycznie zaktualizowane o te zmiany.

Mimo tych krytyk większość ekspertów uważa, że zalety przewyższają wady. Bo jasne, struktura nie jest idealna. Ale jest lepsza niż chaos sprzed 2012 roku.

Jak to wygląda w praktyce?

Widziałem ostatnio firmę IT, która wdrażała ISO 27001 i ISO 9001 jednocześnie. Wcześniej, powiedzmy w 2010 roku, byłoby to prawdopodobnie koszmarem. Dwa oddzielne projekty, dwa zespoły, dwie dokumentacje, dwa systemy szkoleń. Teraz? Jeden zintegrowany system. Wspólna polityka zarządzania, wspólne procedury dotyczące oceny ryzyka, wspólne audyty wewnętrzne. Oczywiście są różnice – ISO 27001 wymaga szczegółowych kontroli bezpieczeństwa IT, których nie ma w ISO 9001. Ale fundament jest ten sam.

Albo przykład z przemysłu spożywczego. Firma produkująca żywność chce mieć ISO 22000 (bezpieczeństwo żywności) oraz ISO 14001 (środowisko). Dzięki Załącznikowi SL może prowadzić jedno przegląd zarządzania (Punkt 9.3), który obejmuje oba systemy. Jedno spotkanie zamiast dwóch. Jedna dokumentacja procesów zamiast podwójnej. Oszczędność czasu? Ogromna.

Jest jeszcze kwestia rewizji norm. Kiedy ISO 9001 przeszedł rewizję z wersji 2008 na 2015, struktura zmieniła się drastycznie – właśnie dlatego, że przeszedł na Załącznik SL. Organizacje musiały przebudować swoje systemy zarządzania. Ale to była jednorazowa zmiana. Kolejne rewizje będą już znacznie łagodniejsze, bo struktura pozostanie taka sama.

No i z audytami jest teraz znacznie sprawniej. Audytorzy mogą łatwiej przechodzić między różnymi normami, bo znają już tę podstawową strukturę. To ułatwia życie zarówno audytorom, jak i organizacjom.

Co dalej z Załącznikiem SL?

ISO kontynuuje harmonizację. Wszystkie nowe normy systemów zarządzania już z automatu powstają w oparciu o Załącznik SL. Stare normy są stopniowo aktualizowane – jak tylko przychodzi czas ich regularnej rewizji (co zwykle następuje co 5-7 lat), komitety techniczne przepisują je na nową strukturę.

Więc za kilka lat prawdopodobnie wszystkie główne normy ISO będą już w pełni zharmonizowane. To nie stanie się z dnia na dzień – niektóre normy z wersji 2012 będą koegzystować z tymi z 2021 przez jakiś czas. Ale trend jest jasny.

Załącznik SL nie rozwiąże wszystkich problemów z wdrażaniem systemów zarządzania. Nie sprawi, że certyfikacja stanie się banalna. Ale zdecydowanie ułatwia życie organizacjom, które chcą mieć więcej niż jeden certyfikat ISO. I to już niemało.