ISO 9001 для украинских IT-компаний, работающих в Польше

С 2022 года тысячи украинских IT-команд перенесли юридическое присутствие в Польшу — открывая ООО (Spółka z ograniczoną odpowiedzialnością), ИП (jednoosobowa działalność gospodarcza) либо филиал украинского ФОПа. Часть этих компаний уже работает с польскими корпоративными клиентами и вступает в публичные закупки. На определённом этапе встаёт вопрос, который в Украине часто решался иначе: сертификат ISO 9001:2015 как условие участия в тендере или контракте.

Настоящая публикация носит информационный характер и не является коммерческим предложением. Формальная оценка стоимости сертификации составляется индивидуально после анализа заявки.

Где украинская IT-компания сталкивается с требованием ISO 9001

В польском контексте сертификат ISO 9001:2015 выступает в трёх типичных ситуациях:

1. Государственные закупки (PZP, Prawo Zamówień Publicznych). Закон от 11 сентября 2019 года о государственных закупках разрешает заказчику требовать от исполнителя сертификата системы менеджмента качества как одного из условий участия (kryterium podmiotowe) или критерия оценки предложения (kryterium oceny ofert). Применение распространено в IT-тендерах публичной администрации, медицинских учреждений, государственных предприятий.
2. Корпоративные тендеры (zamówienia komercyjne). Польские банки, страховщики, телеком-операторы, энергетические компании систематически включают ISO 9001 в анкету квалификации поставщика (Vendor Qualification Questionnaire). Часто параллельно с ISO/IEC 27001 для информационной безопасности.
3. SLA-соглашения с польскими клиентами. Контракты на разработку и сопровождение программного обеспечения уровня enterprise часто содержат обязательство исполнителя поддерживать сертификацию ISO 9001 в течение всего срока договора, с правом аудита заказчиком.

Аккредитация органа по сертификации — ключевой вопрос

Не каждый сертификат ISO 9001 имеет одинаковую правовую силу. Граница проходит по аккредитации:

• Аккредитованный орган по сертификации систем менеджмента (ISO/IEC 17021-1) — сертификат признаётся в государственных закупках в Польше и других странах ЕС, в системах квалификации корпоративных клиентов, в процессе цепочки поставок (supply chain) международных производителей.
• Неаккредитованный орган — сертификат имеет ограниченную правовую силу. В тендерах PZP такой сертификат как правило не принимается. Корпоративные клиенты не считают его эквивалентом.

Аккредитация Польского центра аккредитации (Polskie Centrum Akredytacji, PCA) в области ISO/IEC 17021-1 даёт право выдавать сертификаты систем менеджмента качества с признанием в рамках соглашения IAF MLA (International Accreditation Forum Multilateral Recognition Arrangement). Сертификат, выданный jednostką certyfikującą с аккредитацией PCA либо иной национальной агентуры — участницы IAF MLA, признаётся как эквивалент в любой стране — участнице соглашения, в том числе в Украине (НААУ — участник IAF MLA).

Цикл сертификации — что происходит в течение 4–6 месяцев

Стандартный цикл сертификации ISO 9001 для IT-команды численностью 15–50 человек состоит из следующих этапов:

Месяц 1: подготовительная фаза. Аудит соответствия (gap analysis) текущих процессов компании требованиям ISO 9001:2015, разработка либо актуализация документированной информации (политика качества, цели качества, процедуры управления документами и записями, управление несоответствиями, корректирующими действиями). В IT-контексте — описание процессов разработки (SCRUM/Kanban), управления конфигурациями (Git workflow), тестирования, релиз-менеджмента, обработки инцидентов и заявок поддержки.

Месяц 2–3: внедрение. Запуск операционной работы системы — проведение внутренних аудитов, оценка поставщиков, измерение удовлетворённости клиентов, ведение записей о несоответствиях. Минимально требуемая глубина — 3 месяца стабильной работы СМК до сертификационного аудита.

Месяц 4: аудит этапа 1 (Stage 1). Аудитор jednostki certyfikującej проверяет полноту документации, готовность системы к аудиту этапа 2, идентифицирует области, требующие особого внимания.

Месяц 5: аудит этапа 2 (Stage 2). Сертификационный аудит на месте — в польском офисе и (при необходимости) в украинском R&D-центре. Аудитор проверяет фактическое функционирование системы, выборочно проверяет записи и протоколы.

Месяц 6: решение о сертификации. Технический комитет jednostki certyfikującej принимает решение на основании отчёта аудитора. После закрытия выявленных несоответствий выдаётся сертификат сроком на три года с ежегодным надзорным аудитом.

IAF MD 5 — продолжительность аудита

Международный документ IAF MD 5 «Determination of Audit Time of Quality and Environmental Management Systems» определяет минимальную продолжительность аудита в днях на основании численности эффективного персонала, сложности процессов и количества площадок. Для типичной IT-команды:

• 1–10 человек — около 1,5 дня для сертификационного аудита (Stage 1 + Stage 2 совместно).
• 11–25 человек — около 3 дней.
• 26–65 человек — около 4–5 дней.
• 66–125 человек — около 6,5 дней.

Это базовые значения; они могут быть скорректированы в зависимости от количества офисов (украинский R&D-центр + польский офис продаж считаются как multi-site), сложности процессов разработки, наличия нескольких бизнес-направлений.

Типичные ошибки украинских IT-компаний при подготовке к сертификации

• Перенос украинской документации СМК «как есть». Документация должна быть адаптирована к польскому юридическому контексту (трудовое законодательство, GDPR, Code of Civil Procedure для разрешения споров с польскими клиентами).
• Отсутствие польской версии политики качества. Аудитор имеет право требовать предоставления документов на польском или английском языке. Внутренний рабочий язык команды (украинский, русский) допустим, но ключевые документы должны иметь перевод.
• Неучтённый риск двойной инспекции. Если R&D работает в Украине, а продажи в Польше — это multi-site. Аудитор посетит обе площадки. Бюджет и логистика должны это учитывать.
• Игнорирование GDPR в политике качества. ISO 9001 не покрывает GDPR напрямую, но ISO 9001 требует учёта законодательных требований к продукту/услуге. GDPR относится к этой категории для IT-компании.

Параллельная сертификация ISO 9001 и ISO/IEC 27001

Для IT-компании, работающей с корпоративными клиентами в Польше, рекомендуется планировать параллельную сертификацию ISO 9001:2015 (качество) и ISO/IEC 27001:2022 (информационная безопасность). Эта практика снижает совокупную стоимость аудита (часть документации общая, часть аудита может проводиться интегрированно), а также соответствует структуре корпоративных анкет квалификации поставщика, которые обычно требуют оба сертификата.

Резюме

Украинская IT-компания, работающая в Польше, в большинстве случаев нуждается в сертификате ISO 9001:2015 уже на этапе первого тендера PZP или контракта с польской корпорацией. Ключевой вопрос — аккредитация органа по сертификации (PCA, IAF MLA). Цикл сертификации для команды 15–50 человек составляет 4–6 месяцев. Для информационной безопасности рекомендуется параллельная сертификация ISO/IEC 27001:2022.

Связь: телефон +48 730 668 341, электронная почта [email protected]. Языки обслуживания: украинский, русский, польский, английский.