По следам прошедшей выездной проверки

[Itanium]

В ходе выездной проверки услышал от эксперта много нового и удивительного... Появилось ощущение, что все поменялось и я что-то пропустил :)
Нахожусь в процессе осмысления и хотел бы некоторые "новости" обсудить с сообществом.
Вводная первая:
Менеджер по качеству отвечает за СМК Лаборатории, за ее разработку и внедрение, поэтому является заинтересованным лицом и не может объективно проводить аудиты СМК... Возникает вопрос - все сотрудники Лаборатории так или иначе задействованы и ответственны за один (испытания) или несколько процессов, какими силами проводить аудиты, если все сотрудники в чем-то являются пристрастными?

Вводная вторая:
Получаем задание - сделать резервную копию протокола испытаний, и сделать восстановление из резервной копии. Цель проверить функционирование этого процесса.
Процесс вообще-то был настроен на автоматическое создание резервной копии после окончания рабочего дня, и сисадмина конечно же не было в Лаборатории, а сроки исполнения задания пару часов.
Ладно, сделали вручную... В ходе проверки вопрос - а почему у Вас протоколы в резервной копии не подписаны электронной подписью? - Зачем, у нас есть в Архиве подписанный бумажный экземпляр протокола?
А вот если у Вас архив затопит, а Заказчик попросит выдать копию протокола... Резюме такое - делать 2 экземпляра протокола (один Заказчику, второй в Архив) мало! Нужно еще подписывать протокол на компьютере электронной подписью и делать резервную копию...
Мы конечно подписали, и вообще-то планировали в будущем плавно переходить на электронные протоколы, но делать одновременно и электронные и бумажные в голову не приходило...

Какие мысли коллеги?

[DigitalError]

какими силами проводить аудиты

Приветствую, коллега!
1. Внешний аудит (эксперт визитку не оставил? Много денег бывает только в советском мультике про золотую антилопу:) )
2. Обучить уборщика (условно) проведению аудита СМК и назначить его приказом по организации ответственным за проведение аудита без каких-либо доп. обязанностей.

Нужно еще подписывать протокол на компьютере электронной подписью и делать резервную копию

В связи с этим возникает вопрос - возможно ли через пару лет без официального запроса в удостоверяющий центр проверить подлинность выданного ранее сертификата ЭЦП с истекшим сроком действия (сам не сталкивался)? Критерии аккредитации содержат фразу " в бумажном и (или) электронном виде". Насколько я понимаю, "и" или "или" лаборатория определяет самостоятельно своим руководством по качеству - можно выдавать протоколы в электронном виде по умолчанию, а для "недоговороспособных" заказчиков оставить себе возможность выдачи бумажных протоколов. Но для этого придется вести двойной архив (бумажный и электронный) и тут уже скорее встает вопрос о допустимости ведения такого архива...

[Itanium]

1. Внешний аудит

Ага, из большой четверки - Deloitte, PricewaterhouseCoopers, Ernst & Young, KPMG :) Как раз весь бюджет Лаборатории за год и уйдет на аудиты :)
А если серьезно - это официальная позиция ФСА или частное мнение эксперта, основанное на его представлениях о том "как правильно"?

По поводу ЭЦП уже разбирали год назад - улучшенная квалифицированная подпись по ГОСТ'у 2012г содержит сертификат (используется как раз для проверки подписи) действующий 3 года.
И в данном случае вопрос стоит не и/или, а как раз и/и - если выпускаешь протоколы в бумажном виде, то должен и электронные подписывать ЭП и архивировать. Собственно - двойная работа. Когда протоколов 100 шт за год, оно конечно не так чувствительно, можно еще флэшку с месячным бэкапом в Банковскую ячейку сдавать :) когда протоколов тысячи в год? или в месяц?

[Гость]

По поводу архива очередное субъективное мнение эксперта. Так же и пожар может быть и все компьютеры сгореть. Гугл Драйвы и тп наше всё!

[Itanium]

и пожар может быть

Да. Вообще эксперт был очень креативный, и приводил множество самых неожиданных примеров "из жизни". Вот например у Вас "галка через окно утащит второй экземпляр протокола"... :)
Сижу и думаю - а если метеорит упадет прямо на лабораторию...

[texadmin]

менеджер по качеству отвечает за СМК Лаборатории, за ее разработку и внедрение, поэтому является заинтересованным лицом и не может объективно проводить аудиты СМК

Было такое озвучено, (не помню где, вероятно курсы которые РА выкладывало), менеджер СМК не может проверять свою работу, соответственно других он проверять может.

протоколы в резервной копии не подписаны электронной

Вспоминаем критерии, подписаны ЭЦП

В связи с этим возникает вопрос - возможно ли через пару лет без официального запроса в удостоверяющий центр проверить подлинность выданного ранее сертификата ЭЦП с истекшим сроком действия (сам не сталкивался)?

Утверждать не буду, по памяти подпись считается действительной, для подтверждения обращайтесь где получили.

По поводу архива очередное субъективное мнение эксперта. Так же и пожар может быть и все компьютеры сгореть.

Тут не скажите резервная копия должна находится отдельно от архива.

Вот например у Вас "галка через окно утащит второй экземпляр протокола

Про галку уже не первый раз слышу.

[Itanium]

Вспоминаем критерии, подписаны ЭЦП

Давайте вспомним:
"и) систему хранения и архивирования документов, в том числе правила хранения и архивирования, предусматривающие хранение на бумажных носителях и (или) в форме электронных документов, подписанных усиленной квалифицированной подписью, по месту (местам) осуществления деятельности..."

Электронный документ, не файл Протокола, созданный на ПК для распечатки. В противном случае, абсолютно все, файлы, созданные на ПК в ИЛ (РК, Инструкции, служебки и т.д.), нужно подписывать ЭП, а потом еще распечатывать и подписывать рукой... Так?
Заметим - в критериях стоит "и (или)".

[texadmin]

предусматривающие хранение на бумажных носителях и (или) в форме электронных документов

Всё что электронное должно быть подписано.
Да я понимаю некоторую избыточность, и не учу как правильно, я пытаюсь озвучит мысли эксперта.

[DigitalError]

если серьезно

Тогда это замечание эксперта должно было попасть в акт выездной оценки. Если нет в акте - значит, это его "хотелка". Есть ГОСТ Р ИСО 19011-2012 "Руководящие указания по аудиту систем менеджмента", в нем значительное внимание уделено беспристрастности (под ней обычно понимается отсутствие самопроверок). Так же значение беспристрастности для функционирования ИЛ повышено в новом ГОСТ 17025-2019. Можно договориться о проведении аудита с другой независимой лабораторией (предварительно урегулировав вопрос обеспечения конфиденциальности), но требуется не внешний аудит, а именно внутренний - так почему бы не вменить его проведение сотруднику организацию, не входящему в состав ИЛ, но входящему в состав организации?

если выпускаешь протоколы в бумажном виде

Так в том и вопрос - возможно ли избавиться от бумажных протоколов? Может достаточно внедрить ЭЦП в структуру PDF документа и баста (цена вопроса 30 000 рублей на приобретение ПО)?

Отправлено спустя 3 минуты:

для подтверждения обращайтесь где получили

Так в том и вопрос - обратимся и через 30 дней получим положительный ответ (далеко за пределами сроков проведения выездной оценки) с приостановкой деятельности...

[Itanium]

Так в том и вопрос - возможно ли избавиться от бумажных протоколов?

Нет, в данном случае вопрос не в том. Вопрос в том, если в ИЛ ведется бумажный оборот протоколов испытаний - должна ли она вести и электронный архив протоколов с ЭП...

Знаете - вопрос с электронным оборотом Протоколов не так прост как кажется, и цена вопроса несколько иная, и процессы должны быть отработаны. У нас протокол подписывает в том числе исполнитель. Протокол нужно создать, подписать, хранить, передавать. Подпись должна быть не только у руководителя ИЛ, но и у заместителя, а по хорошему - у всех испытателей. Нужен как минимум регламент использования ЭП. Все участники должны Вашу подпись не только видеть, но и подтверждать ее подлинность.
И, кстати, нужно понимать, что с улучшенной подписью, у Вас уже не получится задним числом подправить Протокол и переподписать его нужной датой...

[texadmin]

Так в том и вопрос - обратимся и через 30 дней получим положительный ответ (далеко за пределами сроков проведения выездной оценки) с приостановкой деятельности

Ну давайте так - эксперт не является компетентным лицом в данном вопросе, что бы утверждать что подпись недействительная, в руководстве прописать в слечае необходимости доказать показать, делается официальный запрос аккредитованную (у них вроде тоже аккредитация необходимо уточнить) организацию с целью подтверждения подлинность ЭЦП, а уж сколько там дней вопрос десятый

[Itanium]

что электронное должно быть подписано

Все, что есть на ПК электронного, Вы при всем желании подписать не сможете. Подписывать нужно только электронные документы.

[texadmin]

Вопрос в том, если в ИЛ ведется бумажный оборот протоколов испытаний - должна ли она вести и электронный архив протоколов с ЭП

Походу сверху разнарядка, хотя для меня если есть рабочие записи это избыточно.

[Itanium]

есть рабочие записи

А есть вариант что их может не быть? :)))

[texadmin]

Все, что есть на ПК электронного,

Да я понимаю некоторый перегиб, по SMS деньги можно переводить, а деньги наше всё, а тут копию, копий, копировать надо.
Те же базы, можно их подписать, и все нужна новая, что убивает саму идею базы данных.

[Гость]

Добрый день, вытекающий вопросик, я менеджер по качеству ИЛ, и участвую во внутренних проверках, это получается не соответствие?!?!

[Itanium]

я менеджер по качеству ИЛ, и участвую во внутренних проверках, это получается не соответствие?!?!

Вот это и хочется понять - это теперь у всех, и это такое требование, или пока настойчивая рекомендация...

Пока, на сколько я помню, на форуме бытовало мнение, что аудиты как раз и есть обязанность менеджера по качеству...

Отправлено спустя 2 минуты:
Ну ладно в частной ИЛ - можно гибко штатку перекроить и развести должности и функционал. А как в государственных ИЛ, или в крупных холдингах - где и менеджера по качеству ввести крайне сложно, так еще и дополнительного человека на аудиты...

Отправлено спустя 2 минуты:

Да я понимаю некоторый перегиб

Перегибы как раз не удивляют :) Просто хочется понять - это случайность или тренд? Т.е. теперь так будет всегда :)

[DigitalError]

должна ли она вести и электронный архив протоколов с ЭП

От нас это тоже требовали, причем две разные экспертные группы. Видимо, придется аннулировать ранее выданный протокол и выдавать новый, без всяких "нужных дат".

сколько там дней вопрос десятый

Хорошо, успокоили. Но помня историю со сроками отображения сведений о поверке СИ во ФГИС "Аршин" - проверять не хочется.

[Itanium]

От нас это тоже требовали, причем две разные экспертные группы

Ну так это совсем другой коленкор :)
30 тыр на Adobe, 16 тыр на подпись для Adobe + Токены + Cripto Pro х на 12 сотрудников :)

Всего и делов то...

[DigitalError]

Всего и делов то...

Согласен, с дешевизной погорячился. А еще это все кто-то должен регулярно закупать и хорошо, если не по 44-ФЗ...

[Itanium]

с дешевизной погорячился

И главное - все это становится совершенно глупым, если Заказчик по тем или иным причинам не готов принимать электронные протоколы. Точнее готов, но нужны еще и бумажные :)

[texadmin]

Adobe

Утверждать не буду но вроде и бесплатный подписывает.

Вот это и хочется понять - это теперь у всех, и это такое требование, или пока настойчивая рекомендация

Моё мнение, Менеджер СМК делает аудит, а его работу проверяет руководитель (тоже аудит отдельных пунктов)

[Itanium]

но вроде и бесплатный подписывает

Не помню детали, но бесплатным ничего подписать не удалось...

Отправлено спустя 18 минут:
Кстати, подписывать можно и *.docx и *.xlsx. Плагин для CriptoPro стоит что-то около 1200 руб. Но там есть ньюансы. Мудохались долго - только что подписанный файл через пару минут показывал подпись как недействительную.

[DigitalError]

бесплатный подписывает

Подписывает, но не внедряет ЭЦП в структуру документа. Как подсказал сейчас сисадмин, для этого нужен Acrobat Reader PRO (или Acrobat Pro DC), в этом году планируем закупить и попробовать. Если при этом удастся избавиться от "прицепа" в виде отдельного файла подписи к подписываемому файлу, будет идеально.

[Itanium]

не внедряет ЭЦП в структуру документа

Все, что я видел из "не внедряющего в структуру документа" - это то, что можно увидеть только в программе подписания и экспортировать в неудобоваримом виде, бесполезном для внешних пользователей.
Есть даже полностью бесплатный комплект от VipNet'а. Но я это все даже не рассматриваю.

[texadmin]

Itanium, А замечания то Вам записали? с другой стороны есть критерии, и как должно быть это дело десятое, лишь бы не формально. Галка, и прочие фантазии могут вообще не иметь границ, на то есть риск ориентированный подход.

[dzhulija20]

Коллеги подскажите, пожалуйста, нужно ли в форме 1 кроме образования указывать сведения о курсах повышения квалификации? И как быть если стажер до первого подтверждения ПК не был включен в область аккредитации, а сейчас мы хотим его включить во второе ПК? Оформлять задним числом? Можно ли так если ранее сведения по стажеру не подавались?

[Dinara8585]

Добрый день! Навеяло темой, просто хочется логичный ответ. Мы распечатываем протокол, сканируем и сохраняем на флешке, бумажную копию в архив. Зачем на флешке подписывать ЭЦП, если в протоколе уже имеются подписи испытателей и он утвержден?

[texadmin]

если в протоколе уже имеются подписи испытателей и он утвержден?

Сканированные подписи? А Вы как считаете?
Протокол у Вас утверждён, у Вас нет правила резервного копирования.

Предусматривающие хранение на бумажных носителях и (или) в форме электронных документов, подписанных усиленной квалифицированной подписью.

Да и чисто от себя, на флешке крайне не рекомендую хранить, по очень многим причинам, если только для комиссии.

[DigitalError]

нужно ли в форме 1 кроме образования указывать сведения о курсах повышения квалификации?

И можно, и нужно.
Статья 60 пункты 10-11 ФЗ "Об образовании в Российской Федерации":
"Документ о квалификации подтверждает: повышение или присвоение квалификации по результатам дополнительного профессионального образования (подтверждается удостоверением о повышении квалификации или дипломом о профессиональной переподготовке)... Квалификация, указываемая в документе о квалификации, дает его обладателю право заниматься определенной профессиональной деятельностью или выполнять конкретные трудовые функции, для которых в установленном законодательством Российской Федерации порядке определены обязательные требования к наличию квалификации..."

[DigitalError]

Зачем на флешке подписывать ЭЦП

у Вас нет правила резервного копирования

Статья 6 пункт 1 ФЗ "Об электронной подписи":
"Информация в электронной форме, подписанная квалифицированной электронной подписью, признается электронным документом, равнозначным документу на бумажном носителе, подписанному собственноручной подписью, и может применяться в любых правоотношениях в соответствии с законодательством Российской Федерации, кроме случая, если федеральными законами или принимаемыми в соответствии с ними нормативными правовыми актами установлено требование о необходимости составления документа исключительно на бумажном носителе."
Отсюда следует (поправьте, если ошибаюсь), что если это позволяет руководство по качеству и нет требования НПА о составлении исключительно на бумажном носителе (насколько я знаю, такого требования в отношении протоколов нет), то можно делать 1 бумажный протокол (исключительно для заказчика, раз ему так хочется), а себе оставлять электронный подписанный ЭЦП - обеспечивая одновременно и резервное копирование, и электронный архив.
Еще один довод в пользу предположения - примечание 2 к пункту 7.8.1.2. ГОСТ ISO/IEC 17025-2019:
"Отчеты (они же - протоколы) могут быть изданы на бумажном носителе или с помощью электронных средств при условии, что требования настоящего стандарта выполнены".

[DigitalError]

как быть если стажер

Включить в качестве стажера - без проблем (приказом по организации + программа стажировки до достижения опыта работы 3 лет). В качестве специалиста (лица, имеющего право подписывать протокол) сложнее - нужно будет доказывать опыт работы в ОА плюс какое-то распоряжение по лаборатории/организации о допуске к самостоятельной работе по измерениям/испытаниям на основании проверки знаний. Механизм допуска у вас должен быть прописан в руководстве по качеству.

[texadmin]

составлении исключительно на бумажном носителе (насколько я знаю, такого требования в отношении протоколов нет), то можно делать 1 бумажный протокол (исключительно для заказчика, раз ему так хочется), а себе оставлять электронный подписанный ЭЦП - обеспечивая одновременно и резервное копирование, и электронный архив.

Наверное единственный оптимальный вариант, "с учётом последних требований экспертов". Так то хватало просто одного протокола в архиве.

[DigitalError]

texadmin, осталось проверить, нет ли в каком-нибудь действующем НПА, основанном на ФЗ, требования к ведению архива "в исключительно бумажном виде". По поводу хранения на флешке поддержу и дополню - на SSD-диске тоже не стоит хранить ("сыпется" практически мгновенно), лучше на старом добром внешнем HDD.

[texadmin]

нет ли в каком-нибудь действующем НПА

Уже обсуждали, поводов так не делать не нашли, на вопрос экспертов а если электричество отключат тыкаем критерием "в бумажном и (или) электронном виде".

[DigitalError]

тыкаем критерием

с 01 января 2021 года критерии аккредитации изменятся. Может подождем пока - количество протоколов позволяет, а еще год "бумага стерпит" :)

[texadmin]

с 01 января 2021 года критерии аккредитации изменятся. Может подождем пока - количество протоколов позволяет, а еще год "бумага стерпит"

Моё руководство, только бумага, на обучении эксперт сказал и ни шагу назад.
Ещё из забавного. Место если на сервере не хватает докупаем диск. Проблем нет, объёмы дисков растут быстрее чем забиваем, "на скажем так внегласной" экспертизе, - а как вы уничтожаете?, -а мы не уничтожаем - да что вы лечите такого не может быть, пишите как уничтожаете.

[Itanium]

на то есть риск ориентированный подход

Я тоже так думал, до приезда экспертов :)
Оказалось - риски отдельно, требования отдельно. Никаким анализом рисков никакие требования ни смягчить ни тем более убрать не получится.
Мои изыскания по электропитанию не восприняли от слова СОВСЕМ. Лаборатория должна регистрировать условия внешней среды (внешней среды!) - и все тут, зачем, для чего - потому что потому:).
Ну хорошо предварительно запаслись testo 760-1.
Вот теперь сижу думаю над автоматизацией регистрации условий внешней среды :)
Попробую разобраться с Fluke 289
https://fluke-online.ru/product/fluke-2 ... 6321400460

Задачка формировать на компе файлик в формате время - напряжение - частота (частота!!!:)

Тоже самое с температурой и влажностью - что-нибудь вроде этого
http://disystec.ru/sistemy/stacionarnyj ... roklimata/

Периодически файлик подписал и в архив.

Отправлено спустя 2 минуты:

программа стажировки до достижения опыта работы 3 лет

А Вы в состоянии разработать программу на 3 года?! Я нет! Целые ВУЗы на 4 года программы разрабатывают, а тут сел и на 3 года "навалял"... бред же. У нас пол-года вся программа, в конце сдача зачета.

Отправлено спустя 9 минут:

если в протоколе уже имеются подписи испытателей

Невнимательно читали! Сказано же - галка утащит Ваш второй экземпляр протокола, а Заказчик попросит выдать еще один экземпляр протокола
А Ваш скан кто-то взял о отредактировал...
Но это все мелочи, как с астероидами и метеоритами быть непонятно.
Сорри за сарказм, меня этот дурной театр уже сильно достал.

Я пришел в эту Лабораторию год назад, когда она только открылась. Почти все с учеными степенями, увлеченные люди, об исследованиях все говорили. Прошел год - сейчас у всех мысли только о том ЧТО - КУДА и КАК ПРАВИЛЬНО ЗАПИСАТЬ.

[DigitalError]

Вы в состоянии разработать программу на 3 года?

Конечно. Последний этап - "проведение измерений под руководством наставника" - может длиться 2,5 года, никто ж не запрещает :)
А заканчивается как и у вас - комиссионным допуском к самостоятельной работе (распоряжение руководителя ИЛ с указанием методик измерений, к проведению измерений по которым бывший стажер допускается)

Отправлено спустя 8 минут:

Периодически файлик подписал и в архив

Идея хорошая - подписывать ЭЦП дата-файл с прибора и в электронный архив его раз в неделю.
Было к нам замечание экспертов (в акт не попало), что температуру/влажность по субботам и воскресеньям не контролируем.
Отбрехались тем, что в руководстве по качеству написано - "еженедельно", СИ хранятся в герметичных кейсах, а лаборатория не открытое поле, чтобы резкие скачки микроклимата были. Хмыкнули, но "съели"...

[Itanium]

Хмыкнули, но "съели"...

Могли бы запросто и не съесть...

Проблемы хочется решать окончательно! не оставляя экспертам ни единого шанса. Поэтому коллеги - делитесь, если чего накопаете по автоматической регистрации параметров.

[DigitalError]

не оставляя экспертам ни единого шанса

Ну должны же они хоть что-то в акте написать - зря приезжали, что ли? Войдите в положение :)

Проблемы хочется решать окончательно

Так то оно так, вот только жизнь и законы меняются непрерывно, а цена X достижения идеала Y, в соответствии с общефизической кривой насыщения, резко возрастает начиная с 0,8 - 0,9.
Так может - разумнее остановиться на уровне 0,8 от идеала и принять оставшиеся риски как должное? :)

[Itanium]

оставшиеся риски как должное?

Есть неприемлемые риски, ибо их последствия катастрофичны... Например риск смерти, а также риск стать полным и клиническим идиотом в результате многолетнего дословного исполнения всех правил и требований критериев аккредитации :)

[eldprepod]

Господа. По поводу аудита посмотрите ГОСТ Р ИСО 19011.
Аудит в лаборатории - аудит первой стороной - анализ со стороны Руководства. Он и не может быть беспристрастным.......
Аудит второй стороной (администрация предприятия или эксперты СМК) или третьей стороной (контролирующие службы) лаборатория планировать не может! Нарушается субординация.
Аудит первой стороной - это подготовка к ПК. Проверка с пристрастием (самооценка)!!!!

[Itanium]

Аудит в лаборатории - аудит первой стороной ... Он и не может быть беспристрастным

Непонятно из чего сие следует?

Поскольку
"1 Внутренние аудиты, иногда называемые "аудитами первой стороны", проводятся самой организацией или от ее имени для анализа со стороны руководства или других внутренних целей (например, для подтверждения намеченных показателей результативности системы менеджмента или для получения информации по улучшению системы менеджмента) и могут служить основанием для декларации о соответствии. Во многих случаях, особенно в малых организациях, независимость при аудите может быть продемонстрирована отсутствием ответственности за деятельность, которая подвергается аудиту, или беспристрастностью и отсутствием конфликта интересов."

Это раз. Далее -

"Процесс проведения аудита основан на соблюдении нескольких принципов...
Руководящие указания, приведенные в разделах 5-7, базируются на следующих шести принципах.

...
b) Беспристрастность (fair presentation) - обязательство предоставлять правдивые и точные отчеты."

Беспристрастность является основополагающим принципом аудита вообще. Получается, если беспристрастность отсутствует - то это и не аудит вовсе...

[texadmin]

Беспристрастность является основополагающим принципом аудита вообще. Получается, если беспристрастность отсутствует - то это и не аудит вовсе...

Коллизия "давай ты меня проверишь, а я тебя"
Вспомнилась история у Задорнова, когда паяные гости уезжают, а хозяин звонит в полицию, предупредить о паяных водителях. Видимо во время пьянки ГОСТ Р ИСО 19011 обсуждали

[Itanium]

Вообще-то у английского слова FAIR есть несколько значений, в данном контексте - честный; справедливый, беспристрастный.
И если сделать упор на первое значение, то все встает на свои места. Ибо честность возможна и при наличии пристрастности, а если глубоко покопаться - то беспристрастных людей не существует. Думаю даже роботы с искусственным интеллектом достаточно быстро обретут некую пристрастность :)
Может ли быть генеральный директор беспристрастным по отношению к собственной компании? - нет, если он конечно болеет за свою компанию. Значит ли, что он не может при этом честно признать ошибки, которые могут негативно отразиться на компании - нет конечно.
Все законы (правила) нужно применять с умом, в противном случае как раз и возникают бесчисленные коллизии и логические тупики ...
Более того, это в западной реализации ГОСТ 17025 важно чтобы именно Лаборатория сама выявляла свои ошибки и недостатки. В нашей реализации ГОСТ'а быть пристрастным - себе дороже :)))

[DigitalError]

важно чтобы именно Лаборатория сама выявляла свои ошибки и недостатки. В нашей реализации ГОСТ'а быть пристрастным - себе дороже

так это от отсутствия культуры [безопасности]. Позволю себе процитировать в качестве пояснения часть интернет-содержимого:
Расследование причин аварии на АЭС Три-майл-айленд (TMI, за 10 лет до ЧАЭС) выявило, что, наряду с конструктивными недоработками и системными сбоями, основные причины были связаны с человеком. В результатах одного из основных расследований аварии, проведенного Президентской комиссией, еще не используется термин «культура безопасности», однако полностью идентифицируются все соответствующие аспекты культуры безопасности, включая важную роль менталитета (культуры), существующего в организациях, начиная с руководства самого высокого уровня до отдельных рабочих.
Основными чертами культуры безопасности являются:
- ответственность, которая реализуется через установление и описание ответственности организации, должностных обязанностей и понимание их отдельными лицами;
- приверженность, которая требует демонстрации высокого приоритета безопасности на уровне руководителей и признания общих целей безопасности отдельными лицами;
- мотивация, которая формируется посредством методов руководства, постановки целей и создания системы поощрений и наказаний и посредством формирования внутренней позиции отдельных лиц;
- надзор (контроль), включающий практику ревизий и экспертиз и готовность реагировать на критическую позицию отдельных лиц;
- личное осознание, определяющее понимание важности обеспечения безопасности;
- знания и компетентность (профессионализм), которые обеспечиваются через профессиональную подготовку и инструкции для персонала, а также через его самоподготовку и общую культуру, впитываемую с детства.

А у нас в основном как - если выявил несоответствие в ходе аудита, внес его в журнал, сообщил об этом руководству - тут же будешь репрессирован :) Потому что - менталитет, отсутствие личного осознания и боязнь ответственности. И всё это можно объяснить общим упадком культуры - условно "впитываемыми с детства" мультиками не про "Вовочку в Тридевятом царстве" и "Чипполино" с "Незнайкой на Луне", а "Томами и Джерри", "Гадким Я" и т.п. образчиками потребительства. Большое всегда начинается с малого.

[Itanium]

А у нас в основном как ... - тут же будешь репрессирован :)

Никак не могу не высказаться по этому поводу :)

Дело в том, что мне довелось поработать в службе безопасности (сплошь состоявшей из бывших фсб'шников) в почти иностранной компании, где и генеральный и большинство топ'ов иностранцы. Так вот - генеральный достаточно долго и методично отучал безопасников искать виноватых с целью наказания. Задача не найти виноватых, а помочь избежать ошибок в будущем. При этом они очень четко разделяли ошибки от саботажа. И карали только за саботаж, т.е. явное и намеренное нарушение с корыстными целями, а никак не за ошибки, которых не бывает только у тех, кто ничего не делает.
Вот эту бы практику не плохо было бы перенять нашему ФСА...

[DigitalError]

Задача не найти виноватых, а помочь избежать ошибок в будущем

Да, в этом и суть.
Перенять нужно не только ФСА, но и 90-95% всех организаций в стране, работающих, по субъективному ощущению, "безкультурно"...

[Itanium]

Перенять нужно не только ФСА, но и 90-95% всех организаций в стране

Верно, но сейчас ФСА актуальнее :)
А если серьезно, то дожидаться, что это произойдет самопроизвольно - значит не дождаться никогда...
Нужна некая обратная связь. Помню руководитель безопасности большого холдинга сказал такую штуку - я конечно могу закручивать гайки и прессовать коммерческий и производственный отделы своими требованиями и правилами, но моя зарплата зависит от прибыли, которую они заработают :) Сильно прикручу - мало получу.
Вот такую отрицательную обратную связи неплохо было бы применить ко всем регуляторам и силовикам в стране... Просветление в голове наступает быстрее всего через собственный кошелек... Кстати именно так во всем мире и работают камеры скоростного режима, сильнее давишь на педаль - быстрее деньги улетают из кошелька, нога сама перестает давить на педаль :)