ISO 내부심사 실전 가이드 — 심사원이 실제로 지적하는 부적합 유형과 시정조치 작성법

ISO 인증을 이미 취득한 기업의 실무 담당자 대부분은 “인증 절차”보다 “내부심사를 어떻게 운영해야 갱신심사에서 부적합을 받지 않는지”를 더 궁금해합니다. 이 가이드는 인증 취득 과정이 아니라, 인증 이후 매년 반복되는 내부심사 운영과 시정조치 작성에 초점을 맞춥니다. 심사원이 현장에서 실제로 무엇을 보고 어떤 근거로 부적합을 판정하는지, 그리고 그 시정조치를 다음 심사에서 재확인했을 때 통과되도록 쓰는 방법을 다룹니다.

경(Minor)과 중(Major) 부적합은 무엇으로 갈리는가

같은 문제라도 등급이 다르게 매겨지는 이유는 “시스템 전체에 영향을 주는가”입니다.

• 경미 부적합: 절차서에 정한 요구사항 중 일부가 개별 사례에서 지켜지지 않은 경우. 예: 특정 문서 1건의 승인 서명 누락.
• 중대 부적합: 요구사항 자체가 시스템적으로 이행되지 않아 인증 규격의 목적을 달성하지 못하는 경우. 예: 승인 절차 자체가 존재하지 않거나, 같은 유형의 미승인 문서가 반복 발견됨.

동일한 “서명 누락”이라도 1건이면 경미, 같은 부서에서 3개월 치 문서 전부에서 반복되면 중대로 올라갑니다. 심사원은 표본 하나가 아니라 패턴 반복 여부로 등급을 정합니다. 내부심사원이 스스로 등급을 매길 때도 이 기준을 적용해야 사후심사에서 인증기관 심사원과 판정이 어긋나지 않습니다.

현장에서 실제로 자주 나오는 부적합 5가지

1. 문서는 개정됐는데 현장은 구버전을 쓴다

품질/안전 매뉴얼을 개정한 뒤 현장 게시판이나 작업자 배포본을 갱신하지 않은 경우입니다. 심사원은 문서관리대장의 최신 개정번호와 현장 비치본의 개정번호를 대조해서 바로 확인합니다.

2. 교육은 했는데 효과성 평가가 없다

“교육 이수증”은 있지만 “그 교육이 실제로 효과가 있었는지”를 확인한 기록이 없는 경우입니다. ISO 9001/45001 모두 교육의 효과성 평가를 요구합니다. 이수증만 파일링해두는 조직이 가장 많이 걸리는 항목입니다.

3. 위험성평가서와 실제 작업 절차가 다르다

문서상 위험성평가에는 없는 작업(예: 고소작업, 특정 화학물질 취급)이 현장에서 실제로 이루어지는 경우입니다. 위험성평가는 한 번 작성하고 끝나는 것이 아니라 공정이 바뀔 때마다 갱신해야 하는데, 이 갱신 주기가 없는 조직에서 반복적으로 발견됩니다.

4. 시정조치가 “재발 방지” 없이 “즉시 조치”만 있다

부적합이 나왔을 때 “해당 서류를 다시 승인받았습니다”처럼 그 건만 고치고 끝내는 경우입니다. 근본원인 분석과 재발방지 대책이 빠지면, 같은 문제가 다음 심사에서 다시 나옵니다. 아래 3절에서 이 부분을 구체적으로 다룹니다.

5. 협력업체(외주) 관리 기록이 없다

ISO 9001의 “외부에서 제공되는 프로세스·제품·서비스의 관리” 요구사항과 관련해, 협력업체 평가 기록이나 계약 시 품질/안전 요구사항 전달 근거가 없는 경우입니다. 특히 건설·제조업에서 자주 지적됩니다.

시정조치 보고서, 재심사에서 통과되게 쓰는 법

시정조치가 반려되는 가장 흔한 이유는 “원인”과 “대책”을 구분하지 않고 섞어 쓰는 것입니다. 아래 순서로 작성하면 재확인 심사에서 다시 지적받을 확률이 줄어듭니다.

1. 부적합 사실 기술: 무엇을, 어디서, 언제 확인했는지 육하원칙으로 명확히
2. 즉시조치(Correction): 발견된 그 건을 지금 어떻게 바로잡았는지
3. 근본원인 분석: “왜 이 문제가 발생했는가”를 최소 2단계 이상 파고들기 (예: “서명 누락” → “왜?” → “결재선에 해당 직급이 빠져있었음” → “왜?” → “조직 개편 후 결재규정을 갱신하지 않음”)
4. 재발방지대책(Corrective Action): 근본원인을 제거하는 조치. 즉시조치와 반드시 구분해서 기술
5. 효과성 확인 계획: 재발방지대책이 실제로 작동하는지 언제, 어떻게 확인할 것인지 명시

근본원인 분석 없이 “재발방지대책”란에 즉시조치와 같은 문장을 반복해서 쓰면, 심사원은 “원인 분석 미흡”으로 재지적합니다.

내부심사원이 심사 전 준비해야 할 것

• 직전 심사 시정조치 이력과 효과성 확인 결과를 먼저 검토 (재발 여부 확인이 이번 심사의 우선 항목)
• 부서별 최근 개정 문서 목록과 배포 현황 대조
• 표본 추출 시 특정 부서·특정 기간에 몰리지 않도록 무작위성 확보
• 위험성평가서·작업표준서·실제 현장 사진 또는 관찰 기록을 함께 준비해 대조 가능하게 구성

함께 보면 좋은 자료

• 중소기업 ISO 인증 가이드 — 인증 취득 절차·비용·규격 비교가 먼저 필요하다면
• ISO45001 건설업 내부심사 체크리스트 — 조항별 점검항목과 부적합 판정 서식
• ISO 9001 체크리스트 — 품질경영시스템 내부심사 항목

자주 묻는 질문

내부심사원 자격은 별도로 있어야 하나요?

규격 자체가 특정 자격증을 요구하지는 않습니다. 다만 심사 대상 프로세스로부터 독립적인 사람이어야 하며(자기 업무를 자기가 심사할 수 없음), 내부심사원 교육 이수 기록을 남겨두는 것이 일반적입니다.

시정조치 기한은 보통 며칠로 잡나요?

경미 부적합은 통상 2 ~ 4주, 중대 부적합은 즉시 조치 후 1 ~ 2주 내 재발방지대책까지 완료하도록 요구하는 경우가 많습니다. 인증기관마다 세부 기준이 다르므로 계약서나 인증기관 안내자료를 확인하세요.

부적합이 하나도 없으면 좋은 건가요?

내부심사에서 지적사항이 전혀 없는 상태가 몇 년째 반복되면, 오히려 인증기관 심사원이 “심사가 형식적으로 이루어지고 있지 않은가”를 의심하는 경우가 있습니다. 사소한 경미 부적합이라도 실질적으로 찾아내고 개선하는 이력이 시스템의 실효성을 보여줍니다.