CAPA w praktyce: od przyczyny źródłowej do weryfikacji skuteczności

CAPA nie jest listą zadań po audycie

CAPA ma usunąć przyczynę problemu i potwierdzić, że problem nie wraca. Samo wykonanie zadania — aktualizacja formularza, szkolenie zespołu albo zmiana instrukcji — nie dowodzi jeszcze skuteczności. Potrzebny jest spójny zapis prowadzący od faktu do decyzji.

Minimalny przepływ obejmuje:

1. jednoznaczny opis niezgodności lub ryzyka,
2. działanie natychmiastowe ograniczające skutek,
3. analizę przyczyny źródłowej opartą na dowodach,
4. działanie korygujące przypisane do właściciela i terminu,
5. dowód wdrożenia,
6. zaplanowaną weryfikację skuteczności,
7. decyzję: zamknąć, przedłużyć obserwację albo ponownie otworzyć CAPA.

1. Oddziel problem od skutku

Opis „pracownik popełnił błąd” jest zbyt ogólny. Nie mówi, czego oczekiwano, co faktycznie się wydarzyło ani jaki dowód potwierdza rozbieżność. Lepszy zapis wskazuje proces, wymaganie, zdarzenie, czas, zakres i skutek.

Przed analizą przyczyny zabezpiecz sytuację. Może to oznaczać blokadę partii, korektę danych, dodatkową kontrolę lub poinformowanie właściciela procesu. Działanie natychmiastowe chroni przed dalszym skutkiem, ale nie zastępuje działania korygującego.

2. Analizuj mechanizm, nie osobę

Metody takie jak 5 Why, diagram przyczyn lub analiza barier pomagają tylko wtedy, gdy każde kolejne pytanie wynika z poprzedniej odpowiedzi i ma oparcie w danych. Hipoteza powinna zostać oznaczona jako hipoteza do czasu weryfikacji.

Przyczyna źródłowa zwykle dotyczy mechanizmu procesu: niejasnego kryterium, braku walidacji, niedostępnej informacji, nieskutecznej kontroli albo rozbieżności między instrukcją a rzeczywistą pracą. Wskazanie osoby bez analizy systemu najczęściej prowadzi do powtórzenia problemu.

3. Zaplanuj zmianę możliwą do sprawdzenia

Dobre działanie korygujące ma właściciela, termin, oczekiwany rezultat i dowód wykonania. Zapis „przeszkolić zespół” jest niepełny. Trzeba wskazać wersję materiału, osoby objęte zmianą, formę sprawdzenia wiedzy i kryterium zaliczenia.

Przykładowe pola planu:

• identyfikator CAPA i powiązane ustalenie,
• zweryfikowana przyczyna źródłowa,
• działanie oraz właściciel,
• termin i zależności,
• dowód wykonania,
• miernik skuteczności,
• data oraz osoba oceniająca wynik.

4. Nie myl wykonania ze skutecznością

Fakt, że dokument opublikowano, nie potwierdza poprawy procesu. Weryfikacja skuteczności powinna nastąpić po czasie odpowiednim do ryzyka i częstotliwości procesu. Może korzystać z próbki zapisów, kolejnego audytu, reklamacji, wskaźnika błędów albo obserwacji działania kontroli.

Kryterium trzeba ustalić przed oceną. Przykład: „w kolejnych 30 zleceniach kompletność pola wynosi 100%, a kontrola drugiej osoby wykrywa brak przed publikacją”. Pozytywny wynik ma dowód. Negatywny wynik prowadzi do ponownej analizy, a nie do kosmetycznej zmiany statusu.

5. Zbuduj pakiet zamknięcia

Audytowalne zamknięcie CAPA zawiera opis problemu, działania natychmiastowe, analizę przyczyny, zatwierdzony plan, dowody wdrożenia, wynik oceny skuteczności i decyzję osoby uprawnionej. Historia zmian pozostaje dostępna także po zamknięciu.

Pulsar GRC może łączyć ustalenie, ryzyko, kontrolę, właściciela i dowód w jeden ślad. Nie wybiera jednak przyczyny ani nie zatwierdza skuteczności za organizację. Te decyzje pozostają po stronie odpowiedzialnych osób.

Checklista przed zamknięciem CAPA

• Czy problem opisano na podstawie faktów?
• Czy działanie natychmiastowe jest oddzielone od korekty przyczyny?
• Czy analiza wskazuje mechanizm procesu i dowody?
• Czy każde działanie ma właściciela, termin i oczekiwany wynik?
• Czy dowód wdrożenia jest powiązany z właściwą wersją zmiany?
• Czy kryterium skuteczności ustalono przed pomiarem?
• Czy osoba zamykająca widzi pełną historię i ewentualne ryzyko resztkowe?

CAPA powinna zasilić pakiet dowodowy do audytu ISO 9001. Jeżeli działanie dotyczy cyberbezpieczeństwa, sprawdź też samoidentyfikację i plan NIS2 dla MŚP.