Artykuł 10

1. Organizacje ds. certyfikacji wymagają, aby podmioty lub grupy podmiotów pomyślnie przeszły audyt certyfikacyjny przeprowadzony przez jednostkę certyfikującą wybraną z wykazu jednostek certyfikujących wyznaczonych przez organizację ds. certyfikacji przed dopuszczeniem tych podmiotów lub grup podmiotów do udziału w organizacji. Audyt taki zawsze odbywa się w obiekcie i zapewnia on co najmniej wystarczający poziom pewności co do skuteczności jego procesów wewnętrznych.

2. Certyfikowane podmioty lub grupy podmiotów podlegają regularnym audytom recertyfikacyjnym i audytom monitorowania, których częstotliwość określono w odpowiednich metodykach certyfikacji przyjętych na podstawie art. 8 rozporządzenia (UE) 2024/3012. Audyt certyfikacyjny i pierwszy audyt recertyfikacyjny mogą na wniosek podmiotów odbywać się w tym samym czasie. W przypadku audytów grupowych audyt może obejmować próbę członków grupy zgodnie z art. 12 niniejszego rozporządzenia. Odpowiedzialność za zatwierdzenie wyników audytu nadzorczego ponosi weryfikator techniczny jednostki certyfikującej.

3. Organizacje ds. certyfikacji ustanawiają szczegółowe wytyczne określające sposób planowania i przeprowadzania audytów oraz przygotowywania sprawozdań z audytu. Organizacje ds. certyfikacji zapewniają, aby jednostki certyfikujące przeprowadzały audyty zgodnie z normą EN ISO/IEC 17021-1 w związku z normą EN ISO/IEC 19011 lub zgodnie z normą równoważną. Organizacje ds. certyfikacji zapewniają wzajemną, efektywną i terminową wymianę informacji związanych z audytem, aby wspierać skuteczne przygotowanie i przeprowadzenie audytu.

4. Audyty certyfikacyjne i recertyfikacyjne obejmują co najmniej następujące elementy:

a) identyfikację działania podjętego przez podmiot istotnego z punktu widzenia kryteriów organizacji ds. certyfikacji;

b) identyfikację odpowiednich systemów kontroli podmiotu i jego ogólnej organizacji w odniesieniu do zasad organizacji ds. certyfikacji oraz sprawdzenie skutecznego wdrożenia odpowiednich systemów kontroli;

c) analizę rodzajów ryzyka, które mogłoby doprowadzić do istotnego zniekształcenia, przeprowadzaną na podstawie wiedzy specjalistycznej audytora oraz informacji przekazanych przez podmiot;

d) plan walidacji lub weryfikacji odpowiadający analizie ryzyka oraz zakresowi i złożoności działalności prowadzonej przez podmiot, a także określający metody pobierania próbek, które należy stosować w odniesieniu do działania tego podmiotu;

e) wdrożenie planu walidacji lub weryfikacji w drodze zebrania dowodów zgodnie ze zdefiniowanymi metodami pobierania próbek oraz wszystkich odpowiednich dowodów dodatkowych, na których opierać się będą wnioski audytora;

f) wystąpienie przez jednostkę certyfikującą z wnioskiem do podmiotu o dostarczenie wszelkich brakujących elementów ścieżek audytu, wyjaśnienie różnic lub skorygowanie zgłoszeń lub obliczeń przed sformułowaniem ostatecznych wniosków z audytu;

g) weryfikację dokładności danych wprowadzonych przez operatora;

h) do celów lit. c) w analizie ryzyka uwzględnia się ogólny profil ryzyka działania, w zależności od poziomu ryzyka, jakim obarczony jest podmiot. Intensywność audytu lub jego zakres, bądź oba te elementy dostosowuje się do poziomu pozycji ryzyka ogólnego.

5. Jednostki certyfikujące certyfikują tylko te podmioty lub grupy podmiotów, które spełniają wszystkie poniższe wymogi:

a) posiadają system zarządzania dokumentacją;

b) posiadają audytowalny system przechowywania i przeglądu wszystkich dowodów związanych ze zgłoszeniami, których dokonują lub na które się powołują;

c) przechowują wszystkie dowody niezbędne do zapewnienia zgodności z niniejszym rozporządzeniem i rozporządzeniem (UE) 2024/3012 przez co najmniej 5 lat po zakończeniu okresu monitorowania lub dłużej, jeśli wymagają tego przepisy krajowe;

d) przyjmują odpowiedzialność za przygotowanie wszelkich informacji związanych z audytem takich dowodów.