부적합이 나오면 인증서가 안 나오나요? — 인증 결정을 가르는 실제 기준

심사 종료회의에서 부적합 내용을 설명하고 나면, 거의 예외 없이 같은 질문이 나옵니다.

“그러면 인증서는 못 받는 건가요?”

이 질문이 고객사에서 나오는 것은 자연스럽습니다. 그런데 실무에서 더 자주 마주치는 쪽은 신입 심사원입니다. 부적합을 발행하면 고객에게 큰 불이익을 주는 것 같아 표현을 완곡하게 바꾸거나, 관찰 수준으로 낮춰 적는 일이 생깁니다.

결론부터 말하면 부적합이 있다고 해서 인증서가 발행되지 않는 것은 아닙니다. 인증서 발행 여부를 가르는 것은 부적합의 존재가 아니라, 인증 결정 시점에 그 부적합이 어느 단계까지 처리되어 있는가입니다. 그리고 그 기준은 인증기관의 재량이 아니라 ISO/IEC 17021-1에 명시되어 있습니다.

권고사항은 애초에 인증 결정의 판단 대상이 아닙니다

가장 먼저 정리해야 할 것은 발견사항의 종류입니다. 심사 결과 문서에는 성격이 다른 항목들이 함께 담기는데, 이것을 한 덩어리로 보면 질문 자체가 잘못 세워집니다.

ISO/IEC 17021-1 9.4.5.2는 개선기회(opportunity for improvement)를 식별하고 기록할 수 있다고 규정합니다. 이는 기록할 수 있다는 것이지, 부적합으로 처리한다는 뜻이 아닙니다. 권고사항, 개선기회, OFI 등 인증기관마다 부르는 이름은 달라도 공통점은 하나입니다. 요구사항 미충족이 아니라는 것입니다.

발견사항	의미	시정조치 제출	인증 결정에 미치는 영향
권고사항 / 개선기회	요구사항은 충족했으나 더 나은 방법이 있음	의무 없음	없음
경부적합	요구사항 미충족이나 시스템 작동을 무너뜨리지는 않음	원인분석·시정조치 계획	계획이 수락되면 결정 가능
중부적합	시스템의 능력에 근본적 의문을 주는 미충족	실행 + 효과성 증거	검증 완료 전 결정 불가

같은 문장이라도 요구사항에 걸리면 부적합이고, 요구사항은 충족하는데 방식이 아쉬우면 개선기회입니다. 판단 기준은 심사원의 인상이 아니라 요구사항입니다. ISO/IEC 17021-1 9.4.5.3은 부적합을 특정 요구사항에 대해 기록하고, 근거가 된 객관적 증거를 구체적으로 식별해 명확한 문장으로 서술하도록 요구합니다.

그래서 “권고사항이 세 건 나왔는데 인증서에 문제가 없을까요”라는 질문에는 대체로 그대로 답할 수 있습니다. 권고사항은 인증 결정 검토 항목이 아닙니다.

인증서 발행 여부를 가르는 조항은 사실상 한 곳입니다

부적합이 있는 경우에는 이야기가 조금 더 구체적으로 갈립니다. 인증기관이 인증 결정 전에 무엇을 확인해야 하는지는 ISO/IEC 17021-1 9.5.2에 정리되어 있고, 요지는 세 가지입니다.

• 심사팀이 제공한 정보가 인증 요구사항과 인증 범위에 비추어 충분한가
• 중부적합: 시정 및 시정조치가 실행되고 그 효과성이 검토·수락·검증되었는가
• 경부적합: 고객이 제출한 시정 및 시정조치 계획을 검토하고 수락했는가

경부적합과 중부적합의 차이는 심각도에 대한 형용사가 아니라, 인증 결정 시점에 요구되는 증거의 수준 차이입니다. 경부적합은 “무엇을, 언제까지, 누가 바꾸겠다”는 계획이 타당하다고 판단되면 인증 결정으로 넘어갈 수 있습니다. 실행 여부는 남은 숙제로 관리됩니다. 반면 중부적합은 계획서만으로 닫히지 않습니다. 실제로 바뀌었다는 증거가 필요합니다.

이 실행 확인 방법도 9.4.10에 규정되어 있습니다. 인증기관은 고객이 제출한 시정, 원인, 시정조치를 검토해 수락 가능 여부를 판단하고 효과성을 검증하며, 그 결과와 함께 추가 전체 심사, 추가 제한 심사, 또는 향후 심사에서 확인할 문서화된 증거 중 무엇이 필요한지를 고객에게 알려야 합니다. 경부적합의 실행 확인이 다음 사후심사로 넘어가는 근거가 바로 이 세 번째 선택지입니다.

정리하면 이렇습니다. 부적합 건수가 인증서를 막는 것이 아니라, 인증 결정일까지 각 부적합이 요구되는 증거 수준에 도달했는지가 인증서를 결정합니다.

그렇다면 인증서가 실제로 안 나오는 경우는 언제인가요

이 질문에 “걱정하지 마세요”라고만 답하면 절반만 답한 것입니다. 인증이 지연되거나 무산되는 경우는 분명히 있고, 대부분 다음 세 가지 중 하나입니다.

첫째, 기한 안에 자료가 오지 않는 경우입니다. 9.4.9는 인증기관이 고객에게 정해진 기간 내에 원인을 분석하고 구체적인 시정 및 시정조치를 기술하도록 요구하게 합니다. 제출 기한 자체가 요구사항이므로, 자료가 오지 않으면 인증 결정 검토를 시작할 수 없습니다.

둘째, 제출된 시정조치가 수락되지 않는 경우입니다. 원인분석이 “담당자 부주의”에서 멈추거나, 조치가 원인과 연결되지 않으면 인증기관은 이를 수락하지 않고 보완을 요구합니다. 이 단계에서 반려가 반복되면 실제 소요 기간이 길어집니다. 답변을 어떻게 구성해야 반려되지 않는지는 ISO 부적합 시정조치 작성법에서 사례로 다루었습니다.

셋째, 중부적합 검증이 6개월을 넘기는 경우입니다. 여기에는 명확한 기한이 있습니다. ISO/IEC 17021-1 9.5.3.2는 인증기관이 중부적합에 대한 시정 및 시정조치의 실행을 2단계 심사 마지막 날로부터 6개월 이내에 검증하지 못하면, 인증을 추천하기 전에 2단계 심사를 다시 수행하도록 규정합니다. 즉 중부적합을 방치하면 인증서가 늦어지는 데서 끝나지 않고, 2단계 심사를 다시 받아야 하는 상황이 됩니다.

세 가지 모두 부적합이 발견된 사실 때문이 아니라, 발견 이후의 대응 때문에 발생합니다. 전체 흐름은 인증 절차 안내에서 단계별로 확인할 수 있습니다.

신입 심사원이 흔들리는 지점

같은 질문을 받는 신입 심사원 입장에서는 세 가지를 분리해 두면 판단이 훨씬 쉬워집니다.

심사원은 결정하는 사람이 아닙니다. ISO/IEC 17021-1 9.5.1.1은 인증 결정을 내리는 사람이 심사를 수행한 사람과 달라야 한다고 요구합니다. 심사팀은 발견사항을 기록하고 추천 의견을 제시할 뿐이며, 인증 결정은 별도의 적격한 인력이 9.5.2 검토를 거쳐 내립니다. 부적합을 발행하는 행위와 인증서를 막는 행위는 같은 행위가 아닙니다.

심사원은 원인이나 해결책을 제시하지 않습니다. 9.4.5.3은 심사원이 부적합의 원인이나 해결책을 제안하는 것을 삼가도록 명시합니다. 이는 컨설팅과 심사를 분리해 공정성을 지키기 위한 요구사항입니다. “이렇게 고치면 됩니다”라고 알려주고 싶은 마음이 들 때, 그 선을 넘으면 조직이 스스로 원인을 분석할 기회를 빼앗고 인증기관의 독립성도 훼손합니다.

부적합을 낮춰 적는 것은 배려가 아닙니다. 요구사항 미충족을 권고사항으로 기록하면 조직은 시정조치를 하지 않고, 문제는 다음 심사까지 그대로 남습니다. 정확하게 기록된 경부적합은 계획 수락만으로 인증 결정이 가능한 사안이지만, 잘못 낮춰 적힌 항목은 나중에 더 큰 형태로 돌아옵니다. 부적합을 정확히 쓰는 것이 고객에게 실질적으로 유리합니다.

인증서를 받은 뒤에는 기준이 달라집니다

지금까지의 이야기는 최초 인증 시점 기준입니다. 인증 유지 단계에서는 “부적합이 있어도 인증서가 나온다”는 문장이 그대로 적용되지 않습니다.

ISO/IEC 17021-1 9.6.5.2는 고객이 인증 요구사항을 충족하지 못하거나 요구되는 주기에 사후심사·갱신심사를 받지 않는 경우 등에 인증기관이 인증을 정지하도록 규정하고, 9.6.5.4는 정지 사유가 해소되지 않으면 인증 취소 또는 범위 축소로 이어진다고 규정합니다(정지 기간은 통상 6개월을 넘기지 않습니다). 사후심사 주기와 갱신심사의 차이는 사후심사와 갱신심사 비교에서 정리했습니다.

결국 부적합은 인증을 막는 장치가 아니라 관리시스템이 작동하고 있음을 보여주는 신호에 가깝습니다. 부적합이 한 건도 없는 심사보다, 발견된 부적합이 정확히 기록되고 기한 내에 원인까지 제거된 심사가 더 건강한 인증입니다.

세부 운영 기준(제출 기한, 검증 방식, 후속 심사 여부 판단)은 인증기관마다 다를 수 있으므로, 진행 중인 심사에 대한 구체적인 판단이 필요하다면 KAI인증원에 문의해 주시기 바랍니다.