ISO 최초 인증심사 1단계와 2단계 — 두 심사는 무엇을 판단하고, 그 사이에 무엇을 해야 하나

ISO 경영시스템의 최초 인증심사는 한 번이 아니라 두 번에 걸쳐 진행됩니다. 두 심사는 같은 표준을 기준으로 하지만 판단하는 질문이 다릅니다. 1단계 심사는 「2단계 심사를 진행해도 되는가」를 판단하고, 2단계 심사는 「인증을 추천할 수 있는가」를 판단합니다.

이 차이를 알면 준비의 순서가 정리됩니다. 1단계 결과가 좋았다고 2단계 심사의 범위가 줄어들지 않고, 1단계에서 우려사항을 받았다고 인증이 막히는 것도 아닙니다. 이 글은 인증기관이 최초 인증심사를 어떻게 운영해야 하는지 정한 국제표준 ISO/IEC 17021-1:2015의 9.3.1을 기준으로, 두 심사가 각각 무엇을 보는지와 두 심사 사이에 조직이 무엇을 해야 하는지를 정리합니다.

1단계와 2단계, 한눈에 비교하면

구분	1단계 심사	2단계 심사
판단하는 질문	2단계 심사를 진행할 준비가 되었는가	경영시스템이 실행되고 효과를 내는가
주로 보는 것	문서화된 정보, 사업장 상태, 인증범위 정보, 내부심사와 경영검토의 진행 상황	표준의 모든 요구사항에 대한 적합성 증거, 성과, 법규 준수 능력, 운영 관리
결과로 나오는 것	1단계 결론과 우려사항, 2단계 준비 상태	부적합을 포함한 발견사항, 인증 추천 여부
결과가 기대에 못 미치면	2단계 심사가 연기되거나 취소될 수 있음	부적합에 대한 시정조치를 검증한 뒤 인증 결정

두 심사의 심사시간은 따로 떨어진 두 개의 견적이 아니라 최초 인증심사 한 건의 시간을 나눈 것입니다. KAI인증원의 심사일수 산정 안내도 최초심사 시간을 「1단계+2단계」 합계로 표시합니다.

1단계 심사는 무엇을 확인하나요

흔히 1단계를 「문서 검토」라고 부릅니다. 문서화된 정보를 검토하는 일이 1단계의 중심이기 때문입니다. 다만 ISO/IEC 17021-1 9.3.1.2.2가 정한 1단계의 목적에는 문서 검토 외에 사업장 상태 평가와 조직 인원과의 논의도 들어 있습니다. 같은 조항의 비고는 1단계의 적어도 일부를 조직의 사업장에서 수행하면 이 목적을 달성하는 데 도움이 된다고 덧붙입니다.

규격이 나열한 목적을 조직이 준비할 단위로 묶으면 네 가지입니다.

문서화된 정보가 표준과 운영을 담고 있는가

인증 대상 경영시스템을 조직이 어떻게 문서로 정했는지 검토합니다. 표준의 요구사항이 빠짐없이 다뤄졌는지, 적용하지 않는 요구사항이 있다면 그 판단의 근거가 타당한지가 이 단계에서 드러납니다.

문서가 없다는 사실 자체가 곧 우려사항은 아닙니다. KAI인증원의 최초심사 절차는 표준이 문서화를 요구하지 않는 요구사항에 대해서는 문서가 있는지 없는지를 1단계 우려사항으로 분류하지 않도록 정하고 있습니다. 이런 요구사항은 2단계에서 실제로 어떻게 운영하는지를 보고 판단합니다.

사업장과 인증범위 정보가 정확한가

1단계에서 인증기관은 인증범위에 관한 기본 정보를 확보합니다. 어느 사업장에서 어떤 프로세스와 장비로 무엇을 하는지, 사업장이 여러 곳이라면 본사가 각 사업장을 어느 수준으로 관리하는지, 조직에 적용되는 법적·규제적 요구사항이 무엇인지입니다. 신청서에 적은 인증범위 문구와 실제 활동이 어긋나는 경우가 이 단계에서 확인됩니다. 범위 문구를 정하는 기준은 인증범위와 적용범위의 차이에서, 사업장이 여러 곳일 때의 관리 수준 문제는 복수 사업장 인증심사 가이드에서 따로 다룹니다.

조직이 표준 요구사항을 어떻게 이해하고 있는가

심사팀은 담당자와 대화하면서 조직이 자기 경영시스템의 핵심을 파악하고 있는지 봅니다. 품질경영시스템이라면 주요 프로세스와 성과 지표를, 환경경영시스템이라면 중대한 환경측면을, 안전보건경영시스템이라면 주요 위험요인을 조직이 어떻게 파악하고 목표와 운영에 연결했는지를 확인합니다.

내부심사와 경영검토가 계획되고 수행되고 있는가

1단계는 조직이 내부심사와 경영검토를 계획하고 수행하고 있는지, 그리고 경영시스템의 실행 수준이 2단계를 받을 만한 상태인지를 평가합니다. 2단계 심사의 확인 항목에도 내부심사와 경영검토가 들어가므로, 2단계 전까지 두 활동의 실시 기록이 없으면 2단계에서 확인할 증거가 없게 됩니다. 기록의 형태는 내부심사 체크리스트와 경영검토 회의록 작성법을 참고하실 수 있습니다.

이 네 가지를 확인한 결과로 심사팀은 2단계 심사에 필요한 인원과 시간을 검토하고, 2단계에서 중점적으로 볼 부분을 정합니다. 1단계는 조직을 평가하는 자리이면서 2단계를 설계하는 자리입니다.

우려사항은 부적합과 무엇이 다른가요

ISO/IEC 17021-1 9.3.1.2.3에 따라 인증기관은 1단계의 결론을 문서로 정리해 조직에 전달합니다. 이 결론에는 2단계 심사에서 부적합으로 분류될 수 있는 우려사항이 식별되어 들어갑니다.

우려사항은 판정이 아니라 예고입니다. 1단계 시점에서 「이 상태가 2단계까지 이어지면 부적합이 될 수 있다」고 미리 알리는 것이므로, 조직은 2단계 전에 조치할 시간을 갖습니다. 2단계에서 조치가 확인되면 부적합으로 이어지지 않고, 해결되지 않았으면 그때 부적합으로 기록될 수 있습니다.

1단계 우려사항으로 전형적으로 나오는 형태는 다음과 같습니다.

• 신청서의 인증범위 문구에 실제로 운영하지 않는 활동이 들어 있거나, 운영하는 활동이 빠져 있는 경우
• 환경경영시스템이나 안전보건경영시스템에서, 적용 법규 목록에 사업장의 주요 인허가·신고 관련 법령이 빠져 있는 경우
• 내부심사 계획은 있으나 아직 한 번도 실시하지 않은 경우
• 경영검토 기록에 표준이 요구하는 입력 항목 일부가 빠져 있는 경우

1단계와 2단계 사이 — 간격과 변경을 다루는 기준

ISO/IEC 17021-1 9.3.1.2.4는 두 심사 사이의 간격을 일수로 정하지 않습니다. 대신 인증기관이 간격을 정할 때 1단계에서 나온 우려사항을 조직이 해결하는 데 필요한 시간을 고려하도록 합니다. 같은 조항은 이 밖에 세 가지를 정하고 있습니다.

• 1단계 결과에 따라 인증기관이 2단계 심사의 준비 사항(심사팀 구성, 심사시간, 심사계획)을 수정할 수 있습니다.
• 1단계 이후 경영시스템에 영향을 줄 수 있는 중요한 변경이 생기면, 인증기관은 1단계 심사의 전체 또는 일부를 다시 수행할 필요가 있는지 검토해야 합니다. 사업장 이전, 주요 공정의 추가, 조직 개편 같은 변경이 여기에 해당할 수 있습니다.
• 인증기관은 1단계 결과에 따라 2단계 심사가 연기되거나 취소될 수 있다는 점을 조직에 알려야 합니다.

실무에서는 다음 세 가지를 권합니다. 이것은 규격의 요구사항이 아니라 일정이 흔들리지 않게 하는 방법입니다.

1. 2단계 일정은 우려사항을 보고 확정합니다. 우려사항이 많거나 조치에 시간이 걸리는 성격이면 간격을 넉넉히 잡는 편이 연기보다 낫습니다.
2. 조치 결과는 증거와 함께 2단계 전에 제출합니다. 수정한 문서, 새로 실시한 기록처럼 조치가 실제로 이뤄졌음을 보여 주는 자료를 붙입니다.
3. 1단계 이후 달라진 것은 먼저 알립니다. 사업장, 공정, 조직이 바뀌었다면 2단계 당일이 아니라 일정 협의 단계에서 인증기관에 알려야 심사 준비를 조정할 수 있습니다.

2단계 심사는 무엇을 확인하나요

ISO/IEC 17021-1 9.3.1.3은 2단계 심사의 목적을 경영시스템의 실행과 그 효과성을 평가하는 것으로 정합니다. 1단계가 「어떻게 하기로 정했는가」를 봤다면, 2단계는 「정한 대로 하고 있는가, 그래서 결과가 나오는가」를 봅니다. 규격이 2단계에 반드시 포함하도록 정한 확인 영역은 여섯 가지이고, 심사 현장에서 각 영역의 증거는 전형적으로 다음과 같은 형태로 확인합니다.

확인 영역	전형적으로 확인하는 증거
표준의 모든 요구사항에 대한 적합성	각 요구사항에 대응하는 운영 기록, 담당자 면담, 현장 관찰
주요 성과 목표 대비 모니터링·측정·보고·검토	목표별 실적 자료와 그 실적을 검토한 기록
법적·규제적·계약적 요구사항 충족 능력과 성과	준수 평가 기록, 인허가·검사 기록, 고객 요구사항 대응 기록
프로세스의 운영 관리	작업 기준대로 수행한 기록, 현장 상태
내부심사와 경영검토	실시 기록, 발견사항의 후속 조치, 경영검토 출력의 이행
방침에 대한 경영진의 책임	최고경영자 면담, 방침과 목표가 자원 배정으로 이어진 근거

증거를 모으는 방식도 달라집니다. 2단계에서는 문서와 기록을 표본으로 골라 확인하고, 담당자를 면담하고, 작업 현장을 관찰합니다. 1단계에서 받은 우려사항의 조치 결과도 이때 확인합니다.

ISO 45001은 면담 대상이 정해져 있습니다

안전보건경영시스템 심사에서는 누구를 면담하는지가 증거의 일부입니다. KAI인증원의 최초심사 절차는 ISO 45001 2단계 심사에서 다음 인원을 면담하도록 정하고 있습니다.

• 안전보건에 대한 법적 책임이 있는 경영진
• 안전보건에 책임을 지는 근로자 대표
• 근로자의 건강을 모니터링하는 책임자(예: 사업장의 의사, 간호사)
• 관리자, 정규직 근로자, 임시직 근로자

이 밖에 안전보건 위험 예방 활동을 수행하는 관리자와 근로자, 그리고 계약자의 경영진과 근로자도 면담 대상으로 검토합니다. 2단계 일정을 합의할 때 이 인원이 심사 기간 중 면담에 참여할 수 있는지 미리 확인해 두면 일정이 흔들리지 않습니다.

심사의 결론은 두 단계를 합쳐서 내립니다

ISO/IEC 17021-1 9.3.1.4에 따라 심사팀은 1단계와 2단계에서 수집한 정보와 심사 증거 전체를 분석해 발견사항을 검토하고 심사 결론에 합의합니다. 1단계 기록은 2단계가 시작되면 끝나는 자료가 아니라 최종 결론의 근거 가운데 하나입니다. 1단계 이후 바뀐 문서와 조치 결과가 2단계 기록에 이어지도록 관리해야 하는 이유입니다.

2단계에서 부적합이 나왔을 때 인증서 발행이 어떻게 결정되는지는 부적합이 나오면 인증서가 안 나오나요에서, 시정조치를 작성하는 방법은 부적합 시정조치 작성법에서 다룹니다. 신청부터 인증서 발행까지의 전체 흐름은 KAI인증원 인증 절차에서 확인하실 수 있습니다.

근거 문서와 확인일

• ISO/IEC 17021-1:2015 「적합성 평가 — 경영시스템 심사 및 인증을 제공하는 기관에 대한 요구사항 — 제1부: 요구사항」 9.3.1.1~9.3.1.4 (최초 인증심사, 1단계, 2단계, 최초 인증심사 결론) — 2026-09-26 확인. 규격 정보: ISO 공식 페이지
• KAI인증원 최초심사 및 인증 절차 (1단계 문서화된 정보 검토 기준, ISO 45001 2단계 면담 대상) — 2026-09-26 확인
• KAI인증원 인증 절차, 심사일수 산정 — 2026-09-26 확인