一、ISO 9001:2015 4.3 标准原文

二、条款解读说明

2.1 范围不是写一句话，而是组织治理边界

很多组织把QMS范围写成一句“本公司某某产品的生产和服务”，看似合规，实则缺乏边界逻辑。4.3的实质是把组织的战略、业务、过程、场所、产品服务、外包关系和责任边界转化为可审核、可执行、可追溯的管理边界。范围过大，体系运行负担过重且难以有效控制；范围过小，则可能规避关键风险，造成“证书覆盖不到真实业务”的合规缺口。

审核员通常会核查两个问题：第一，范围是否真实反映组织实际业务；第二，范围中的“可不适用”是否有充分理由且不损害符合性与顾客满意。没有证据支撑的不适用声明通常是高风险不符合来源。

2.2 关键要素解构

2.3 “可不适用”不是“可不执行”

ISO 9001:2015强调基于组织场景确定适用性，但这不意味着组织可以随意排除条款。正确做法是：先证明业务模式、产品服务、组织职责确实不涉及该要求；再证明即使不适用，也不会影响满足顾客和法规要求的能力。例如纯贸易公司可能不涉及设计开发条款，但若其对产品规格有实质技术定义权，仍需纳入设计开发控制。

三、实施要点

3.1 采用“四步法”确定范围

1. 界定业务版图：梳理产品服务类别、经营场所、组织单元、外包活动。
2. 输入关联分析：把4.1环境因素与4.2相关方要求映射到业务版图。
3. 条款适用性评估：逐条判断适用/不适用并记录理由与责任确认。
4. 形成范围声明：明确覆盖对象、边界条件、关键接口、不适用条款及说明。

3.2 范围声明必须回答的五个问题

• 覆盖哪些产品和服务？
• 覆盖哪些组织单元与地理场所？
• 涉及哪些关键过程与外部提供过程？
• 有哪些条款不适用，依据是什么？
• 如何证明顾客要求与法规要求仍被满足？

3.3 对多地点与集团型组织的建议

• 统一管理体系框架，分地点定义职责与控制深度。
• 明确总部与分支机构的授权边界，避免“范围写进来、控制做不到”。
• 外包过程如对符合性有关键影响，应纳入体系控制与绩效监视。

3.4 不适用条款判断原则

• 以业务事实为依据，而不是以“减少工作量”为目的。
• 判断过程应跨部门评审，至少包含质量、业务、技术、法务或合规视角。
• 不适用理由应具备可审计证据，如组织职能边界、合同责任边界、工艺事实。
• 当业务发生变化（新增研发、并购、外包转自营）时，立即复评适用性。

3.5 与认证审核对齐

• 范围文件与认证申请范围保持一致，避免表述偏差。
• 准备“范围-过程-证据”对照包，确保现场审核快速抽样验证。
• 针对历史高风险条款（如8.3设计开发、8.4外部供方控制）准备充分解释和证据。

四、常用工具与实施方法

五、典型案例

案例一：电子制造企业的“范围过宽”纠偏

1. 背景：企业在范围中纳入全部分厂和全部产品线，但部分新并购工厂尚未纳入统一流程。
2. 问题：审核时发现范围声明与实际控制能力不匹配，跨工厂流程和记录标准不一致。
3. 行动：重新评估边界，将尚未完成整合的业务单元分阶段纳入；同步制定整合里程碑。
4. 结果：范围与控制能力一致，审核争议减少，整合节奏更清晰。
5. 启示：范围应反映“当前可控能力”，而非“未来计划愿景”。

案例二：贸易型企业对8.3条款不适用的合理证明

1. 背景：企业不自行设计产品，仅按客户指定型号采购并交付。
2. 风险：若缺乏证据，审核可能质疑“是否真的不涉及设计开发”。
3. 行动：建立职责边界文件，证明无产品技术定义权；合同评审记录显示技术参数由客户指定；采购控制保证来源合规。
4. 结果：8.3不适用得到认可，体系边界清晰。
5. 启示：不适用必须“有事实、有记录、有一致性”。

案例三：服务企业多地点认证范围优化

1. 背景：企业在多个城市设分支机构，服务流程框架统一但执行差异明显。
2. 问题：原范围表述笼统，导致内审抽样和外审取证困难。
3. 行动：按地点定义最小控制单元，统一核心流程并允许地方化补充；建立“总部制度+分支作业指导书”两级结构。
4. 结果：抽样逻辑清晰，分支机构执行一致性提升。
5. 启示：多地点组织应把“范围管理”与“分层治理”同步设计。

六、成文信息管理要求

4.3是少数明确要求“保持可获得文件化信息”的条款之一。组织应确保范围信息能被内部执行人员理解，也能被外部审核和客户快速核验。

6.1 建议的核心文件结构

6.2 管理控制要点

• 范围文件应在使用点可获得，特别是销售、合同评审、项目管理、采购与生产环节。
• 认证范围、公开宣传口径、合同承诺范围保持一致，防止对外误导。
• 所有不适用判断保留依据，确保面对审核抽样可即时举证。
• 变更后及时完成培训和沟通，防止“文件已变、执行未变”。

七、常见误区及踩坑提醒