Sådan laver du en proces for intern audit

Sådan fungerer det

1. List hver proces, før I planlægger én audit

   Programmet har brug for en nævner. Skriv hver proces inden for afgrænsningen ned med sin ejer, og notér derefter hvornår hver af dem sidst blev auditeret, og hvad der kom ud af det. Hullerne i den liste er argumentet for planen, og de overbeviser ledelsen mere pålideligt, end planen nogensinde gør alene.

2. Udled hvert interval af en risikoscore

   Score hver proces på konsekvens, nylige ændringer og fundhistorikken, og lad scoren sætte intervallet: kvartalsvis for en, der har fejlet to gange, én gang per cyklus for en, der har været stabil i årevis. Skriv begrundelsen ved siden af intervallet, for en auditor, der bliver spurgt hvorfor forsendelse kun auditeres hvert tredje år, har brug for et svar.

3. Byg rækkerne for programmet først

   I QueryChart er de første rækker programmet og ikke auditten: en Start-figur på »Gennemgå risici og tidligere fund«, derefter de rækker, der bygger planen og tildeler en auditor til hver post. At holde dem i samme diagram som arbejdet på stedet er det, der gør cyklussen synlig for den, der følger den.

4. Tilføj uafhængighedsporten som en beslutning

   Formulér rækken om tildelingen som et spørgsmål, sæt derefter kolonnen Figur til Beslutning, og giv Linje til to rækkenumre med svarene i Linjetekst i samme rækkefølge. Vejen til omfordeling peger tilbage på porten for at blive tjekket igen, så dens nummer er lavere end den række, det står på.

5. Læg hvert trin i sin ejers bane

   Lodret bane rummer rollen — kvalitetschef, intern auditor, auditeret, topledelse — og Vandret bane rummer fasen. Baner er det, der gør uafhængighed kontrollerbar med et blik: når rækker med arbejde på stedet ligger i samme bane som den proces, der auditeres, viser diagrammet jer et fund.

6. Luk cyklussen i auditorens bane

   Læg verifikationsrækken i auditorens bane, giv den et omfang — hvilken population, hvor mange registreringer, efter hvor lang tid — og send dens fejl tilbage til »Aftal rodårsag og korrigerende handling«. Del derefter linket med den auditerede og ikke kun med auditteamet: den, der ser den række, ved, at fundet lukker på den nye stikprøve og ikke på handlingsrapporten.

Ofte stillede spørgsmål

Hvor ofte bør der gennemføres interne auditter?

Med planlagte intervaller sat efter risiko, hvilket for de fleste ledelsessystemer betyder hver proces mindst én gang per certificeringscyklus og de udsatte betydeligt oftere. ISO 9001 beder om planlagte intervaller og navngiver bevidst ingen frekvens, så at auditere alt én gang om året er et valg og ikke et krav — som regel et dårligt et, fordi det spreder samme indsats ud over processer med vidt forskellige konsekvenser. Frekvensen bør også flytte sig: en proces med to åbne fund har fortjent et tidligere genbesøg.

Hvem må gennemføre en intern audit?

Enhver, der er oplært i audit, og som er uafhængig af det område, der auditeres — uafhængighed, ikke anciennitet, er begrænsningen. En auditor fra en anden afdeling, fra en anden lokation eller en indlejet ekstern opfylder alle kravet. Det gør procesejeren ikke, og det gør den, der skrev den procedure, der stikprøves, heller ikke. Små organisationer løser det ved at bytte auditorer mellem funktioner frem for at frafalde kravet, og tildelingstrinnet er der, hvor tjekket hører til, for tildelingen er der, hvor konflikten opstår.

Hvornår kan et internt auditfund lukkes?

Når en auditor er gået tilbage til den population, fundet kom fra, har stikprøvet den igen og har konstateret, at den nu opfylder kravet. Lukning er et stykke arbejde på stedet med et omfang, en stikprøvestørrelse og en dato — ikke et felt, der skifter fra åben til lukket — og netop derfor venter den på et aftalt interval frem for på den følgende uge: en stikprøve trukket dagen efter rettelsen viser, at rettelsen blev installeret, ikke at den holder. Om handlingen var godt valgt, er den korrigerende handlings eget spørgsmål.

Hvad er forskellen på en afvigelse og en observation?

En afvigelse er en manglende opfyldelse af et angivet krav, og den forpligter til korrigerende handling; en observation er en svaghed eller en spirende risiko, der ikke bryder noget, og som ikke bærer den forpligtelse. Graden er derfor en budgetbeslutning og ikke en formuleringsøvelse: graduerer I for højt, bærer registret en forpligtelse, ingen har afsat penge til, og graduerer I for lavt, er en forpligtelse, der bestod, stille blevet afskrevet. Afgør det på afslutningsmødet, med punktet nævnt og stikprøven registreret.