Intern audit: proces, tjekliste og flowchart

Intern audit i 6 trin

1. Planlæg audit
2. Definér omfang og kriterier
3. Indsaml evidens
4. Registrér og vurder fund
5. Gennemfør korrigerende handlinger
6. Verificér og luk auditten

Flowchart til intern audit

Følg auditprocessen fra planlægning til opfølgning. Diagrammets baner viser, hvem der har ansvaret for hvert trin.

1. Begynd med programmet

   Diagrammet åbner på »Gennemgå risici og tidligere fund« frem for på en audit, bygger derefter det årlige program og tildeler en auditor til hver post i det. Tre rækker, og ikke én af dem er en audit: netop den halvdel, de fleste kort over intern audit udelader.

2. Uafhængighed før planlægning

   »Er auditor uafhængig af området?« sender et nej til »Tildel en anden auditor«, som peger tilbage på porten for at blive spurgt igen. Først derefter begynder planlægningen: en tjekliste, datoer aftalt med den auditerede, og »Fremsend procedurer og registreringer« placeret i den auditeredes egen bane.

3. Rapporten er ikke målstregen

   Arbejdet på stedet stikprøver registreringer og graduerer, hvad det finder. »Opfylder dokumentationen kravet?« sender et »Hul fundet« til »Registrer afvigelse eller observation«, begge veje samles på afslutningsmødet, og rapporten udsendes. De fleste kort over intern audit stopper på den række.

4. Et fund lukkes, når det er verificeret

   Rodårsagen aftales med procesejeren, handlingen gennemføres inden fristen, og derefter afgør »Virkede den korrigerende handling?« sagen. »Genåbn« fører tilbage til række 16 frem for videre, og kun den verificerede vej når frem til ledelsens evaluering og en bevaret registrering.

Brug denne audit-skabelon

Redigér processen direkte i QueryChart og tilpas trin, ansvar og godkendelser til jeres egen auditproces.

Brug denne audit-skabelon

Programmet er processen, ikke auditten

Næsten alle kort over intern audit dokumenterer én audit og lader programmet stå underforstået. Sådan samler en organisation tre års rapporter om de samme tre områder: dem, der er nemme at få i kalenderen, og hvor den auditerede er imødekommende. Programmet er processen: en plan udledt af risiko, af nylige ændringer og af hvad tidligere auditter fandt, som dækker hver proces over en fastlagt periode. En enkelt audit er én iteration af den.

Den anden beslutning er, hvad en lukning består af. At verificere et fund er ikke en statusændring: det vil sige at gå tilbage til den population, stikprøven kom fra, og trække en ny stikprøve mod det samme krav, registreret med et omfang og en størrelse som enhver anden test. Det er arbejde på stedet, og derfor ligger verifikationsrækken i auditorens bane: den, der gennemførte handlingen, kan ikke være den, der måler, om registreringerne nu består.

Eksemplet ovenfor er én omgang af cyklussen fordelt på seks faser og fire roller. »Er auditor uafhængig af området?« stilles, før nogen planlægning finder sted, for uafhængighed er en egenskab ved tildelingen og ikke ved auditoren. I den anden ende bærer »Virkede den korrigerende handling?« en gren, »Genåbn«, tilbage til »Aftal rodårsag og korrigerende handling«, en af kun to veje på dette diagram, der peger bagud, og den, der sender et fund til endnu et forsøg i stedet for ind i registret.

Kort fortalt

• Programmet afgør hvad der auditeres og hvornår; én audit er en iteration af det.
• Frekvensen følger risiko, ændringer og fundhistorikken, aldrig en jævn kalender.
• Uafhængighed er en egenskab ved tildelingen, og det gør den til et spørgsmål om baner.
• Lukning er arbejde på stedet: auditoren stikprøver den population, fundet kom fra, igen.
• Afvigelser forpligter til korrigerende handling; det gør observationer ikke, så graden er en budgetbeslutning.

Tjekliste til en intern audit

Følg op på fundene

• Behandl årsager og korrigerende handlinger med CAPA
• Sæt auditten ind i jeres ISO 9001-proces
• Hold procedurer og dokumentversioner under kontrol
• Styr ændringer efter auditfund
• Brug risikovurdering til at prioritere auditprogrammet
• Registrér og behandl afvigelser

Sådan fungerer det

1. List hver proces, før I planlægger én audit

   Programmet har brug for en nævner. Skriv hver proces inden for afgrænsningen ned med sin ejer, og notér derefter hvornår hver af dem sidst blev auditeret, og hvad der kom ud af det. Hullerne i den liste er argumentet for planen, og de overbeviser ledelsen mere pålideligt, end planen nogensinde gør alene.

2. Udled hvert interval af en risikoscore

   Score hver proces på konsekvens, nylige ændringer og fundhistorikken, og lad scoren sætte intervallet: kvartalsvis for en, der har fejlet to gange, én gang per cyklus for en, der har været stabil i årevis. Skriv begrundelsen ved siden af intervallet, for en auditor, der bliver spurgt hvorfor forsendelse kun auditeres hvert tredje år, har brug for et svar.

3. Byg rækkerne for programmet først

   I QueryChart er de første rækker programmet og ikke auditten: en Start-figur på »Gennemgå risici og tidligere fund«, derefter de rækker, der bygger planen og tildeler en auditor til hver post. At holde dem i samme diagram som arbejdet på stedet er det, der gør cyklussen synlig for den, der følger den.

4. Tilføj uafhængighedsporten som en beslutning

   Formulér rækken om tildelingen som et spørgsmål, sæt derefter kolonnen Figur til Beslutning, og giv Linje til to rækkenumre med svarene i Linjetekst i samme rækkefølge. Vejen til omfordeling peger tilbage på porten for at blive tjekket igen, så dens nummer er lavere end den række, det står på.

5. Læg hvert trin i sin ejers bane

   Lodret bane rummer rollen (kvalitetschef, intern auditor, auditeret, topledelse), og Vandret bane rummer fasen. Baner er det, der gør uafhængighed kontrollerbar med et blik: når rækker med arbejde på stedet ligger i samme bane som den proces, der auditeres, viser diagrammet jer et fund.

6. Luk cyklussen i auditorens bane

   Læg verifikationsrækken i auditorens bane, giv den et omfang (hvilken population, hvor mange registreringer, efter hvor lang tid) og send dens fejl tilbage til »Aftal rodårsag og korrigerende handling«. Del derefter linket med den auditerede og ikke kun med auditteamet: den, der ser den række, ved, at fundet lukker på den nye stikprøve og ikke på handlingsrapporten.

Faldgruber du skal undgå

• At fylde kalenderen måned for måned

  Tolv auditter, én om måneden, valgt fordi de er nemme at arrangere. Dækningen ser komplet ud, og risiko optræder ingen steder i den. Skriv hver frekvens op mod en risikoscore, og de ubelejlige områder holder op med at kunne udskydes.

• At behandle rapporten som leverancen

  At udsende den føles som enden på arbejdet, og næsten hele værdien ligger nedstrøms. På et kort hører vægten til efter rapporten: rodårsag, handling, verifikation og hvad det næste program gør anderledes.

• At auditere den proces, man selv leder

  Belejligt, og det gør resultatet ugyldigt: ingen stikprøver deres egne registreringer mod deres egen procedure og finder meget. Byt auditorer mellem afdelinger, eller lån en oplært fra en anden lokation, frem for at frafalde tjekket.

• Fund uden et punkt at henvise til

  Et fund, der ikke navngiver det krav, det bryder, er en holdning, og det bliver talt væk på afslutningsmødet. Henvis til punktet eller proceduren, og diskussionen flytter sig til dokumentationen, hvor den hører til.

Relaterede guides

• Sådan laver du en proces til ISO 9001
• Sådan laver du en proces til ISO 13485
• Sådan laver du en CAPA-proces

Ofte stillede spørgsmål

Hvad er en intern audit?

En intern audit er en systematisk gennemgang af, om organisationens processer, procedurer og kontroller bliver fulgt og fungerer efter hensigten. Auditoren sammenholder evidens med aftalte kriterier og dokumenterer fund, så organisationen kan følge op.

Hvordan gennemfører man en intern audit?

Planlæg auditten, definér omfang og kriterier, og indsaml evidens gennem interviews, observationer og stikprøver i registreringer. Registrér og vurder fund, aftal korrigerende handlinger med ansvarlige og frister, og verificér resultatet, før auditten lukkes.

Hvor ofte bør man lave intern audit?

Planlæg intervaller efter processernes risiko, ændringer og tidligere fund. Kritiske områder eller gentagne afvigelser kan kræve hyppigere audit end stabile processer. Dokumentér begrundelsen og tilpas planen, når risici eller resultater ændrer sig.

Hvem udfører intern audit?

En intern audit udføres af en person med relevante auditkompetencer og kendskab til de kriterier, der auditeres efter. Tildelingen bør sikre objektivitet og upartiskhed. Det kan være en medarbejder fra en anden afdeling eller en ekstern auditor, der arbejder på organisationens vegne.

Hvad er forskellen på intern audit og ekstern audit?

En intern audit gennemføres på organisationens eget initiativ eller som del af dens auditprogram. En ekstern audit gennemføres af en part uden for organisationen, eksempelvis en kunde eller et certificeringsorgan. En indlejet auditor kan godt udføre en intern audit på organisationens vegne.

Er intern audit det samme som intern revision?

Intern audit omtales også nogle gange som intern revision, afhængigt af organisation og branche. Intern revision bruges ofte om en bredere vurdering af styring, risici og interne kontroller. Her handler guiden om audit af processer og kvalitetsstyring; aftal derfor formål og omfang, når I bruger begreberne.

Hvad bør en intern audit-tjekliste indeholde?

Medtag formål, omfang, kriterier, auditor og tidspunkt samt spørgsmål til processen, stikprøver og relevant dokumentation. Giv plads til evidens, fund og deres vurdering, ansvarlige, frister og verifikation af korrigerende handlinger.

Hvornår kan et internt auditfund lukkes?

Når en auditor er gået tilbage til den population, fundet kom fra, har stikprøvet den igen og har konstateret, at den nu opfylder kravet. Lukning er et stykke arbejde på stedet med et omfang, en stikprøvestørrelse og en dato (ikke et felt, der skifter fra åben til lukket), og netop derfor venter den på et aftalt interval frem for på den følgende uge: en stikprøve trukket dagen efter rettelsen viser, at rettelsen blev installeret, ikke at den holder. Om handlingen var godt valgt, er den korrigerende handlings eget spørgsmål.

Hvad er forskellen på en afvigelse og en observation?

En afvigelse er en manglende opfyldelse af et angivet krav, og den forpligter til korrigerende handling; en observation er en svaghed eller en spirende risiko, der ikke bryder noget, og som ikke bærer den forpligtelse. Graden er derfor en budgetbeslutning og ikke en formuleringsøvelse: graduerer I for højt, bærer registret en forpligtelse, ingen har afsat penge til, og graduerer I for lavt, er en forpligtelse, der bestod, stille blevet afskrevet. Afgør det på afslutningsmødet, med punktet nævnt og stikprøven registreret.