Flowchart for auditprocessen (intern audit og leverandøraudit)

Sådan fungerer det

1. Omdøb banerne til jeres rigtige roller

   Erstat auditprogramansvarlig, auditor, auditeret enhed, ledelse og kvalitet med de funktioner, I faktisk har. I mindre organisationer er programansvarlig og kvalitet som regel den samme person, så slå dem sammen frem for at tegne en overlevering, der aldrig sker. Hold én regel i hævd, uanset hvad I slår sammen: auditorbanen skal være uafhængig af den aktivitet, der auditeres, for ingen kan auditere sit eget arbejde.

2. Skriv jeres egne definitioner på afvigelser ved klassificeringen

   Grenene Større, Mindre og Observation er kun så brugbare som definitionerne bag dem. En udbredt opdeling er, at en større afvigelse er et systematisk sammenbrud eller fravær af et påkrævet kontrolpunkt, en mindre afvigelse er et isoleret svigt i et kontrolpunkt, der ellers virker, og en observation slet ikke er en afvigelse. Skriv jeres egne ved siden af beslutningsnoden med et eksempel på hver, ellers bliver klassificeringen en forhandling på afslutningsmødet.

3. Definér eskaleringsreglen og fristen for større afvigelser

   Beslut, hvem i ledelsesbanen der skal orienteres om en større afvigelse, hvor hurtigt, og hvilken indeslutning vedkommende må godkende — for eksempel at spærre produkter, standse en aktivitet eller suspendere en leverandør. Sæt derefter tidsgrænsen for at lukke den. Certificeringsorganer opererer typisk med et fast vindue for større afvigelser og kan tilbageholde eller suspendere certifikatet, indtil dokumentation for korrektionen er verificeret, så tilpas jeres interne frist til det, jeres certificeringsorgan kræver.

4. Fastlæg reglerne for dokumentation og stikprøver

   Notér, hvordan stikprøver udvælges, og hvor store de er, og skriv, at et fund skal parre en konstatering af afvigelsen med den objektive dokumentation og det krav eller punkt, der er brudt. Det er det, der gør et fund holdbart, når den auditerede enhed er uenig, og det er forskellen på en auditrapport og en liste over holdninger.

5. Beslut, hvad verificeret effekt betyder, og hvem der skriver under

   Den sidste beslutningsnode er dér, hvor de fleste auditprocesser stille går i stykker. Definér effekt som en fornyet test af aktiviteten, efter handlingen har kørt i en angivet periode — ikke som modtagelse af en udfyldt blanket — og navngiv, hvem der udfører den kontrol. Justér løkken, hvis jeres politik er at oprette en ny anmodning om korrigerende handling frem for at genåbne den oprindelige.

6. Udgiv den som et styret dokument

   En auditprocedure er selv auditerbar, og en auditor vil spørge, hvilken version der var gældende, da en bestemt audit blev kørt. Del det godkendte diagram dér, hvor auditorer og auditerede enheder finder det, gem de tidligere versioner, og notér hvem der godkendte hver revision og hvornår, så procedurens ændringshistorik er tilgængelig sammen med de auditregistreringer, den styrer.

Ofte stillede spørgsmål

Hvilke hovedfaser består en auditproces af?

Seks, i denne rækkefølge: fastlæg auditprogrammet og planlæg den enkelte audit; planlæg den ved at aftale omfang, kriterier og datoer og udsende en auditplan; gennemfør den med et åbningsmøde og derefter indsamling af dokumentation via stikprøver af registreringer og observation af arbejdet; generér og klassificér fund, og bekræft dem på et afslutningsmøde; udsend auditrapporten og opret anmodninger om korrigerende handling; og følg op, indtil handlingerne er verificeret, og auditten lukkes med programmet opdateret. ISO 19011 beskriver den samme rækkefølge som at igangsætte, forberede, gennemføre, rapportere, afslutte og følge op på auditten.

Hvad er forskellen på en større afvigelse, en mindre afvigelse og en observation?

En større afvigelse er et systematisk svigt eller det fuldstændige fravær af et påkrævet kontrolpunkt — eller et forhold, der er alvorligt nok til at rejse tvivl om, hvorvidt systemet kan levere de tilsigtede resultater. En mindre afvigelse er et isoleret svigt i et kontrolpunkt, der ellers fungerer som tiltænkt. En observation, ofte registreret som en forbedringsmulighed, er ikke en afvigelse: intet er brudt, men noget kunne gøres bedre. Opdelingen i større og mindre er certificeringsorganernes arbejdspraksis under ISO/IEC 17021-1 snarere end noget, ISO 19011 selv foreskriver, så kører I interne audits, bør I skrive jeres egne definitioner og holde dem ens på tværs af auditorer.

Hvad sker der, når der rejses en større afvigelse?

Den eskalerer, før rapporten skrives. I denne skabelon går grenen for større afvigelser direkte ind i ledelsesbanen for at aftale øjeblikkelig indeslutning — for eksempel at spærre berørte produkter, standse en aktivitet eller suspendere en leverandør — og først derefter fortsætter den ad afslutningsmøde- og rapporteringsvejen. Pointen med indeslutning er at begrænse yderligere eksponering, mens rodårsagen stadig undersøges; den er ikke den korrigerende handling. I en certificeringssammenhæng skal en større afvigelse typisk korrigeres og den korrigerende handling verificeres inden for en fastsat periode, og certificeringsorganet kan tilbageholde, suspendere eller trække certifikatet tilbage, hvis det ikke sker.

Hvordan verificeres en korrigerende handling, før en audit kan lukkes?

Ved at teste aktiviteten igen — ikke ved at arkivere papirerne. Korrektionen retter det konkrete tilfælde, man fandt; den korrigerende handling adresserer rodårsagen, så det ikke gentager sig; verifikationen bekræfter, at den korrigerende handling faktisk virkede. I dette diagram accepterer eller afviser auditoren først planen, og efter gennemførelsen sender beslutningen 'Er effekten verificeret?' enten auditten til lukning eller tilbage til rodårsagsundersøgelsen. Den praktiske test er at tage en ny stikprøve af den samme aktivitet, efter handlingen har været i drift længe nok til at vise resultater. En underskrevet afslutningsblanket er dokumentation for gennemførelse, ikke for effekt.