Flowchart for auditprocessen (intern audit og leverandøraudit)

Hvad er flowchart for auditprocessen (intern audit og leverandøraudit)?

En audit har den samme form, uanset om det er en intern audit af jeres eget ledelsessystem, en leverandøraudit hos en samarbejdspartner eller en certificeringsaudit kørt af et eksternt organ. Et auditprogram afgør, hvad der auditeres, og hvor ofte. Den enkelte audit afgrænses og planlægges, åbnes sammen med den auditerede enhed, dokumenteres gennem stikprøver af registreringer og observation af arbejdet, og afsluttes med et møde og en rapport. De fund, der kommer ud af den, bliver til anmodninger om korrigerende handling, og auditten er ikke færdig, før effekten af de handlinger er verificeret. ISO 19011, vejledningsstandarden for audit af ledelsessystemer, beskriver netop denne rækkefølge: igangsæt, forbered, gennemfør, rapportér, afslut og følg op.

De fleste audits fejler i samlingerne, ikke i trinnene. En auditeret enhed, der først ser omfanget om morgenen på auditdagen, bruger dagen på at finde dokumenter i stedet for at svare på spørgsmål. Et fund formuleret som en holdning frem for som en konstatering plus objektiv dokumentation bliver diskuteret i ugevis. En anmodning om korrigerende handling, der lukkes på baggrund af en underskrevet blanket, efterlader den samme afvigelse til at blive rejst igen ved næste audit. Og en større afvigelse, der venter på den skriftlige rapport, spilder præcis de dage, hvor indeslutningen havde betydning.

Skabelonen her er et arbejdsdueligt auditforløb fordelt på fem baner: auditprogramansvarlig, auditor, auditeret enhed, ledelse og kvalitet. Den indeholder de fire beslutningspunkter, hvor audits reelt forgrener sig: om dokumentationen opfylder kriterierne, hvordan et fund klassificeres, om handlingsplanen accepteres, og om de gennemførte handlinger kan verificeres som effektive. Eskaleringen ved en større afvigelse er tegnet eksplicit, så den er en defineret rute frem for en improvisation.

Hvad dette flowchart dækker

I denne skabelon

• Program og planlægning over tre baner: den auditprogramansvarlige fastlægger det årlige auditprogram og udpeger en auditor, auditoren aftaler omfang og kriterier og udsender auditplanen, og den auditerede enhed bekræfter datoer og forbereder dokumentation, før nogen møder op
• Feltarbejdet i Auditor-banen: afhold åbningsmøde, indsaml dokumentation og stikprøver, og træf derefter beslutningen 'Opfylder dokumentationen auditkriterierne?', som sender opfyldt dokumentation direkte til afslutningsmødet og en fundet afvigelse videre til et skriftligt fund med objektiv dokumentation
• En tredelt beslutning om klassificering af fund, der deler op i Større, Mindre og Observation, hvor hver gren går til sin egen ejer i stedet for at alle tre lander i den samme rapportkø
• Eskaleringen ved en større afvigelse ind i Ledelse-banen: aftal øjeblikkelig strakshandling, før rapporten skrives, og fortsæt derefter ad samme afslutningsmøde- og rapporteringsvej, så eskaleringen stadig er registreret
• Rapportering og korrigerende handling: afslutningsmødet, den udsendte auditrapport, anmodninger om korrigerende handling oprettet af Kvalitet, og den auditerede enhed, der undersøger rodårsag og planlægger handlinger, med beslutningen 'Er handlingsplanen accepteret?', der sender svage planer til omarbejdning
• Verifikation og lukning: gennemfør de aftalte handlinger, og træf derefter beslutningen 'Er effekten verificeret?', som sender virkningsløse handlinger tilbage til rodårsagsundersøgelsen og først lukker auditten og opdaterer programmet, når effekten er verificeret

Hvornår du skal bruge skabelonen

• I skriver eller opdaterer en procedure for intern audit af et ledelsessystem som ISO 9001 eller ISO 27001, der begge kræver interne audits med planlagte mellemrum efter et dokumenteret program
• I kører et leverandør- eller andenpartsauditprogram, hvor det samme forløb gælder, men den auditerede enhed sidder uden for jeres organisation, og eskaleringsvejene skal navngives på forhånd
• I forbereder en certificerings- eller opfølgningsaudit og skal kunne vise certificeringsorganet, hvordan fund klassificeres, eskaleres og lukkes
• I oplærer nye auditorer og auditerede enheder i, hvad der tæller som et fund, hvordan objektiv dokumentation ser ud, og hvad der sker efter afslutningsmødet
• I skal rydde op i en pukkel af korrigerende handlinger, der lukkes på gennemført papirarbejde frem for på verificeret effekt, og det er præcis, hvad effektløkken i dette diagram er til for

Sådan fungerer det

1. Omdøb banerne til jeres rigtige roller

   Erstat auditprogramansvarlig, auditor, auditeret enhed, ledelse og kvalitet med de funktioner, I faktisk har. I mindre organisationer er programansvarlig og kvalitet som regel den samme person, så slå dem sammen frem for at tegne en overlevering, der aldrig sker. Hold én regel i hævd, uanset hvad I slår sammen: auditorbanen skal være uafhængig af den aktivitet, der auditeres, for ingen kan auditere sit eget arbejde.

2. Skriv jeres egne definitioner på afvigelser ved klassificeringen

   Grenene Større, Mindre og Observation er kun så brugbare som definitionerne bag dem. En udbredt opdeling er, at en større afvigelse er et systematisk sammenbrud eller fravær af et påkrævet kontrolpunkt, en mindre afvigelse er et isoleret svigt i et kontrolpunkt, der ellers virker, og en observation slet ikke er en afvigelse. Skriv jeres egne ved siden af beslutningsnoden med et eksempel på hver, ellers bliver klassificeringen en forhandling på afslutningsmødet.

3. Definér eskaleringsreglen og fristen for større afvigelser

   Beslut, hvem i ledelsesbanen der skal orienteres om en større afvigelse, hvor hurtigt, og hvilken indeslutning vedkommende må godkende: for eksempel at spærre produkter, standse en aktivitet eller suspendere en leverandør. Sæt derefter tidsgrænsen for at lukke den. Certificeringsorganer opererer typisk med et fast vindue for større afvigelser og kan tilbageholde eller suspendere certifikatet, indtil dokumentation for korrektionen er verificeret, så tilpas jeres interne frist til det, jeres certificeringsorgan kræver.

4. Fastlæg reglerne for dokumentation og stikprøver

   Notér, hvordan stikprøver udvælges, og hvor store de er, og skriv, at et fund skal parre en konstatering af afvigelsen med den objektive dokumentation og det krav eller punkt, der er brudt. Det er det, der gør et fund holdbart, når den auditerede enhed er uenig, og det er forskellen på en auditrapport og en liste over holdninger.

5. Beslut, hvad verificeret effekt betyder, og hvem der skriver under

   Den sidste beslutningsnode er dér, hvor de fleste auditprocesser stille går i stykker. Definér effekt som en fornyet test af aktiviteten, efter handlingen har kørt i en angivet periode (ikke som modtagelse af en udfyldt blanket), og navngiv, hvem der udfører den kontrol. Justér løkken, hvis jeres politik er at oprette en ny anmodning om korrigerende handling frem for at genåbne den oprindelige.

6. Udgiv den som et styret dokument

   En auditprocedure er selv auditerbar, og en auditor vil spørge, hvilken version der var gældende, da en bestemt audit blev kørt. Del det godkendte diagram dér, hvor auditorer og auditerede enheder finder det, gem de tidligere versioner, og notér hvem der godkendte hver revision og hvornår, så procedurens ændringshistorik er tilgængelig sammen med de auditregistreringer, den styrer.

Ofte stillede spørgsmål

Hvilke hovedfaser består en auditproces af?

Seks, i denne rækkefølge: fastlæg auditprogrammet og planlæg den enkelte audit; planlæg den ved at aftale omfang, kriterier og datoer og udsende en auditplan; gennemfør den med et åbningsmøde og derefter indsamling af dokumentation via stikprøver af registreringer og observation af arbejdet; generér og klassificér fund, og bekræft dem på et afslutningsmøde; udsend auditrapporten og opret anmodninger om korrigerende handling; og følg op, indtil handlingerne er verificeret, og auditten lukkes med programmet opdateret. ISO 19011 beskriver den samme rækkefølge som at igangsætte, forberede, gennemføre, rapportere, afslutte og følge op på auditten.

Hvad er forskellen på en større afvigelse, en mindre afvigelse og en observation?

En større afvigelse er et systematisk svigt eller det fuldstændige fravær af et påkrævet kontrolpunkt, eller et forhold, der er alvorligt nok til at rejse tvivl om, hvorvidt systemet kan levere de tilsigtede resultater. En mindre afvigelse er et isoleret svigt i et kontrolpunkt, der ellers fungerer som tiltænkt. En observation, ofte registreret som en forbedringsmulighed, er ikke en afvigelse: intet er brudt, men noget kunne gøres bedre. Opdelingen i større og mindre er certificeringsorganernes arbejdspraksis under ISO/IEC 17021-1 snarere end noget, ISO 19011 selv foreskriver, så kører I interne audits, bør I skrive jeres egne definitioner og holde dem ens på tværs af auditorer.

Hvad sker der, når der rejses en større afvigelse?

Den eskalerer, før rapporten skrives. I denne skabelon går grenen for større afvigelser direkte ind i ledelsesbanen for at aftale øjeblikkelig indeslutning (for eksempel at spærre berørte produkter, standse en aktivitet eller suspendere en leverandør), og først derefter fortsætter den ad afslutningsmøde- og rapporteringsvejen. Pointen med indeslutning er at begrænse yderligere eksponering, mens rodårsagen stadig undersøges; den er ikke den korrigerende handling. I en certificeringssammenhæng skal en større afvigelse typisk korrigeres og den korrigerende handling verificeres inden for en fastsat periode, og certificeringsorganet kan tilbageholde, suspendere eller trække certifikatet tilbage, hvis det ikke sker.

Hvordan verificeres en korrigerende handling, før en audit kan lukkes?

Ved at teste aktiviteten igen, ikke ved at arkivere papirerne. Korrektionen retter det konkrete tilfælde, man fandt; den korrigerende handling adresserer rodårsagen, så det ikke gentager sig; verifikationen bekræfter, at den korrigerende handling faktisk virkede. I dette diagram accepterer eller afviser auditoren først planen, og efter gennemførelsen sender beslutningen 'Er effekten verificeret?' enten auditten til lukning eller tilbage til rodårsagsundersøgelsen. Den praktiske test er at tage en ny stikprøve af den samme aktivitet, efter handlingen har været i drift længe nok til at vise resultater. En underskrevet afslutningsblanket er dokumentation for gennemførelse, ikke for effekt.