Flowchart for eskalering af auditfund (overskredne handlinger)

Hvad er flowchart for eskalering af auditfund (overskredne handlinger)?

De fleste auditfund lukker stille og roligt. Dette diagram handler om dem, der ikke gør. Udløseren er et fund udsendt i auditrapporten, og processen er dét, der klatres op ad, når den aftalte korrigerende handling udebliver: en rykker og en endelig frist, eskalering til den procesejer, der reelt råder over ressourcerne, og derefter ledelsens evaluering, hvor organisationen enten finansierer handlingen eller formelt accepterer risikoen. Diagrammet følger ét fund hele vejen, fra rapporten gennem klassificering, tildeling og indsigelsesvejen, den aftalte handling og dens frist, den overskredne gren og begge eskaleringstrin, til verifikation af dokumentationen og lukning, hvor udvalget får at vide, hvor et verificeret fund endte.

Det her er ikke selve auditten, og det er ikke rutinemæssig opfølgning. At lægge programmet, tjekke auditors uafhængighed, stikprøve registreringer og skrive afvigelser op hører til den interne auditproces. At følge en handling, der skrider frem som planlagt, verificere den og teste, om den virkede, hører til opfølgningen på korrigerende handlinger, som ender i en effektivitetskontrol frem for i en eskalering. Det er heller ikke den generelle vej for risikoeskalering: denne stige når først frem til en risikobeslutning på sit øverste trin, hvor projekt- og virksomhedsrisikoeskalering i stedet starter i risikoregistret. Diagrammet her starter, hvor et fund allerede findes og en ejer allerede er udpeget, og det gør sig fortjent netop dér, hvor rutineopfølgningen holder op med at virke. Den grænse betyder noget, fordi en eskalering, der er tegnet som en sidegren inde i et opfølgningsdiagram, altid er den gren, ingen vedligeholder. Betragt klassificeringerne, henstandsfristen og de to trin her som et udgangspunkt, der skal tilpasses jeres egen auditprocedure, jeres ledelsessystems krav og, hvor en certificerings- eller myndighedsordning gælder, dens egne regler for at lukke fund.

Fire beslutninger bærer processen. 'Større, mindre eller observation?' sætter svaruret i gang og afgør, om topledelsen hører om fundet på dag ét eller først ved næste rapport; den ligger hos den ledende auditor, fordi klassificering er en auditfaglig vurdering og ikke en forhandling. 'Er fundet anfægtet af ejeren?' giver den auditerede en reel vej til at bestride et fund, og det er dét, der forhindrer, at en uenighed senere dukker op som tavshed. 'Er dokumentationen indsendt inden fristen?' er udløseren for hele eskaleringshalvdelen af diagrammet, og hvert eneste trin nedenunder hænger på netop den test. 'Gennemtving handlingen eller accepter risikoen?' ligger med vilje i topledelsens bane og ikke i auditors: auditor rapporterer eksponeringen, organisationen beslutter, hvad der skal gøres ved den, og kun en ansvarlig direktør kan skrive under på en risikoaccept.

Hvad dette flowchart dækker

I denne skabelon

• Fem swimlanes (Ledende auditor, Fundejer, Procesejer, Topledelse og Kvalitetschef / auditudvalg) fordelt på seks faser: Fund rejst, Tildel og aftal, Følg op på svaret, Første eskalering, Ledelsens evaluering samt Verificér og luk
• En tredelt klassificeringsbeslutning, 'Større, mindre eller observation?', sætter svaruret: Større kører 'Orientér topledelsen om det større fund', før der overhovedet er udpeget en ejer, og en observation falder af stigen over i forbedringsregistret og rapporteres periodisk til udvalget frem for at blive rykket mod en frist
• En indsigelsesvej, som de fleste eskaleringsdiagrammer udelader: 'Er fundet anfægtet af ejeren?' sender det til kvalitetschefen for at 'Gennemgå indsigelsen mod dokumentationen', og 'Fastholdes fundet efter gennemgangen?' fører enten fundet tilbage på stigen eller trækker det tilbage med en registreret begrundelse
• Opdelingen mellem verifikation og overskredet frist: 'Er dokumentationen indsendt inden fristen?' sender et svar videre til 'Lukker dokumentationen fundet?', hvor utilstrækkelig dokumentation genåbner handlingen, og sender et overskredet forløb til 'Ryk ejeren og sæt en endelig frist'
• Henstandsfristen og det første trin: 'Svarer ejeren inden for henstandsfristen?' vælger mellem mere arbejde og 'Eskalér til procesejeren med hele forløbet', som en plan, der to gange falder på 'Er handlingsplanen tilstrækkelig?', også når frem til, og hvor 'Blokeret af ressourcer eller mandat?' skiller en langsom ejer fra en ufinansieret handling
• To ærlige udgange øverst på stigen: 'Gennemtving handlingen eller accepter risikoen?' finansierer enten handlingen og sender planen tilbage til fornyet aftale, eller registrerer en underskrevet risikoaccept, der lukker med en revurderingsdato

Hvornår du skal bruge skabelonen

• I har fund fra den seneste audit, der stadig er åbne, og ingen kan sige, hvilket trin på eskaleringsstigen hvert enkelt af dem står på
• I skriver eskaleringsafsnittet i en auditprocedure og har brug for, at rykkeren, henstandsfristen og de to trin står skrevet frem for at være underforstået
• Auditorer har spurgt, hvordan overskredne fund eskaleres, og det ærlige svar i dag er, at det afhænger af, hvem der rykker
• Ledelsens evaluering får de samme fund igen og igen, og I har brug for at vise, hvor de gik i stå, før de nåede dagsordenen
• I indfører formel risikoaccept og vil have underskriften, omfanget og revurderingsdatoen tegnet som et trin frem for efterladt i en mail

Sådan fungerer det

1. Omdøb banerne til jeres roller

   Erstat Ledende auditor, Fundejer, Procesejer, Topledelse og Kvalitetschef / auditudvalg med de roller, der reelt findes hos jer. I en lille kvalitetsfunktion er den ledende auditor og kvalitetschefen den samme person: læg de baner sammen frem for at tegne en overlevering, der aldrig sker.

2. Skriv jeres klassificeringsdefinitioner på den første beslutning

   'Større, mindre eller observation?' er tom, indtil hver klasse har en nedskrevet test og en svarfrist. ISO 9001 taler kun om afvigelse; opdelingen i større og mindre, som de fleste auditprogrammer bruger, kommer fra ISO/IEC 17021-1, standarden for organer der certificerer ledelsessystemer, hvor en større er en, der påvirker ledelsessystemets evne til at nå de tilsigtede resultater. Angiv derefter det antal dage, hver klasse giver.

3. Fastsæt fristen, rykkeren og henstandsfristen

   Sæt rigtige tal på 'Ryk ejeren og sæt en endelig frist' og 'Svarer ejeren inden for henstandsfristen?'. Beslut, hvem der sender rykkeren, hvor lang henstandsfristen løber, og om den er den samme for alle klasser. En henstandsfrist, der aldrig bliver skrevet ned, bliver i stilhed ubegrænset, og det er sådan, et fund kan ældes et helt år, uden at nogen bryder en regel.

4. Navngiv de to trin og dem, der sidder på dem

   Beslut, hvem det første trin reelt er. Det er som regel fundejerens nærmeste leder, men på et tværgående fund er det procesejeren, der råder over ressourcerne, og det er sådan, diagrammet tegner det. Navngiv derefter det organ, der sidder på andet trin, uanset om det er en ledelsesevaluering, et auditudvalg eller et risikoudvalg, og skriv, hvordan et fund kommer på dets dagsorden mellem møderne.

5. Definér hvad en risikoaccept kræver

   'Registrér risikoaccepten med ledelsens underskrift' kræver en formular bag sig: hvem der må skrive under, hvilket omfang accepten dækker, hvilke kompenserende kontroller der gælder i mellemtiden, og hvornår den udløber. Beslut, hvor den accepterede risiko bæres videre bagefter, som regel i risikoregistret, og hvem der forventes at se på den igen på den revurderingsdato, I sætter.

6. Aftal hvad der lukker et fund

   'Lukker dokumentationen fundet?' er dér, de fleste sene uenigheder lander. Skriv, hvad auditor accepterer for hver type handling: en revideret procedure med et revisionsnummer, en uddannelsesregistrering, en stikprøve af transaktioner udført efter ændringen. Beslut også, om lukningen er auditors alene, og om der senere følger en effektivitetskontrol under jeres opfølgningsproces.

7. Prøv det af mod tre virkelige fund

   Tag tre fund fra det seneste år: ét der lukkede til tiden, ét der blev overskredet, og ét der endte i en accepteret risiko. Følg hvert af dem gennem diagrammet. Hvert trin, folk beskriver, men som ikke er tegnet, eller er tegnet, men springes over i praksis, er den ændring, det er værd at lave, før I udgiver processen og begynder at måle på den.

Ofte stillede spørgsmål

Hvilke trin består eskalering af et auditfund af?

Et fund klassificeres som større, mindre eller observation i auditrapporten; et større går til topledelsen, og en observation går i forbedringsregistret. Det tildeles en navngiven ejer, som enten accepterer eller anfægter det; et anfægtet fund gennemgås og bliver enten fastholdt eller trukket tilbage med en registreret begrundelse. Ejeren aftaler en korrigerende handling og en frist, auditor kontrollerer, at planen er tilstrækkelig, og ejeren udfører den og melder status undervejs. Kommer dokumentationen inden fristen, går den til verifikation; gør den ikke, bliver ejeren rykket med en endelig frist, og når henstandsfristen udløber, eskaleres fundet til procesejeren, der aftaler en genopretningsplan og en fast dato. En blokering på ressourcer eller mandat når frem til ledelsens evaluering, som enten finansierer handlingen eller registrerer en underskrevet risikoaccept. Verificeret dokumentation går til auditudvalget sammen med fundets status, og fundet lukkes, mens registreringen arkiveres.

Hvad er forskellen på at eskalere et fund og at følge op på det?

Opfølgning er normaltilstanden: handlingen har en ejer og en dato, fremdriften er synlig, dokumentationen kommer, auditor verificerer den og kontrollerer efter en fastsat periode, om ændringen faktisk holdt. Der er ikke noget galt, så ingen behøver at få besked. Eskalering er dét, der sker, når opfølgningen holder op med at producere bevægelse, og det er en anden proces med andre roller i sig. Den spørger, hvem der har mandat til at fjerne blokeringen, sender fundet op ad en navngiven stige og fremtvinger en beslutning frem for endnu en påmindelse. Det er fristende at tegne de to sammen, men det skjuler trinnene inde i et diagram, hvis hovedlinje går ud fra, at alt forløber efter planen. Brug et diagram for opfølgning på korrigerende handlinger til den rutinemæssige cyklus og dette til undtagelsen, og gør sammenføjningen eksplicit: fristtesten her er den samme test, der afslutter rutinediagrammet.

Hvem beslutter, at et auditfund skal eskaleres?

Eskaleringen udløses af auditfunktionen, ikke af ejeren. Den ledende auditor ejer uret og rykkeren, og chefen for intern audit eller kvalitetschefen ejer beslutningen om at tage et fund op til topledelsen. IIA's Global Internal Audit Standards fra 2024, som trådte i kraft den 9. januar 2025, lægger dette hos den øverste ansvarlige for intern audit: konkluderer vedkommende, at ledelsen har accepteret et risikoniveau ud over organisationens risikoappetit eller -tolerance, skal sagen drøftes med topledelsen, og løses den ikke dér, skal den eskaleres til bestyrelsen. Standarderne er også eksplicitte om, at det ikke er intern audits opgave at håndtere risikoen. I et kvalitetsledelsessystem er den tilsvarende vej ledelsens evaluering, i punkt 9.3 i ISO 9001:2015. Uanset hvad der gælder hos jer, så skriv navnet ind i diagrammet frem for at overlade det til den, der føler sig berettiget til at rejse sagen.

Hvor lang tid bør en ejer have, før et fund eskaleres?

Der findes ingen universel størrelse, og diagrammet bærer bevidst ingen: fristen, henstandsfristen og timingen på hvert trin er pladsholdere, I skal erstatte med jeres egne. Sæt dem ud fra klassificeringen frem for ud fra ét enkelt tal for hele organisationen, så et større fund kører på et kort ur, og en observation ikke sluger den samme opmærksomhed. Er I certificerede, bider jeres certificeringsorgans regler her, og dem kan I ikke flytte: efter ISO/IEC 17021-1 skal korrektionen og den korrigerende handling på en større afvigelse gennemgås, accepteres og verificeres, før der træffes en certificeringsbeslutning, mens en mindre kræver en accepteret plan for korrigerende handling og verificeres ved den følgende audit. En intern henstandsfrist, der løber længere end de frister, er intet værd.

Hvilke registreringer kræver et eskaleret fund?

Et eskaleret fund bliver bedømt på sit spor, så registrér fundet op mod kravet og dokumentationen, den navngivne ejer og den aftalte handling med dens dato, hver rykker og hvornår den blev sendt, hver eskalering og hvem der modtog den, ledelsens beslutning ved evalueringen, og den dokumentation, der blev accepteret ved lukningen. Blev en risiko accepteret, så gem den underskrevne accept med dens omfang, dens kompenserende kontroller og dens udløbsdato, og notér, hvor risikoen bæres videre bagefter. ISO 9001:2015 punkt 10.2 kræver, at afvigelserne, de trufne handlinger og resultaterne af enhver korrigerende handling opbevares som dokumenteret information, og ISO 19011:2018, standarden med retningslinjer for audit, sætter opfølgningen op som sit eget skridt i punkt 6.7, hvor gennemførelse og effektivitet verificeres — ofte som en del af den næste audit. I praksis er den registrering, der afgør en diskussion, den kedelige: hvem der fik besked, og hvornår.