Flowchart for leverandøraudit (2. partsaudit)

Hvad er flowchart for leverandøraudit (2. partsaudit)?

En leverandøraudit er en 2. partsaudit: I er kunden, leverandøren er den auditerede, og auditten finder sted, fordi noget, I køber, betyder nok til, at I tager ud og ser på, hvordan det bliver lavet. Udløseren i dette diagram er auditprogrammet og ikke en fejl. Leverandørerne rangeres efter, hvad delen kan gøre ved jeres produkt, hvilket i praksis vil sige sikkerheds- og myndighedskrav, proceskompleksitet, hvordan leverandøren har præsteret, og om nogen uafhængig har certificeret deres ledelsessystem, og kun dem, risikoen berettiger, auditeres i denne cyklus. Derfra følger diagrammet én audit hele vejen igennem: kvalitetschefen godkender omfanget og auditteamet, dagsordenen sendes ud, leverandøren bekræfter adgang og returnerer en forberedelsespakke, der bygges en tjekliste ud fra jeres egne krav, åbningsmødet holdes, der stikprøves på linjen, fund registreres mod dokumentation, afslutningsmødet holdes, rapporten graderer fundene, leverandøren returnerer en plan for korrigerende handling, handlingerne verificeres, og alt det får en virkning på leverandørens godkendte status.

Det er hverken leverandørevaluering eller en anmodning om korrigerende handling. Leverandørevaluering er det tilbagevendende scorecard for kvalitet, levering, pris og service hen over en periode, og den afgør, om en leverandør præsterer; grenen "Kun overvågning" ved den første beslutning forlader dette diagram til netop dét frem for at rejse en audit, ingen har tid til at gennemføre. En anmodning om korrigerende handling hos leverandøren starter fra én fejlet leverance og beder leverandøren om at rette ét undslip, mens en audit starter fra risiko og undersøger det system, der frembragte det. Om en leverandør overhovedet må bruges, er leverandørgodkendelse, og at auditere jeres egne processer med jeres egne folk er en 1. partsaudit med et helt andet uafhængighedsproblem. ISO 19011:2018 giver vejledning om audit af ledelsessystemer og dækker 2. partsaudit af eksterne leverandører, men det er vejledning og ikke krav: intet her gør en audit officiel, akkrediteret eller certificeret, og diagrammet er et udgangspunkt, I tilpasser efter jeres egne procedurer, jeres kunders krav og den regulering, jeres branche er underlagt.

Fire beslutninger bærer auditten. "Berettiger risikoen en audit i denne cyklus?" er den, de fleste programmer springer over, og springer man den over, ender man med en årlig liste, ingen bliver færdig med, og med audits hos de leverandører, det er nemmest at besøge. "Følger praksis den dokumenterede metode?" er dér, hvor auditten faktisk udføres, og den løber gennem "Er der mere af omfanget at stikprøve?", fordi ét fund er en anekdote, indtil stikprøven dækker det omfang, I varslede. "Er allerede afsendt produkt i risiko?" er den undtagelsesvej, en 2. partsaudit har brug for, og som en 1. partsaudit sjældent tegner: auditoren står i en fabrik, der allerede har afsendt, og inddæmning kan ikke vente på rapporten. "Er handlingerne verificeret effektive?" ligger i den ledende auditors bane og ikke i leverandørens af den indlysende grund, og dens fejlgren når frem til en eskalering med tre reelle veje, en opfølgende audit, en forlænget plan eller fjernelse fra den godkendte leverandørliste, for en verifikation uden konsekvens lærer leverandørerne, at planen er leverancen.

Hvad dette flowchart dækker

I denne skabelon

• Fem swimlanes (Leverandørkvalitet / ledende auditor, Kvalitetschef, Indkøb, Leverandør og Ejer af godkendt leverandørliste) fordelt på syv faser: Auditprogram, Planlæg og varsl, Dokumentgennemgang, Audit på stedet, Fund og rapport, Korrigerende handling samt Verifikation og status
• Et risikobaseret program i toppen, hvor "Auditprogram dannet ud fra leverandørrisiko" rangerer leverandørerne, før nogen booker et besøg, og "Berettiger risikoen en audit i denne cyklus?" sender dem, der ikke kommer over tærsklen, videre til "Dæk leverandøren med scorecard-overvågning" frem for ind på en liste, ingen bliver færdig med
• Planlægningen tegnet som en tosidet udveksling: kvalitetschefen godkender omfang, datoer og auditteam, dagsordenen sendes ud, og "Er forberedelsespakken komplet?" løber tilbage til "Bekræft adgang og send forberedelsespakken", når registreringerne ikke kommer, så en tynd pakke udsætter auditten frem for at spilde den
• Den stikprøvesløjfe, de fleste auditdiagrammer udelader, hvor "Følger praksis den dokumenterede metode?" enten registrerer et fund eller går videre, og "Er der mere af omfanget at stikprøve?" vender tilbage til "Stikprøv registreringer, gå linjen og interview", indtil det varslede omfang er dækket
• En undtagelsesvej for produkt, der allerede er ude: "Er allerede afsendt produkt i risiko?" trækker leverandøren ind i "Inddæm mistænkt lager og markér leverancer" midt i auditten, fordi lager, der allerede er afsendt, ikke kan vente på rapporten, og selve rettelsen hører til en anmodning om korrigerende handling hos leverandøren
• Graderede fund med en konsekvens hæftet på, så "Er der rejst en større afvigelse?" kan blokere nye ordrer, mens planen skrives, "Adresserer planen rodårsag og undslip?" sender en svag plan retur til omarbejdning, og "Er handlingerne verificeret effektive?" fører enten til lukning eller til en eskalering, der kan ende med fjernelse fra listen

Hvornår du skal bruge skabelonen

• I køber hos en leverandør, hvis proces betyder mere end deres papirarbejde, og I har brug for ét billede af, hvordan en audit hos dem planlægges, gennemføres og lukkes.
• Jeres auditprogram findes som et regneark med datoer, og ingen kan forklare, hvorfor lige de leverandører blev valgt og ikke andre.
• Der bliver gennemført audits, men fundene dør efter afslutningsmødet, fordi intet i processen verificerer, at den korrigerende handling virkede.
• En kunde, et certificeringsorgan eller en intern auditor har spurgt, hvordan I auditerer jeres egen leverandørbase, og den ærlige dokumentation er en mappe med rejserapporter.
• I skal aftale, hvem der må blokere nye ordrer, og hvem der må fjerne en leverandør fra den godkendte leverandørliste, og på hvilket punkt den beslutning forlader indkøberen.

Sådan fungerer det

1. Omdøb banerne til jeres roller

   Erstat Leverandørkvalitet / ledende auditor, Kvalitetschef, Indkøb, Leverandør og Ejer af godkendt leverandørliste med de roller, I reelt har. Mindre organisationer slår ofte de to første sammen, og den godkendte leverandørliste holdes hyppigt af indkøb eller af stamdata frem for af kvalitet. Behold Leverandør-banen uanset hvad: den markerer de fire trin, der afhænger af nogen uden for jeres organisation, og det er dér, cyklussen går i stå.

2. Skriv jeres udvælgelsesregel på den første beslutning

   Sæt en reel regel på "Berettiger risikoen en audit i denne cyklus?" frem for en mavefornemmelse. De fleste programmer kombinerer delens kritikalitet, om den bærer sikkerheds- eller myndighedskrav, leverandørens seneste præstation, og om et uafhængigt organ har certificeret deres ledelsessystem. Notér, hvilket interval hvert risikoniveau udløser, og hvad der nulstiller det, og skriv så, hvem der godkender, at en leverandør springes over.

3. Skriv, hvad forberedelsespakken skal indeholde

   List den på "Bekræft adgang og send forberedelsespakken": proceskortet, kontrolplanen eller tilsvarende, seneste interne audit og output fra ledelsens evaluering, kalibrerings- og uddannelsesregistreringer for de relevante operationer samt ændringshistorik for jeres varenumre. Notér også fristen, og hvad der sker, når den overskrides, for ellers er Mangler-grenen en høflig sløjfe uden ende.

4. Definér graderingen af fund før auditten

   Aftal, hvad der gør et fund til en større afvigelse, en mindre afvigelse eller en observation, skriv det ind i auditplanen og send det ud sammen med dagsordenen. Hæft en svarfrist på hver gradering og en konsekvens på den øverste. En gradering, der bliver diskuteret på afslutningsmødet, er en gradering, leverandøren forhandler, og den gør fund fra forskellige auditorer umulige at sammenligne på tværs af programmet.

5. Fastlæg reglerne for inddæmning og ordreblokering

   Beslut, hvem der må udløse "Inddæm mistænkt lager og markér leverancer" inde fra en audit, og hvor langt det rækker: leverandørens færdigvarelager, materiale i transit, jeres eget lager og igangværende arbejde. Skriv derefter reglen bag "Bloker nye ordrer indtil svaret foreligger", som normalt kun er den berørte del og ikke alt, leverandøren laver, og navngiv den, der må ophæve den.

6. Fastlæg verifikationsmetoden og dens periode

   Skriv, hvordan "Er handlingerne verificeret effektive?" besvares: dokumentation, I selv udpeger, frem for den leverandøren tilbyder, hen over en defineret periode som et antal leverancer eller et opfølgende besøg. Standardvejledningen behandler en opfølgende audit som en legitim måde at verificere på. Angiv, hvem der må lukke en større afvigelse, og skriv ned, at intet fund lukkes på et løfte.

7. Prøv det af mod en gennemført leverandøraudit

   Tag to afsluttede audits, én der blev lukket rent og én der trak ud, og følg dem gennem diagrammet. Alt, folk beskriver, som ikke er tegnet, eller som er tegnet, men springes over i praksis, er værd at rette, før I udgiver det. Vær særligt opmærksom på, hvad der faktisk skete mellem rapporten og lukningen, for det er dér, de fleste leverandørauditprocesser viser sig at være udokumenterede.

Ofte stillede spørgsmål

Hvilke trin består en leverandøraudit af?

Programmet dannes ud fra leverandørrisiko, og en første beslutning afgør, om risikoen berettiger en audit, eller om scorecard-overvågning dækker leverandøren. Kvalitetschefen godkender omfang, datoer og auditteam, dagsordenen sendes ud, og leverandøren bekræfter adgang og returnerer en forberedelsespakke, som løber tilbage, hvis den kommer ufuldstændig. Den ledende auditor bygger en tjekliste ud fra jeres egne krav, holder åbningsmødet og stikprøver derefter registreringer, går linjen og interviewer medarbejdere. Hvor praksis ikke følger den dokumenterede metode, registreres hullet mod objektiv dokumentation, og er afsendt produkt i risiko, inddæmmer leverandøren lageret midt i auditten; stikprøvningen fortsætter, indtil omfanget er dækket. Afslutningsmødet fastlægger fakta, rapporten graderer hvert fund, en større afvigelse kan blokere nye ordrer, og auditten lukkes først, når handlingerne er verificeret effektive.

Hvad er forskellen på 1., 2. og 3. partsaudit?

ISO 19011:2018 gør begreberne klare. En 1. partsaudit er en intern audit, som organisationen selv udfører eller får udført på sine vegne. En 2. partsaudit er en ekstern audit, der udføres af en part med en interesse i organisationen, typisk en kunde, der auditerer en ekstern leverandør, og det er dét, dette diagram tegner. En 3. partsaudit udføres af en uafhængig auditorganisation, for eksempel et certificeringsorgan eller en myndighed. Den praktiske forskel er myndighed. I en 1. partsaudit kan I forlange adgang, fastsætte metoden og læse enhver registrering, I har lyst til. I en 2. partsaudit kan I bede om det, og hvad I får, styres af kontrakten og af, hvad leverandøren er indstillet på at vise; områder med en anden kundes arbejde er ofte lukket land. Jeres audit certificerer heller ingenting: den er jeres egen vurdering til jeres eget brug, ikke en akkreditering.

Hvem bør lede en leverandøraudit, og må indkøberen gøre det?

Den ledende auditor bør være kompetent i den proces, der auditeres, og uafhængig af det kommercielle forhold, hvilket i de fleste organisationer betyder leverandørkvalitet frem for indkøberen. Det er ikke et angreb på indkøb. Indkøberen ejer prisen, leveringsplanen og relationen, og at bede vedkommende skrive en større afvigelse på en leverandør, de står midt i en forhandling med, lægger to uforenelige opgaver på én person. Indkøb har stadig en reel rolle i dette diagram: at rykke for forberedelsespakken, at blokere nye ordrer, mens en større afvigelse besvares, og at bære eskaleringen, hvis verifikationen fejler. Selve fundet bliver hos auditoren. Hvor den samme person reelt gør begge dele, så lad rapporten gennemgå af en anden, før den udsendes, og registrér, hvem der godkendte omfanget og auditteamet, så uafhængighedsspørgsmålet har et svar.

Hvad gør et fund til en større afvigelse frem for en mindre?

Der findes ingen universel definition. ISO 19011:2018 siger udtrykkeligt, at afvigelser kan graderes afhængigt af organisationens kontekst og dens risici, og at graderingen kan være kvantitativ, for eksempel en skala fra 1 til 5, eller kvalitativ, for eksempel mindre og større. Graderingen er altså jeres at definere, og stedet at definere den er auditplanen, der udsendes med dagsordenen, ikke afslutningsmødet, hvor leverandøren diskuterer den. En udbredt arbejdsdeling er, at en større afvigelse er et systematisk sammenbrud, et fraværende kontrolpunkt eller noget, der bringer overensstemmende produkt i fare; en mindre er et enkeltstående svigt i et kontrolpunkt, der ellers virker; og en observation er en risiko, der endnu ikke har frembragt en afvigelse. Skriv jeres egen version ned, hæft en svarfrist på hver gradering, og angiv, hvad en større afvigelse gør ved ordrer.

Hvor ofte bør leverandører auditeres?

Risikoen sætter frekvensen, ikke kalenderen. ISO 9001:2015 pkt. 8.4.1 kræver, at en organisation fastlægger og anvender kriterier for evaluering, udvælgelse, overvågning af præstation og revurdering af eksterne leverandører og opbevarer dokumenteret information om disse aktiviteter og de handlinger, der følger af dem, men den nævner intet interval og kræver overhovedet ikke en audit. Bilbranchen er mere præcis: IATF 16949:2016 pkt. 8.4.2.4.1 kræver en dokumenteret proces for 2. partsaudit med kriterier for at fastlægge behovet for, typen af, frekvensen af og omfanget af de audits ud fra en risikoanalyse, der dækker produktsikkerhed og myndighedskrav, leverandørens præstation og niveauet af certificering af kvalitetsledelsessystemet. I praksis fortjener en leverandør, der laver en sikkerhedskritisk del uden uafhængig certificering, et besøg langt oftere end en forhandler af katalogvarer.