如何建立內部審核流程
如何把內部審核流程設計成一個周期而不是一個項目：一份按風險編排、決定審甚麼的方案，每次指派都要過的獨立性關卡，以及一次會重新抽樣的結案。
內部審核流程在兩個層面運作：一份按風險編排、決定哪些流程受審以及多久審一次的方案，以及審核本身——計劃、抽樣、報告、糾正，然後驗證。
簡而言之
- 方案決定審甚麼、何時審；一次審核只是它的一次迭代。
- 頻次跟隨風險、變更和發現歷史，而不是跟隨平均分佈的日曆。
- 獨立性是一次指派的屬性，所以它其實是一條關於泳道的問題。
- 結案是現場工作：審核員要對發現來源的那個總體重新抽樣。
- 不符合項強制要求糾正措施，觀察項不會，所以定級是一個關於資源的決定。
方案才是流程，審核不是
幾乎每一張內部審核圖都只畫一次審核，把方案留在畫外。機構就是這樣累積出三年來全部圍著同樣三個範圍打轉的報告：那些容易安排、受審方又肯合作的範圍。方案才是流程——一張由風險、由近期變更、由以往審核發現推導出來的時間表，在一段界定好的期間內覆蓋每一條流程。一次審核只是它的一次迭代。
第二個決定，是結案究竟包含甚麼。驗證一項發現並不是改一個狀態，而是回到當初抽樣的那個總體，對照同一項要求重新抽一次樣，並像任何一次測試那樣記下範圍和樣本量。那是現場審核工作，也正是驗證那一列要放在審核員泳道的原因：執行措施的人，不能同時是量度紀錄現在是否合格的人。
下面的示例是這個周期的一圈，橫跨六個階段、四個角色。「審核員是否獨立於受審範圍？」在任何計劃工作之前就要問，因為獨立性是一次指派的屬性，不是審核員本人的屬性。到了另一端，「糾正措施是否有效？」帶著一條「重開」分支回到「就根本原因與糾正措施達成共識」——全圖只有兩條往回指的路線，而這一條是把發現送回去再試一次，而不是送進登記冊。
四個角色，一項已結案的發現
留意方案排在第一次審核之前，以及一條「重開」分支怎樣把一項發現送回去，讓糾正措施再試一次。
由方案開始
圖的起點是「檢視風險與以往審核發現」而不是一次審核，之後才編製年度方案，並為當中每一項指派審核員。三列之中沒有一列是審核——而這正是多數內部審核圖漏掉的那一半。
獨立性先於計劃
「審核員是否獨立於受審範圍？」把「否」引向「改派其他審核員」，後者指回這道關卡再問一次。到這時計劃工作才開始：檢查表、與受審方議定日期，以及落在受審方泳道裡的「提供程序文件與紀錄」。
報告不是終點
現場審核抽查紀錄，並為所見定級。「證據是否符合要求？」把「發現缺口」送去「記錄不符合項或觀察項」，兩條路線都匯到末次會議，然後發出報告。多數內部審核圖就停在那一列。
發現經驗證才算結案
與流程負責人議定根本原因，措施在限期前完成，然後由「糾正措施是否有效？」作決定。「重開」回到第 16 列而不是往前走，只有已驗證那條路線才去到管理層評審和一份保存下來的紀錄。
運作方式
在排任何日期之前，先列出每一條流程
方案需要一個分母。把範圍內每一條流程連同負責人寫下來，再註明每一條上次何時審過、審出了甚麼。那張清單上的空白，就是這份時間表的理據，而且它說服管理層的能力，比時間表本身可靠得多。
由風險分數推導每一個周期
為每條流程在影響、近期變更和發現歷史三方面評分，再讓分數定出周期：已經失手兩次的每季一次，多年穩定的每個周期一次。把理由寫在周期旁邊，因為當有人問起為甚麼出貨每三年才審一次，你需要一個答案。
先把方案那幾列搭出來
在 QueryChart 裡，開頭那幾列是方案而不是審核：「檢視風險與以往審核發現」的「形狀」設為「開始」，然後是編製時間表、為當中每一項指派審核員的那幾列。把它們與現場審核放在同一張圖裡，才令跟著這張圖走的人看得見整個周期。
把獨立性關卡做成一個決策
把指派那一列寫成一條問題，然後把它的「形狀」欄改為「決策」，在「連線至」填兩個列號，答案按同樣次序填進「連線文字」。改派那條路線指回這道關卡再檢查一次，所以它的號碼比寫著它的那一列還要小。
把每一步放進它負責人的泳道
「垂直泳道」放角色——品質經理、內部審核員、受審方、最高管理層——「水平泳道」放階段。泳道正是令獨立性一眼可查的東西：當現場審核那幾列與受審流程落在同一條泳道裡，這張圖就是在告訴你一項發現。
在審核員泳道裡把周期收口
在審核員泳道加上驗證那一列，給它一個範圍——哪個總體、抽多少份紀錄、相隔多久——並把它不通過的出口指回「就根本原因與糾正措施達成共識」。然後把連結分享給受審方，而不只是審核團隊：看得見那一列的人就會知道，一項發現是在重新抽樣時結案，而不是在措施報告交上來時結案。
應避免的錯誤
按月把日曆填滿
十二次審核，一個月一次，選中的都是方便安排的那些。覆蓋率看起來很完整，而風險在裡面完全不見蹤影。把每一個頻次對著一個風險分數寫下來，那些棘手的範圍就再也拖不掉。
把報告當成交付物
發出報告感覺像工作已經完結，而幾乎全部價值都在它下游。在圖上，份量應該落在報告之後：根本原因、措施、驗證，以及下一份方案要怎樣做得不一樣。
審核自己管理的流程
方便，而且會令結果作廢——沒有人會拿自己的紀錄對照自己的程序，然後查出多少東西。在部門之間互換審核員，或者向另一個廠區借一位受過培訓的，而不是把這項檢查豁免掉。
沒有引用條款的發現
一項不點名它違反了哪條要求的發現只是一種看法，而它會在末次會議上被講到不了了之。引用條款或程序，討論就會轉到證據上，那才是它該待的地方。
建立你們自己的內部審核周期
把內部審核示例開成你們自己的圖表，訂下你們自己的審核頻次，並指明一項發現結案之前由誰驗證。
相關指南
常見問題
內部審核應該多久做一次？
按風險訂定的既定周期。對多數管理體系而言，那意味著每一條流程在一個認證周期內最少審一次，而暴露程度高的要密得多。ISO 9001 只要求既定周期，並刻意不點明頻次，所以把甚麼都一年審一次是一個選擇而不是一項要求——而且通常是差的選擇，因為它把同等的工夫，平均攤在後果差天共地的流程上。頻次亦應該會動：一條有兩項未結發現的流程，理應提早重訪一次。
誰可以執行內部審核？
任何受過審核培訓、而且獨立於受審範圍的人——約束在於獨立性，不在於職級。來自另一個部門、另一個廠區，或者外聘的審核員都合資格。流程負責人不合資格，正在被抽樣的那份程序的作者亦不合資格。規模小的機構靠在職能之間互換審核員來解決，而不是把這項要求豁免掉；而指派那一步正是這項檢查該待的地方，因為衝突就是在指派時造出來的。
內部審核發現在甚麼時候可以結案？
當審核員回到發現來源的那個總體，重新抽一次樣，並確認它現在符合要求的時候。結案是一件有範圍、有樣本量、有日期的現場工作，不是把一個欄位由開啟改成關閉；這也是它要等一段議定好的時間、而不是等到下星期的原因：措施完成翌日抽的樣本，只證明措施裝上了，證明不到它撐得住。至於措施本身選得好不好，那是糾正措施流程要答的問題。
不符合項與觀察項有甚麼分別？
不符合項是未能滿足一項明訂要求，它強制要求糾正措施；觀察項是一個弱點或一項正在浮現的風險，它沒有違反任何東西，也不帶這種義務。所以定級是一個關於資源的決定，不是一個關於措辭的決定：定高了，登記冊就背上一項無人編過預算的義務；定低了，一項本該履行的義務就被悄悄免掉。在末次會議上定，連同引用的條款和記下的樣本。