如何建立內部審核流程
如何把內部審核流程設計成一個周期而不是一個項目：一份按風險編排、決定審甚麼的方案，每次指派都要過的獨立性關卡，以及一次會重新抽樣的結案。
運作方式
在排任何日期之前，先列出每一條流程
方案需要一個分母。把範圍內每一條流程連同負責人寫下來，再註明每一條上次何時審過、審出了甚麼。那張清單上的空白，就是這份時間表的理據，而且它說服管理層的能力，比時間表本身可靠得多。
由風險分數推導每一個周期
為每條流程在影響、近期變更和發現歷史三方面評分，再讓分數定出周期：已經失手兩次的每季一次，多年穩定的每個周期一次。把理由寫在周期旁邊，因為當有人問起為甚麼出貨每三年才審一次，你需要一個答案。
先把方案那幾列搭出來
在 QueryChart 裡，開頭那幾列是方案而不是審核：「檢視風險與以往審核發現」的「形狀」設為「開始」，然後是編製時間表、為當中每一項指派審核員的那幾列。把它們與現場審核放在同一張圖裡，才令跟著這張圖走的人看得見整個周期。
把獨立性關卡做成一個決策
把指派那一列寫成一條問題，然後把它的「形狀」欄改為「決策」，在「連線至」填兩個列號，答案按同樣次序填進「連線文字」。改派那條路線指回這道關卡再檢查一次，所以它的號碼比寫著它的那一列還要小。
把每一步放進它負責人的泳道
「垂直泳道」放角色——品質經理、內部審核員、受審方、最高管理層——「水平泳道」放階段。泳道正是令獨立性一眼可查的東西：當現場審核那幾列與受審流程落在同一條泳道裡，這張圖就是在告訴你一項發現。
在審核員泳道裡把周期收口
在審核員泳道加上驗證那一列，給它一個範圍——哪個總體、抽多少份紀錄、相隔多久——並把它不通過的出口指回「就根本原因與糾正措施達成共識」。然後把連結分享給受審方，而不只是審核團隊：看得見那一列的人就會知道，一項發現是在重新抽樣時結案，而不是在措施報告交上來時結案。
常見問題
內部審核應該多久做一次？
按風險訂定的既定周期。對多數管理體系而言，那意味著每一條流程在一個認證周期內最少審一次，而暴露程度高的要密得多。ISO 9001 只要求既定周期，並刻意不點明頻次，所以把甚麼都一年審一次是一個選擇而不是一項要求——而且通常是差的選擇，因為它把同等的工夫，平均攤在後果差天共地的流程上。頻次亦應該會動：一條有兩項未結發現的流程，理應提早重訪一次。
誰可以執行內部審核？
任何受過審核培訓、而且獨立於受審範圍的人——約束在於獨立性，不在於職級。來自另一個部門、另一個廠區，或者外聘的審核員都合資格。流程負責人不合資格，正在被抽樣的那份程序的作者亦不合資格。規模小的機構靠在職能之間互換審核員來解決，而不是把這項要求豁免掉；而指派那一步正是這項檢查該待的地方，因為衝突就是在指派時造出來的。
內部審核發現在甚麼時候可以結案？
當審核員回到發現來源的那個總體，重新抽一次樣，並確認它現在符合要求的時候。結案是一件有範圍、有樣本量、有日期的現場工作，不是把一個欄位由開啟改成關閉；這也是它要等一段議定好的時間、而不是等到下星期的原因：措施完成翌日抽的樣本，只證明措施裝上了，證明不到它撐得住。至於措施本身選得好不好，那是糾正措施流程要答的問題。
不符合項與觀察項有甚麼分別？
不符合項是未能滿足一項明訂要求，它強制要求糾正措施；觀察項是一個弱點或一項正在浮現的風險，它沒有違反任何東西，也不帶這種義務。所以定級是一個關於資源的決定，不是一個關於措辭的決定：定高了，登記冊就背上一項無人編過預算的義務；定低了，一項本該履行的義務就被悄悄免掉。在末次會議上定，連同引用的條款和記下的樣本。