如何创建内部审核流程
如何把内部审核设计成一个循环而不是一次项目：由风险决定审什么的审核方案、每次指派都要过的独立性关口，以及以重新抽样收尾的关闭。
运作方式
先把所有过程列出来，再谈排期
方案需要一个分母。把范围内的每一个过程连同它的负责人写下来，再标注各自上一次审核是什么时候、审出了什么。这份清单上的空白就是排期的理由，而且它比时间表本身更能说服管理层。
每个周期都由一个风险分数推出来
从影响、近期变更和以往发现三个方面给每个过程打分，由分数决定周期：出过两次问题的每季度一次，多年稳定的一个周期一次。把理由写在周期旁边，因为当有人问为什么发运过程三年才审一次时，你需要一个答案。
先把方案那几行搭出来
在 QueryChart 里，开头几行是方案而不是审核：第一行的“形状”填开始，标签写着“评审风险与以往审核发现”，随后是编制时间表、并为其中每一项指派审核员的那几行。把它们和现场审核放在同一张图里，才能让照着走的人看见这是一个循环。
把独立性关口做成一个决策
把指派那一行写成一个问句，再把它的“形状”改成决策，在“连线至”里填两个行号，答案按同样的顺序填进“连线文字”。改派那条路径指回这道关口重新检查，所以它的行号比写着它的那一行更小。
让每一步待在负责人的泳道里
“垂直泳道”放角色——质量经理、内审员、受审方、最高管理者——“水平泳道”放阶段。泳道正是让独立性一眼可查的东西：当现场审核的行落在被审过程自己的泳道里时，这张图就是在向你报告一项发现。
在内审员泳道里闭合循环
把验证那一行放进内审员的泳道，给它一个范围——抽哪个总体、抽多少条、隔多久——并把它的失败路径连回“就根本原因与纠正措施达成一致”。然后把链接分享给受审方，而不只是审核组：看到那一行的人就知道，发现关闭在重新抽样上，不在措施报告上。
常见问题
内部审核应该多久做一次？
按风险确定的策划时间间隔——对多数管理体系来说，意味着每个认证周期内每个过程至少审一次，暴露程度高的则要频繁得多。ISO 9001 要求的是策划的时间间隔，并且刻意不规定频次，所以每年把所有过程都审一遍是一种选择而不是一项要求，而且通常不是好选择：它把同样的力气均摊到后果差别极大的过程上。频次也应当会动：一个挂着两项未关闭发现的过程，理应更早被再审一次。
谁可以实施内部审核？
任何受过审核培训、并且独立于被审领域的人——约束条件是独立性，不是职级。来自另一个部门、另一个厂区或外聘的审核员都符合。过程负责人不行，被抽查的那份程序的编写者也不行。规模小的组织靠在职能之间互换审核员来解决，而不是把这项要求免掉；而检查该放在指派这一步，因为利益冲突正是在指派的时候产生的。
内部审核发现在什么条件下可以关闭？
当审核员回到这项发现所来自的总体，重新抽了一次样，并确认它现在满足要求的时候。关闭是一件有范围、有抽样量、有日期的现场工作，而不是把一个字段从打开改成关闭；也正因如此，它要等一个约定的间隔，而不是等到下一周：措施刚落地第二天抽的样，只能说明措施装上去了，说明不了它守得住。措施选得对不对，是纠正措施流程要回答的问题。
不符合项和观察项有什么区别？
不符合项是未能满足一条明示的要求，它必须带来纠正措施；观察项是一处薄弱环节或一个正在冒头的风险，它没有违反任何要求，也不产生这项义务。所以定级是一次关于花钱的决定，而不是关于措辞的决定：定高了，登记册里就多出一项没人做过预算的义务；定低了，一项本该履行的义务就被悄悄免除。在末次会议上定，引用条款，并记录抽样。