内部审核流程图模板

什么是内部审核流程

内部审核就是组织对照自己的程序、以及自己所遵循的标准来检查自身。本模板中的循环正是管理体系标准所预期的那一套：ISO 9001、ISO 14001 和 ISO 27001 都要求按策划的时间间隔实施审核，要求审核方案考虑过程的重要性和以往的审核结果，要求审核员客观公正，要求发现得到处理而不被无故拖延，要求保留审核方案及其结果的证据，并要求把审核结果输入管理评审。

决定一个审核方案是真正有用还是只是纸面工作的，有两件事。第一是独立性：审核员去审核自己负责运行的过程，不会对自己开出问题，因此这张流程图把独立性判定做成一个明确的决策节点，并给出重新指派的路径，而不是写成程序文件里一句没人看的话。第二是证据。一项发现只有指向具体的记录、抽样或访谈才站得住脚，因此现场审核这一步的存在，是为了在审核员还在现场时就把文件编号、日期和抽样数量记下来；而最后一步是通过保存这些记录来关闭审核，而不是发一封邮件。

审核方案失效的另一个地方是在报告之后。发现被提出，纠正措施被商定，然后没有人验证措施是否真的起了作用。流程图用一个跟踪决策来处理这一点：要么验证措施有效，要么把它退回根本原因分析重新打开，这样不符合项就不能仅凭一句承诺被关闭。如果你们把审核程序本身作为受控文件维护，就要对它做版本控制并留下审批记录——认证审核员通常会问，某一次审核当时执行的是哪一个版本。

本流程图涵盖的内容

本模板包含

• 四条泳道——质量负责人、内部审核员、受审核方或过程责任人、最高管理者——横跨六个阶段：审核方案、策划、现场审核、报告、纠正措施，以及跟踪与评审
• 由质量负责人主导的方案编制：评审风险和以往发现，制定年度审核方案，并为每一次审核指派审核员
• 一个明确的独立性决策“审核员是否独立于该领域？”，选“否”则转入重新指派另一位审核员并再次判定，之后策划才开始
• 准备与文件评审：审核计划与检查表、向受审核方发出通知并确认日期、受审核方提交程序和记录，以及审核前的文件评审
• 现场审核环节配合“证据是否满足要求？”决策——符合要求的证据直接进入末次会议，存在差距则先经过记录不符合项或观察项
• 收尾：把审核报告作为保存记录发出，与过程责任人商定根本原因和纠正措施，在期限内完成，随后由“纠正措施是否有效？”这一判定决定重新打开该措施，或把结果送入管理评审，最后关闭审核并归档记录

何时使用本模板

• 你们正在编写或修订 ISO 9001、ISO 14001、ISO 27001 或同类管理体系的内部审核程序文件
• 你们在准备认证审核或监督审核，需要展示审核如何策划、谁审核谁，以及证据保存在哪里
• 发现一直在提，但纠正措施一再拖过期限，也没有人验证它们是否起了作用
• 你们要培训新的内部审核员，他们只见过现场那一天，没有见过围绕它的方案、报告和跟踪
• 你们是小型组织，审核员独立性确实难以做到，需要一种站得住脚的方式来证明它

运作方式

1. 把泳道改成你们真实的角色

   把“质量负责人”换成你们这里实际负责审核方案的人——可能是合规负责人、HSE 负责人或 ISMS 负责人——并把“受审核方／过程责任人”改成你们使用的职称。即使最高管理者只有一个人，也要把它保留为单独的泳道，因为通向管理评审的报告路径必须看得见。

2. 写下审核频次由什么决定

   把你们的规则写到审核方案步骤上：哪些过程每个周期都要审核，什么情况会触发额外审核（一项严重不符合项、一次过程变更、一家新供应商、客户投诉的趋势），以及一个认证周期内的最低覆盖范围是什么。没有写明理由的方案，本身就是常见的审核发现。

3. 定义独立性的判定标准

   在独立性决策处写明什么情况会让一位审核员失去资格：审核自己的工作、审核自己管理或向其汇报的过程，或者审核由自己编写的那份程序。记下人手不足时你们采用的替代做法——部门之间交叉审核、从其他厂区借调一位受过训练的审核员，或聘请外部审核员。

4. 固定发现的类别，以及每一类各自的义务

   确定你们如何区分严重不符合项、一般不符合项和观察项，并把它写在不符合项这一步上。要明确写出观察项不要求纠正措施，否则审核员会为了不给别人添活而少报。

5. 为纠正措施设定时限

   在纠正措施相关步骤上填上真实的数字：过程责任人有多长时间提出根本原因和措施、多长时间完成实施、验证在什么时候进行。十个工作日回复、六十天完成是常见的做法，但要选你们组织真正做得到的数字。

6. 写明证据存放在哪里

   在报告和关闭步骤上注明检查表、抽样记录、报告和措施记录的实际存放位置与保存期限。审核方案及其结果的证据必须保留，而“在审核员的邮箱里”过不了认证审核员这一关。

常见问题

内部审核流程分为哪几个阶段？

六个，就是流程图里画的这些。依据过程风险和以往发现制定基于风险的年度审核方案。指派审核员，并确认其独立于所审核的领域。策划本次审核，通知受审核方，并提前评审文件。到现场实施审核：首次会议、抽样查阅记录并访谈人员、末次会议。报告结果，把不符合项和观察项分开记录。随后与责任人商定纠正措施和期限，验证它确实起了作用，并在关闭审核、归档记录之前把结果送入管理评审。

小型组织怎样保证审核员的独立性？

要求是审核员不得审核自己的工作，而不是要求你们设一个独立的审核部门。实践中，这意味着在部门之间互换审核员——负责采购的人去审核仓库，反过来也一样；把质量职能之外的员工培训成审核员；从集团内其他厂区或公司借一位受过训练的审核员；或者在内部没有人能保持公正的领域聘请外部审核员。流程图把它做成一个带重新指派回路的决策点，让这项判定发生在策划之前，而不是等报告被质疑之后。

内部审核应当多久做一次？

没有任何管理体系标准规定固定的间隔。ISO 9001、ISO 14001 和 ISO 27001 都表述为按策划的时间间隔实施审核，并要求审核方案考虑相关过程的重要性、影响组织的变化以及以往审核的结果。实践中，多数组织在三年认证周期内至少覆盖每个过程一次，对高风险或以往出现过不符合项的过程每年或更频繁地审核，并在发生重大变更或事件后安排计划外审核。

不符合项和观察项有什么区别？

不符合项是没有满足某项已确立的要求——标准的某个条款、你们自己的程序，或者法规或客户的要求——它使你们有义务加以纠正、调查原因并采取纠正措施。观察项是审核员记下的、但并不构成违反的事情：一项薄弱的控制、一处不一致，或者一种放着不管迟早会出问题的做法，它不要求纠正措施。把两者清楚分开很重要，因为一旦观察项被当作不符合项处理，审核员就会悄悄不再把它们写下来。