2.2. Менеджмент программы аудита
Руководство организации должно назначить ответственного за программу аудита и предоставить ему полномочия для управления программой аудита. Ответственность может возлагаться на одного или несколько лиц.
В обязанность лиц, осуществляющих управление программой аудита, входит:
определение цели и объекта программы аудита;
установление процедур, в соответствии с которыми будет осуществляться аудит и происходить управление программой аудита;
определение ответственности за проведение аудитов (руководителя аудиторской группы);
обеспечение ресурсами, необходимыми для разработки, реализации, мониторинга и улучшения программы аудита;
обеспечение внедрения программы аудита;
проведение мониторинга, анализа и улучшение программы аудита.
Последовательность процессов управления программой аудита представлена на рис.2.215.
Рис.2.2. Последовательность процессов управления программой аудита
При внедрении программы аудита необходимо:
довести программу аудита до сведения заинтересованных сторон;
определить и поддерживать процесс оценки аудиторов;
сформировать аудиторскую группу;
определить и предоставить необходимые ресурсы аудиторам;
обеспечить проведение аудитов в соответствии с программой аудита;
управлять записями по аудиту;
провести анализ и утверждение отчётов по аудиту и их рассылку заинтересованным сторонам;
провести, если требуется, действия по результатам аудита.
При управлении программой аудита необходимо вести записи по программе аудита. К таким записям относятся:
записи, связанные с отдельными аудитами (планы аудита, отчёты по аудиту, отчёты о несоответствиях, отчёты о корректирующих и предупреждающих действиях и другие отчёты о действиях по результатам аудита);
результаты анализа программы аудита;
записи о персонале, привлечённом к аудиту.
В связи с тем, что менеджмент программы аудита следует осуществлять в соответствии с циклом Деминга PDCA (Plan-Do-Check-Act: Планируй-Сделай-Проверь-Действуй), лица, осуществляющие управление программой аудита, должны проводить мониторинг и анализ результативности программы аудита, а также разрабатывать и внедрять меры по улучшению программы аудита.
3. ПРОВЕДЕНИЕ АУДИТОВ
Деятельность по проведению проверок предусматривает планирование, выполнение проверок и составление отчётных документов. Кроме того, последующие действия могут потребовать привлечения аудитора и проверяемых. Само проведение инспекции может помешать производственному процессу, так как аудитор отвлекает работающих своими вопросами, а вводное и заключительное совещания отнимают ценное время, необходимое для руководства. Поэтому очень важно провести проверку должным образом от начала до конца. В связи с этим аудиты, как правило, не проводятся внезапно. Даты должны быть удобными взаимно и согласованы заранее. Необъявленный аудит может прервать или затруднить деятельность организации в критический момент, что принесёт финансовые потери. Исключение могут составлять внеплановые аудиты, которые обусловлены жалобами потребителей на низкое качество товаров или услуг или другими причинами.
Проведение аудита системы менеджмента качества предполагает следующие этапы (рис. 3.1)16:
Организация проведения аудита;
Выполнение анализа документов;
Подготовка к аудиту на месте;
Проведение аудита на месте;
Подготовка, утверждение и рассылка отчёта по аудиту;
Завершение аудита.
Рис. 3.1. Схема проведения аудита
3.1. Организация проведения аудита
На этапе организации проведения аудита решаются следующие задачи17:
Назначение руководителя аудиторской группы;
Определение целей, области и критериев аудита;
Определение возможности проведения аудита;
Формирование аудиторской группы;
Установление первоначального контакта с проверяемой организацией.
Руководителя конкретной аудиторской группы назначает ответственный за управление программой аудита. В случае проведения совместного аудита проверяющие организации до начала аудита должны придти к соглашению по конкретным обязанностям каждой организации, и в частности в отношении полномочий руководителя группы, назначенного для аудита.
В рамках общих целей программы аудита для каждого конкретного аудита определяются цели, область и критерии аудита. Цели аудита должны быть определены заказчиком аудита. Область и критерии аудита определяются совместно заказчиком аудита и руководителем аудиторской группы в соответствии с процедурами по программе аудита. Любые изменения целей, области и критериев аудита подлежат согласованию этими же сторонами.
В случае проведения комплексного аудита руководитель аудиторской группы должен обеспечить соответствие целей, области и критериев аудита содержанию комплексного аудита.
До начала проведения аудита должна быть оценена возможность его проведения. Возможности аудита должны быть определены с учётом таких факторов, как:
Достаточность и соответствие информации для планирования аудита;
Адекватное сотрудничество с проверяемой организацией;
Наличие времени и соответствующих ресурсов у проверяемой организации.
Если аудит признаётся неосуществимым, то по результатам консультаций с проверяемой организацией, заказчику аудита должен быть предложен альтернативный вариант.
Если аудит признан осуществимым, то формируется аудиторская группа с учётом требуемой компетентности для достижения целей аудита. Если аудит проводит один аудитор, он должен выполнять все обязанности, возлагаемые на руководителя аудиторской группы.
При определении численности и состава аудиторской группы необходимо учитывать следующее18:
Цели, область и критерии аудита, а также его ориентировочную продолжительность;
Является ли аудит комплексный или совместный;
Общую компетентность аудиторской группы, необходимую для достижения целей аудита;
Законодательные, регламентирующие, контрактные требования и требования органов по аккредитации/сертификации;
Необходимость обеспечения независимости аудиторской группы от проверяемой деятельности и исключения конфликта интересов;
Способность членов аудиторской группы к совместной работе и к эффективному взаимодействию с проверяемой организацией;
Язык аудита и понимание социальных и культурных особенностей проверяемой организации, что может быть достигнуто либо собственным опытом аудитора, либо с помощью технического эксперта.
Процесс обеспечения общей компетентности аудиторской группы должен включать следующие этапы:
Выявление знаний и умений, необходимых для достижения целей аудита;
Выбор членов аудиторской группы таким образом, чтобы аудиторская группа обладала всеми необходимыми знаниями и опытом.
Если необходимые знания и умения обеспечиваются аудиторами, входящими в аудиторскую группу не в полном объёме, то недостающие знания и умения могут быть восполнены включением в группу технических экспертов. Технические эксперты должны работать под руководством аудитора.
Также в аудиторскую группу могут быть включены аудиторы-стажёры, но они должны действовать только под руководством и контролем аудитора.
Как заказчик аудита, так и проверяемая организация, могут попросить о замене конкретных членов аудиторской группы на разумных основаниях, исходя из принципов проведения аудита. Примеры разумных оснований включают ситуации конфликтов интересов (например, член аудиторской группы – бывший работник проверяемой организации или оказывал ей консультационные услуги) и неэтичное поведение в прошлом. Такие основания должны быть доведены до сведения руководителя аудиторской группы и до лиц, ответственных за руководство программой аудита, которые должны согласовать с заказчиком аудита и проверяемой организацией решение по замене членов аудиторской группы.
Первоначальный контакт с проверяемой организацией может быть официальным или неофициальным. Он должен устанавливаться лицами, назначенными ответственными за руководство программой аудита, или руководителем аудиторской группы. Целями первоначального контакта являются:
Установление каналов связи с представителем проверяемой организации;
Подтверждение полномочий для проведения аудита;
Предоставление информации по предполагаемому графику аудита и составу аудиторской группы;
Получение разрешения на доступ к соответствующим документам;
Определение применимых правил техники безопасности на местах проведения аудита;
Определение подготовительных мероприятий к аудиту;
Достижение соглашения о присутствии наблюдателей и необходимости в сопровождающих для аудиторской группы.
3.2. Анализ документов системы менеджмента качества
Проведение анализа документов проверяемой организации является важным этапом подготовки к аудиту. Он проводится до проведения аудита на месте с целью определения соответствия документированной системы менеджмента качества критериям аудита.
Документация включает соответствующие документы системы менеджмента качества, записи, а также отчёты по предыдущим аудитам. Анализ должен учитывать размер, вид деятельности и сложность организации, а также цели и область аудита. По решению руководителя аудиторской группы данный анализ может быть отложен до начала проведения аудита на месте, если это не нанесёт ущерба результативности проведения аудита. Однако в случае проведения аудита с целью сертификации системы менеджмента качества не разрешается совмещать проведение анализа документов проверяемой организации с этапом проведения аудита на месте19.
Проверяемые документы должны удовлетворять следующим общим требованиям20:
документ должен быть адекватным (соответствовать) требованиям ИСО 9001 или ИСО 9004 и содержать только значимую для их пользователей информацию;
документ должен содержать только практически выполнимые работы. В противном случае он может вызвать лишь нежелание его использовать и стать, в конечном счёте, бесполезным. Иное дело, когда речь идёт о работах, которые могут быть осуществимы только после выполнения определённых плановых мероприятий, необходимых для внедрения документа;
документ должен быть адресным, т.е. в нём должен быть определён состав лиц и/или структурных подразделений организации, для которых исполнение документа в целом или в отдельных его положениях является обязательным;
документ должен быть изложен в понятной для всех его пользователей форме и обеспечивать его однозначное информационное восприятие;
документ должен быть идентифицирован, т.е. иметь соответствующее наименование, условное обозначение и код, позволяющие установить его принадлежность к определённой части системы менеджмента качества и (или) экологии для обеспечения его лёгкой прослеживаемости;
степень детализации документа должна отвечать цели его разработки и здравому смыслу.
При анализе необходимо обратить внимание на взаимосвязь между документами, отсутствие противоречий между ними. Например, если в Руководстве по качеству определена ответственность за конкретный процесс, то в Положении о подразделении и в процедуре по этому процессу должны быть указаны именно эти должностные лица, а в их должностных инструкциях должна быть раскрыта их ответственность за этот процесс.
Использование в документе «общих фраз» при описании деятельности часто является сигналом, что порядок осуществления этой деятельности не определён или она вообще не осуществляется. В этом случае аудитор должен сделать себе пометку, что необходимо при проверке на месте проверить, как на самом деле осуществляется эта деятельность.
При анализе отчётов и других документов по предыдущим аудитам аудитор также определяет для себя, какие объекты и какие аспекты деятельности ему необходимо проверить в организации.
Если по результатам анализа документация будет признана неадекватной, то руководитель аудиторской группы должен сообщить об этом заказчику аудита, лицам, назначенными ответственными за руководство программой аудита, и проверяемой организации. Должно быть принято решение, может ли аудит быть продолжен или приостановлен до момента решения всех вопросов по документации.
3.3. Подготовка к аудиту на месте
Результативность аудита зависит от факторов, важнейшим из которых является подготовка к проверке. Тщательная подготовка аудиторских проверок во многом определяет их успех. Как показывает анализ, время, затраченное на подготовку, составляет от 25 до 40% от всего времени, отведенного на аудиторскую проверку.
На этапе подготовки к аудиту разрабатывается план проведения аудита, проводится распределение работ в аудиторской группе, осуществляется подготовка рабочих документов21.
План аудита разрабатывает руководитель аудиторской группы. Он является основой соглашения между аудиторской группой, проверяемой организацией и заказчиком аудита. План должен облегчить составление графика и координации действий аудита. В плане аудита должны найти отражение область и уровень сложности аудита в зависимости, например, от того, первоначальный это или последующий, внутренний или внешний аудит. План должен быть достаточно гибким, чтобы допускать изменения, например, изменение объема аудита, которое может оказаться необходимым по мере выполнения на местах.
План аудита должен включать следующее22:
цели аудита;
критерии аудита и любые справочные документы;
область аудита, включая идентификацию организационных и функциональных единиц и процессов, подлежащих проверке;
дату и место, где должны осуществляться действия по аудиту на местах;
ожидаемое время и продолжительность действий по аудиту на местах, включая совещания с руководством проверяемой организации и совещания аудиторской группы;
роли и обязанности членов аудиторской группы и сопровождающих лиц;
выделение соответствующих ресурсов по "критичным местам" аудита.
Пример формы плана проведения аудита приведен в приложении 123.
План должен быть проанализирован и принят заказчиком аудита и представлен проверяемой организации до начала проведения аудита на местах. Любые возражения со стороны проверяемой организации должны быть разрешены совместно руководителем аудиторской группы, проверяемой организацией и заказчиком аудита. Любой пересмотренный план должен быть согласован вовлеченными сторонами до продолжения аудита.
После разработки и утверждения плана аудита руководитель аудиторской группы должен официально (в форме служебной записки или извещения) заранее (например, за неделю до начала проверки) уведомить о ней владельца (руководителя) процесса или руководителя проверяемого подразделения. При уведомлении указываются объект, цель, критерии, дата и время аудиторской проверки, или прилагают копию плана аудиторской проверки. Пример формы уведомления об аудиторской проверке приведен в приложении 224. Аудиторская проверка никогда не должна быть сюрпризом. Внезапная аудиторская проверка может препятствовать производственной деятельности, приводить к финансовым убыткам, порождать негативное отношение к службе аудита. Предварительное уведомление дает владельцу (руководителю) процесса или руководителю проверяемого подразделения побудительный мотив к улучшению процесса или состояния дел в подразделении. Однако времени от уведомления до начала аудиторской проверки (1—2 недели) явно недостаточно для исправления существенных недостатков. Предварительное уведомление лишает сотрудников проверяемого подразделения возможности обнаруженные при аудиторской проверке несоответствия объяснять таким аргументом, как «Вы выбрали неудачное время проведения проверки, нехарактерное для нормальной деятельности» или «Мы не можем прервать рабочий процесс, чтобы предоставить необходимые данные». Логика ответа аудитора на подобный аргумент должна быть такой: сотрудники проверяемого подразделения были предупреждены о времени аудиторской проверки заранее и, следовательно, имели возможность (время) подготовиться и, если у них сейчас что-то не так, то это означает, что подобное происходит постоянно.
Утвержденный план аудита руководитель аудиторской группы доводит до членов аудиторской группы и производит распределение обязанностей между ними25. Руководитель аудиторской группы путем консультаций должен установить ответственность каждого члена группы за проверку конкретных процессов, функций, площадок, областей или действий. Такие назначения должны учитывать необходимость обеспечения независимости, компетентность и эффективность использования аудитором ресурсов, а также различные роли и обязанности аудиторов, аудиторов-стажеров и технических экспертов. В процессе аудита для достижения его целей в распределение обязанностей могут быть внесены изменения.
Члены аудиторской группы должны проанализировать соответствующую информацию, относящуюся к распределению обязанностей при проведении аудита, и подготовить рабочие документы, необходимые как ссылочный материал и для регистрации результатов аудита. Такие рабочие документы могут включать:
контрольные перечни (чек-листы) и планы выборки для аудита;
формы для регистрации информации, такой, как дополнительные свидетельства, выводы аудита и протоколы совещаний.
Ключевой частью в подготовке проверки является составление чек-листа. Чек-лист представляет собой контрольный перечень вопросов, которые должен проверить аудитор. Он может быть составлен и в форме вопросов к сотрудникам проверяемого подразделения, или в форме памятки для аудитора с указанием всех пунктов, по которым он планирует провести проверку. Чек-листы можно использовать и как блокнот для заметок и/или журнал хода проверки, указывающий все детали системы, подвергнутые проверке, даже если не выявлено никаких проблем. Пример формы чек-листа приведен в виде таблицы 3.1. |
