Проведение аудита

Раздел 4. Проведение аудита

4.1 Организация проведения аудита.

Частью программы аудита являются указания по планированию и проведению аудитов. В плане отдельного аудита должно быть предусмотрено:

1. Точное определение предмета аудитирования и цель аудита.

2. Максимально полная информация всех важных как внутрипроизводственных, так и внешних письменных документов, на которые требуется ссылка (Руководство по качеству, обязательные процедуры, организационные инструкции, договора, спецификации, чертежи и т. п.).

3. Выбор аудиторов и сотрудников, участвующих в проведении, представителей аудитируемого подразделения.

4. График проведения аудита с указанием сотрудников, участвующих в проведении отдельных стадий процесса аудитирования. К этому же относится и проводимое в случае необходимости разделение аудиторов по отдельным предметам. Аудиторы, действующие отдельно друг от друга, должны собираться через небольшие промежутки времени и обмениваться результатами своей работы.

5. Определение рабочих документов и момента, когда эти документы будут использоваться, а также кто и каким образом их получит (имеется в виду каталоги вопросов, сообщения об установленных несоответствиях, документы с описанием возможных мер, заключительный отчёт).

Рекомендуемые материалы

6. Обращение с конфиденциальной информацией.

Типовая блок-схема проведения аудита приведена на рисунке 2. Степень распространения требований настоящего раздела зависит от области применения, сложности конкретного аудита и предполагаемого использования заключений по результатам аудита.

Примечание - Пунктирные линии указывают на то, что действия по результатам аудита не являются частью аудита.

Рисунок 2 - Типовая схема проведения аудита

4.1.1 Назначение руководителя аудиторской группы

Ответственные за управление программой аудита должны назначать руководителя конкретной аудиторской группы.

При проведении совместного аудита до начала аудита важно достичь соглашения между проверяющими организациями относительно обязанностей каждой организации и, в частности, относительно полномочий руководителя аудиторской группы, назначенного на аудит.

4.1.2 Определение целей, области и критериев аудита

Для каждого аудита необходимо определить цели, область и критерии в пределах программы аудита.

Цели аудита включают в себя:

а) определение степени соответствия системы менеджмента проверяемой организации или ее частей критериям аудита;

б) оценку возможности системы менеджмента обеспечивать соответствие законодательным требованиям, нормативным требованиям и требованиям контракта;

в) оценку результативности системы менеджмента для достижения конкретных целей;

г) идентификацию областей потенциального улучшения системы менеджмента.

Область аудита описывает содержание и границы аудита, месторасположение, структурные подразделения, деятельность и процессы, которые подвергаются аудиту, а также сроки аудита.

Критерии аудита используют в виде основы для сравнения, по которой определяют соответствие. Критерии могут включать политику, процедуры, стандарты, законы, нормы, регламенты, требования к системе менеджмента, требования контрактов или своды правил секторов экономики или предпринимательской деятельности.

Цели аудита определяет заказчик аудита. Область и критерии аудита определяет заказчик аудита и руководитель аудиторской группы в соответствии с процедурами программы аудита. Любые изменения целей, области или критериев аудита должны быть согласованы с участвующими сторонами.

При комплексном аудите руководитель аудиторской группы должен обеспечить соответствие целей, области и критериев аудита сущности комплексного аудита.

4.1.3 Определение возможности проведения аудита

При проведении аудита следует учитывать следующие факторы:

- достаточность и наличие необходимой информации для планирования аудита;

- адекватное сотрудничество с проверяемой организацией;

- наличие времени и необходимых ресурсов.

В случае невозможности проведения аудита необходимо предложить заказчику альтернативное решение на основе консультаций с проверяемой организацией.

4.1.4 Формирование аудиторской группы

После решения о возможности проведения аудита необходимо сформировать аудиторскую группу с учетом компетентности, необходимой для достижения целей аудита. Если аудит проводит один аудитор, он должен выполнять все обязанности, возлагаемые на руководителя аудиторской группы.

При определении численности и состава аудиторской группы необходимо учитывать следующие факторы:

а) цели, область, критерии и продолжительность аудита;

б) вид аудита (комплексный или совместный);

в) общую компетентность группы по аудиту, необходимую для достижения целей аудита;

г) законодательные требования, требования регламентов, требования контрактов и требования органов по аккредитации/сертификации;

д) необходимость обеспечения независимости аудиторской группы от проверяемой деятельности и избегания конфликта интересов;

е) возможности членов аудиторской группы результативно сотрудничать с проверяемой организацией и совместно работать;

ж) язык аудита и понимание специфических социальных и культурных ценностей организации (с учетом собственного опыта аудиторов или при поддержке технического эксперта).

Процесс обеспечения общей компетентности аудиторской группы должен включать следующие этапы:

- определение знаний и навыков, необходимых для достижения целей аудита;

- выбор членов аудиторской группы таким образом, чтобы в группе по аудиту имелись все необходимые знания и опыт.

Если аудиторы в аудиторской группе не обладают необходимыми знаниями и опытом, в группу включают технических экспертов. Технические эксперты должны работать под руководством аудиторов.

В группу по аудиту можно включать стажеров, но они не должны заниматься аудитом без руководства или методической помощи со стороны аудиторов.

И заказчик, и проверяемая организация имеют право требовать замены членов аудиторской группы по объективным причинам (член аудиторской группы работал ранее в проверяемой организации или же оказывал ей услуги по консалтингу, предыдущее неэтичное поведение). Причины доводят до сведения руководителя аудиторской группы и ответственного за управление программой аудита, которые должны согласовать с заказчиком аудита и проверяемой организацией решение по замене членов аудиторской группы.

4.1.5 Установление первоначального контакта с проверяемой организацией

Первоначальный контакт официального или неофициального характера с проверяемой организацией для проведения аудита устанавливает ответственный за управление программой аудита или руководитель аудиторской группы. Цель первоначального контакта:

а) определение каналов обмена информацией с представителем проверяемой организации;

б) подтверждение полномочий для проведения аудита;

в) предоставление информации по предлагаемому графику аудита и составу аудиторской группы;

г) получение разрешения на доступ к соответствующим документам, включая записи;

д) определение необходимых правил обеспечения безопасности работ на месте;

е) определение подготовительных мероприятий к аудиту;

ж) согласование присутствия наблюдателей и сопровождающих для аудиторской группы.

 

4.2 Анализ документов

Прежде чем начать деятельность по аудиту на месте, анализируют документы проверяемой организации, документы по системе менеджмента, записи, а также отчеты по предыдущим аудитам с целью определения соответствия системы документам и критериям аудита. Анализ должен учитывать размер, вид деятельности и сложность организации, а также цели и область аудита. В некоторых случаях этот анализ может быть отложен до начала проведения аудита на месте, если это не нанесет ущерба результативности проведения аудита. В других случаях может оказаться необходимым посетить место проведения аудита для получения необходимой информации.

Если документация признана неадекватной, то руководитель аудиторской группы должен проинформировать заказчика аудита, ответственных за управление программой аудита и проверяемую организацию. Необходимо принять решение по продолжению или приостановке аудита до тех пор, пока проблемы с документацией не будут разрешены.

4.3 Подготовка к проведению аудита на месте.

6.3.1 Подготовка плана аудита

Руководитель аудиторской группы должен подготовить план аудита для согласования с заказчиком аудита, аудиторской группой и проверяемой организацией. На основании плана уточняют сроки выполнения отдельных работ, предусмотренных планом. В плане аудита должны найти отражение область и уровень сложности аудита в зависимости, например, от того, первоначальный это или последующий аудит, внутренний или внешний аудит. План аудита должен быть достаточно гибким, чтобы по мере осуществления аудита на месте при необходимости можно было внести изменения, например в область аудита.

План аудита должен включать:

а) цели аудита;

б) критерии аудита и ссылочные документы;

в) область аудита, включая идентификацию организационных и функциональных подразделений и процессов, которые будут проверяться;

г) даты и места проведения аудита;

д) ожидаемое время и продолжительность проведения аудита на месте, включая совещания с руководством проверяемой организации и совещания групп по аудиту;

е) роли и обязанности членов аудиторской группы и сопровождающих лиц;

ж) распределение соответствующих ресурсов по "критичным местам" проведения аудита.

При необходимости в план аудита включают:

и) определение представителей проверяемой организации для участия в аудите;

к) рабочий язык и язык отчета (акта) по аудиту там, где он отличается от родного языка аудитора и (или) проверяемой организации;

л) содержание отчета (акта) по аудиту;

м) материально-техническое обеспечение (средства передвижения, оборудование на месте и др.);

н) все, что касается обеспечения конфиденциальности;

о) любые действия по результатам аудита.

План должен быть проанализирован, принят заказчиком аудита и представлен проверяемой организации перед началом аудита на месте.

Любые возражения со стороны проверяемой организации должны быть разрешены с руководителем аудиторской группы и заказчиком аудита. Любой пересмотренный план аудита должен быть согласован с заинтересованными сторонами.

6.3.2 Распределение работ между членами аудиторской группы

Руководитель аудиторской группы должен распределить ответственность между членами группы за аудит конкретных процессов, подразделений, участков, областей или видов деятельности. Такое распределение должно учитывать потребность в независимости, компетентности аудиторов и результативном использовании ресурсов, а также различную ответственность аудиторов, стажеров и технических экспертов. Для достижения целей в процессе аудита могут быть сделаны изменения в распределении ответственности.

6.3.3 Подготовка рабочих документов

Члены аудиторской группы должны анализировать информацию, относящуюся к распределению ответственности, и готовить для регистрации результатов аудита рабочие документы:

- контрольные листы и планы выборок для аудита;

- формы для регистрации данных, таких как подтверждающие свидетельства, выводы аудита и протоколы совещаний.

Использование контрольных листов и форм не должно ограничивать объем проверок при аудите, которые могут измениться в результате анализа собранных во время аудита данных.

Использование контрольных листов или так называемого «чек-листа» оценивается неоднозначно. При этом следует учитывать ниженазванные факторы:

1. Контрольные листы – это средство, предназначенное для того, чтобы координировать работу различных аудиторов по одинаковым вопросам.

2. Контрольные листы нужны малоопытному аудитору, для того, чтобы приучиться к определённому способу работы.

3. Контрольные листы – это одновременно ценный документ для итогового отчёта, если аудитор наряду с вопросами записывал и соответствующие ответы.

4. Контрольные листы не должны ограничивать аудитора в задаваемых им вопросах. Дополнительные вопросы разрешены, более того, они просто необходимы.

5. Контрольные листы создают опасность слишком бюрократического подхода. Этого надо избегать.

6. Вместо контрольных листов ещё лучше использовать электронный носитель информации, который может совершенствоваться.

Ниже приведены примеры контрольных листов:

Рабочие документы, включая записи, являющиеся результатом использования документов, следует хранить до завершения аудита. Хранение документов после завершения аудита описано в 6.7. Документы, содержащие конфиденциальную или частную информацию, должны сохраняться надлежащим образом.

Успех аудита во многом зависит от его хорошей подготовки. Часто бывает так, что на подготовку аудита уходит больше времени, чем на его проведение. Плохо подготовленные аудиты часто затягиваются, в ходе их выполнения не находят критических точек, их итоги трудно сформулировать в заключительных отчётах, они оставляют у всех людей, принимающих в них участие, тяжёлое впечатление. Поэтому желательно очень тщательно готовить аудиты и лишь после завершения подготовительной работы начинать собственно аудит.

Для проведения аудита определены:

- аудиторы и руководитель их группы;

- аудитируемое подразделение, процесс или изделие;

- предполагаемый срок подачи итогового отчёта.

        Аудиторы должны ознакомиться с предметом аудитирования. Это означает, что они должны взять общие доступные на предприятии документы, а также при необходимости затребовать другие важные для его работы материалы, относящиеся к аудитируемой теме. Аудиторы должны в принципе собирать информацию о том, «что должно произойти», а не о том, «почему это так происходит». Ответ на этот вопрос должен быть получен в ходе самого аудита.

Перед проведением аудита продукции аудиторы должны иметь перед собой полный список требований, предъявляемых к качеству изделия, план прохождения работ, а также предписанные меры проверки. Перед проведением аудита процесса аудитор должен дополнительно вникнуть в его технологические детали, если, конечно, он их не знал раньше. Эти знания не надо переоценивать или использовать в ходе аудита для того, чтобы продемонстрировать собственную компетентность или проверить грамотность аудитируемого. Гораздо важнее, чтобы аудитор был в состоянии обсуждать наиболее существенные детали процесса, важные с точки зрения обеспечения качества.

        Когда речь идёт о внутреннем аудите системы, то можно предположить, что участвующие аудиторы знают предприятие и имеют опыт аудитирования. В противном случае у них нет шансов на успех. В данной ситуации необходимо Руководство по качеству, которое должно быть отлично изучено аудиторами.

До начала аудита следует напомнить, что задача аудита заключается в том, чтобы проверить:

- внедрены ли установленные меры по обеспечению качества и отвечают ли они предъявленным требованиям,

- имеются ли на рабочих местах подробные письменные инструкции,

- проводится ли работа в соответствии с этими инструкциями,

- отвечает ли поставленной цели – полному достижению требуемого уровня качества – проводимые мероприятия.

4.4 Проведение аудита на месте

4.4.1 Проведение предварительного совещания

Предварительное совещание проводят с руководством проверяемой организации или, где это возможно, с теми, кто отвечает за проверяемые подразделения или процессы. В нём принимают участие все аудиторы. Все участники имеют на руках заранее розданный план отдельного аудита. Это совещание длится максимум один час.

Цель предварительного совещания:

а) подтверждение плана аудита;

б) предоставление краткого обзора плана выполнения аудита;

в) подтверждение каналов обмена информацией;

г) предоставление возможностей проверяемой организации задать вопросы.

Как правило, при внутренних аудитах малых предприятий на предварительном совещании объявляют о том, что аудит начинается, и объясняют характер аудита.

В других случаях предварительное совещание считают официальным и ведут регистрацию присутствующих на нем. В роли председателя должен быть руководитель аудиторской группы. На совещании необходимо выполнить следующее:

а) представить участников, включая их роль в аудите;

б) подтвердить цели, области, критерий аудита;

в) подтвердить график проведения аудита и другие соглашения с проверяемой организацией, связанные с аудитом (даты и время заключительного совещания, любые промежуточные совещания аудиторской группы и руководства проверяемой организации и дальнейшие изменения);

г) ознакомить с методами и процедурами аудита, включая информирование проверяемой организации о том, что свидетельства аудита будут основаны на выборках доступных данных и в аудите будет присутствовать элемент неопределенности;

д) подтвердить официальные каналы связи между аудиторской группой и проверяемой организацией;

е) подтвердить язык, используемый при аудите;

ж) подтвердить, что проверяемая организация будет информирована о ходе аудита во время его проведения;

и) подтвердить, что любые ресурсы и средства, необходимые аудиторской группе, будут доступны;

к) подтвердить обеспечение конфиденциальности;

л) подтвердить обеспечение безопасности работы, ознакомление с процедурами на случай чрезвычайной ситуации и обеспечение безопасности для аудиторской группы;

м) подтвердить наличие, роль и фамилии всех сопровождающих лиц;

н) ознакомить с методами составления отчетов, включая классификацию несоответствий;

о) информировать об условиях, при которых аудит может быть прекращен;

п) информировать о системе рассмотрения апелляций по проведению или заключениям по результатам аудита.

4.4.2 Обмен информацией в ходе аудита

В зависимости от сложности аудита может возникнуть необходимость в заключении официального соглашения по обмену информацией в ходе аудита между аудиторской группой и проверяемой организацией.

В аудиторской группе периодически проводят обмен информацией, оценивают ход аудита и, при необходимости, перераспределяют обязанности между членами аудиторской группы.

Во время аудита руководитель аудиторской группы должен периодически обмениваться информацией о ходе аудита и всех связанных с этим вопросах с проверяемой организацией и заказчиком аудита. Свидетельство, полученное во время аудита, относительно предполагаемого непосредственного и существенного риска (например, связанного с безопасностью, охраной окружающей среды или качеством) должно быть без задержки доведено до сведения проверяемой организации и, если необходимо, заказчика аудита. Информация, выходящая за пределы области аудита, должна также приниматься во внимание и доводиться до сведения руководителя аудиторской группы, чтобы осуществить обмен информацией с проверяемой организацией и заказчиком аудита. Если свидетельство аудита указывает на невыполнимость целей аудита, руководитель аудиторской группы должен доложить проверяемой организации и заказчику о причинах принятия соответствующих мер, включающих корректировку и переутверждение плана аудита, изменение целей или области аудита, или прекращение аудита.

Любые изменения области аудита, которые могут быть заметными в ходе выполнения аудита, следует анализировать и утверждать должным образом.

4.4.3 Роль и обязанности сопровождающих лиц и наблюдателей

Сопровождающие лица и наблюдатели не являются аудиторами, поэтому они не должны оказывать влияния на проведение аудита или вмешиваться в проведение аудита.

Сопровождающие лица, назначенные проверяемой организацией, должны оказывать помощь группе, действовать по просьбе руководителя аудиторской группы и выполнять следующие обязанности:

а) обеспечение контактов и назначение времени для бесед;

б) обеспечение посещений определенных мест производственной площадки или организации;

в) обеспечение того, чтобы правила и процедуры по безопасности были известны и соблюдались членами аудиторской группы;

г) исполнение роли лиц, свидетельствующих в ходе аудита от имени проверяемой организации;

д) предоставление разъяснений или оказание помощи при сборе информации.

4.4.4 Сбор и верификация информации

        Аудитор или группа аудиторов с сопровождающим лицом должны пройти  «на место», чтобы поговорить с теми людьми, которые непосредственно осуществляют аудитируемую деятельность. Необходимо познакомиться с людьми, отвечающими за определённый вопрос, и выбрать одного из них. Или выбрать определённое рабочее место и проверить как оно контролируется. Аудит обычно  нужно проводить на рабочем месте в непосредственной беседе с конкретными работниками, отвечающими за внедрение и работающими на этих местах.

Во время аудита информация, относящаяся к целям аудита, области и критериям аудита, включая информацию, касающуюся взаимодействия между подразделениями, деятельности и процессов, должна быть собрана путем необходимых выборок и верифицирована. Свидетельством аудита может быть только информация, которая может быть верифицирована. Свидетельства аудита должны быть зарегистрированы.

Свидетельство аудита основано на выборках подходящих данных. Поэтому имеется элемент неопределенности при проведении аудита, и выводы аудита должны учитывать эту неопределенность.

Бывает так, что сопровождающий, который, как правило, является одним из руководителей соответствующего подразделения, стремится сам отвечать на поставленные вопросы. Он может делать это и из лучших побуждений, чтобы помочь менее опытным сотрудникам. Но умелому аудитору удаётся всё-таки «разговорить» своего собеседника и это всегда лучше для аудита.

На рисунке 3 приведена блок-схема процесса, начиная от сбора информации до получения заключения по результатам аудита.

Рисунок 3 - Блок-схема процесса - от сбора информации до получения заключений по результатам аудита

Методы сбора информации включают:

- опросы;

- наблюдения за деятельностью;

- анализ документов.

4.4.4.1.Последовательность проведения аудита представлена на рисунке.

Проверка наличия документов СМК

Проверка соответствия документов СМК

 Установленным требованиям

Проверка выполнения требований документов

Фиксация несоответствий

Составление отчёта об аудите

            Проверка наличия документов предусматривает:

-наличие актуализированных документов СМК;

-проверку условий хранения документов СМК;

-проверку выполнения функций поддержания документов СМК в рабочем состоянии уполномоченным лицом.

            Проверка соответствия документов СМК установленным требованиям предусматривает:

-проверку правильности оформления документов СМК;

-проверку возможности идентификации документов СМК;

-проверку актуализации документов СМК;

-проверку адекватности содержания документов СМК требованиям нормативных документов;

-проверку полноты изложения процедур в документах СМК;

-проверку адресности документов СМК.

            Проверка выполнения требований документов СМК предусматривает:

-проверку соответствия деятельности и её результатов требованиям, изложенным

 в документах.

            Фиксация несоответствий предусматривает:

-обнаружение, идентификацию и регистрацию несоответствий;

-классификацию несоответствий по их значимости;

-протоколирование несоответствий.

            Составление отчёта предусматривает:

-сбор и обработку необходимых материалов;

-подготовку, обсуждение и принятие заключения по аудиту;

Особенности вербальной коммуникации - лекция, которая пользуется популярностью у тех, кто читал эту лекцию.

-составление и утверждение отчёта.

Таким образом, в результате аудита должны быть получены однозначные ответы:

-все ли документы, необходимые для работы имеются у проверяемых;

-адекватны-ли имеющиеся документы;

-знают ли проверяемые требования документации;

-соответствует ли практика работы требованиям документации.