Interne, eksterne, anden part: de audits, der afgør compliance - og kontrakter

"Audit" er ét ord med flere opgaver. Når en kollega siger, at en audit er på vej, betyder det meget, hvilken slags de mener: en intern audit, du kører på dig selv, et certificeringsorgans eksterne audit, eller en kunde, der kommer for at inspicere dig, før de skriver under. Hver har sit formål, sin auditor og sit sæt af indsatser - og for de sidste to direkte konsekvenser for kontrakter og udbud. Denne guide skiller dem ad og gennemgår, hvad en auditor faktisk leder efter, og hvordan fund breder sig udad.

Audits er mekanismen bag både compliance og certificering: det er sådan, "vi opfylder kravene" bliver testet i stedet for påstået. Hvis forskellen mellem compliant og certificeret stadig er uklar, sætter denne guide den op; her går vi i dybden med selve audits.

De tre parter, og hvorfor betegnelsen betyder noget

Audits grupperes konventionelt efter, hvem der auditerer hvem:

• Førsteparts-audit (intern audit) - du auditerer dig selv. Dine egne folk (eller nogen, du hyrer til at handle på dine vegne) vurderer dit ledelsessystem mod standarden og dine egne procedurer.
• Andenparts-audit - en part med direkte interesse auditerer dig. I praksis er dette næsten altid en kunde (eller en potentiel kunde), der auditerer en leverandør før eller under en kontrakt.
• Tredjeparts-audit - et uafhængigt organ uden interesse i udfaldet auditerer dig. Dette er certificerings-audit; det er netop "tredjeparten", der giver certifikatet værdi.

Betegnelserne er ikke akademiske: en kundeaudit og en certificeringsaudit kan undersøge det samme system og nå de samme fund, men konsekvenserne er helt forskellige - den ene påvirker en enkelt kommerciel relation, den anden et certifikat, som alle kunder forlader sig på.

Interne (førsteparts-)audits: at auditere sig selv, ærligt

En intern audit er, at din organisation kontrollerer sit eget ledelsessystem mod standarden og sine egne dokumenterede procedurer. Under ISO 9001 er den ikke valgfri - punkt 9.2 kræver den - men dens reelle værdi er ikke compliance for compliancens skyld: den er en prøve og et tidligt varslingssystem, der finder problemer, før en ekstern auditor eller en kunde gør det, mens de stadig er billige at rette.

Det er et forbedringsværktøj, ikke en politifunktion. Kørt som en jagt på nogen at give skylden lærer en intern audit bare folk at skjule problemer, indtil auditoren er gået. Kørt som det billigste sted i organisationen at finde en fejl - før den når en kunde eller et certifikat - fortjener den den ærlighed, den afhænger af. Målet er systemet, aldrig personen.

At køre et effektivt program. Punkt 9.2.2 beder dig planlægge programmet ud fra hver proces' vigtighed, de ændringer, der påvirker organisationen, og resultaterne af tidligere audits - en formel måde at sige auditer det, der betyder noget, og det, der har givet problemer, oftere. Fire ting adskiller et program, der finder problemer, fra et, der bare fylder en kalender:

• Risikobaseret planlægning. Dæk hele systemet over en cyklus, men ikke jævnt: en stabil proces med lav risiko auditeres måske én gang, en sikkerhedskritisk, nyligt ændret eller problembehæftet proces flere gange om året.
• Auditors kompetence og uafhængighed. En auditor skal kende standarden og processen godt nok til at skelne et reelt hul fra harmløs variation og være uafhængig af området - ingen auditerer sit eget arbejde. I en lille virksomhed betyder det krydsauditering eller at hyre en ekstern auditor til at handle på dine vegne. ISO 19011 er den internationale vejledning for auditors kompetence og upartiskhed.
• Audit-tjeklister. En tjekliste omsætter standarden og dine procedurer til en konkret liste over ting at lede efter og stikprøve, så to auditorer dækker samme grund, og dette års audit er sammenlignelig med sidste års. Det er et gulv, ikke et loft - en god auditor følger beviserne ud over den.
• Auditens livscyklus. Enhver audit følger samme forløb: planlæg (omfang, kriterier, tidsplan), gennemfør (stikprøve records, interview, observér, saml objektive beviser), rapportér (nedskriv og klassificér fund) og luk og verificér (aftal korrigerende handlinger, gennemfør dem, bekræft, at de virkede). Det sidste trin er det, der oftest springes over - en audit, hvis fund aldrig verificeres som lukkede, er kun en halv audit.

Et gennemarbejdet eksempel. En producents interne auditor gennemgår dokumentstyring (punkt 7.5) og finder tre operatører, der arbejder ud fra en forældet version af en arbejdsinstruktion, der blev opdateret for to måneder siden. Det er et fund. Fanget internt koster det en eftermiddag og en rettelse af den mekanisme, der lod det ske; fanget af en certificeringsauditor bliver det en afvigelse på din journal; fanget af en kunde en grund til at tvivle på alt andet.

Hvad auditorer leder efter er ensartet, internt eller eksternt: overensstemmelse med standarden og dine procedurer, beviser, du kan fremvise frem for påstå, effektivitet (virker det, eller er det bare papirarbejde?) og opfølgning (blev tidligere problemer rettet ved roden, eller lappet?).

Hvordan en god afvigelse ser ud

Rejst internt eller af en ekstern auditor er en afvigelse kun nyttig, hvis den er skrevet godt. Et fund, der lyder "dokumentstyring skal forbedres", er værdiløst: det kan ikke diskuteres, årsagsanalyseres eller verificeres som lukket, fordi der ikke er noget specifikt at genkontrollere. Et godt fund angiver tre ting, i rækkefølge:

• Kravet. Det specifikke punkt i standarden, eller din egen procedure, der ikke blev opfyldt - her ISO 9001 punkt 7.5.3, som kræver, at dokumenteret information er tilgængelig og egnet til brug, hvor og når der er brug for den.
• Det objektive bevis. Hvad der faktisk blev observeret, specifikt nok til, at enhver kunne genkontrollere det: "ved arbejdsstation 4, 7 og 9 arbejdede operatørerne efter revision B af WI-114, erstattet af revision C udstedt to måneder tidligere." Ikke en holdning - faktum.
• Hullet. Sætningen, der forbinder de to: aktuelle versioner skal være tilgængelige på brugsstedet; tre eksemplarer på brugsstedet var forældede; derfor er kravet ikke opfyldt.

Skrevet på den måde er fundet lukbart - du bekræfter rettelsen ved at genkontrollere disse arbejdsstationer. Vage fund fejler, fordi du aldrig kan bevise, at de er løst.

Ret mekanismen, ikke det enkelte tilfælde. Et velskrevet fund fortæller dig stadig kun, hvad der er galt, ikke hvorfor. Årsagsanalyse lukker det hul, og det enkleste værktøj er at blive ved med at spørge "hvorfor", indtil du når noget, der er værd at ændre. Kør sagen med den forældede instruktion igennem:

• Hvorfor brugte operatørerne den gamle revision? Den aktuelle nåede aldrig deres arbejdsstationer.
• Hvorfor ikke? Opdateringen blev udstedt i dokumentsystemet, men eksemplarerne på produktionsgulvet printes og hænges op ved hver station, og ingen genprintede dem.
• Hvorfor genprintede ingen dem? Intet i ændringsproceduren tildeler ansvar for at udskifte eksemplarer på brugsstedet, når et dokument revideres.
• Hvorfor mangler det trin? Dokumentstyringen blev skrevet til et kontor, hvor alle læser på skærm, og blev aldrig tilpasset, da printede eksemplarer kom ud på gulvet.
• Hvorfor blev den aldrig tilpasset? Ændringsstyring ejes af kvalitet, som ikke ser, hvordan dokumenter når gulvet, og ingen gennemgang fangede hullet.

Rodårsagen er ikke "tre skødesløse operatører", men en ændringsprocedure uden et styret trin til at trække og udskifte eksemplarer på brugsstedet - så enhver fremtidig revision kan tavst undlade at nå gulvet. Tilføj det trin, verificér, at gamle eksemplarer fjernes, og hele klassen af problemet lukkes, ikke bare dette tilfælde. Det er den skelnen, punkt 10.2 trækker mellem korrektion (genudsted dokumentet) og korrigerende handling (ret, hvorfor det var forkert).

Eksterne (tredjeparts-/certificerings-)audits: den uafhængige dom

Certificeringsauditen er den tredjepartsvurdering, der er dækket i hvordan certificering virker: en Stage 1-parathedsgennemgang, en Stage 2-vurdering af systemet i drift, derefter årlig overvågning og en treårig recertificering. Her er pointen at understrege, hvordan fund klassificeres, for det er det, der afgør indsatsen:

• Væsentlig afvigelse - et krav er ikke opfyldt, eller en del af systemet er brudt sammen. En væsentlig afvigelse skal løses med beviser, før et certifikat udstedes eller opretholdes; uløst blokerer den certificering eller kan føre til suspendering.
• Mindre afvigelse - et isoleret svigt mod et krav. Håndteres normalt med en korrigerende handlingsplan, der verificeres ved næste besøg.
• Forbedringsmulighed - ikke et svigt og ikke et krav, men et forslag, der er værd at overveje.

Hvordan grænsen trækkes. Væsentlig kontra mindre er en vurdering af omfang og virkning, ikke en fast takst. Et fund er væsentligt, når et krav ikke er adresseret, en proces er brudt sammen frem for at skride, eller svigtet truer et overensstemmende produkt eller systemets integritet; mindre, når systemet ellers virker, og svigtet er isoleret. Ét forældet dokument er en mindre afvigelse; det samme fund på tværs af flere urelaterede processer er en brudt dokumentstyringsproces, rejst som en enkelt væsentlig afvigelse - mønsteret, ikke det enkelte tilfælde, er svigtet.

Hvad en forbedringsmulighed betyder i praksis. En OFI er ikke en afvigelse: intet krav er brudt, og du behøver ikke handle. Auditorer rejser dem, hvor de ser en svaghed, der endnu ikke har forårsaget et svigt, eller en praksis, der simpelthen er bedre end din - gratis viden, ikke kritik. Ignorér én, og det er fint; ignorér en række af dem, der senere dukker op som afvigelser, og du udhuler auditorens tillid til din dømmekraft.

Remote, on-site eller hybrid. Remote- og hybrid-audits er nu rutine, med akkrediteringsorganets vejledning om at bruge video og skærmdeling til en del af tiden på stedet. Den dokumenttunge halvdel af en audit rejser godt til en skærm - styrede dokumenter, interviews, ledelsens gennemgang og interne audit-records. Det gør noget fysisk ikke: at se en proces køre, kontrollere eksemplaret ved arbejdsstationen mod systemet, stikprøve kalibreringsmærker. Så en hybrid-audit tager dokumenterne remote og gemmer besøget til de kontroller. Remote er ikke den blødere mulighed: dine beviser skal kunne hentes frem på skærmen i realtid, og en klodset skærmdeling signalerer, hvor styret din information reelt er.

Auditorens uafhængighed er hele pointen: uden interesse i at lade dig bestå er deres certifikat et, en kunde accepterer i stedet for at auditere dig - ét akkrediteret certifikat, der træder i stedet for snesevis af separate kundeaudits, og meget af det, der gør certificering kommercielt værdifuld.

Andenparts-audits (kundeaudits): når en kontrakt er på spil

En andenparts-audit er en kunde, der auditerer dig - den med den mest umiddelbare kommercielle kant. En hovedleverandør, en reguleret køber eller enhver kunde, for hvem dit arbejde bærer risiko, kan auditere dig, før de tildeler en kontrakt (en pre-award- eller leverandørgodkendelsesaudit), og periodisk under den (overvågning).

Hvad der er anderledes ved den. En certificeringsauditor vurderer dig mod standarden; en kunde vurderer dig mod sine krav - normalt inklusive standarden plus de kontrakt-, regulatoriske eller sektorbetingelser, der betyder noget for dem. Hvor certificering stikprøver på tværs af hele standarden, er en kundes tjekliste smallere og langt dybere på de få ting, der berører deres kontrakt. Typisk graver den ned i:

• Sporbarhed på det, de køber - kan du binde en leveret vare tilbage til dens materialer, lot eller batch, og fremad til alle de steder, den kom hen, for de specifikke dele, de bestiller?
• Styring af den proces, de afhænger af - den specialproces i hjertet af deres produkt (varmebehandling, svejsning, sterilisation, kodning), undersøgt langt tættere, end en generel vurdering ville gøre.
• Videreførelse af deres krav - de punkter, de kontraktuelt viderefører til dig, og bevis for, at du viderefører de relevante til dine egne underleverandører.
• Ændringsvarsling og håndtering af undslip - vil du fortælle dem det, før du ændrer et materiale, en proces eller en underleverandør; og hvordan ville du køre en tilbagekaldelse eller inddæmme et ikke-overensstemmende batch, der allerede er nået frem til dem?
• Deres sektors egne regler - en reguleret køber kan lægge sin branches forventninger oven på ISO 9001: en luftfartskundes AS9100-videreførelser, en farmaceutisk købers GxP-forventninger, en producent af medicinsk udstyrs regulatoriske krav.

Det er de områder, en certificeringsaudit kun berører i forbifarten; for kunden er de hele formålet med besøget.

Konsekvenser for kontrakt og udbud. Det er her, audits holder op med at være en kvalitetsøvelse og begynder at være en kommerciel:

• Status som godkendt leverandør. Mange købere fører en liste over godkendte leverandører; en bestået andenparts-audit er ofte adgangsbilletten, og en fejlet holder dig af den. Ingen plads på listen, ingen invitation til at byde.
• Udbudskvalifikation. Offentlige og store private udbud gør ofte certificering til et bestå/dumpe-kriterium - du har enten det akkrediterede certifikat for det rette omfang, eller du siles fra, før dit bud læses. Et certifikat, der er udløbet, eller hvis omfang ikke dækker arbejdet, dumper her lige så meget som aldrig at have haft et.
• Kontraktbetingelser og misligholdelsesbeføjelser. Kontrakter skriver i stigende grad compliance ind som en levende forpligtelse med tænder: oprethold certificering i hele løbetiden, tillad audits med varsel, og luk fund inden for aftalte tidsfrister - ofte et fast vindue for væsentlige afvigelser og længere for mindre, med beviser indsendt til kundens accept. Overhold dem ikke, og beføjelserne trapper op: et krav om korrigerende handling, derefter øget audit-frekvens eller prøvetid, derefter tilbageholdte ordrer eller fjernelse fra listen over godkendte leverandører, og - ved vedvarende svigt eller et certifikat, der er ladt udløbe midt i kontrakten - ophævelse ved misligholdelse. De samme klausuler får dig normalt til at videreføre tilsvarende forpligtelser til dine underleverandører, så et fund i din forsyningskæde bliver et fund mod dig.
• Afsmitning på omdømmet. En kunde, der finder et alvorligt problem i en audit, registrerer ikke bare en afvigelse; de reviderer deres syn på dig som leverandør. Fund rejser.

Den gennemgående linje er, at audit-resultater ikke arkiveres og glemmes - de styrer adgang til markeder og former de betingelser, du tilbydes.

At gøre hver audit lettere: det samme bevis, klar på forlangende

Alle tre audits beder om det samme underliggende: aktuelt, fremhenteligt bevis for, at dit system gør, hvad det påstår. Hver auditor - intern, certificering eller kunde - vil have de samme records: styrede dokumenter, lukkede afvigelser, gennemførte interne audits, ledelsens gennemgange. De organisationer, der frygter audits, samler det bevis fra bunden hver gang; de, der tager dem med ophøjet ro, holder det løbende, som et biprodukt af arbejdet.

Det er det praktiske argument for et kvalitetsstyringssystem. ComplyTrains QMS holder dokumenterne, audit-programmet, fundene og deres korrigerende handlinger og ledelsens gennemgang samlet ét sted, organiseret efter standardens krav - så forberedelse til enhver af de tre audit-typer bliver et spørgsmål om fremhentning frem for rekonstruktion. ISO 9001-siden beskriver de krav, disse audits vurderer.

Audit-sæson bør ikke betyde en brandøvelse. Book en demo, så viser vi dig, hvordan ComplyTrain holder interne, certificerings- og kundeaudits fodret fra det samme altid-aktuelle bevis - så et fund er undtagelsen, ikke normen.