Sådan gennemfører du en intern audit, der finder noget

De fleste interne audits finder ingenting, og det er problemet. Et program, der returnerer et rent regnskab hver cyklus, er ikke bevis på et sundt system; det er bevis på, at ingen kiggede godt nok efter. Den interne audit er det billigste sted i organisationen at finde et problem, og et fund rejst her koster en brøkdel af det samme fund rejst af et certificeringsorgan eller en kunde.

Hvad punkt 9.2 faktisk kræver

ISO 9001 beder om fire ting, og de er mindre præskriptive, end de fleste programmer antager:

• Et auditprogram planlagt efter de involverede processers betydning, ændringer der påvirker organisationen, og resultaterne af tidligere audits. Risikobaseret, med andre ord, og ikke blot alting én gang om året.
• Definerede kriterier og omfang for hver audit.
• Auditorer udvalgt, så processen er objektiv og upartisk. Standardens formulering er, at auditorer ikke må auditere deres eget arbejde.
• Resultater rapporteret til relevant ledelse, med korrektion og korrigerende handling foretaget uden unødig forsinkelse.

Der er ingen krævet frekvens, ingen krævet tjeklisteskabelon og intet krav om, at en auditor skal have et certifikat. Det, der er, er en forventning om, at programmet er designet frem for arvet.

At planlægge det, så det finder noget

To beslutninger afgør, om en audit er nyttig, og begge træffes, før nogen går på gulvet.

Den første er, hvad man skal se på. Et program, der auditerer hvert punkt i standarden på skift, bruger det meste af sin tid på ting, der var i orden sidste år. Et program, der vægter mod de processer, hvor arbejdet faktisk går galt, gør ikke. Se på jeres afvigelser, jeres kundeklager og jeres nærved-hændelser fra sidste cyklus, og lad dem fastsætte planen.

Den anden er, hvem der auditerer. Uafhængighed er kravet, men kompetence er det, der gør det umagen værd. En person fra en anden afdeling, der forstår processen godt nok til at stille et opfølgende spørgsmål, finder mere end en erfaren auditor, der skal føres gennem det grundlæggende.

At auditere praksis, ikke proceduren

Den mest almindelige måde, en intern audit fejler på, er, at den holder dokumentationen op mod sig selv. Nogen læser proceduren, spørger, om den følges, får at vide ja, sætter et flueben og går videre. Intet blev testet.

Alternativet er at følge en reel sag. Vælg en ordre, et parti, en ændringsanmodning eller en uddannelsesregistrering, og spor den fra ende til anden, idet du beder om beviset ved hvert trin. Hvor sporet er komplet, virker processen. Hvor det brister, har du fundet noget, og det vil sædvanligvis være én af tre ting: proceduren beskriver arbejde, ingen udfører, arbejdet sker, men efterlader ingen registrering, eller registreringen findes, og ingen gennemgik den.

Dette er også den hurtigste måde at opdage, at det styrede dokument og det dokument, der er i brug, er forskellige versioner, hvilket er det enkeltmest almindelige fund i dokumentstyring.

At skrive et fund, nogen kan handle på

Et fund har brug for tre dele, og den midterste er der, hvor de fleste rapporter fejler:

1. Kravet. Hvilket punkt, hvilken procedure, hvilket kontraktvilkår.
2. Beviset. Hvad du så, med tilstrækkelig detalje til, at en anden kunne finde det igen: dokumentnummeret, datoen, partiet, personens rolle.
3. Afvigelsen. Hvad beviset viser, holdt op mod hvad kravet beder om.

Hvad et fund ikke bør indeholde, er en løsning. At afgøre, hvordan det skal rettes, hører til processejeren, som kender begrænsninger, auditoren ikke gør. En auditrapport, der foreskriver løsningen, har tendens til at få den løsning, den foreskrev, uanset om det adresserer årsagen eller ej.

Vær også klar omkring alvorlighed. En afvigelse er et krav, der ikke er opfyldt. En observation er noget, der bliver til en afvigelse, hvis det får lov at ligge. At kalde alt en observation for at holde rapporten behagelig fjerner det eneste signal, ledelsen har.

At lukke sløjfen

Et fund er ikke lukket, når nogen skriver en korrigerende handling. Det er lukket, når handlingen er udført, og noget viser, at den virkede. Det betyder en forfaldsdato, en navngiven ejer og en efterfølgende kontrol, som ofte er endnu en stikprøve af samme proces en cyklus senere.

Korrigerende handling beder om årsagen, ikke hændelsen. Hvis en registrering manglede, er korrektionen at færdiggøre registreringen; den korrigerende handling er det, der forklarer, hvorfor den manglede, og det er sædvanligvis et trin, der aldrig var praktisk, en overdragelse, som ingen ejer, eller uddannelse, der skete én gang. Vores QMS-funktionalitet er struktureret efter ISO 9001-punkterne, så fundet, handlingen og beviset forbliver knyttet til den samme proces frem for at leve i tre systemer.

Et program, det er værd at have

Bedøm programmet ud fra, hvad det koster jer at tage fejl. Hvis en certificeringsaudit eller en kundeaudit finder ting, jeres interne audits ikke fandt, er programmet dekorativt, og den billigste løsning er sædvanligvis at auditere færre processer ordentligt frem for alle hurtigt. Se de tre slags complianceaudits for, hvordan den interne ligger ved siden af de andre.