Внутренний аудит как механизм улучшений в системе менеджмента качества. Часть 2.

Страницы: 1 2 3

Раздел 2. Организация и проведение внутреннего аудита СМК

2.1. Семь необходимых действий для организации внутренних аудитов

Внутренние аудиты СМК проводят в соответствии с требованиями стандарта ГОСТ ISO 9001-2011, подраздел 8.2.2:

«Организация должна проводить внутренние аудиты (проверки) через запланированные интервалы времени в целях установления того, что система менеджмента качества:

7. a) соответствует запланированным мероприятиям (п. 7.1 ГОСТ ISO 9001-2011), требованиям настоящего стандарта и требованиям к системе менеджмента качества, разработанным организацией;
8. b) внедрена результативно и поддерживается в рабочем состоянии.

Программа аудитов (проверок) должна планироваться с учетом статуса и важности процессов и участков, подлежащих аудиту, а также результатов предыдущих аудитов. Критерии, область применения, частота и методы аудитов должны быть определены. Выбор аудиторов и проведение аудитов должны обеспечивать объективность и беспристрастность процесса аудита. Аудиторы не должны проверять свою собственную работу.

Должна быть установлена документированная процедура для определения ответственности и требований, связанных с планированием и проведением аудитов, ведением записей и составлением отчетов о результатах.

Записи об аудитах и их результатах должны поддерживаться в рабочем состоянии (п. 4.2.4 ГОСТ ISO 9001-2011).

Руководство, ответственное за проверяемые области деятельности, должно обеспечить, чтобы все необходимые коррекции и корректирующие действия предпринимались без излишней отсрочки для устранения обнаруженных несоответствий и вызвавших их причин. Последующие действия должны включать в себя верификацию принятых мер и отчет о результатах верификации (п. 8.5.2 ГОСТ ISO 9001-2011).

Для организации процесса внутреннего аудита СМК необходимо выполнить семь необходимых действий (см. Рисунок 4). Эти действия осуществляет руководство организации до внедрения в организации системы менеджмента качества и ее сертификации.

• Установление временных интервалов, через которые будут прово­диться внутренние аудиты. Периодичность проведения внутренних ау­дитов не регламентируется какими-либо нормативными документами. Как правило, здесь руководствуются разумной целесообразностью, согласуя периодичность аудитов, например, со сложившейся практи­кой подведения итогов основной деятельности организации за месяц, квартал и т.п.

2) Установление целей аудита.

На первоначальном этапе внедрения системы менеджмента при проведении предсертификационного и первых внутренних аудитов сертифицированной системы менеджмента для установления целей аудита руководствуется требованиями стандартов.

Рисунок 4. Семь необходимых действий для организации внутренних аудитов

На этом этапе могут быть установлены такие цели внутреннего аудита:

• определить, насколько СМК:
• соответствует запланированным мероприятиям, требованиям федеральных стандартов и нормативам, которые разработаны внутри организации,
• внедрена результативно,
• поддерживается в рабочем состоянии.

Под понятием «запланированные мероприятия» в данном слу­чае подразумеваются те мероприятия, которые организация исходя из целесообразности разрабатывает при планировании процессов, необходимых для обеспечения жизненного цикла продукции, определяя:

• цели в области качества;
• требования к продукции;
• потребность в разработке необходимых процессов и доку­ментов;
• обеспечение ресурсами для конкретной продукции;
• необходимую деятельность по верификации, валидации, мо­ниторингу, контролю и испытаниям конкретной продукции;
• критерии приемки конкретной продукции;
• необходимые записи для свидетельства того, что процессы жизненного цикла продукции и произведенная продукция соответствуют требованиям.

Указанные цели рекомендуется постоянно включать в план внутреннего аудита. В дальнейшем с развитием и «взрослением» системы менеджмента перечень целей корректируется. Например, при установлении целей исходят из того, что аудит должен адекватно реагировать на возникающие проблемы системы менеджмента в организации, обеспечивать своевременное представление руководству объективной информации о функционировании и результативности этой системы, о качестве и результативности ее процессов, а также о качестве продукции. В связи с этим перечень целей неизбежно расширяется.

3) Разработка программы аудита. Программа аудита разрабатывается на определенный отрезок времени. Ее целесообразно разрабатывать на календарный или отчетный год, чтобы учесть не только предстоящие внутренние аудиты на запланированный год, но и возможные аудиты второй и третьей сторон и спланировать необходимые ресурсы для проведения этих аудитов. Программу аудитов необходимо планировать с учетом статуса и важности процессов или участков деятельности организации.

4) Обеспечение необходимого количества специалистов. В период разработки СМК и подготовки ее к сертификации необходимо обучить достаточное количество «своих» аудиторов для проведения внутреннего аудита СМК. Требуемое количество специалистов — аудиторов необходимо подготовить с таким расчетом, чтобы до начала сертификации системы менеджмента провести внутренние предсертафикационные аудиты.

Кандидат в аудиторы должен обладать определенными личными качествами и пройти профессиональное обучение на аудиторов систем менеджмента.

При подготовке аудиторов следует учитывать необходимость обеспечения объективности и беспристрастности аудиторов и процесса аудита. При формировании аудиторской группы для проведения конкретной проверки обязательно обеспечение условия о запрете на проверку аудиторами своей собственной работы.

5) Разработка документированной процедуры проведения аудита. Документированная процедура ‒ это документ СМК, в котором устанавливается способ осуществления деятельности или процесса. Требование о необходимости разработки документированной процедуры по аудитам установлено в стандарте ГОСТ ISO 9001-2011, п. 8.2.2: «Должна быть установлена документи­рованная процедура для определения ответственности и требований, связанных с планированием и проведением аудитов, ведением записей и составлением отчетов о результатах. Записи об аудитах и их результатах должны поддерживаться в рабочем состоянии».

Документированная процедура проведения внутреннего аудита раз­рабатывается в комплексе всей документации на систему менеджмента и имеет форму стандарта организации (СТО). В СТО «Внутренние аудиты» предусматриваются все действия, связанные с организацией, планиро­ванием и проведением внутренних аудитов, а также устанавливаются от­ветственность и полномочия персонала при планировании и проведении аудитов, ведении записей и составлении отчета о результатах аудита

• Выполнение корректирующих и предупреждающих действий. Корректирующие действия для устранения обнаруженных при аудитах несоответствий и причин, их вызвавших, должны предприниматься безотлагательно, те. в возможно кратчайшие сроки. Эти сроки должны обосновываться лицами, ответственными за выполнение указанных действий, чтобы избежать излишнего затягивания и увеличения времени их выполнения.

Ответственность за своевременное выполнение корректирующих и предупреждающих действий возлагается на руководство проверяемых объектов, для чего необходимо внести со ответствующие записи в докумен­ты, определяющие ответственность и полномочия этих руководителей.

• Выполнение последующих действий. Также необходимо уста­новить порядок выполнения действий, последующих за выполнением корректирующих действий. Этот порядок также может быть изложен в документированной процедуре СТО «Внутренний аудит».

Последующие действия включают в себя проверку и оценку каче­ства выполненных корректирующих действий и верификацию принятых мер. Эти действия проводят внутренние аудиторы. Если корректирую­щие действия выполнены удовлетворительно и причины, вызвавшие несоответствия, устранены, то аудит считается завершенным, после чего аудитор сдает дело по данному аудиту в архив.

2.2 Требования к аудиторам, осуществляющим внутренний аудит СМК

Работа во внутреннем аудите позволяет познакомиться с сотрудниками компании, выполняющими самые разнообразные функции. Внутренние аудиторы, участвуя в выполнении разноплановых аудиторских заданий, получают глубокие знания о деятельности всех подразделений и способность увидеть работу компании в целом. В результате они становятся генераторами свежих идей и конструктивных предложений и вырабатывают представление о том, как и в каком направлении должна развиваться компания.

Уверенность и доверие к процессу аудита зависят от компетентности лиц, которые его проводят.

Компетентность должна быть продемонстрирована на основе:

• личных качеств;
• способности применять знания и умения, которые приобретаются посредством образования, в процессе работы, подготовки в качестве аудиторов, а также на основе опыта проведения аудитов.

Аудиторы развивают, поддерживают и улучшают свою компетентность посредством постоянного повышения квалификации и регулярного участия в аудитах [8].

2.2.1 Общие знания и навыки аудиторов систем менеджмента

Аудиторы должны обладать знаниями и навыками в следующих областях:

1) принципы, процедуры и методы аудита, позволяющие выбирать такие способы работы, которые соответствуют различным аудитам и обеспечивают последовательное и систематичное проведение аудитов.

Аудитор должен уметь:

• применять принципы, процедуры, методы и приемы аудита;
• эффективно планировать и организовывать работу;
• проводить аудит в течение установленного срока;
• устанавливать приоритеты и быть сфокусированным на существенных вопросах;
• собирать информацию посредством эффективного опроса, выслушивания, наблюдений и анализа документов, записей и данных;
• понимать и учитывать мнения экспертов;
• понимать пригодность, соответствие и последствия использования тех или иных приемов выборочного исследования для аудита;
• верифицировать точность собранной информации;
• подтверждать достаточность и приемлемость свидетельств аудита для обоснования выводов аудита и заключений;
• оценивать факторы, которые могут повлиять на достоверность выводов и заключений по результатам аудита;
• использовать рабочие документы для регистрации деятельности по аудиту;
• готовить отчеты по аудиту;
• сохранять конфиденциальность и безопасность информации, документов и записей;
• осуществлять эффективный обмен информацией, используя вербальные и письменные средства коммуникации (включая использование услуг переводчиков);
• понимать типы рисков, связанных с проведением аудитов.

2) система менеджмента и справочные документы, позволяющие аудитору понять объем аудита и применить критерии аудита.  Знания и умения в этой области должны охватывать:

• применение систем менеджмента для различных организаций;
• взаимодействие между составными элементами системы менеджмента;
• стандарты на системы менеджмента, применимые процедуры или другие документы системы менеджмента, используемые как критерии аудита;
• понимание различия между справочными документами и приоритетности тех или иных документов;
• применение справочных документов к различным ситуациям в процессе аудита;
• информационные системы и технологии утверждения, обеспечения безопасности, рассылки и управления документами, данными и записями;
• 3) организационные аспекты, позволяющие аудитору понимать производственную ситуацию. Знания и умения в этой области должны охватывать:
• размер, структуру, функции и взаимоотношения в организации;
• общие бизнес-процессы и относящуюся к ним терминологию;

4) соответствующие законы, правила и другие документы, позволяющие аудитору работать с учетом и пониманием требований, которые применимы к проверяемой организации.  Знания и умения в этой области должны охватывать:

• местные, региональные и национальные кодексы, законы и правила;
• контракты и соглашения;
• международные договоры и конвенции;
• другие требования, с которыми согласилась организация.

2.2.2 Требования к личным качествам аудиторов

Аудиторы должны обладать личными качествами, которые давали бы им возможность действовать в соответствии с принципами аудита. Аудиторы должны проявлять профессиональное отношение и личные качества во время проведения аудита, включающие в себя:

• этичность – честность, правдивость, искренность и благоразумие;
• открытость и непредубежденность – желание и готовность воспринимать альтернативные идеи или точки зрения;
• дипломатичность – тактичность при обращении с людьми;
• наблюдательность – активное наблюдение за окружающей обстановкой и видами деятельности;
• восприимчивость – осведомленность и способность к пониманию ситуаций;
• универсальность – возможность быстро адаптироваться к различным ситуациям;
• упорство – настойчивость, нацеленность на достижение целей;
• решительность – своевременное принятие решений на основе логических соображений и анализа;
• самостоятельность – действовать и выполнять свои функции независимо, результативно взаимодействуя с другими;
• принципиальность – готовность действовать ответственно и этично даже в тех случаях, когда эти действия могут не встречать одобрения или приводить к разногласиям или конфронтации;
• готовность к самосовершенствованию – обучение в процессе работы, стремление к достижению наилучших результатов при проведении аудитов;
• высокая культура поведения – соблюдение и уважительное отношение к культурным ценностям проверяемой организации;
• умение сотрудничать и работать с людьми – результативное взаимодействие с другими, включая членов группы по аудиту и персонал проверяемой организации [2].

2.2.3 Требования к профессиональным умениям аудитора

Для успешного проведения проверок аудитор должен уметь:

• тщательно готовиться перед началом проверки и перед каждым последующим ее этапом;
• проводить как начальную, так и итоговую встречу (это особенно важно для главного аудитора);
• собирать информацию без проявления агрессивности или запугивания (хороший аудитор заставляет проверяемых вести себя непринужденно);
• осуществлять сбор объективных данных с минимальной суетой, используя визуальные наблюдения, анализ выбранной документации и интервью (опрос);
• проводить опрос самых различных по уровню и рангу сотрудников организации;
• подтверждать свои выводы конкретными свидетельствами и документами (не быть голословным);
• указывать (устно) при первой возможности проверяемым на выявленный отказ процесса системы менеджмента, идентифицируя соответствующие обстоятельства, включая вовлеченных лиц, но не делая утверждения о виновности людей;
• определять статус несоответствия с обоснованием своих утверждений перед руководством проверяемого подразделения;
• осуществлять подготовку изложенных объективно и непредвзято письменных отчетов о несоответствии, которые могут быть поняты даже человеком, не участвовавшим в проверке, через несколько месяцев и даже лет после его написания (при написании отчета важен не стиль изложения, а чтобы написанное было понятно другим специалистам);
• добиваться согласия и конструктивного отношения к обнаруженным несоответствиям, а также планирования реалистичных корректирующих действий и разработки графиков их осуществления (когда заполняется бланк регистрации несоответствий, представитель проверяемого подразделения расписывается в том, что он ознакомлен и согласен с выявленным несоответствием; после этого на следующей части бланка представитель подразделения должен сформулировать (составить план) и указать срок выполнения корректирующих действий, а аудитор своей подписью подтверждает, что план достаточно хорош, чтобы обнаруженные несоответствия были устранены; аудитор не должен заниматься разработкой корректирующих действий и графиков их проведения);
• записывать все ключевые факты, имеющие отношение к проверке, в окончательном отчете (акте), который (вместе с бланками регистрации несоответствий) войдет в постоянный протокол качества;
• пользоваться правами аудитора, данными ему по статусу, при решении спорных вопросов, когда не удается достичь единого мнения с проверяемыми (на практике явных конфликтных ситуаций бывает не так уж много) [8].

Большинство из перечисленных качеств и навыков можно развить со временем, а их необходимый набор определяется в каждом конкретном случае исходя из роли внутреннего аудита в компании и задач, поставленных перед внутренними аудиторами. Сегодня на рынке труда наблюдается дефицит высококвалифицированных специалистов в области внутреннего аудита. С сожалением отметим, что не происходит в достаточной степени подпитки профессии молодыми кадрами, поскольку программы высших учебных заведений не предусматривают подготовку по специальности «внутренний аудитор». Но спрос рождает предложение. Все большее число специалистов выбирают внутренний аудит в качестве своей основной профессии, увеличивается количество студентов, заинтересованных в углубленном изучении этого предмета, а вузы начинают задумываться о его выделении в отдельный курс.

2.3 Формирование группы по аудиту

Лицу, ответственному за управление программой аудита, следует назначить членов группы по аудиту, включая руководителя группы и любых технических экспертов, требуемых для проведения конкретного аудита.

Группа по аудиту должна формироваться с учетом компетентности, необходимой для достижения целей конкретного аудита в рамках установленной для этого аудита области применения. Если аудит проводит один аудитор, он должен выполнять все обязанности, возлагаемые на руководителя группы по аудиту.

При определении численности и состава группы по аудиту для конкретного аудита необходимо учитывать следующие факторы:

• общую компетентность группы по аудиту, требуемую для достижения целей аудита, области и критериев аудита;
• сложность аудита, если аудит представляет собой комбинированный или совместный аудит;
• выбранные методы аудита;
• законодательные и другие требования, такие как требования контрактов, которые организация принимает на себя;
• необходимость обеспечения независимости группы по аудиту от проверяемых видов деятельности и отсутствия конфликта интересов;
• возможности членов группы по аудиту эффективно взаимодействовать с представителями проверяемой организации и работать совместно;
• язык аудита и понимание специфических социальных и культурных ценностей проверяемой организации (с учетом собственного опыта аудиторов или при поддержке технического эксперта).

Для обеспечения общей компетентности группы по аудиту следует предпринять следующие шаги:

• определение знаний и навыков, необходимых для достижения целей аудита;
• выбор членов группы по аудиту таким образом, чтобы группа обладала всеми необходимыми знаниями и опытом.

Если уровень компетентности аудиторов в группе по аудиту не является достаточным, то для обеспечения необходимой компетентности в эту группу могут быть включены технические эксперты. Технические эксперты должны работать под руководством аудитора, но не выполнять действия в качестве аудитора.

В группу по аудиту можно включать стажеров, но они должны участвовать в процессе аудита под руководством аудитора и получать необходимую методическую помощь.

Как заказчик аудита, так и проверяемая организация могут потребовать замены членов группы по аудиту по объективным причинам, основанным на принципах проведения аудита, изложенных в подразделе 1.5 аттестационной работы. Примеры объективных причин включают в себя ситуации, связанные с конфликтом интересов (например, в случае проведения аудитов второй или третьей стороны член группы по аудиту работал ранее в проверяемой организации или оказывал ей услуги по консалтингу), отсутствием необходимой компетентности или имевшим ранее место фактам неэтичного поведения. Такие причины следует сообщить руководителю группы по аудиту и лицу, ответственному за управление программой аудита, которые должны согласовать с заказчиком аудита и проверяемой организацией эти вопросы, перед тем как принимать любые решения, касающиеся замены членов группы по аудиту.

В ходе проведения аудита может понадобиться внесение изменений в состав группы по аудиту, например, если возникают ситуации, связанные с конфликтом интересов или недостаточной компетентностью группы по аудиту. Если такие ситуации возникают, то эти вопросы подлежат обсуждению с соответствующими сторонами, перед тем как делать любые изменения или корректировки [2].

2.4 Подготовка и проведение внутреннего аудита

Деятельность по проведению проверок является дорогостоящей операцией с точки зрения времени и человеческого фактора: она требует планирования, выполнения и отчетности. Кроме того, последующие действия могут потребовать привлечения аудитора и проверяемого. Само проведение аудита может помешать производственному процессу, так как аудитор отвлекает работающих своими вопросами, а вводное и заключительное совещания отнимают ценное время, необходимое для руководства. Поэтому очень важно провести проверку должным образом от начала до конца. Существует золотое правило: аудиты никогда не проводятся внезапно. Даты должны быть удобными взаимно и согласованы заранее. Нет никакой пользы от внезапного аудита, который может иметь только отрицательные последствия. Действительно, необъявленный аудит может прервать или затруднить деятельность в критический момент, что принесет существенные финансовые потери [8].

2.4.1 Выполнение анализа документов при подготовке к аудиту

Необходимо проанализировать документацию соответствующей системы менеджмента проверяемой организации, с тем чтобы:

• собрать информацию для подготовки мероприятий аудита и подходящие рабочие документы, например, относящиеся к процессам, должностным обязанностям;
• осуществить обзор документации системы для выявления возможных пробелов.

Аудиторы должны рассмотреть, является ли информация, представленная в документах:

— полной (все ожидаемые сведения содержатся в представленном документе);

— правильной (содержимое документа соответствует другим надежным источникам, таким как стандарты и правила);

— совместимой (положения документа согласуются между собой и связанными с ним документами);

— актуальной (положения, содержащиеся в документе, имеют силу на момент проверки);

— охватывают ли анализируемые документы область применения аудита и предоставляют ли они достаточную информацию для поддержания целей аудита;

— способствует ли использование информации и коммуникационных технологий согласно применяемым методам аудита эффективному проведению данного аудита: при этом необходимо уделить особое внимание информационной безопасности, обусловленной применяемыми правилами по обеспечению защиты данных (особенно для информации, которая выходит за рамки области применения аудита, но которая содержится в представленной документации).

Примечание — Анализ документации может указать на эффективность управления документами в рамках системы менеджмента проверяемой организации.

Документация должна включать в себя, насколько это применимо, документы и записи системы менеджмента, а также отчеты по предыдущим аудитам. При анализе документации следует учитывать размер, характер деятельности, сложность проверяемой организации и ее системы менеджмента, а также цели и область применения аудита.

2.4.2 Подготовка плана аудита

Руководителю группы по аудиту следует подготовить план аудита, основанный на информации, содержащейся в программе аудита и документации, предоставленной проверяемой организацией. План аудита должен рассматривать последствия аудита с учетом его влияния на процессы проверяемой организации и обеспечивать основу для соглашения между заказчиком аудита, группой по аудиту и проверяемой организацией относительно проведения аудита. Этот план должен способствовать наилучшей координации, последовательности и сроков выполнения работ по аудиту для наиболее эффективного достижения результата.

Объем сведений, представленных в плане аудита, должен отражать область применения и сложность аудита, а также влияние факторов неопределенности на достижение целей аудита.

При подготовке плана аудита руководитель группы по аудиту должен быть осведомлен:

• о соответствующих методах выборочного контроля;
• характерных чертах и особенностях состава группы по аудиту и ее коллективном уровне компетентности;
• рисках для проверяемой организации, возникающих вследствие проведения аудита.

План аудита должен допускать достаточную гибкость, чтобы по мере осуществления мероприятий по аудиту в него, в случае необходимости внесения корректировок или изменений, можно было внести требуемые изменения.

План аудита должен включать в себя или содержать ссылки на:

• цели аудита;
• область аудита, включая идентификацию организационных и функциональных подразделений и процессов, которые будут проверяться;
• критерии аудита и ссылочные документы;
• места проведения аудита, даты, ожидаемое время и продолжительность намеченных мероприятий по аудиту, включая совещания с руководством проверяемой организации, а также другие совещания;
• используемые при проведении аудита методы, включая объем или степень выборочного контроля, необходимого для получения достаточных свидетельств аудита, и проект программы выборочного контроля, если она применяется;
• роли и обязанности членов группы по аудиту, а также сопровождающих лиц и наблюдателей;
• распределение соответствующих ресурсов по «критичным местам» проведения аудита.

2.4.3 Распределение работ между членами группы по аудиту

Руководитель группы по аудиту в ходе консультаций с членами группы по аудиту должен обозначить и распределить ответственность между каждым членом группы за аудит конкретных процессов, работ, функциональных подразделений или участков производственной деятельности. При таком распределении следует учитывать независимость и компетентность аудиторов и результативное использование ресурсов, а также различные роли и обязанности аудиторов, стажеров и технических экспертов.

Руководитель группы по аудиту должен проводить рабочие совещания группы по аудиту для того, чтобы распределять рабочие задания и решать вопросы, касающиеся возможных изменений. По ходу проведения аудита могут быть сделаны изменения в рабочие задания или в выполнение работ, для того чтобы обеспечить достижение поставленных целей аудита.

2.4.4 Подготовка рабочих документов

Члены группы по аудиту должны собирать и анализировать информацию, относящуюся к зоне их ответственности, и осуществлять подготовку рабочих документов надлежащим образом для фиксации и протоколирования свидетельств аудита. Такие рабочие документы могут включать в себя:

• контрольные листы;
• планы выборок для аудита;
• формы для регистрации данных, таких как подтверждающие свидетельства, выводы аудита и протоколы совещаний.

Использование контрольных листов и форм не должно ограничивать объем проверок при аудите, которые могут измениться в результате анализа собранных во время аудита данных.

Рабочие документы, включая записи, являющиеся результатом использования документов, следует хранить, по меньшей мере, до завершения аудита.

2.4.5 Проведение предварительного совещания

Целью предварительного совещания являются:

• подтверждение согласия всех сторон (например, проверяемой организации, группы по аудиту) относительно плана аудита;
• представление членов группы по аудиту:
• обеспечение уверенности в том, что все запланированные в рамках аудита мероприятия могут быть выполнены.

Предварительное совещание проводят с руководством проверяемой организации и, когда это возможно, с теми лицами, которые отвечают за проверяемые подразделения или процессы. В ходе этого совещания предоставляется возможность задать вопросы.

Объем и степень предоставляемых сведений должны соответствовать степени осведомленности проверяемой организации с процессом аудита. Во многих случаях, например, при проведении внутренних аудитов в небольших организациях, предварительное совещание может состоять лишь из объявления о том, что началось проведение аудита, и объяснения сущности или специфики аудита.

В других случаях предварительное совещание может иметь официальный характер, при котором проводится регистрация присутствующих на нем лиц.

Предварительное совещание должно проходить под руководством руководителя группы по аудиту, в обязанности которого входит:

• представить участников, включая наблюдателей и сопровождающих лиц, и объяснить их роль в аудите;
• подтвердить цели, область и критерии аудита;
• подтвердить с проверяемой организацией план аудита и другие необходимые мероприятия, связанные с аудитом, такие как дата и время заключительного совещания, любые промежуточные совещания группы по аудиту и руководства проверяемой организации и любые дальнейшие изменения;
• ознакомить с методами, которые будут использоваться при проведении аудита, включая информирование проверяемой организации о том, что свидетельства аудита будут основаны на выборках доступных данных;
• представить методы по управлению рисками, связанными с аудитом, которые могут иметь место для организации вследствие присутствия на местах членов группы по аудиту;
• подтвердить официальные каналы связи между группой по аудиту и проверяемой организацией;
• подтвердить язык, используемый при аудите;
• подтвердить, что во время аудита проверяемая организация будет информироваться о ходе его проведения;
• подтвердить, что необходимые группе по аудиту ресурсы и средства будут доступны;
• подтвердить обеспечение конфиденциальности и информационной безопасности;
• подтвердить обеспечение безопасности работы и ознакомление с соответствующими процедурами по обеспечению безопасности, а также в случае возникновения чрезвычайной ситуации для группы по аудиту;
• ознакомить с методом регистрации и составления отчетов по выявленным при проведении аудита фактам, включая их классификацию и любое ранжирование;
• проинформировать об условиях, при которых аудит может быть прекращен;
• проинформировать о заключительном совещании;
• проинформировать о том, каким образом следует обращаться с теми фактами, которые могут быть выявлены во время аудита;
• проинформировать о любой системе обратной связи с проверяемой организацией по рассмотрению выводов или заключений по результатам аудита, включая жалобы или апелляции.

2.4.6 Выполнение анализа документов во время проведения аудита

Необходимо проанализировать документацию проверяемой организации, с тем чтобы:

• определить соответствие системы (насколько это отражено в документации) критериям аудита;
• собрать информацию для содействия реализации намеченных мероприятий в рамках проводимого аудита.

Данный анализ может осуществляться в сочетании с другими видами деятельности по аудиту и может продолжаться по ходу выполнения мероприятий аудита, если это не сказывается негативным образом на результативности проведения аудита.

Если необходимая документация не может быть предоставлена в сроки, определенные планом аудита, руководителю группы по аудиту следует проинформировать лицо, ответственное за управление программой аудита, и проверяемую организацию. В зависимости от области применения и целей аудита следует принять решение о целесообразности продолжения проведения аудита или о приостановке его проведения до тех пор, пока не будут разрешены все вопросы, связанные с документацией.

2.4.7 Обмен информацией во время проведения аудита

В ходе аудита может возникнуть необходимость в заключении официальных соглашений по обмену информацией между группой по аудиту и проверяемой организацией, заказчиком аудита и, возможно, с внешними органами (например, контролирующими органами), особенно в тех случаях, когда законодательные нормы содержат требования об обязательном уведомлении о несоответствиях.

В группе по аудиту периодически проводят обмен информацией, оценивают ход аудита и, при необходимости, перераспределяют обязанности между членами группы по аудиту.

Если имеющееся свидетельство аудита указывает на невыполнимость целей аудита, руководителю группы по аудиту следует доложить заказчику аудита или проверяемой организации о причинах для принятия соответствующих мер. Такие меры могут включать в себя внесение изменений и переутверждение плана аудита, изменение целей или области аудита, или прекращение аудита.

Любую необходимость во внесении изменений в план аудита, которая может выявляться походу выполнения мероприятий аудита, следует анализировать и согласовывать с лицом, ответственным за управление программой аудита, и, при необходимости, с проверяемой организацией.

2.4.8 Роль и обязанности сопровождающих лиц и наблюдателей

Сопровождающие лица и наблюдатели (например, представители регулирующего органа или других заинтересованных сторон) могут присутствовать при работе группы по аудиту. Они не должны оказывать влияние или вмешиваться в проведение аудита. В случае, если это не может быть гарантировано, руководитель группы по аудиту имеет право отказать наблюдателям в участии в некоторых мероприятиях аудита.

Для наблюдателей любые обязательства, относящиеся к здоровью, безопасности и конфиденциальности, должны оговариваться и регулироваться между заказчиком аудита и проверяемой организацией.

Сопровождающие лица, назначенные проверяемой организацией, должны оказывать помощь группе по аудиту и действовать по просьбе руководителя группы по аудиту. Сопровождающие лица должны выполнять следующие обязанности:

• содействовать аудиторам, обеспечивать контакты и назначение времени для бесед (интервью);
• организовывать доступ для посещения определенных объектов или рабочих участков проверяемой организации;
• обеспечивать то, чтобы правила и процедуры по безопасности были известны и соблюдались членами группы по аудиту и наблюдателями.

Роль руководства может также включать в себя следующее:

• исполнять роли лиц, свидетельствующих в ходе аудита от имени проверяемой организации;
• предоставлять разъяснения или оказывать помощь при сборе информации.

2.4.9 Сбор и верификация информации

Во время проведения аудита информация, относящаяся к целям аудита, области и критериям аудита, включая информацию, касающуюся взаимодействия между подразделениями, деятельности и процессов, должна быть собрана путем необходимых выборок и верифицирована. В качестве свидетельства аудита следует принимать только ту информацию, которая может быть верифицирована. Свидетельства аудита должны быть зарегистрированы.

Методы сбора информации включают в себя следующее:

• опросы;
• наблюдения за деятельностью;
• анализ документов, включая записи.

2.4.10 Формирование выводов аудита

Для получения выводов аудита свидетельства аудита должны быть сопоставлены и оценены относительно критериев аудита. Выводы аудита могут указывать на соответствие или несоответствие критериям аудита. В случае, если это не может быть гарантировано, руководитель группы по аудиту имеет право отказать наблюдателям в участии в некоторых мероприятиях аудита.

Несоответствия и подтверждающие их свидетельства аудита должны быть записаны. Несоответствия могут быть классифицированы (ранжированы). Они должны быть проанализированы с проверяемой организацией для подтверждения объективности свидетельств аудита и для подтверждения того, что выявленные несоответствия правильно понимаются. Следует принять все возможные меры по разрешению любых разногласий во мнениях по свидетельствам и/или выводам аудита, а неразрешенные вопросы следует документально оформить.

Группе по аудиту, по мере необходимости, следует собираться для анализа выводов аудита на определенных этапах его проведения.

2.4.11 Подготовка заключений по результатам аудита

Группе по аудиту до заключительного совещания следует выполнить следующее:

• проанализировать выводы аудита и любую другую соответствующую информацию, собранную во время аудита, на соответствие целям аудита;
• согласовать заключения по результатам аудита с учетом неопределенности, присущей процессу аудита;
• подготовить рекомендации, если это предусмотрено целями аудита;
• обсудить действия по результатам аудита, если это требуется.

Заключения аудита могут содержать следующую информацию, касающуюся:

• степени соответствия критериям аудита и основательности системы менеджмента, включая эффективность системы менеджмента в достижении заявленных целей;
• эффективности внедрения, поддержания и улучшения системы менеджмента;
• возможностей процесса анализа со стороны руководства для обеспечения постоянной пригодности системы менеджмента, ее адекватности, эффективности и улучшения;
• достижения целей аудита, степени охвата области аудита и выполнения критериев аудита;
• корневых причин выявленных фактов (наблюдений), если это предусмотрено планом аудита;
• сопоставления и обобщения аналогичных или схожих по своему характеру фактов, выявленных при проведении аудита в различных областях, для определения тенденций (трендов).

Если это определено планом аудита, то заключения по результатам аудита могут вести к рекомендациям по улучшению или будущим видам деятельности по аудиту.

2.4.12 Проведение заключительного совещания

Проведение заключительного совещания должно быть организовано руководителем группы по аудиту таким образом, чтобы представленные выводы и заключения аудита были понятны и признаны проверяемой организацией. К участию в заключительном совещании следует привлекать руководителей проверяемой организации и, там, где это целесообразно, сотрудников, отвечающих за функции или процессы, которые были проверены в ходе аудита, а также заказчика аудита и другие стороны.

Объем и степень предоставляемых сведений должны соответствовать степени осведомленности проверяемой организации о процессе аудита. В других случаях, например, при внутренних аудитах, заключительное совещание является менее формальным и может состоять только из сообщения о выводах и заключениях по результатам аудита.

При необходимости, на заключительном совещании следует довести до сведения проверяемой организации следующее:

• что собранные во время аудита свидетельства основаны на выборке данных и информации, имевшейся на момент проведения аудита;
• метод протоколирования и составления отчетов, включая любую классификацию или ранжирование данных;
• процесс обработки и трактовки выводов аудита и возможные последствия, связанные с принятием решений по выявленным фактам;
• выводы аудита таким способом, чтобы они были понятны и признаны проверяемой организацией;
• любые последующие действия по результатам аудита (например, выполнение корректирующих действий, обработку претензий, процесс апелляций).

Любые разногласия по выводам и/или заключениям аудита между группой по аудиту и проверяемой организацией должны быть обсуждены и, по возможности, разрешены. В случае, если разногласия не удается разрешить, то все мнения должны быть зарегистрированы. Если это предусмотрено целями аудита, могут быть предоставлены рекомендации по улучшению. Следует указать, что рекомендации не носят обязательного характера.

2.4.13 Подготовка отчета по аудиту

Руководитель группы по аудиту несет ответственность за подготовку и содержание отчета по аудиту.

Отчет по аудиту должен содержать полные, точные, четко сформулированные и понятные записи по аудиту и, в соответствии с процедурами аудита, должен включать в себя или содержать ссылку на следующее:

• цели аудита;
• область аудита, в частности, идентификацию проверенных организационных и функциональных подразделений или процессов и охватываемый период времени;
• идентификацию заказчика аудита;
• идентификацию членов группы по аудиту и представителей проверяемой организации, принимавших участие в проведении аудита;
• даты и места проведения аудита на месте;
• критерии аудита;
• выводы аудита;
• заключения по результатам аудита;
• заявление о степени соответствия критериям аудита.

При необходимости в отчет по аудиту могут также быть включены:

• план аудита, включая график;
• итоговое изложение процесса аудита, включая неопределенности и/или любые встретившиеся препятствия при его проведении, которые могут уменьшить достоверность заключений по результатам аудита;
• подтверждение достижения целей аудита в пределах области аудита в соответствии с планом аудита;
• области, не охваченные аудитом, но находящиеся в области аудита;
• итоговая сводка, содержащая заключения по результатам аудита и подтверждающие их выводы (наблюдения) аудита;
• неразрешенные противоречия между группой по аудиту и проверяемой организацией;
• возможности для улучшения, если это предусмотрено целями аудита;
• выявленные сильные стороны и лучшие практики;
• согласованный план действий по результатам аудита, если такой план имеется;
• заявление о конфиденциальном характере содержимого отчета;
• любые последствия для программы аудита или последующих аудитов;
• перечень рассылки отчета по аудиту.

Примечание — Отчет по аудиту может быть разработан до заключительного совещания.

2.4.14 Рассылка отчета по аудиту

Отчет по аудиту должен быть подготовлен и представлен в согласованные сроки. В случае задержки, о ее причинах следует сообщить проверяемой организации и лицу, ответственному за управление программой аудита.

Отчет по аудиту должен иметь дату выпуска, надлежащим образом проанализирован и утвержден в соответствии с процедурами программы аудита.

Затем отчет по аудиту должен быть разослан получателям, определенным процедурами аудита.

2.5 Завершение аудита

Аудит считается завершенным, если все запланированные мероприятия аудита были выполнены или же на основании, согласованном с заказчиком аудита (например, могут быть непредвиденные ситуации, которые препятствуют тому, чтобы аудит был завершен в соответствии с разработанным планом).

Документы, относящиеся к аудиту, следует хранить или уничтожать на основании соглашения между участвующими сторонами в соответствии с процедурами программы аудита и применяемыми законодательными и другими требованиями.

Если это не предусмотрено законом, группа по аудиту и лицо, ответственное за управление программой аудита, не должны раскрывать содержимого документов и другой информации, полученной во время аудита, или отчета по аудиту любой другой стороне без ясного разрешения заказчика аудита и, где это требуется, разрешения проверяемой организации. Если необходимо раскрыть содержание документов аудита, заказчик аудита и проверяемая организация должны быть незамедлительно об этом проинформированы.

Из наблюдений и выводов, полученных при проведении аудита, проверяемой организации следует извлекать необходимые уроки для включения соответствующих действий в процесс постоянного улучшения своей системы менеджмента.

Действия по результатам аудита

Заключения по результатам аудита могут в зависимости от целей аудита указывать на необходимость выполнения коррекций, корректирующих и предупреждающих действий или действий по улучшению. Такие действия, как правило, разрабатываются и выполняются проверяемой организацией в согласованные временные сроки. При необходимости, проверяемой организации следует информировать лицо, ответственное за управление программой аудита, и группу аудиторов о состоянии выполнения этих действий.

Выполнение и результативность этих действий должны быть верифицированы. Такая верификация может быть частью последующего аудита [2].

2.6 Корректирующие и предупреждающие действия

Заключения по результатам аудита могут в зависимости от целей аудита указывать на необходимость выполнения коррекций, корректирующих и предупреждающих действий или действий по улучшению. Такие действия, как правило, разрабатываются и выполняются проверяемой организацией в согласованные временные сроки. При необходимости, проверяемой организации следует информировать лицо, ответственное за управление программой аудита, и группу аудиторов о состоянии выполнения этих действий.

Выполнение и результативность этих действий должны быть верифицированы. Такая верификация может быть частью последующего аудита [2].

Организация должна постоянно повышать результативность СМК посредством использования политики и целей в области качества, результатов аудитов, анализа данных, корректирующих и предупреждающих действий, а также анализа со стороны руководства.

2.6.1 Корректирующие действия

Организация должна предпринимать корректирующие действия в целях устранения причин несоответствий для предупреждения повторного их возникновения. Корректирующие действия должны быть адекватными последствиям выявленных несоответствий.

2.6.2 Предупреждающие действия

Организация должна определять действия в целях устранения причин потенциальных несоответствий для предупреждения их появления. Предупреждающие действия должны соответствовать возможным последствиям потенциальных проблем.

Страницы: 1 2 3