Sådan gennemfører du en intern audit, der rent faktisk finder noget

De fleste interne audits finder ingenting, og det er problemet. Et program, der leverer et rent regnskab hver gang, er ikke bevis på et sundt system. Det er bevis på, at ingen har kigget grundigt nok. Den interne audit er det billigste sted i organisationen at finde en fejl, og en afvigelse, der bliver fundet her, koster en brøkdel af den samme afvigelse fundet af et certificeringsorgan eller en kunde.

Hvad kræver punkt 9.2 egentlig

ISO 9001 stiller fire krav, og de er mindre firkantede, end de fleste programmer går ud fra:

• Et auditprogram, der er planlagt efter, hvor vigtige de involverede processer er, hvilke ændringer der påvirker organisationen, og resultaterne af tidligere audits. Med andre ord risikobaseret, ikke bare alt én gang om året.
• Fastlagte kriterier og et fastlagt omfang for hver audit.
• Auditorer, der er valgt, så processen er objektiv og upartisk. Standarden formulerer det sådan, at auditorer ikke må auditere deres eget arbejde.
• Resultater rapporteret til den relevante ledelse, med rettelse og korrigerende handling uden unødig forsinkelse.

Der er ingen krav om frekvens, ingen krav om en bestemt tjeklisteskabelon og intet krav om, at en auditor har et certifikat. Til gengæld er der en forventning om, at programmet er designet og ikke bare gået i arv.

Planlæg det, så det finder noget

To beslutninger afgør, om en audit er brugbar, og begge træffes, før nogen går ud i produktionen.

Den første er, hvad man skal kigge på. Et program, der auditerer standardens punkter på skift, bruger det meste af tiden på ting, der var i orden sidste år. Et program, der lægger vægten på de processer, hvor arbejdet faktisk går galt, gør ikke. Se på dine afvigelser, dine kundeklager og dine nærved-hændelser fra sidste cyklus, og lad dem styre planen.

Den anden er, hvem der auditerer. Uafhængighed er kravet, men det er kompetencen, der gør det umagen værd. En person fra en anden afdeling, der forstår processen godt nok til at stille det næste spørgsmål, finder mere end en erfaren auditor, der skal have det grundlæggende forklaret.

Auditér praksis, ikke proceduren

Den mest almindelige måde, en intern audit slår fejl på, er, at den holder dokumentationen op mod sig selv. Nogen læser proceduren, spørger, om den bliver fulgt, får et ja, sætter et flueben og går videre. Intet blev testet.

Alternativet er at følge en konkret sag. Vælg en ordre, et batch, en ændringsanmodning eller en uddannelsesregistrering, og følg den fra ende til anden, og bed om beviset ved hvert trin. Hvor sporet er helt, virker processen. Hvor det brister, har du fundet noget, og det er som regel én af tre ting: proceduren beskriver arbejde, ingen udfører, arbejdet sker, men efterlader ingen registrering, eller registreringen findes, men ingen har gennemgået den.

Det er også den hurtigste måde at opdage, at det styrede dokument og det dokument, der bruges i praksis, er to forskellige versioner. Det er den enkeltstående mest almindelige afvigelse inden for dokumentstyring.

Skriv en afvigelse, nogen kan handle på

En afvigelse skal have tre dele, og det er den midterste, de fleste rapporter falder på:

1. Kravet. Hvilket punkt, hvilken procedure, hvilket kontraktvilkår.
2. Beviset. Hvad du så, med detaljer nok til, at en anden kan finde det igen: dokumentnummeret, datoen, batchet, personens rolle.
3. Afvigelsen. Hvad beviset viser, holdt op mod det, kravet forlanger.

En afvigelse skal ikke indeholde en løsning. Det er procesejeren, der skal afgøre, hvordan den rettes, for procesejeren kender begrænsninger, som auditoren ikke gør. En auditrapport, der foreskriver løsningen, har det med at få netop den løsning, den foreskrev, uanset om det så løser årsagen.

Vær også tydelig om alvoren. En afvigelse er et krav, der ikke er opfyldt. En observation er noget, der bliver til en afvigelse, hvis det får lov at ligge. At kalde alt for observationer, så rapporten føles behagelig, fjerner det eneste signal, ledelsen har.

Luk cirklen

En afvigelse er ikke lukket, når nogen skriver en korrigerende handling. Den er lukket, når handlingen er udført, og noget viser, at den virkede. Det kræver en frist, en navngiven ansvarlig og en kontrol bagefter, ofte en ny stikprøve på den samme proces en cyklus senere.

Korrigerende handling spørger efter årsagen, ikke hændelsen. Hvis en registrering manglede, er rettelsen at udfylde registreringen. Den korrigerende handling er det, der forklarer, hvorfor den manglede, og det er som regel et trin, der aldrig var praktisk, en overlevering, ingen ejer, eller uddannelse, der skete én gang. Vores QMS-funktionalitet er struktureret efter punkterne i ISO 9001, så afvigelsen, handlingen og beviset bliver hængt op på den samme proces i stedet for at leve i tre systemer.

Et program, der er værd at have

Bedøm programmet ud fra, hvad det koster dig at tage fejl. Hvis en certificeringsaudit eller en kundeaudit finder ting, som dine interne audits ikke fandt, er programmet pynt, og den billigste løsning er som regel at auditere færre processer ordentligt frem for alle hurtigt. Se de tre slags compliance-audit for, hvordan den interne spiller sammen med de andre.