ISO 19011 to międzynarodowa norma zawierająca wytyczne dotyczące audytowania systemów zarządzania. Nie jest normą certyfikacyjną i nie określa wymagań, których spełnienie prowadzi do uzyskania certyfikatu. Jej zadaniem jest uporządkowanie sposobu planowania, prowadzenia i doskonalenia audytów.

Z wytycznych ISO 19011 korzystają audytorzy wewnętrzni, pełnomocnicy systemów zarządzania, managerowie jakości, osoby odpowiedzialne za compliance oraz kierownicy procesów. Norma może być stosowana przy audytowaniu systemów opartych między innymi na ISO 9001, ISO 14001, ISO 45001 czy ISO/IEC 27001. Znajduje też zastosowanie w organizacjach posiadających zintegrowane systemy zarządzania.

ISO 19011 porządkuje cały cykl audytowy: od ustalenia programu audytów, przez wybór audytorów i przygotowanie planu, aż po zbieranie dowodów, formułowanie ustaleń i ocenę kompetencji osób prowadzących audyty.

Jaką rolę pełni ISO 19011 w systemie zarządzania?

Audyt wewnętrzny bywa błędnie utożsamiany z kontrolą dokumentacji. Sprawdzenie procedur, zapisów i formularzy jest jednym z jego elementów, ale zakres powinien być szerszy. Audyt ma dostarczyć wiarygodnej informacji o tym, czy system działa zgodnie z ustalonymi wymaganiami i czy wspiera osiąganie zakładanych rezultatów.

Oznacza to analizę sposobu wykonywania pracy, odpowiedzialności, przepływu informacji, realizacji procesów, zarządzania ryzykiem oraz reakcji na występujące problemy. Audytor powinien szukać dowodów pokazujących rzeczywiste funkcjonowanie systemu.

Dobrze prowadzony audyt pomaga wykrywać rozbieżności pomiędzy dokumentacją a sposobem pracy, problemy organizacyjne, nieskuteczne działania korygujące oraz obszary, w których ryzyko nie jest właściwie kontrolowane. Dzięki temu audyty mogą wspierać zarządzanie, zamiast pełnić funkcję formalnego obowiązku wykonywanego przed kolejnym audytem certyfikacyjnym.

Zasady audytowania według ISO 19011

Wiarygodność audytu zależy od sposobu postępowania audytora i jakości procesu. ISO 19011 określa zasady, które mają zapewnić obiektywność ustaleń i możliwość oparcia decyzji na wynikach audytu.

Do podstawowych zasad należą:

  • uczciwość, czyli profesjonalne i odpowiedzialne postępowanie audytora;
  • rzetelne przedstawianie wyników, bez pomijania istotnych informacji i zniekształcania ustaleń;
  • należyta staranność zawodowa, obejmująca właściwe przygotowanie i ocenę dostępnych informacji;
  • poufność, szczególnie przy danych pracowników, klientów, dostawców oraz informacjach biznesowych;
  • niezależność, która ogranicza ryzyko oceniania własnej pracy lub podejmowania decyzji pod wpływem interesów badanego obszaru;
  • podejście oparte na dowodach, pozwalające formułować wnioski na podstawie informacji możliwych do zweryfikowania;
  • podejście oparte na ryzyku, dzięki któremu uwagę kieruje się na procesy i zagadnienia mające największe znaczenie dla organizacji.

Przestrzeganie tych zasad ogranicza sytuacje, w których wynik audytu zależy od osobistych opinii audytora albo relacji z osobami pracującymi w badanym obszarze.

Rodzaje audytów i zastosowanie ISO 19011

W systemach zarządzania występują audyty pierwszej, drugiej i trzeciej strony. Audyt pierwszej strony jest audytem wewnętrznym prowadzonym przez organizację lub w jej imieniu. Jego celem może być ocena zgodności systemu, przygotowanie do certyfikacji albo sprawdzenie skuteczności konkretnych procesów.

Audyt drugiej strony jest zwykle prowadzony przez klienta u dostawcy albo przez organizację oceniającą swojego partnera biznesowego. Może dotyczyć jakości, bezpieczeństwa, zdolności procesowej, zgodności z wymaganiami kontraktowymi lub innymi ustalonymi kryteriami.

Audyt trzeciej strony jest prowadzony przez niezależną organizację, na przykład jednostkę certyfikującą. ISO 19011 może wspierać przygotowanie organizacji i rozwój kompetencji audytowych, choć wymagania dotyczące działalności jednostek certyfikujących są regulowane także przez inne standardy.

Rozróżnienie tych audytów jest istotne, ponieważ różnią się cele, zakres odpowiedzialności i relacje pomiędzy stronami.

Program audytów a pojedynczy audyt

Program audytów obejmuje zestaw działań zaplanowanych na określony czas. Powinien uwzględniać cele, zakres, częstotliwość audytowania, potrzebne zasoby, odpowiedzialności oraz sposób monitorowania rezultatów.

Pojedynczy audyt jest jednym z elementów programu. Ma określony cel, kryteria, zakres, termin oraz zespół audytujący.

Częstym błędem jest planowanie wszystkich procesów z identyczną częstotliwością. Program audytów powinien uwzględniać znaczenie procesów, wyniki wcześniejszych audytów, zmiany organizacyjne oraz poziom ryzyka. Obszar stabilny, bez istotnych niezgodności, może wymagać innego podejścia niż proces po wdrożeniu nowej technologii albo dział, w którym regularnie pojawiają się reklamacje.

Program audytów powinien być okresowo oceniany. Powtarzające się niezgodności, brak poprawy wyników lub duża liczba działań korygujących mogą wskazywać, że zakres albo częstotliwość audytów wymaga zmiany.

Jak przygotować audyt systemu zarządzania?

Przygotowanie zaczyna się od ustalenia celu, zakresu i kryteriów. Cel określa, co ma zostać osiągnięte dzięki audytowi. Zakres wskazuje procesy, lokalizacje, jednostki organizacyjne lub okres objęty badaniem. Kryteriami mogą być wymagania normy, przepisy prawa, procedury wewnętrzne, wymagania klienta albo standardy ustalone przez organizację.

Audytor powinien zapoznać się z informacjami o badanym obszarze przed rozpoczęciem rozmów. Przydatne są wyniki poprzednich audytów, reklamacje, KPI, informacje o działaniach korygujących, zmiany organizacyjne i dane dotyczące problemów procesowych.

Na tej podstawie można przygotować plan oraz listę zagadnień do sprawdzenia. Checklista powinna wspierać prowadzenie audytu, lecz nie może ograniczać go do mechanicznego odczytywania pytań. Audytor musi pozostawić przestrzeń na analizę informacji pojawiających się podczas rozmów i obserwacji.

Jak zbierać dowody audytowe?

Dowody audytowe mogą pochodzić z rozmów, obserwacji, dokumentów, zapisów, danych systemowych i wyników procesów. Wiarygodność ustalenia rośnie, gdy informacje można potwierdzić w więcej niż jednym źródle.

Pytania powinny zachęcać do opisania sposobu wykonywania pracy. Zamiast pytać operatora, czy zna instrukcję, można poprosić o pokazanie kolejnych etapów czynności i wyjaśnienie sposobu reakcji na niezgodność. Pozwala to porównać deklaracje z rzeczywistym przebiegiem procesu.

Audyt opiera się zazwyczaj na próbkowaniu. Nie ma możliwości sprawdzenia każdego formularza, zamówienia czy zapisu. Dobór próbki powinien uwzględniać ryzyko, znaczenie procesu oraz dostępność informacji. Audytor musi pamiętać, że pojedynczy poprawny przykład nie potwierdza prawidłowości całego systemu, a pojedynczy błąd wymaga oceny jego charakteru i skali.

Jak prawidłowo formułować niezgodności?

Ustalenia audytowe powinny być oparte na faktach. Przy stwierdzeniu niezgodności potrzebne są trzy elementy: wymaganie, dowód oraz opis rozbieżności.

Ogólne stwierdzenie, że „dokumentacja jest niewłaściwa”, nie daje osobie odpowiedzialnej informacji potrzebnej do rozwiązania problemu. Należy wskazać konkretne kryterium, opisać sprawdzony przypadek i wyjaśnić, w jaki sposób stan zastany odbiega od wymagania.

W organizacjach stosuje się czasem dodatkowe kategorie, takie jak obserwacje lub możliwości doskonalenia. Nie należy ich jednak mylić z niezgodnościami. Niezgodność oznacza niespełnienie określonego wymagania. Sugestia audytora dotycząca potencjalnego usprawnienia nie może być przedstawiana jako obowiązek, jeśli nie istnieje odpowiednie kryterium.

Co dzieje się po audycie i jak zamknąć niezgodności?

Zakończenie spotkania audytowego nie kończy procesu. Jeśli stwierdzono niezgodności, organizacja powinna przeanalizować ich przyczyny, określić działania korygujące, przypisać odpowiedzialność i ustalić termin wykonania.

Samo poprawienie błędnego dokumentu może usunąć skutek, ale nie musi eliminować źródła problemu. Przyczyną może być niewłaściwe szkolenie, niejasna odpowiedzialność, błędnie zaprojektowany proces, brak nadzoru albo nieskuteczny sposób przekazywania informacji.

Skuteczność działania korygującego powinna zostać potwierdzona dowodami. Może to wymagać ponownego sprawdzenia zapisów, obserwacji procesu, analizy wskaźników lub audytu sprawdzającego. Zamknięcie niezgodności ma sens dopiero wtedy, gdy organizacja może potwierdzić, że przyczyna została usunięta lub odpowiednio ograniczona.

Kompetencje audytora według ISO 19011

Jakość audytu zależy od kompetencji osób, które go prowadzą. Znajomość wymagań normy jest podstawą, ale sama nie wystarcza. Audytor powinien znać zasady audytowania, rozumieć procesy organizacji i potrafić analizować dostępne informacje.

Znaczenie mają umiejętności komunikacyjne. Audytor powinien zadawać precyzyjne pytania, słuchać odpowiedzi, rozpoznawać sprzeczności i odróżniać fakty od opinii. Potrzebna jest również umiejętność zachowania bezstronności w sytuacjach konfliktowych.

Kompetencje powinny być okresowo oceniane. Można uwzględniać doświadczenie, szkolenia, obserwację podczas audytów oraz jakość przygotowanych raportów.

Bezstronność audytora wewnętrznego

Pełna niezależność bywa trudna do osiągnięcia w małych organizacjach, gdzie liczba osób posiadających odpowiednie kompetencje jest ograniczona. Nie oznacza to jednak rezygnacji z bezstronności.

Audytor nie powinien oceniać działań, za które sam odpowiada operacyjnie. Jeśli nie można uniknąć powiązań organizacyjnych, trzeba zastosować rozwiązania ograniczające wpływ konfliktu interesów, na przykład audyt krzyżowy pomiędzy działami lub udział osoby zewnętrznej.

Bezstronność zwiększa wiarygodność ustaleń oraz zaufanie pracowników do procesu audytowego.

Podejście oparte na ryzyku

ISO 19011 promuje podejście, w którym zasoby audytowe kieruje się na zagadnienia mające największy wpływ na cele organizacji. Nie oznacza to prowadzenia rozbudowanej analizy ryzyka przy każdym pytaniu.

W zakładzie produkcyjnym większej uwagi może wymagać proces wpływający na bezpieczeństwo produktu, zgodność z wymaganiami klienta albo ciągłość produkcji. W organizacji usługowej takim obszarem może być bezpieczeństwo informacji, realizacja zobowiązań kontraktowych lub obsługa reklamacji.

Podejście oparte na ryzyku pomaga uniknąć audytu, podczas którego wszystkie wymagania sprawdzane są z jednakową szczegółowością niezależnie od ich znaczenia.

Audyty zdalne i wykorzystanie technologii

Część działań audytowych może być prowadzona z wykorzystaniem narzędzi cyfrowych. Wideokonferencje, dostęp do systemów, cyfrowe formularze i udostępnianie dokumentacji są szczególnie użyteczne w organizacjach posiadających wiele lokalizacji.

Przed wyborem metody trzeba jednak ocenić, czy umożliwia ona zebranie wystarczających dowodów. Proces techniczny, warunki BHP albo organizacja stanowiska mogą wymagać bezpośredniej obserwacji. Forma zdalna nie powinna ograniczać jakości audytu.

Jak oceniać skuteczność programu audytów?

Sam fakt wykonania wszystkich audytów zgodnie z harmonogramem nie potwierdza skuteczności programu. Potrzebna jest ocena, czy audyty dostarczają informacji, które pomagają zarządzać systemem.

Można analizować powtarzalność niezgodności, terminowość zamykania działań korygujących, liczbę problemów wykrywanych poza audytem oraz skuteczność reakcji na wcześniejsze ustalenia. Istotnym sygnałem jest sytuacja, w której audyty przez długi czas nie wykazują problemów, a jednocześnie rośnie liczba reklamacji, incydentów lub odchyleń procesowych.

Skuteczny program audytów powinien zmieniać się razem z organizacją. Nowe procesy, technologie, wymagania klientów i ryzyka wymagają odpowiedniej korekty zakresu audytowania.

ISO 19011 jako podstawa użytecznego audytu wewnętrznego

ISO 19011 pomaga uporządkować audyty tak, aby ich wynik był wiarygodny i użyteczny dla osób zarządzających systemem. Jasne kryteria, dobrze dobrane próbki, kompetentni audytorzy i prawidłowo sformułowane ustalenia pozwalają ograniczyć przypadkowość ocen.

Audyty można też łączyć z analizą KPI, reklamacji, incydentów, ryzyk i wyników procesów. Dzięki temu łatwiej określić, czy problem dotyczy pojedynczego przypadku, czy wskazuje na słabość całego systemu.

Dobrze zaprojektowany audyt daje organizacji informację potrzebną do podejmowania decyzji, ograniczania ryzyka i poprawy skuteczności systemu zarządzania. Taki sposób wykorzystania ISO 19011 sprawia, że audyt przestaje być wydarzeniem przygotowywanym raz w roku, a staje się stałym elementem zarządzania jakością i doskonalenia procesów.