Stanowisko
Auditor wewnętrzny
Kto u Was decyduje, który obszar jest audytowany w tym roku - plan sprzed trzech lat czy to, co naprawdę się zmieniło? Od tej odpowiedzi zależy, czy audyt wewnętrzny coś znajduje.
Rozmowa wstępna
Cztery pytania, od których byśmy zaczęli
Kto u Was decyduje o planie audytów?
I czy przy tej decyzji patrzycie na ryzyko, zmiany w procesach i ustalenia z poprzedniego roku, czy na kalendarz.
Czego nie wiecie o obszarze, dopóki nie wejdziecie na audyt?
Zwykle dużo - i to jest właśnie powód, dla którego przygotowanie zabiera więcej czasu niż sam audyt.
Jak długo trwa, zanim ustalenie zamieni się w zamknięte działanie?
Jeśli miesiące, to audyt produkuje listy, a nie zmiany.
Co zostaje po audycie, gdy auditor odejdzie z firmy?
Czy wiedza o tym, gdzie i dlaczego wracają te same ustalenia, jest zapisana, czy osobista.
Zdejmujemy przygotowanie i pilnowanie, zostawiamy ocenę i rozmowę
Składanie planu, przygotowanie materiału, prowadzenie ustaleń i pilnowanie terminów dają się odciążyć. Ocena zgodności i rozmowa z audytowanym zostają po stronie auditora.
- Plan audytów opiera się na ryzyku i zmianach. - Obszar, w którym zmieniono proces albo gdzie wracają niezgodności, podnosi się w kolejce sam.
- Przygotowanie przychodzi gotowe. - Dokumenty obowiązujące, poprzednie ustalenia i otwarte działania dla danego obszaru są zestawione, zanim auditor zacznie czytać.
- Ustalenie jest sprawą z terminem. - Z właścicielem, przypomnieniem i statusem zamknięcia - nie pozycją w protokole.
Zakres
Co da się odciążyć w audycie wewnętrznym
Dwadzieścia przykładowych zadań. Każde ma punkt zatwierdzenia po stronie człowieka. Poniżej wybrane, a zakres dopasowujemy do Waszego systemu zarządzania.
Plan audytów
- Zestawienie obszarów z datą ostatniego audytu
- Wskazanie obszarów z otwartymi ustaleniami
- Propozycja planu rocznego wedle ryzyka i zmian (decyzja: auditor wiodący)
- Harmonogram z zasobami i terminami
Przygotowanie audytu
- Zestaw dokumentów obowiązujących w obszarze
- Ustalenia z poprzednich audytów tego obszaru
- Lista otwartych działań dotyczących obszaru
- Projekt listy pytań wedle normy i procesu (treść: auditor)
Przebieg i ustalenia
- Rejestracja ustalenia z dowodem i odniesieniem do wymagania
- Klasyfikacja ustalenia (decyzja: auditor)
- Projekt raportu z audytu (zatwierdzenie: auditor)
- Przekazanie ustaleń właścicielowi obszaru
Działania poaudytowe
- Prowadzenie działania z terminem i właścicielem
- Przypomnienie przed upływem terminu
- Sygnał o działaniu przeterminowanym
- Ocena skuteczności działania (ocena: auditor)
- Wskazanie ustaleń powracających w tym samym obszarze
Przygotowanie do audytu zewnętrznego
- Zestawienie dowodów wymaganych przez normę
- Status działań otwartych na dzień audytu
- Materiał na przegląd zarządzania
Dzień pracy
Dzisiaj
- Plan audytów powstaje z kalendarza i z zeszłorocznego planu
- Przed audytem sami zbieracie dokumenty z czterech miejsc
- Ustalenia z poprzedniego roku odtwarzacie z protokołów
- Działania poaudytowe pilnujecie mailem i przypomnieniami
- Przeterminowane działania wychodzą przy przeglądzie zarządzania
- Nie widzicie, że to samo ustalenie wraca trzeci rok z rzędu
Z asystą AI
- Plan proponuje się wedle ryzyka i zmian, Wy go zatwierdzacie
- Materiał do audytu jest zestawiony przed rozpoczęciem
- Poprzednie ustalenia obszaru macie w jednym widoku
- Działania przypominają się same, z terminem i właścicielem
- Przeterminowane działanie zgłasza się, zanim trafi do raportu
- Ustalenia powracające są wskazane jako wzorzec, nie jako wrażenie
- Pokrycie obszarów
audytowane jest to, co się zmieniło, nie to, co w kalendarzu
plan opiera się na ryzyku i zmianach
- Skuteczność działań
mniej ustaleń zamykanych formalnie bez efektu
skuteczność jest oceniana po terminie
- Gotowość na audyt zewnętrzny
dowody są zebrane przed, nie w tygodniu przed
zestawienie powstaje na bieżąco
- Nawroty tych samych ustaleń
widać, co wraca mimo zamkniętych działań
ustalenia są powiązane z obszarem i historią
Zaczynamy od prowadzenia ustaleń, bo to one najczęściej giną.
- Krok 1
Rejestr ustaleń i działań
Każde ustalenie z właścicielem, terminem i statusem. Zwykle już na starcie wychodzi, ile działań jest otwartych dłużej, niż ktokolwiek sądził.
- Krok 2
Przypomnienia i sygnały o przeterminowaniu
Pilnowanie terminów przestaje być pracą auditora.
- Krok 3
Przygotowanie audytu
Dokumenty, historia obszaru i otwarte działania zestawione przed wejściem.
- Krok 4
Plan oparty na ryzyku
Propozycja planu rocznego wedle zmian i powracających ustaleń. Na końcu, bo wymaga historii z kroku 1.
Częste pytania
Pytania, które padają na pierwszym spotkaniu
Czy system sam sklasyfikuje niezgodność?
Nie. Klasyfikacja ustalenia ma skutki wobec normy i wobec klienta, więc zostaje decyzją auditora. System może zaproponować odniesienie do wymagania i przypomnieć o podobnych ustaleniach z przeszłości.
Czy auditor będzie jeszcze potrzebny?
Audyt polega na rozmowie i obserwacji - i to jest cała jego wartość. Odciążamy przygotowanie: zebranie dokumentów, historii obszaru i otwartych działań, czyli to, co dziś zjada więcej czasu niż sam audyt. Auditor, który wchodzi przygotowany, spędza w obszarze więcej czasu, a nie mniej.
Czy to podlega AI Act?
Audyt wewnętrzny nie jest zastosowaniem wysokiego ryzyka. Uwaga dotyczy tego, żeby ustalenia były powiązane z procesami i obszarami, a nie z nazwiskami - rejestr prowadzimy wedle obszaru i wymagania, bo audyt ma naprawiać system, a nie oceniać ludzi.
Zostało pytanie, którego tu nie ma? Umów rozmowę
Następny krok
Ile działań poaudytowych jest u Was otwartych dłużej niż rok?
Pokażemy Wam, jak wygląda audyt wewnętrzny, w którym przygotowanie przychodzi gotowe, a działanie ma termin i właściciela.