Interní audit procesů ve službách

13.5.2.2

Interní audit procesů ve službách

Ing. Monika Becková

Interní audit je pojem, který většina odborné veřejnosti zná nebo má alespoň nějakou představu, co tento pojem znamená. Jak už bylo řečeno v kapitole nazvané "Monitorování, analýza a zlepšování“, je jednak jedním z požadavků systémových norem, jako je ISO 9001, ISO 14001, OHSAS (a řady dalších v návaznosti na tyto základní systémy), jednak jedním z účinných nástrojů, jak získat informace o chování procesů, pracovníků, stavu určitých prvků řízení apod.

Certifikované firmy (ať už jde o jakýkoli certifikát systému managementu nebo případně i výrobkový) dobře vědí, že jedním z nutných kroků vedoucích k získání certifikátu je audit (externí, interní, třetí stranou, ...). Že ovšem povinnost (nechat si) provádět audity udělením certifikátu nekončí některé organizace zjistí až poté, co certifikát obdržely. Pomineme-li fakt, že certifikační orgán, který předmětný certifikát udělil, provádí každoročně (někdy i častěji) tzv. dozorový audit, existuje dále, jak už bylo zmiňováno, požadavek systémových norem na provádění interních auditů.

 NahoruZákladní omyly

Obecně jsou však s tímto pojmem spojovány dva základní omyly:

• audit je něco, co se týká výhradně účetnictví,

• audit lze provést snadno a rychle kýmkoli a kdykoli.

Pokud se týká prvního omylu, pramení jednak z toho, že pojem auditor se používá v oblasti (v některých případech povinného) účetního auditu (v tomto smyslu je dokonce profese auditorů právně regulována zákonem č. 254/2000 Sb., o auditorech, v platném znění, víc např. na stránkách Komory auditorů ČR - www.kacr.cz ), jednak z nedostatku informovanosti.

Druhý omyl, že audit lze provést snadno a kdokoli může dělat cokoli (v našem případě interní audit), si vysvětlíme v následujících odstavcích, které se věnují podrobně požadavkům na tento nástroj monitorování a také požadavkům na kvalifikaci osob, bez kterých je nemožné audit vykonávat, totiž interních auditorů. Samotné definice pojmů s auditem spojených najdete už v kap. Interní audit této příručky, kde jsou obecně nastíněny pojmy vztahující se k auditu jako jednomu z důležitých nástrojů zlepšování procesů. Následující kapitoly si kladou za cíl spíše na příkladech ukázat, kdo, co, kdy a jak má v procesu auditování vykonávat, aby bylo dosaženo smyslu auditu, a to se zaměřením zejména na oblast procesů ve službách, i když obecné zásady vycházející z normy ČSN EN ISO 19011:2003: "Směrnice pro auditování systému managementu jakosti a/nebo systému environmentálního managementu“ jsou platné pro audit jakýchkoli procesů (systémů), tedy i výrobních.

 NahoruSkutečnost

Pro další komentář tedy vycházejme z toho, že
buď

• potřebujeme provést audit za účelem získání (udržení) certifikátu,

a/nebo

• potřebujeme (chceme) ověřit správnost prováděných procesů (činností) ve firmě formou interního auditu

Za tím účelem tedy potřebujeme vědět, jak audit naplánovat a realizovat, aby
buď

• jej certifikační orgán uznal jako splněný požadavek příslušné normy,

a/nebo

• nám poskytl věrohodné, pravdivé, nestranné, objektivní informace o procesech (činnostech) a jejich nositelech (pracovnících) ve firmě.

V obou případech použijeme jasná a jednoznačná pravidla vycházející jednak z výše uvedené normy, jednak z celé řady vlastních zkušeností. Záměrně přitom nebudeme používat složité definice a teoretické výklady, zaměříme se na jednoduchost, srozumitelnost, přehlednost a praktickou použitelnost návodů. Zároveň se také zaměříme na to, jak by měly dané etapy vypadat, a ne na to, jak splnění požadavků obejít.

Hlavní etapy procesu auditu jsou zřejmé z následujícího obrázku:

Hlavní etapy auditu:

Jak je z uvedeného (byť jednoduchého) obrázku vidět, i zde se uplatňuje známý Demingův model "PDCA“.

 NahoruZákladní otázky

Nabízejí se zde následující základní otázky:

• Kdo má (může) sestavit program auditů a jak má tento program vypadat, resp. co má obsahovat?

• Kdo má plánovat jednotlivé audity a co má plán auditu obsahovat?

• Kdo může vykonávat roli interního auditora?

• Co musí být výsledkem interního auditu?

• Musí se audit(or) hodnotit, kým a jak?

• Je interní audit proces, a vztahuje se na něj tudíž požadavek na monitorování procesů?

V následujících odstavcích si na tyto otázky postupně odpovíme. A protože klíčovou úlohu vykonává auditor, začneme otázkou:

 NahoruKdo může vykonávat IA

Kdo může vykonávat roli interního auditora?

Odpověď:

1. osoba takzvaně odborně způsobilá,

2. osoba kompetentní.

Tato zdánlivě jednoduchá kritéria však v sobě skrývají několik částí, z nichž některé mohou způsobit ve firmě jisté potíže.

 NahoruI. podmínka = odborná způsobilost

Definice tohoto pojmu (opět z normy ISO 19011) je celkem jednoduchá:

• auditor = osoba s odbornou způsobilostí k provádění auditu,

přičemž

• odborná způsobilost = prokázané osobní vlastnosti a prokázaná schopnost aplikovat znalosti a dovednosti.

Popišme si tyto součásti podrobněji:

 Nahorua) Osobní vlastnosti

Osobní vlastnosti

Osobní vlastnosti auditora jsou v uvedené normě přesně specifikované a mají být takové, aby umožnily naplnit zásady auditu, které jsou podle kap. 4 normy ISO 19011 následující:

• etické chování (znamená to zajistit v celém procesu auditu důvěryhodnost, jednotnost závěrů, důvěrnost v oblasti získaných informací, diskrétnost zejména ve vztahu k prověřovaným osobám),

• spravedlivé prezentování (znamená pro auditory i ty, kteří se podílejí na hodnocení auditu, tedy zpravidla představitele vedení pro jakost, manažery jakosti apod., povinnost podávat přesné a pravdivé zprávy nezkreslené určitou zaujatostí nebo neznalostí),

• povinnost profesionálního přístupu (základem je odborná způsobilost, což znamená znalosti, schopnosti a vlastnosti takové, které umožní dodržet všechny uvedené požadavky),

• nezávislost (znamená nezávislost na prověřovaných činnostech umožňující nestrannost ve věci závěrů),

• průkaznost (znamená mít na konci auditu k dispozici dostatek ověřitelných důkazů získaných během auditu, které jasně a nezpochybnitelně umožní, aby i další osoby zapojené do celého procesu, jako je např. již zmiňovaný manažer jakosti, byly schopny pochopit závěry auditora a dojít pokud možno ke shodným).

Co to v praxi znamená a je vůbec možno najít v řadách pracovníků firmy někoho, kdo takové vlastnosti má? Pokusíme se převést osobní vlastnosti umožňující naplnění 5 zásad auditu do skupiny žádoucích vlastností auditora. Výčet není určitě kompletní, jsou zde uvedeny některé příklady vlastností, které jsou důležité, podrobně se této oblasti věnuje např. kap. 7.2 normy ISO 19011 "Osobní vlastnosti“.

Příklady žádoucích vlastností auditora:

• formulační a vyjadřovací schopnosti,

• komunikativnost,

• přístupnost názorům,

• pružnost v jednání,

• objektivnost, taktnost,

• diskrétnost,

• důslednost,

• sebeukázněnost, zdvořilost,

• chuť k učení se novým věcem,

• analytické myšlení,

• systematičnost,

• houževnatost,

• čestnost, poctivost, důslednost,

• vnímavost,

• trpělivost,

• bystrost, periferní vnímání,

• dochvilnost,

• zodpovědnost,

• vytrvalost,

• rozhodnost,

• samostatnost.

Na druhou misku vah uveďme skupinu nežádoucích vlastností auditora:

• nekomunikativnost,

• neschopnost se dostatečně vyjadřovat slovem a písmem,

• nechuť k dialogu,

• přemoudřelost, předvádění se,

• neukázněnost, nepoctivost,

• nechuť k novinkám,

• nepružnost,

• tendence dělat ukvapené závěry,

• důvěřivost,

• nedostatek organizačních schopností,

• touha po popularitě,

• bojácnost, netrpělivost, lenivost,

• arogance, bezcitnost, netaktnost,

• negativismus,

• nezodpovědnost,

• naivita.

Kromě vyjmenovaných žádoucích a nežádoucích vlastností nás možná napadne řada dalších. Je také jasné, že ne všechny tyto vlastnosti v sobě objevíme najednou v dostatečné míře, jde o to, nalézt shodu alespoň s částí z nich v přiměřené intenzitě, na jiných můžeme pracovat např. tréninkem osobnosti. Na druhou stranu bez některých z nich se jako auditoři neobejdeme.

Převážily na pomyslné misce vah ty negativní? Při rozhodování o tom, kdo bude v naší firmě vykonávat roli interního auditora, je nutno vzít osobní vlastnosti v potaz. Těžko totiž budeme např. očekávat, že s charakteristikou introvertního intelektuála nepřístupného názorům, který je navíc nedochvilný, nezodpovědný a neschopný řídit sám sebe, se úspěšně zhostíme role interního auditora systému jakosti, byť budeme znát normu ISO 9001 nazpaměť.

 Nahorub) Znalosti a dovednosti

Znalosti a dovednosti

Auditoři mají mít zcela logicky dostatečné znalosti a dovednosti v oblastech, ve kterých budou auditovat. To znamená jednak ve vztahu k oboru, ve kterém se pohybují, jednak ve vztahu k systému managementu, který budou prověřovat. Co to v praxi zahrnuje si ukážeme v jednoduchém znázornění na následujícím obrázku:

Jednotlivé části odborné způsobilosti auditora:

Představíme-li si osobní vlastnosti, kterým jsme se věnovali v předchozím odstavci, jako základnu pyramidy, bez které se v žádném konání neobejdeme, pak další nutné (nikoli postačující) části, které dohromady představují celkovou způsobilost, jsou:

• vzdělání, praxe, školení, zkušenosti z auditů,

• specifické znalosti (dovednosti),

• všeobecné znalosti (dovednosti).

A co znamená pojem "prokázané“ vlastnosti a "prokázaná“ schopnost v úvodní definici odborné způsobilosti? Zjednodušeně řečeno, dostatek důkazů přijatelných pro rozhodování (např. doklady o vzdělání/školení, důkaz absolvované praxe, záznam o pohovoru, splnění písemných testů, vzorový audit apod.).

Všechny tyto vyjmenované požadavky platí rámcově pro funkci interního auditora, přičemž stanovení stupně jejich splnění je na organizaci samotné. Jako příklad reálného stanovení takových požadavků v organizaci může posloužit výtah z popisu pracovního místa interního auditora uvedený v následující tabulce:

 

 NahoruNestrannost

Z výše uvedeného je zřejmé, že nároky na kvalifikaci interního auditora nejsou zrovna malé, a má-li interní audit přinášet skutečně objektivní informace, na jejichž základě vedení společnosti přijímá další opatření, je nutné věnovat stanovení a splnění těchto požadavků pozornost. Navíc, pokud vezmeme v úvahu nezbytnost zajištění nestrannosti při výběru auditorů pro vlastní audit tak, aby nikdo neauditoval "sám sebe“, tj. činnost, za kterou nese zodpovědnost nebo ji přímo vykonává (to znamená, že minimální počet interních auditorů v organizaci jsou dva), může kombinace těchto požadavků vyvolat problémy zejména u malých firem, kde se setkáváme s někdy dosti značnou kumulací funkcí.

V takovém případě je samozřejmě možná volba zajištění interního auditora externě, tj. za pomoci některého poradce či poradenské firmy.

Vybíráme-li interního auditora, resp. poradenskou firmu, která tuto službu nabízí, nechme si předložit nejen reference, ale s ohledem na výše uvedené požadavky zejména odborný profil a zkušenosti konkrétního poradce, který pro nás bude interní audit vykonávat. Nad výsledky auditů se musí zamyslet vedení a vedení firmy by také mělo monitorovat a hodnotit nejen samotného auditora, ale vlastní postup (proces) provádění auditu. Překvapivě pak možná narazí na fakt, že interní auditor, který byl "poskytnut“ firmě jako odborně způsobilá osoba, nezná základní pojmy používané v oboru, anebo dokonce nemá ani základní právní povědomí související s podnikáním v oboru.

 NahoruII. podmínka = kompetence

 NahoruKompetence

Na začátku této části byla položena otázka, kdo může vykonávat roli interního auditora. Kromě odborné způsobilosti to musí být osoba tzv. kompetentní, což je zdánlivě to samé. Slovo "kompetence“ pochází z latinského "competere“ = "příslušet“. V dnešním pojetí se používá ve dvojím významu:

Budeme se držet první definice, a to je souhrn oprávnění a povinností daný v pracovním styku u všech pracovních funkcí, tedy i u funkce interního auditora, určitým formálním vymezením. Toto vymezení musí obsahovat odpovědnosti a pravomoci spojené s danou funkcí a může být provedeno např. formou,

• organizačního řádu,

• organizačního schématu,

• popisu pracovní činnosti,

• karty pracovního místa,

• jmenováním,

• písemným pověřením, rozhodnutím vedení.

V případě kumulace funkcí se často zapomíná na to, že pracovník, který ve firmě již určitou dobu zastává jiné pracovní místo, po rozšíření své působnosti o roli interního auditora by měl být opět formálně pověřen formou používanou ve firmě. Pokud tedy dosud zastával např. funkci vedoucího provozu, bude nyní mít dvě "okýnka“ v organizačním schématu, dva popisy pracovního místa (nebo rozšířenou kartu pracovního místa o další odpovědnosti, pravomoci, požadavky spojené s rolí interní auditora) apod.

Na další z položených otázek, tj. kdo má (může) sestavit program auditů a co má obsahovat, jak plánovat jednotlivé audity a co musí být jejich výsledkem, si odpovíme v dalším odstavci.

Jak plánovat, řídit a realizovat interní audit

Návod, jak postupovat v případě interního auditu v organizaci, která má zavedený některý ze zmiňovaných systémů managementu, poskytuje dokumentovaný postup (směrnice, postupový diagram apod.), který říká, kdo je za co ve které fázi auditu odpovědný. Rovněž za celý proces interního auditu musí nést někdo odpovědnost (norma ISO 19011 užívá pojem "osoba odpovědná za řízení programu auditů“), zpravidla jde o představitele vedení pro jakost nebo manažera jakosti.

 NahoruVedoucí programu auditů

Tato odpovědná osoba, kterou nazveme např. vedoucí programu auditů, má za úkol

1. stanovit program auditů (zpravidla se používá program cyklu auditů na 1 rok),

2. zajistit dostatečné zdroje pro provedení jednotlivých auditů (tj. auditory, jejich výcvik a dostatečný prostor pro provádění jejich činnosti),

3. monitorovat vlastní realizaci auditů,

4. zpřezkoumávat a hodnotit realizované audity,

5. na základě přezkoumání/hodnocení navrhovat opatření k nápravě či preventivní opatření s celkovým efektem zlepšování procesu.

Za vlastní realizaci podle schváleného programu auditů pak odpovídá samozřejmě kompetentní interní auditor (případně auditní tým). Opět si rozdělení odpovědností a pravomocí znázorníme na obrázku.

Rozdělení odpovědností a pravomocí v programu auditů:

Obě strany, tj. jak vedoucí programu auditů, tak samotný interní auditor(ři), musejí samozřejmě spolupracovat, jinak nebude ani zlepšování, ani přínos z interních auditů. Obě strany pak také musejí dodržovat schválené postupy a pracovat na svém dalším vzdělávání. Uveďme si opět příklad postupu, který splňuje požadavky jednak na tzv. povinně dokumentovaný postup po formální stránce (podle zásad ČSN ISO/TR 10013:2002 : "Směrnice pro dokumentaci systému managementu jakosti“), jednak se řídí v principu požadavky normy ISO 19011 na provádění auditů aplikované v přiměřené míře na potřeby interního auditu. Pro zjednodušení se zde neuvádějí některé další související definice pojmů a také návaznost na další dokumenty a formuláře.

SŘ č. xxx: INTERNÍ AUDIT VE SPOLEČNOSTI "ABC“

Z výše uvedeného příkladu je vidět, že

• program interních auditů navrhuje na začátku roku PVJ, schvaluje ho vedení společnosti. Program obsahuje (např. formou tabulky) termíny, cíle, rozsah auditů a jména příslušných interních auditorů majících audit provést (za současného dodržení požadavků na jejich odbornou způsobilost a kompetenci), datum a podpis odpovědné osoby na důkaz schválení,

• plán každého jednotlivého auditu zpracovává pověřený interní auditor a dává jej k odsouhlasení PVJ a vedoucímu auditovaného pracoviště; plán obsahuje termín, čas zahájení a předpokládaného ukončení, podrobnější popis obsahu, jména prověřovaných a jména členů auditního týmu, datum a podpis odpovědné osoby na důkaz schválení,

• vlastní audit realizuje interní auditor podle schváleného plánu, provádí záznam důkazů do dotazníku a poté zpracuje zprávu z auditu, kterou obdrží strany uvedené v rozdělovníku (minimálně vedoucí prověřovaného místa a vedoucí programu auditů, tj. v našem případě PVJ),

• audit končí rozdělením zprávy z auditu.

V dalších odstavcích si postupně uvedeme příklady programu, plánů, checklistů, záznamů z interního auditu včetně modelových případů.

 NahoruMusíme auditovat?

V předchozí části věnované internímu auditu jsme si uvedli základní informace o jednotlivých etapách interního auditu, o žádoucích (resp. organizací požadovaných) vlastnostech, znalostech a dovednostech (interního) auditora, nastínili jsme si, jak plánovat, řídit a realizovat interní audit, ukázali jsme si příklad dokumentovaného postupu a vymezili základní etapy interního auditu. Nyní si jednotlivé fáze auditu rozebereme postupně podrobněji na příkladech a v několika variantách. Zopakujme si nejprve základních principy interního auditu:

 NahoruZákladní principy interního auditu

• Princip 1: Základním smyslem auditu je ověření stavu plnění specifikovaných požadavků (pokud možno) nezávislým auditorem. (Poznámka "pokud možno“ platí v případě externího auditu beze zbytku, v případě interního auditu by měla být tato podmínka splněna, pokud je to jen trochu možné, např. za využití tzv. "externího interního auditora“, který není zaměstnancem naší firmy).

• Princip 2: Interní audit je nástroj managementu organizace pro monitorování a ověřování, jak jsou v praxi realizovány nejrůznější požadavky a co to ve výsledku přináší, jako takový je jedním z nejdůležitějších nástrojů zpětné vazby.

• Princip 3: Interním auditem poskytuje skupina auditorů a posléze manažer kvality informace vedení společnosti o fungování určitých procesů v organizaci.

• Princip 4: Cílem auditu je obecně (na základě výsledků objektivních měření čili na základě předchozího systematického sběru dat, provedení jejich analýzy a vyhodnocováním a realizací následných rozhodnutí) umožnění praktického naplnění potřeby zlepšování procesů.

 NahoruZlepšování procesů

Použijeme-li pro znázornění šíře uvedené problematiky princip Myšlenkové mapy (viz kap. Plánování s využitím Myšlenkové mapy této příručky) na následujícím obrázku, uvidíme jasně a přehledně, kam zařadit v oblasti firemních procesů interní audit.

Využití interního auditu jako jednoho z nástrojů pro zlepšování procesů

Požadavky na proces (techniku) auditování včetně stanovení požadavků na odbornou způsobilost auditora, která byla popsána v předchozích odstavcích, vymezuje, jak už bylo uvedeno v předchozí části této kapitoly, norma ČSN EN ISO 19011:2003, která je určena k širokému použití potenciálních uživatelů (organizací zavádějících QMS, externích i interních auditorů, pro výcvik a certifikaci auditorů).

 NahoruStruktura normy ISO 19011

Struktura normy ISO 19011 (kromě povinných odstavců "předmět“ a "normativní odkazy“) obsahuje tyto části (kapitoly):

• Termíny a definice.

• Zásady auditování.

• Řízení programu auditů.

• Činnosti při auditech.

• Odborná způsobilost a hodnocení auditorů.

 NahoruTermíny a definice

Komentáře ke kapitole "Termíny a definice“ normy již byly uvedeny na jiném místě této příručky (pro srovnání viz např. kap. Interní audit), připomeňme si pouze základní termíny potřebné pro další příklady. (Následující tabulka má spíše za cíl k těmto termínům dále přiřadit konkrétní význam jejich použití v praxi.)

Základní termíny a jejich význam pro proces auditu

Pozn.: Kromě v tabulce uvedeného rozdělení auditů na externí (tedy certifikační, dozorové a případně dodavatelské) a interní můžeme audity dělit mj. například podle různých hledisek do následujících několika skupin:

 NahoruPlánování

Rozdělení z hlediska plánování:

• Plánované interní audity: probíhají dle schváleného programu interních auditů - viz dále.

• Neplánované interní audity: realizují se na základě okamžité potřeby prověřit některý proces, požadavek normy, výrobek, např. jako následek stížnosti, nadměrného počtu reklamací, závažné neshody zjištěné během plánovaného auditu.

 NahoruPředět a cíl

Rozdělení z hlediska předmětu a cíle auditu (mj. také viz tabulka výše):

• Audit systému managementu: cílem je ověření, zda systém managementu odpovídá pánovaným činnostem, požadavkům specifikace/normy, požadavkům stanoveným organizací, zda je efektivně uplatňován a rozvíjen.

• Audit procesu: cílem je prověřit přesně vymezený proces, případně jeho vybranou (kritickou, rizikovou) část. Je prověřováno, zda je tento proces způsobilý a stabilní a zda má výstup z tohoto procesu shodné parametry s očekávanými/předepsanými hodnotami. Často se procesního auditu používá jako součásti procesní analýzy, jejímž výsledkem je optimalizace (zvýšení účinnosti).

• Audit výrobku: výrobkový audit slouží např. k ověření shody výrobku s požadavky na něj, tento druh auditu může sloužit i k analýze konkurenčních výrobků, pokud je organizací prováděn výrobkový benchmarking v rámci zjišťování pozice výrobků na trhu.

• Audit personální(analýza odborné způsobilosti zaměstnanců; analýza lidských zdrojů, které jsou k dispozici v organizaci).

• (Audit účetní - ten ale patří do jiné, neméně zajímavé a oblíbené kategorie, než jakou se zabýváme v těchto odstavcích.)

Další příklady auditů najdete v již zmiňované kap. Interní audit této příručky.

 NahoruRealizace interního auditu

Komentář ke kapitole "Zásady auditování“ normy již byly rovněž uvedeny (v předchozí části této kapitoly), budeme se tedy dále postupně zabývat kapitolami "Řízení programu auditů“ a "Činnosti při auditech“, tedy plánováním a vlastní realizací auditu…