Provádění auditu - Kap. 6 Normy ISO 19011:2011

13.5.2.4.2

Provádění auditu – Kap. 6 Normy ISO 19011:2011

Doc. Ing. Alois Fiala, CSc., Ing. Monika Becková a kolektiv autorů

 Nahoru"Kap. 6 – Provádění auditu“

Obsah kap. 6

Celá kapitola 6 je rozdělena na následující části:

• Obecně (čl. 6.1)

• Zahájení auditu (čl. 6.2)

• Příprava činností při auditu (čl. 6.3)

• Provádění činností při auditu (čl. 6.4)

• Příprava a distribuce zprávy z auditu (čl. 6.5)

• Ukončení auditu (čl. 6.6)

• Provádění následného auditu (čl. 6.7)

Pozn.: Tato kapitola obsahuje návod k přípravě a provádění činností při auditu. Každý jednotlivý audit je chápán jako samostatná součást programu auditů. Za každý jednotlivý audit odpovídá vedoucí týmu auditorů (vlastníkem procesu auditu je ale stále osoba řídící program auditů – viz komentář k předchozí kapitole 5).

 NahoruDopady změn do praxe

Obecně (čl. 6.1):

Směrnice v úvodním článku upřesňuje, že do provádění auditu patří:

při jednotlivém auditu, který je součástí např. ročního (či dvouletého apod.) programu auditů.

• příprava činností

• provádění činností

Rozsah využití návodu dle kap. 6 závisí na:

• cílech auditu (dříve složitosti auditu),

• předmětu auditu.

Zahájení auditu (čl. 6.2):

Nově je doplněn úvodní odstavec čl. 6.2, jenž upřesňuje etapu zahájení auditu, a to takto:

Ve chvíli zahájení auditu přechází odpovědnost za jeho provedení z osoby řídící program auditů na určeného vedoucího týmu, a to až do dokončení auditu (tedy minimálně do doby odeslání zprávy).

Pozn.1: I dosavadní praxe byla taková, že za všechny fáze (počínaje plánováním) konkrétního auditu odpovídal vedoucí týmu, to ale předchozí verze směrnice výslovně neuváděla.

Pozn. 2: Zahájení auditu zde ještě neznamená zahájení auditu "na místě“, jedná se teprve o zahájení přípravy!

Zahájení auditu tedy představuje:

Úvodní kontakt vedoucího týmu auditorů s auditovanou organizací:

Kromě potvrzení časů, míst a jiných relevantních informací má zahrnovat též potvrzení způsobu zacházení s důvěrnými informacemi; celkově se množství informací a okolností, které mají být do tohoto úvodního jednání zahrnuty, rozšířilo z původních 7 na nynějších 10.

 NahoruNovinky v úvodním kontaktu

Nově jsou tedy doplněny následující oblasti, jež mají být předmětem úvodního kontaktu:

• informace o cílech, předmětu a metodách auditu;

• určení legislativních, smluvních, případně dalších požadavků týkajících se auditované oblasti;

• způsob zacházení s důvěrnými informacemi;

• určení jakýchkoli oblastí zájmu auditované organizace, které by souvisely s prováděným auditem.

Určení proveditelnosti auditu:

Jedná se o posouzení z hlediska informací, spolupráce, zdrojů..., zda lze audit provést; faktory, jež mají být vzaty v úvahu z hlediska proveditelnosti, se v podstatě nezměnily, byl ale upřesněn smysl určení proveditelnosti:

Výsledkem určení proveditelnosti má být jistota, že je možné dosáhnout stanovených cílů auditu!

Pozn.: Připomeneme-li si úvodní část směrnice ISO 19011:2011, kde jsme věnovali pozornost novému aspektu programu auditů – rizikům jako vlivu nejistot na cíle (viz např. komentář ke kap. 5.3), v této souvislosti může riziko nesprávného posouzení proveditelnosti ohrozit dosažení cílů auditu. Jedná se tedy o jedno z rizik, která by měla být vzata v úvahu ve fázi identifikace a hodnocení rizik souvisejících s programem auditů!

Příklady aplikace:

V mnoha případech bude úvodní kontakt a určení proveditelnosti zahrnovat pouze zvážení vedoucího týmu (vedoucího auditora), zda lze provést za daných okolností plánovaný audit, a krátký telefonát nebo e-mail s vedoucím prověřovaného pracoviště. Ve složitějších případech může tato etapa představovat jednání na několika úrovních, porady či zprávu analyzující aspekty NE/proveditelnosti auditu a návrhu řešení.

 NahoruPříprava činností

Příprava činností při auditu (čl. 6.3):

Příprava činností při auditu představuje nyní 4 následující kroky:

1 Přezkoumání dokumentů při přípravě auditu (čl. 6.3.1)

2 Příprava plánu auditu (čl. 6.3.2)

3 Přidělování práce týmu auditorů (čl. 6.3.3)

4 Příprava pracovních dokumentů (čl. 6.3.4)

Krok 1: Přezkoumání dokumentů při přípravě auditu:

Účelem přezkoumání relevantní dokumentace systému managementu auditované organizace je:

Směrnice ISO 19011 se nově také odkazuje na návod, jak provádět přezkoumání dokumentů (viz příloha "B.2“).

Pozn.: Přezkoumání dokumentů při přípravě auditu má trochu jiný cíl než přezkoumání dokumentů v průběhu auditu, i když použitelné metody jsou stejné. Tato fáze se ale provádí ještě před prováděním vlastního auditu v rámci přípravy a ne příliš detailně – jedná se spíše o celkový přehled!

Příklad aplikace:

Přezkoumání dokumentů lze provést následujícími způsoby:

• za účasti auditované organizace "na místě“,

• za účasti auditované organizace "na dálku“,

• bez účasti auditované organizace "na místě“,

• bez účasti auditované organizace "na dálku“.

Aspekty přezkoumání dokumentů, které by měl mít auditor na paměti, jsou:

• úplnost dokumentace dle požadavků příslušných norem, předpisů apod.;

• obsahová správnost jednotlivých dokumentů dle požadavků příslušných norem, předpisů apod.;

• konzistence dokumentů;

• aktuálnost dokumentů.

Pozn.: V případě identifikace některých nedostatků v dokumentaci platí stejné pravidlo jako v případě jakékoli jiné neshody – je třeba neshodu specifikovat konkrétně, přesně, jednoznačně.

Krok 2: Příprava plánu auditu:

Účel a způsob přípravy plánu auditu se nemění. Plán má nově brát v úvahu vliv činností při auditu na procesy organizace. Vlastní popis přípravy plánu byl také více upřesněn. Úroveň podrobnosti plánu má nyní odrážet:

• předmět a složitost auditu,

• riziko jako vliv nejistoty na dosahování cílů (nově doplněno),

• techniky vzorkování dle přílohy "B.3“ (nově doplněno),

• složení týmu a jeho celkové kompetence (nově doplněno).

Rozsah a obsah auditního plánu se může (a většinou bude) lišit např. u úvodního a následných auditů.

 NahoruObsah plánu auditu

Nově doporučený obsah plánu auditu:

• Auditní plán má pokrývat:

  • - cíle auditu;
  • - předmět auditu (organizační jednotky, procesy);
  • - kritéria auditu;
  • - místa, termíny, časy;
  • - použité metody auditu včetně rozsahu vzorkování (nově doplněno!);
  • - role a odpovědnosti členů týmu, průvodců a pozorovatelů;
  • - přidělení zdrojů.

• Auditní plán může dále nově pokrývat:

  • - identifikaci osob ze strany auditované organizace,
  • - opatření pro řešení rizika,
  • - záležitosti týkající se bezpečnosti informací,
  • - následná opatření z předchozích auditů,
  • - případnou koordinaci s dalšími činnostmi.

Krok 3: Přidělení práce týmu auditorů:

Týmu auditorů (stejně jako dosud) přiděluje práci, resp. úkoly při auditu vedoucí týmu. Tento fakt se projeví již ve fázi přípravy auditu, kdy budou v auditním plánu (v případě vícečlenného týmu) přidělena jednotlivá místa auditované organizace či vybrané prvky norem jednotlivým auditorům.

Nově byla doplněna poznámka o setkání týmu ve fázi přípravy:

V průběhu postupu auditu mohou být provedeny změny pracovních úkolů.

Krok 4: Příprava pracovních dokumentů:

PLÁN AUDITU 2

 NahoruPříprava dokumentů

Část týkající se přípravy pracovních dokumentů se příliš nezměnila, pracovní dokumenty slouží k zaznamenávání důkazů z auditu a mohou podle potřeby zahrnovat:

• checklisty,

• plány vzorkování (nově doplněno),

• formuláře.

Návod k přípravě pracovních dokumentů nově zařazen jako příloha "B.4“.

Příklad aplikace:

Důraz je v této fázi kladen na zajištění bezpečnosti informací!

Pracovní dokumenty mohou být obsaženy např. v katalogu formulářů, v některých firmách je dokonce jejich použití při auditu povinné.

Jedná se např. o:

• auditní dotazník (jeden společný nebo několik checklistů pro jednotlivé konkrétní oblasti),

• záznam (protokol) o neshodě,

• protokol o průběhu auditu,

• záznam z úvodního jednání,

• záznam ze závěrečného jednání,

• atd.

Provádění činností při auditu (čl. 6.4):

 NahoruProvádění činností

(Pozn.: Obsah čl. 6.4 byl v předchozí verzi směrnice ISO 19011 ve čl. 6.5.)

Vlastní provádění činností při auditu se vydáním revize směrnice ISO 19011 příliš nezměnilo. Formálně nyní představuje 8 následujících kroků:

1 Obecně (čl. 6.4.1)

2 Úvodní jednání (čl. 6.4.2)

3 Přezkoumávání dokumentů v průběhu auditu (čl. 6.4.3)

4 Komunikace v průběhu auditu (čl. 6.4.4)

5 Přidělování rolí a odpovědností průvodcům a pozorovatelům (čl. 6.4.5)

6 Shromažďování a ověřování informací (čl. 6.4.6)

7 Zjištění z auditu (čl. 6.4.7)

8 Příprava závěrů z auditu (čl. 6.4.8)

9 Závěrečné jednání (čl. 6.4.9)

Pozn.: Tato kapitola doporučuje provádět činnosti při auditu:

• v předem stanoveném pořadí,

• podle struktury čl. 6 normy ISO 19011:2011

Připouští ale možnost změny pořadí v závislosti na konkrétních podmínkách auditu!

Krok 1: Úvodní jednání:

Úvodní jednání zahrnuje stejně jako dříve:

• potvrzení souhlasu s plánem,

• představení týmu auditorů,

• potvrzení realizovatelnosti AP.

Na úvodním jednání má být přítomno vedení auditované organizace.

Nově je doplněna poznámka týkající se podrobnosti úvodního jednání dle místních poměrů v organizaci – podrobnost v zásadě může být:

• nízká, malá,

• vysoká.

Podrobnost jednání nízká:

V malé organizaci nebo v organizaci dobře seznámené se způsobem provádění auditu může být úvodní jednání krátké až neformální.

Podrobnost jednání vysoká:

V opačném případě může úvodní jednání zahrnovat např.:

• představení účastníků auditu a vymezení jejich rolí;

• potvrzení typu auditu,…