Справедливий аудит – дієвий інструмент вдосконалення системи менеджменту

Дотримання принципів аудиту є передумовою забезпечення доречних висновків аудиту, а також того, щоб аудитори, працюючи незалежно один від одного, робили подібні висновки за подібних обставин

Аудит – систематичне та незалежне вивчення певної дії з метою визначення того, чи відповідає така діяльність та пов’язані з нею результати запланованим заходам і чи такі заходи впроваджені результативно та у спосіб, який дає можливість досягти поставленої мети.

У ДСТУ ISO 19011:2019 (ISO 19011:2018) «Настанови щодо проведення аудитів систем управління» надано рекомендації для підприємств усіх розмірів і типів, щодо аудитів різних сфер застосування, охоплюючи перевірки, які проводять групи аудиторів, а також аудити, які проводить один аудитор на великому чи на малому підприємстві.

Ці настанови є гнучкими, тому їх використання може різнитися залежно від:

• розміру та рівня досконалості систем на підприємствах;
• характеру діяльності, що підлягає аудиту, та складності;
• цілей і сфери застосування аудитів.

В ДСТУ ISO 19011:2019 введено поняття ризику, пов’язаного зі здійсненням аудитів, – це ризик того, що процес аудиту не досягатиме своїх цілей, а також потенційної можливості того, що аудит заважатиме виконанню робіт і процесів. Цим він відрізняється від попередньої версії стандарту.

Також у стандарті зосереджено увагу на внутрішніх аудитах (аудитах першою стороною) та аудитах, що їх проводять організації у своїх зовнішніх постачальників та в інших зовнішніх зацікавлених сторін (аудитах другою стороною), а також він може бути корисним для зовнішніх аудитів (аудитів третьою стороною) – сертифікації системи управління, аудитів державних контролювальних органів.

До зовнішнього аудиту ми можемо також віднести аудит контролювальних органів за дотриманням вимог постійно діючих процедур, заснованих на принципах HACCP, законодавчих вимог з охорони праці, екології.

В ДСТУ ISO 19011:2019 є вимоги, які можна використовувати під час проведення внутрішніх та зовнішніх аудитів не тільки систем управління якістю, а й систем екологічного менеджменту, управління охороною праці, управління харчовою безпекою, енергетичного менеджменту тощо. Крім того, цей стандарт буде корисний у проведенні оцінювання постачальників, а також оцінювання відповідності тих чи інших процесів нормативним або корпоративним вимогам.

Принципи аудиту

У стандарті визначено низку принципів, які мають сприяти результативності аудиту. Дотримання цих принципів є передумовою забезпечення доречних висновків аудиту, а також дає можливість того, щоб аудитори, працюючи незалежно один від одного, робили подібні висновки за подібних обставин.

Пропонуємо розглянути, що передбачає кожний принцип, як їх застосовувати на практиці та як їх можна використати підприємствам в процесі проведення аудиту.

Принцип 1. Бездоганність

Аудит повинен проводитись етично, чесно, відповідально. Аудитор має бути неупередженим і не піддаватися впливу на його міркування під час проведення аудиту.

Важливо гідно виходити із конфліктних ситуацій, адже люди різні, не всі люблять, щоб їх перевіряли. І одне із завдань аудитора – налаштувати на позитив, зробити їх соратниками, адже сенс аудиту в тому, щоб зробити процес проведення аудиту ефективнішим.

Принцип бездоганності передбачає, що аудитор має бути компетентним у тому, що він робить. Якщо в аудитора недостатньо компетентності у якомусь питанні (наприклад, не вистачає галузевих знань), то він має скористатись послугами технічного експерта.

Кожному аудитору надаються певні технічні коди за галузями, що дає можливість спрямовувати на аудит спеціаліста з відповідними кваліфікацією та досвідом. Тому представники підприємства повинні за цим слідкувати та в процесі проведення аудиту надавати свої коментарі.

Принцип 2. Правдивість

Зібрані аудитором докази, складений звіт, зроблені висновки мають правдиво та точно відбивати дійсність. Велика помилка аудитора, коли він починає по-своєму трактувати вимоги, виходячи зі свого досвіду, і наполягає, що треба зробити так, як він звик, а не так, як зручно організації. Крім того, аудитор повинен висловлюватися під час аудиту без лукавства, точно, зрозуміло, вичерпано. Якщо під час аудиту виникають труднощі, розбіжності, перешкоди, то це має відображатись у звіті.

Супровідні особи від підприємства можуть у чомусь не погодитися з аудитором, і якщо консенсусу не знайдено, то це фіксується аудитором. Тому, якщо представники компанії, що перевіряється, з чимось не згодні, їм слід відкрито висловлювати свою думку під час аудиту.

Принцип 3. Належний професіоналізм

Аудитор повинен виявляти належну старанність у всіх завданнях, що виконуються під час аудиту. Будь-яке судження аудитора має бути обґрунтованим.

Прикладом неналежної професійної старанності є ситуація, коли аудитори не зрозуміли важливості довірених їм завдань і обдурили довіру тих, хто доручив їм перевірку, тобто керівництва компанії.

Аудитор повинен розуміти, для чого потрібні результати аудиту, з якою метою він проводить аудит, і прагнути досягти мети перевірки. Відповідно, повинна бути проведена серйозна робота для пошуку відповідності.

Якщо знайдено одну невідповідність, то чи означає це, що можна заспокоїтися? Ні, важливо перевірити всі пункти стандарту/чек-листа. Одна річ, якщо серед безліч невідповідностей є поодинокі відповідності, а інша річ, якщо серед більшості відповідностей є одна невідповідність.

Коли йдеться про аудит системи управління безпечністю харчових продуктів, то недостатньо перевірити якийсь один елемент системи, важливо побачити цілісну картину, на підставі якої будуть зроблені обґрунтовані висновки. Про це повинні пам’ятати представники підприємства.

Принцип 4. Конфіденційність

Аудитор повинен виявляти обережність, необхідну для належного захисту інформації, отриманої під час аудиту. Йдеться про будь-яку інформацію – як позитивну, так і негативну.

Важливо, щоб інформація не стала способом отримання особистої вигоди аудитором або замовником аудиту чи способом завдання шкоди організації, що перевіряється. Наприклад, неприпустимо, щоб аудитор, виявивши якусь невідповідність, радив звернутися до конкретної організації/фізичної особи, яка допоможе з цим впоратися. Або розголошував комерційну таємницю конкурентам.

Цей принцип стосується всіх, не лише аудиторів. Тому що зі свідченнями, звітами за результатами аудитів стикаються не лише аудитори, а й працівники підприємства, які відповідають за технологічні процеси. І звісно, крім поінформованості та відповідального ставлення співробітників тут велику роль відіграє система інформаційної безпеки, що запобігає витоку інформації з будь-яких носіїв.

Принцип 5. Незалежність

Саме незалежність аудитора від процесів, що перевіряються, дає змогу забезпечити об’єктивність і неупередженість висновків за підсумками аудиту.

Важливо виключити конфлікт інтересів. Під час аудитів третьою та другою стороною, якщо аудитор добре знає компанію, що перевіряється, незалежність перебуває під загрозою. Наприклад тому, що часто буває там на аудитах.

Щоб одна і та сама людина не перевіряла підприємство на постійній основі, важливо змінювати аудиторів. Адже аудитор – людина, у нього можуть складатися товариські стосунки зі співробітниками організації, що перевіряється, і це може заважати об’єктивності та неупередженості.

Така сама ситуація, якщо зовнішній аудитор раніше працював у компанії, що перевіряється, або мав якісь професійні відносини з її співробітниками.

Не повинно бути жодних комерційних інтересів, що пов’язують аудитора з компанією, що перевіряється.

Під час внутрішніх аудитів у невеликих організаціях виконання принципу незалежності може бути проблематичним, проте важливо докласти всіх зусиль, щоб усунути упередженість.

Практичний приклад: на підприємстві виділено процес виробництва та процес адміністративного управління – обидва процеси слід перевірити під час внутрішнього аудиту. Аудитором процесу управління було призначено начальника виробництва, у якого була маса претензій стосовно того, що план часто змінюється тощо. У результаті він упереджено проводить аудит, і справа закінчується непорозуміннями, адже співробітник перебуває у залежному стані від першої особи компанії чи керівника підрозділу.

Деякі компанії залучають зовнішніх аудиторів для перевірки процесів, пов’язаних з вищим керівництвом. Аудитори мають, наскільки це практично можливо, бути незалежними від діяльності підприємства та в усіх випадках діяти так, щоб уникати упередженості та конфлікту інтересів.

У разі внутрішніх аудитів перевіряльники мають бути незалежними від керівників робіт, аудит яких провадять.

Аудитори мають підтримувати об’єктивність протягом усього процесу аудитування.

Принцип 6. Підхід, що базується на доказах

Раціональний метод формування надійних висновків аудиту в процесі перевірки, це коли доказ аудиту можна перевірити (чи базуються на наявній інформації, оскільки аудит провадять протягом обмеженого проміжку часу та за обмежених ресурсів).

Під свідченнями аудиту розуміється той набір фактів, які зібрав аудитор і які можна перевірити за допомогою записів. Саме цим підтверджують виконання або невиконання вимог, що перевіряються.

Якщо виконання вимоги не можна підтвердити за допомогою доказів, то вимога вважається невиконаною.

Щоб переконатися в існуванні усних доказів і у тому, що ними справді керуються, аудитору слід опитати кількох працівників та/або провести спостереження. Бажано, щоб під час розмов і спостережень був присутній хтось ще від організації, що перевіряється, щоб процес був прозорий для всіх сторін.

Аудитор повинен максимально точно описати докази, отримані усно («за словами конкретного оператора», «на такій лінії», «під час виконання цього процесу»). Те саме стосується опису спостережень (який саме процес спостерігали, де, коли) та опису документів (назва, дата публікації, дата внесення змін). Це потрібно для того, щоб докази можна було перевірити ще раз, усуваючи тим самим можливі конфлікти.

Оскільки аудит обмежений у часі та ресурсах, 100%-й обсяг інформації зібрати під час аудиту, як правило, неможливо. Тому слід застосовувати вибірку доказів, що дає можливість, з одного боку, не закопатися у дрібницях, з другого – оцінити системи, взаємозв’язки між процесами.

Зібраних доказів має бути достатньо для того, щоб дійти висновків за підсумками аудиту, наприклад, чи відповідає система управління вимогам стандарту, чи ні. Тобто не можна казати про невідповідність системи, спираючись на поодинокі факти.

Принцип 7. Ризикоорієнтований підхід

Цей принцип з’явився у стандарті ISO 19011 лише в останній версії 2018 року.

Ризикоорієнтований підхід полягає в тому, що планування, проведення та звітність аудиту повинні базуватися на результатах оцінювання ризиків та можливостей. При цьому аудити повинні враховувати сфери діяльності, що становлять значущість для замовника аудиту і ведуть до досягнення цілей аудиту.

Часто на підприємствах постає запитання: чи можлива реалізація всіх принципів, описаних в ISO 19011:2018, у реальному житті, чи ні?

Насправді їх застосування дає результат. Аудит, що проводиться згідно з цими принципами, приносить відчутну користь, а саме:

• якщо ви проводите/організовуєте внутрішні аудити на своєму підприємстві, треба контролювати уповноваженій особі, щоб ці принципи виконували всі внутрішні аудитори;
• якщо ви залучаєте зовнішніх аудиторів за власною ініціативою чи це є аудити під час обрання підрядника/постачальника, звертайте увагу на дотримання його працівниками цих принципів;
• якщо зовнішні аудитори приходять до вас з ініціативи ваших споживачів чи це перевірки контролювальних органів і у вас немає можливості відмовити в проведені такого аудиту, ви маєте повне право оскаржити результати аудиту у разі недотримання аудиторами вказаних принципів.

У наступному номері розглянемо питання, пов’язані з аудиторським звітом (структура, зрозумілість та стислість викладу).