Направление совершенствования стандарта внутреннего аудита

Опыт проведения внутреннего аудита в отечественных и зарубежных компаниях

Согласно идеологии стандарта ISO 9001, внутренние аудиты должны быть одним из самых важных инструментов для оценивания функционирования системы управления качеством. С точки зрения высшего руководства внутренние аудиты должны быть независимым источником объективной информации о состоянии дел в процессах/структурных подразделениях. Свидетельством важности внутренних аудитов является то, что процедура их проведения входит в число обязательных документированных процедур. Кроме того, стандарт требует анализа результатов аудитов высшим руководством организации на том же уровне, что и данных о потребностях потребителей или результативности процессов. Все это требует от организаций отнестись к разработке методики внутренних аудитов максимально ответственно. 46].

В организациях с демократическим стилем управления, где персонал привык работать вместе для достижения общих целей, наилучший результат может быть достигнут, если все участники процесса работают совместно, открыто обмениваясь информацией и принимая согласованные решения.

Одним из возможных путей может быть повышение квалификации внутренних аудиторов, что позволит им задавать во время аудитов совсем другие вопросы, проверять действенность системы управления на другом уровне. Например, это могут быть вопросы о реальном использовании процессного подхода и функциях владельцев процессов, о мониторинге деятельности организации и результативности принимаемых решений по совершенствованию и т. д. Если внутренние аудиторы сумеют реально проверять соответствие системы на таком «глубинном» уровне, смысл аудитов может сохраниться надолго, а их результаты будут интересными для высшего руководства.

Но, независимо от квалификации аудиторов, уместно попробовать пересмотреть методику внутренних аудитов, сделать ее более инновативной, индивидуализированной под потребности организации. Ведь именно методика внутренних аудитов является одной из наиболее стандартных, «одинаковых» в разных организациях, независимо от их специфики, корпоративных ценностей, стратегии: везде разрабатываются подобные годовые графики аудитов, определяются подобные квалификационные требования для аудиторов, составляются подобные программы и протоколы. Соответственно, редко когда можно сказать, что эффективная и глубокая система внутренних аудитов — это конкурентное преимущество организации, ее сильная сторона, которая выделяет ее из массы других. И именно на это могут быть направлены попытки внедрения новшеств и инноваций в проведении внутренних аудитов. 24].

Основной философией поиска новых решений для внутренних аудитов (как и для любой другой деятельности) может быть их направленность на потребности потребителей, в данном случае — внутренних. Если считать, что главным результатом внутренних аудитов является информация о состоянии дел в структурном подразделении или процессе, то потребителями такой информации могут быть руководители объекта аудита и высшее руководство организации. Соответственно, можно попробовать найти ответы на два вопроса. Во-первых, какая именно информация из независимых источников о работе подразделения/процесса может быть интересна высшему руководству? Во-вторых, если подразделение или процесс изучит группа квалифицированных специалистов со свежим взглядом, чем именно она может быть полезна его руководителям? Ответы на эти вопросы могут быть разными, обе группы руководителей могут быть заинтересованы в информации относительно реализации стратегии, возможностей для усовершенствования, выявления потерь и многого другого. Но едва ли в числе их приоритетов будет получение информации о соответствии работы требованиям ISO 9001 или любого другого стандарта. А именно такую информацию им предлагают при традиционной схеме внутренних аудитов, игнорируя их реальные потребности. 15].

Примером такого подхода: ориентации на потребителей — объектов проверки, может быть методика проведения внутренних аудитов в компании Siemens Netherland (призер Награды за совершенство EFQM). В этой компании на вопрос, чем аудиты могут быть полезны для руководителей подразделений и владельцев процессов, ответили: усилением процессного подхода, помощью в поиске возможностей для совершенствования процессов, привнесением новых знаний о возможных путях выполнения работы. Исходя из этих целей, было принято решение, что аудиты проводятся не по структурным подразделениям, а по процессам. Аудит проводится в виде круглого стола, в котором принимают участие представители всех структурных подразделений, задействованных в проверяемом процессе, а роль модератора выполняет внутренний аудитор. Задачей этой команды является построение алгоритма выполнения процесса, его согласование со всеми вовлеченными подразделениями, поиск возможностей для его оптимизации. Важно заметить, что во время этой работы группа не пользуется имеющимися документированными описаниями процессов, к ним обращаются только, если представители разных структурных подразделений не могут согласовать свои позиции. Основной акцент делается на том, как процесс выполняется на самом деле, а не как он описан в документах. Также не проводится проверка «на рабочих местах» — с точки зрения корпоративной культуры Siemens Netherland некорректно проверять, действительно ли работа в подразделении выполняется так, как рассказал об этом его руководитель, демонстрируя тем самым свое недоверие к нему. Функциями аудитора в такой схеме является модерация, помощь участникам, провоцирование на более глубокий анализ, управление конфликтами, «подбрасывание» новых идей и т. п. Аудитор может задавать вопрос такого типа: «Зачем выполнять этот шаг?», «А как Вы будете действовать, если???», «Можно ли попробовать такой вариант???». Результатом аудита является методика выполнения процесса, согласованная всеми его участниками. Безусловно, такая схема проведения аудита не позволяет выявить все несоответствия или случаи невыполнения требований документации системы, но в организации такого уровня это не является важным приоритетом. 26].

Также надо заметить, что подобная схема выдвигает очень высокие требования к внутренним аудиторам. Они должны в совершенстве владеть техникой моделирования процессов, методами модерации, знать лучшую практику выполнения разных процессов, понимать стратегию и приоритеты организации.

Еще одним важным условием для обеспечения реальной полезности внутренних аудитов является их интеграция в общую систему обеспечения руководства информацией о деятельности организации. Ведь чаще всего схему проведения внутренних аудитов проектируют как что-то отдельное, не обращая внимания на существующие системы отчетности, мониторинга процессов и т. п. Целесообразным может быть рассмотреть потребности руководства в информации, существующие каналы его обеспечения такой информацией, и определить, чем может быть полезен еще один канал: внутренние аудиты. Ведь у него, по сравнению с традиционной отчетностью, есть два существенных отличия:

• — информация собирается и подается руководству независимыми подготовленными сотрудниками;
• — информация касается в большей мере не достигнутых результатов, а подходов, которые влияют на достигнутые результаты (возможность более глубокого анализа).

Исходя из этого, внутренние аудиты могут выполнять разные роли в системе информирования руководства, в частности:

• — получение новой информации, которая не поступает через традиционную систему отчетности;
• — дополнительная проверка точности и достоверности информации, поступившей через систему отчетности;
• — более глубокое изучение ситуации для лучшего понимания и интерпретации информации, поступившей через систему отчетности.

Но этот выбор должен быть осознан и подкреплен соответствующими процедурами внутреннего аудита. Например, если аудиты используются для того, чтобы глубже понять результаты деятельности подразделения, описанные в его отчетности, и причины их тенденций, аудиторы должны изучать и анализировать эту отчетность, учитывать ее при составлении плана аудита.

Рассмотрим подходы проведения внутренних аудитов на нефтехимическом предприятии ОАО «ТАНЕКО».

Внутренний аудит является одним из системных процессов интегрированной системы менеджмента ОАО «ТАНЕКО», средством менеджмента при независимой оценке процессов интегрированной системы менеджмента. На предприятии разработан паспорт процесса «Внутренний аудит интегрированной системы менеджмента», где входом являются требования международных стандартов ISO 9001, ISO 14 001, OНSAS 18 001, внутренних документов интегрированной системы менеджмента; результаты анализа интегрированной системы менеджмента; результаты предыдущих аудитов; решения и указания высшего руководства Общества; рекомендации и замечания контролирующих органов, в том числе органов по сертификации; информация от потребителей, заинтересованных сторон касательно вопросов функционирования интегрированной системы менеджмента ОАО «ТАНЕКО»; персонал Общества. А выходом — отчеты о внутренних аудитах/комплексных проверках; планы корректирующих действий и предупреждающих действий; документы об обучении внутренних аудиторов интегрированной системы менеджмента; оценочный лист внутреннего аудитора; база данных внутренних аудиторов.

Целями процесса «Внутренний аудит интегрированной системы менеджмента» является:

• — подтверждение соответствия деятельности в рамках интегрированной системы менеджмента и ее результатов установленным требованиям — критериям аудита;
• — предоставление руководству входных данных для анализа интегрированной системы менеджмента;
• — минимизация потенциальных рисков при функционировании интегрированной системы менеджмента, выявление возможностей улучшения интегрированной системы менеджмента.

Процесс внутреннего аудита ОАО «ТАНЕКО» основывается на следующих организационных принципах:

• — принцип единообразия — аудиты осуществляются в соответствии с единым порядком, утвержденным настоящим стандартом;
• — принцип доказательности — процедуры и методы, используемые в аудиторских проверках, обеспечивают надежность заключений по результатам этих проверок;
• — принцип системности — аудиты осуществляются с учетом взаимосвязи различных процессов;
• — принцип документированности — обеспечивает сохранность и сравнимость информации о фактическом состоянии объекта аудита;
• — принцип предупредительности — обеспечивает уведомление персонала подразделений о предстоящем аудите до начала аудита;
• — принцип регулярности — установленная периодичность аудитов процессов интегрированной системы менеджмента в подразделениях, обеспечивающих функционирование интегрированной системы менеджмента;
• — принцип независимости — проведение аудита лицами, которые не несут прямой ответственности за проверяемую деятельность;
• — принцип открытости — результаты аудита доступны всему персоналу проверенного подразделения и персоналу предприятия в целом.

Процесс «Внутренний аудит интегрированной системы менеджмента» включает в себя два подпроцесса, в виде стандартов предприятия, «Планирование и проведение внутренних аудитов», «Подготовка и оценка внутренних аудиторов».

Вышеперечисленные стандарты предприятия устанавливают требования, включающие:

• — порядок планирования, подготовки, проведения и оформления результатов внутренних аудитов,
• — порядок проведения анализа результатов внутреннего аудита,
• — порядок проведения верификации корректирующих и предупреждающих действий,
• — требования к компетентности внутренних аудиторов интегрированной системы менеджмента, их права, обязанности и ответственность.

При разработке стандарта использовались международные стандарты, стандарты предприятия «Управление документацией интегрированной системы менеджмента», «Корректирующие и предупреждающие действия», общезаводские положения «О ведении делопроизводства в системе электронного документооборота», «О производственном контроле за соблюдением требований промышленной безопасности», «О комиссии производственного контроля за соблюдением требований промышленной безопасности на опасных производственных объектах», «О материальном стимулировании работников на период окупаемости производства».

Результаты внутреннего аудита являются основными входными данными процессов интегрированной системы менеджмента «Совершенствование интегрированной системы менеджмента» и «Корректирующие и предупреждающие действия».

В целях обеспечения информированности персонала предприятия о функционировании интегрированной системы менеджмента, информация о внутренних аудитах интегрированной системы менеджмента рассылается в заинтересованные подразделения по системе электронного документооборота (СЭД) «ДЕЛО». К информации относятся документы по аудиту: программа аудита, план аудита, опросный лист, отчет по аудиту, план корректирующих и предупреждающих действий.

Все документы по аудиту предприятия регистрируются в системе электронного документооборота «ДЕЛО» в группе документов электронного хранилища документов (ЭХД) под рубрикой «Внутренний аудит интегрированной системы менеджмента» и подписываются с использованием электронно-цифровой подписи (ЭЦП) участниками процесса.

На предприятии проводятся как плановые, так и внеплановые аудиты.

Программа аудитов включается в себя два вида аудитов: аудиты процессов интегрированной системы менеджмента и аудиты подразделений предприятия.

Аудиты подразделений (технологические цеха) совмещаются с комплексными проверками состояния промышленной пожарной, экологической безопасности, охраны труда.

Основанием для проведения внепланового аудита может быть:

• — информация от потребителей, заинтересованных сторон о несоответствии качества продукции, экологических параметров, состояния промышленной безопасности и охраны труда установленным требованиям, в т. ч. законодательным;
• — рекомендации и замечания контролирующих органов, в том числе органов по сертификации;
• — распоряжения высшего руководства предприятия;
• — существенные изменения в деятельности предприятия;
• — возникновение существенных несоответствий в деятельности подразделений;
• — результаты ежегодного анализа интегрированной системы менеджмента;
• — подготовка к внешним аудитам.

Во время аудита аудиторами используются такие методы сбора информации, как осмотр, опрос, наблюдение за деятельностью, окружающей производственной средой и условиями работы, анализ документов, замеры параметров процесса и продукции (при необходимости).

В ходе аудита, в числе прочих вопросов, в обязательном порядке проверяются:

• — понимание персоналом Политики в области качества, Экологической политики, Политики в области охраны здоровья и безопасности труда, Целей и задач в области интегрированной системы менеджмента;
• — наличие документации интегрированной системы менеджмента, их актуализация, состояние, хранение;
• — управление записями интегрированной системы менеджмента;
• — выполнение/результативность корректирующих и предупреждающих действий по результатам предыдущих аудитов/комплексных проверок;
• — обеспеченность ресурсами, влияние внешней деловой среды/ее изменений;
• — подготовка и компетентность персонала, установление и доведение до сотрудников должностных обязанностей;
• — общее состояние промышленной безопасности (при проведении аудитов/комплексных проверок).

В ходе аудита аудитор заполняет опросный лист по аудиту, в котором указывает проверенные документы, записи, при необходимости отражает положительный опыт осуществления деятельности (примеры сильных сторон), проблемные вопросы общезаводского характера, рекомендации, выявленные несоответствия.

Каждое выявленное несоответствие классифицируется по степени значимости: в красной зоне, либо в желтой зоне.

В случае выявления в одном подразделении нескольких аналогичных (не менее трех) несоответствий желтой зоны, ведущий аудитор может оформить несоответствие, классифицируя его в целом в красную зону.

Оформленный опросный лист по окончании аудита передается ведущему аудитору, с обязательной регистрацией в системе электронного документооборота «ДЕЛО».

По результатам аудита ведущий аудитор оценивает в рамках критериев аудита общее состояние процесса интегрированной системы менеджмента/деятельность структурного подразделения — как хорошее/удовлетворительное/ неудовлетворительное.

Окончательное решение по оценке процесса или деятельности подразделения принимает генеральный директор при утверждении отчета.

После утверждения генеральным директором, отчет направляется главным аудитором в отдел системы менеджмента качества (ОСМК), отдел охраны окружающей среды (ОООС), отдел охраны труда (ООТ), отдел производственного контроля за промышленной безопасностью (ОПКПБ), структурные подразделения Общества для дальнейшей его проработки. На роль главного аудитора назначается приказом по ОАО «ТАНЕКО» из числа руководителей отдела системы менеджмента качества, отдела охраны окружающей среды, отдела охраны труда и отдела производственного контроля за промышленной безопасностью, для организации, надлежащего функционирования и постоянного улучшения процесса «Внутренний аудит интегрированной системы менеджмента».

Материалы каждого конкретного аудита хранятся в номенклатурной папке отдела системы менеджмента качества «Внутренний аудит интегрированной системы менеджмента» и в системе электронного документооборота «ДЕЛО».

Руководители проверяемых подразделений, в которых выявлены несоответствия, в течение десяти рабочих дней с момента получения отчета осуществляют работу по разработке плана корректирующих и предупреждающих действий.

О выполнении корректирующих и предупреждающих действий руководитель процесса/подразделения информирует ведущего аудитора, отдел системы менеджмента качества и отдел производственного контроля за промышленной безопасностью (в случае проведения комплексной проверки/внутреннего аудита), по системе электронного документооборота «ДЕЛО» с предоставлением подтверждающих материалов в сканированном виде (по возможности) в соответствующей регистрационной карточке.

Ведущий аудитор после получения сведений о выполнении корректирующих и предупреждающих действий в течение десяти дней обеспечивает проведение верификации корректирующих и предупреждающих действий. О результатах верификации аудиторы делают соответствующие записи в регистрационной карточке системы электронного документооборота «ДЕЛО», а ведущий аудитор информирует главного аудитора.

В случае невыполнения в срок или не в полном объеме корректирующих и предупреждающих действий руководителями процессов/подразделений, ведущий аудитор сообщает руководителям отделов системы менеджмента качества, охраны окружающей среды, охраны труда, производственного контроля за промышленной безопасностью (по принадлежности несоответствия). При невозможности решения вопроса в рабочем порядке главный аудитор для выяснения и анализа причины невыполнения собирает совещание. Результативность корректирующих и предупреждающих действий рассматривается при последующих внутренних аудитах соответствующих процессов интегрированной системы менеджмента подразделений предприятия, отчете о ежегодном анализе интегрированной системы менеджмента, внешних аудитах интегрированной системы менеджмента.

Подбор аудиторов для включения в список внутренних аудиторов интегрированной системы менеджмента предприятия осуществляется руководителями отделов системы менеджмента качества, охраны окружающей среды, охраны труда, производственного контроля за промышленной безопасностью из числа персонала предприятия с учетом требований, предъявляемых к компетентности аудитора интегрированной системы менеджмента. Критериями компетентности аудитора являются знания и навыки, образование, опыт работы на предприятии/ родственных предприятиях, опыт проведения аудитов, личные качества, обучение аудитора, в т. ч. по курсу внутреннего/ведущего аудитора системы менеджмента, поддержание компетентности.

Для учета деятельности, оценки результативности работы аудиторов, каждым аудитором заполняется анкета, которая является одним из входных параметров для ведения информационной базы по внутренним аудитам. Информационная база ведется в электронном виде специалистом отдела системы менеджмента качества.

Обучение аудиторов проводится не реже одного раза в три года.

Периодическая квалификационная оценка аудиторов проводится не реже одного раза в год. Целью оценки является необходимость подтверждения квалификации аудитора.

В случае получения неудовлетворительных результатов аудитор по итогам совещания направляется на дополнительную подготовку; исключается из состава внутренних аудиторов интегрированной системы менеджмента.

Для обеспечения эффективной работы внутренних аудиторов руководители проверяемых подразделений обязаны:

• — обеспечивать проведение аудита в соответствии с планом проведения аудитов;
• — информировать сотрудников подразделения о целях и задачах проверки;
• — определить и назначить компетентных представителей подразделения для работы непосредственно с внутренними аудиторами;
• — обеспечить условия для работы аудиторов во время проверки;
• — обеспечить предоставление документов и данных, необходимых аудиторам и/или по их запросу;
• — обеспечить своевременную разработку и выполнение корректирующих и предупреждающих действий;
• — в установленном порядке информировать ведущего аудитора, отдел системы менеджмента качества, отдел производственного контроля за промышленной безопасностью о выполнении корректирующих и предупреждающих действий.

Проверка соблюдения требований стандартов осуществляется в ходе внутренних и внешних аудитов интегрированной системы менеджмента. Измерение процесса осуществляется отделом системы менеджмента качества при проведении анализа со стороны высшего руководства. Критерии оценки результативности процесса указаны в Паспорте процесса «Внутренний аудит интегрированной системы менеджмента».

В завершение следует заметить, что область возможных вариантов совершенствования системы внутренних аудитов является чрезвычайно широкой и каждая организация может искать и находить собственные решения. Главное, чтобы было желание сделать систему внутренних аудитов действительно эффективной и полезной.