Страница 3: ДСТУ ISO 19011:2003. Настанови щодо здійснення аудитів систем управління якістю і (або) екологічного управління (62835)

Протоколи треба зберігати і належним чином охороняти.

Виконування програми аудиту треба відстежувати і з визначеною періодичністю аналізувати для встановлювання, чи досягнуто її цілей і визначення можливості поліпшення. Про результати треба звітувати найвищому керівництву.

Показники виконання треба використовувати для моніторингу таких характеристик;

• здатність груп з аудиту виконати план аудиту;

• дотримання програм та графіків аудиту;

• зворотний зв'язок з замовниками аудиту, об'єктами аудиту та аудиторами.

Під час аналізування програми аудиту треба враховувати:

1. результати моніторингу і виявлені тенденції;

2. дотримання методик;

3. змінювані потреби та очікування зацікавлених сторін;

4. протоколи за програмою аудитів;

5. альтернативні чи нові практичні підходи до здійснення аудиту;

6. узгодженість дій між групами з аудиту в подібних ситуаціях.

За результатами аналізування програми аудиту можливе виконання коригувальних та запо­біжних дій і здійснення поліпшення програми аудиту.

6 АУДИТОРСЬКА ДІЯЛЬНІСТЬ

Цей розділ містить настанови щодо планування та здійснення аудиторської діяльності як ча­стини програми аудиту. На рисунку 2 представлено загальний опис типової аудиторської діяльності. Ступінь застосування положень цього розділу залежить від сфери та складності конкретного аудиту та передбачуваного використовування висновків аудиту.

Особам, відповідальним за управління програмою аудиту, треба призначити керівника групи з аудиту для проведення конкретного аудиту.

У разі проведення спільного аудиту важливо, щоб аудиторські організації до початку аудиту дійшли згоди щодо конкретної відповідальності кожної організації, особливо щодо повноважень призначеного керівника групи з аудиту.

У контексті загальних цілей програми аудиту кожний конкретний аудит має базуватися на за­документованих цілях, сфері та критеріях.

Цілі аудиту визначають, що повинне бути виконане за допомогою аудиту, і можуть містити:

1. визначення ступеня відповідності системи управління об'єкта аудиту (або її частин) крите­ріям аудиту;

Примітка. Пунктирними лініями зазначено, що будь-які подальші дії після аудиту звичайно не вважаються частиною аудиту.

Рисунок 2 — Загальний опис типової аудиторської діяльності

3. оцінювання здатності системи управління забезпечувати відповідність законодавчим, per- ламентувальним та контрактним вимогам;

4. оцінювання результативності системи управління щодо досягнення її конкретних цілей;

5. визначання сфер потенційного поліпшення системи управління.

Сфера аудиту визначає обсяг та межі аудиту, а саме, місцезнаходження ділянок, структурні підрозділи організації, види діяльності та процеси, які підлягають аудиту, а також строки прове­дення аудиту.

Критерії аудиту використовують як еталон, за яким визначають відповідність, І вони можуть містити застосовні політики, методики, стандарти, закони та регламенти, вимоги системи управ­ління, вимоги контрактів або зводи правил виконання в промисловому/підприємницькому секторі.

Цілі аудиту треба визначати замовнику аудиту. Сферу та критерії аудиту треба визначати за­мовнику аудиту разом з керівником групи з аудиту відповідно до методик програми аудиту. Будь- які зміни в цілях, сфері чи критеріях треба схвалювати тим самим сторонам.

У випадку проведення скомбінованого аудиту важливо, щоб керівник групи з аудиту забезпе­чив відповідність цілей сфери та критеріїв аудиту характеру скомбінованого аудиту.

Треба встановлювати можливість здійснення аудиту з урахуванням, за необхідності, таких факторів:

• достатності та відповідності інформації для планування аудиту;

• належної співпраці з боку об’єкта аудиту;

• достатності часу та ресурсів.

Якщо аудит здійснити неможливо, треба проконсультувавшись з об'єктом аудиту, запропону­вати замовнику аудиту альтернативний варіант.

Якщо встановлено, що аудит здійснити можливо, треба сформувати групу з аудиту, врахову­ючи компетентність, необхідну для досягнення цілей аудиту. Якщо в групі є лише один аудитор, йому слід виконувати всі відповідні обов’язки керівника групи з аудиту. Розділ 7 містить настано­ви щодо визначення потрібної аудитору компетентності і описує процес оцінювання аудиторів.

Під час прийняття рішення щодо чисельності та складу групи з аудиту треба враховувати;

1. цілі, сферу, критерії аудиту і передбачену тривалість аудиту;

2. чи є аудит скомбінованим чи спільним;

3. загальну компетентність групи з аудиту, необхідну для досягнення цілей аудиту;

4. застосовні законодавчі, регламентувальні, контрактні та акредитаційні/сертифікаційні ви­моги;

5. необхідність забезпечення незалежності групи з аудиту від діяльності, що перевіряється, та уникнення конфліктів інтересів;

6. здатність членів групи з аудиту результативно взаємодіяти і співпрацювати з об'єктом аудиту;

д) мову, яку використовують під час аудиту, і розуміння соціальних та культурних особливо­стей об'єкта аудиту; це може забезпечуватись або власним умінням аудитора, або за підтримки технічного експерта.

Процес засвідчення загальної компетентності групи з аудиту має містити такі кроки:

• визначання знань та вмінь, необхідних для досягнення цілей аудиту;

• вибір членів групи з аудиту таким чином, щоб група з аудиту володіла всіма необхідними знаннями та вміннями.

У разі недостатності знань та вмінь аудиторів необхідні знання та вміння забезпечують вклю­ченням до складу групи з аудиту технічних експертів. Технічні експерти мають виконувати роботу під керівництвом аудитора.

Аудитори-стажисти можуть входити до складу групи з аудиту, але їм не треба здійснювати аудит без керівництва чи нагляду.

Як замовник аудиту, так і об’єкт аудиту можуть вимагати заміни окремих членів групи з аудиту за наявності розумних підстав, виходячи з принципів здійснення аудиту, описаних у розділі 4. Розум­ними підставами с, наприклад, ситуації, пов'язані з конфліктом інтересів (коли член групи з ауди­ту є колишнім працівником об'єкта аудиту або надавав йому консультаційні послуги), або мала місце неетична поведінка у минулому. Про такі підстави треба повідомляти керівника групи з ауди­ту і відповідального за управління програмою аудиту, яким треба разом з замовником аудиту та об'єктом аудиту розглянути це питання до прийняття рішення щодо заміни членів групи з аудиту.

6.2.5 Налагодження попереднього зв’язку з об’єктом аудиту

Попередній зв'язок з об’єктом аудиту з питань проведення аудиту може бути неформальним або формальним, а налагоджувати його треба лише особам, відповідальним за управління про­грамою аудиту, або керівнику групи з аудиту. Метою цього зв'язку є:

1. встановлювання способів обміну інформацією з представниками об'єкта аудиту;

2. підтвердження повноважень щодо проведення аудиту;

3. надання інформації про запропонований термін проведення аудиту і склад групи з аудиту;

4. запит щодо доступу до відповідних документів, разом з протоколами;

5. визначання застосовних правил безпеки на місцях проведення аудиту;

6. підготування договору щодо проведення аудиту;

д) погодження присутності спостерігачів і потреби у супроводжувальних особах для групи з аудиту.

До здійснення аудиторської діяльності на місцях треба проаналізувати документацію об’єкта аудиту для визначання відповідності задокументованої системи критеріям аудиту. Документація може включати відповідні документи і протоколи системи управління, а також звіти про попередні аудити. Під час аналізування треба враховувати розмір, характер діяльності і складність органі­зації, а також цілі та сферу аудиту. У деяких ситуаціях це аналізування може бути відкладено до початку робіт на місцях, якщо це негативно не впливатиме на результативність проведення аудиту. В інших ситуаціях може бути здійснене попереднє відвідування місць проведення аудитів з тим, щоб мати відповідне уявлення про наявну інформацію.

Якщо встановлено невідповідність документації, керівнику групи з аудиту треба поінформу­вати про це замовника аудиту, відповідального за управління програмою аудиту та об’єкт ауди­ту. Треба прийняти рішення щодо продовження аудиту або його тимчасового припинення до вирі­шення проблем, пов'язаних з документацією.

Керівнику групи з аудиту треба підготувати план аудиту як основу забезпечення згоди між за­мовником аудиту, групою з аудиту та об'єктом аудиту стосовно проведення аудиту. План має спри­яти здійсненню аудиторської діяльності за графіком та полегшити її координування.

Рівень деталізації Інформації, наданої в плані аудиту, має відповідати сфері та складності аудиту. Деталізація може бути різною, наприклад, для попереднього та наступного аудиту, а та­кож для внутрішнього та зовнішнього аудиту. План аудиту має бути достатньо гнучким щодо вне­сення змін, наприклад, до сфери аудиту, які можуть стати необхідними в ході здійснення ауди­торської діяльності на місцях.

План аудиту може містити;

1. цілі аудиту;

2. критерії аудиту та будь-які документи, на які є посилання;

3. сферу аудиту, включаючи ідентифікацію організаційних і функціональних підрозділів та про­цесів, аудит яких треба проводити;

4. дату та місце проведення аудиту;

5. очікуваний час та тривалість аудиторської діяльності на місцях, включаючи наради з керів­ництвом об'єкта аудиту і наради групи з аудиту;

6. ролі і відповідальність членів групи з аудиту та будь-яких супроводжувальних осіб;

д) надання відповідних ресурсів для критичних елементів аудиту.

План аудиту, за необхідності, може також містити:

8. визначення відповідальної особи від об'єкта аудиту за проведення аудиту;робочу мову аудиту та мову звіту про аудит, якщо це інша мова, ніж та, якою користується аудитор і (або) об'єкт аудиту;

9. тематичний зміст звіту про аудит;

10. домовленість щодо пересування (поїздки, умови перебування на місцях тощо);

1. питання, пов'язані з конфіденційністю;

т) будь-які подальші дії після аудиту.

План має бути проаналізований і прийнятий замовником аудиту та наданий об'єкту аудиту до початку аудиторської діяльності на місцях.

Рішення щодо будь-яких заперечень з боку об'єкта аудиту треба приймати спільно керівнику групи з аудиту, об’єкту аудиту І замовнику аудиту. Будь-які зміни плану аудиту треба узгодити за­цікавленим сторонам до продовження аудиту.

Керівнику групи з аудиту треба шляхом консультації з групою з аудиту встановити для кож­ного члена групи відповідальність за проведення аудиту конкретних процесів, функцій, ділянок, елементів чи видів діяльності. У цьому випадку треба враховувати потребу у незалежності та ком­петентності аудиторів та ефективному використанні ресурсів, а також різні ролі та відповідальність аудиторів, аудиторів-стажистів і технічних експертів. Для забезпечення досягнення цілей аудиту робочі завдання можуть бути змінені під час аудиту.

Членам групи з аудиту треба проаналізувати інформацію, пов’язану з їхніми завданнями з ау­диту, і підготувати робочі документи, необхідні для реєстрування інформації в ході аудиту. Такі ро­бочі документи можуть містити:

• перелік контрольних питань і плани відбирання інформації під час аудиту;

• бланки для реєстрування інформації, такої, як підтверджувальні докази, дані аудиту і про­токоли нарад.

Використовування переліків контрольних питань і бланків не повинне обмежувати обсяг ауди­торської діяльності, який може змінюватися на підставі інформації, зібраної під час аудиту.

Робочі документи, включаючи оформлені на їх основі протоколи, треба зберігати щонайменше до завершення аудиту. Порядок зберігання документів після завершення аудиту описано в 6.7. Документи, що містять конфіденційну чи патентну інформацію, членам групи з аудиту треба зав­жди належним чином охороняти.

6.5 Здійснення аудиторської діяльності на місцях

Попередня нарада має бути проведена за участю керівництва об'єкта аудиту або, за необхідності, відповідальних за діяльність чи процеси, які підлягають аудиту. Метою попередньої наради є:

1. ухвалення плану аудиту;

2. подавання стислого опису того, як буде проведено аудит;

3. підтвердження способів обміну інформацією;

4. надання можливості персоналу об'єкта аудиту задати запитання.

Практична допомога. Попередня нарада