ЕЩЕ РАЗ О ВНУТРЕННЕМ АУДИТЕ №3.

начало здесь

Итак, в прошлый раз я "прошелся" по одной из техник аудита - по интервью. Я рассказал все из того, чем сам пользуюсь при осуществлении внутренних аудитов. Может и не все, может я что-нибудь и упустил (erare humanum est, как-никак), но самое важное все же рассказал. Пойдем дальше.

Каким бы эффективным не были Ваши интервью, их не достаточно для того, чтобы произвести качественный продукт аудита. Интервью во время аудита всегда "ходит" рядом с двумя другими техниками - непосредственным наблюдением за деятельностью (прослеживанием) английские термины "tracing" и "sampling").

Ни одна из техник аудита не является достаточной для эффективного и продуктивного аудита. Они дополняют друг друга и, строго говоря не существуют в чистом виде.

О прослеживании говорить много не стоит, поскольку его можно описать очень просто: Вы наблюдаете за тем, как происходит та или иная деятельность. Это легко понять и не требует особых пояснений в принципе. По правде говоря, мне даже не приходит в голову ни одной рекомендации по прослеживанию, которая не являлась бы совершенно тривиальной.

Как-то встретил в одном руководстве для аудиторов фразу: "Прослеживание наиболее эффективно для "неосязаемых" процессов, как-то проектирование, разработка …". Написана ерунда, на мой взгляд. Самое "неосязаемое" в таких процессах происходит в голове исполнителя - а это проследить довольно проблематично :-). Все остальное в этих процессах вполне подлежит формализации.

А вот на выборочном контроле следует остановиться поподробнее.

Предлагаю Вам четыре вопроса с ответами (по возможности) :-).

1. Что подлежит выборке?

При словах "выборочный контроль", "выборочная проверка" автоматически возникает ассоциация с продукцией, чем-то, что можно пощупать руками. Это не совсем верно. Выборке подлежит все, с чем имеет дело аудитор. Более того, у аудитора просто нет другого выбора, кроме как постоянно использовать выборку, осознает он это или нет :-).

Судите сами. Мы не можем просмотреть все данные в журнале, мы не можем поговорить с каждым сотрудником и т.п. Значит, мы постоянно сознательно ограничиваем часть объекта аудита для изучения.

2. Как отбирать?

Ответ, очевидно, зависит от того, что отбирать :-). Также, выборка должна производиться таким образом, чтобы она была с одной стороны статистически значимой, а, с другой стороны, экономически обоснованной.

Однако, не стоит сразу бежать за учебниками по промышленной статистике. Нет, это конечно очень полезно, но есть более простой способ. Советую обратить внимание на старые добрые ГОСТы. Например, ГОСТ 18321-79 "Методы случайного отбора выборок штучной продукции" для методов отбора - все просто, понятно, и, что самое приятное, не требует особых знаний статистики. По поводу знаний - шутка :-).

Естественно, существует много подобных стандартов, достаточно набрать в поисковике фразу "Статистический контроль качества". Я знаю, что в России этими стандартами занимается технический комитет ТК 125 Госстандарта РФ. Есть также масса стандартов по статистическому контролю, разработанных ISO.

3. Сколько отбирать?

Это зависит от двух факторов: какой уровень значимости (если хотите, уровень доверия к полученному результату) необходим, и сколько дефектных экземпляров в популяции.

То же все круто "замешано" на статистике. Но рецепт все тот же - не нужно изобретать "велосипед с квадратными колесами" так как есть стандарты, описывающие планы контроля.

Хотя, по правде говоря, познакомиться с основами статистики все же рекомендую всем. Тем более, что в Интернете в свободном доступе лежит электронный "учебник" по статистике от фирмы-разработчика одного популярного программного пакета по статистике. Конечно, на полноценный учебник не тянет, а вот в качестве справочника очень даже ничего.

4. Как представлять результаты выборочного контроля?

Надеюсь, Вы помните о том, что любые результаты аудита носят вероятностный характер. Это в полной мере относится к результатам выборочного контроля. Представляя результаты выборочного контроля необходимо об этом не забывать.

Хороший вариант представления результатов выборочного контроля выглядит примерно так: "12 изделий из 50 проверенных (из партии в 1000 изделий) не соответствовали требованиям". Несколько хуже написать просто "12 изделий из 50 проверенных", т.е. никак не обозначить объем партии (естественно, это не касается случая, когда выборочной проверке подвергаются не партии, а потоки изделий). И совсем никуда не годятся записи вроде "Зафиксировано наличие 12 бракованных изделий" или "24% проверенных изделий не соответствовали требованиям".

Что интересно (и печально одновременно), аудиторы даже уважаемых органов по сертификации (по крайней мере, работающих в Украине) зачастую используют в своих отчетах именно такие вот неудачные формулировки.

Выборочный контроль проехали. По-крайней мере, я рассказал все, что пришло в голову.

Хочу теперь сказать пару слов о наблюдениях аудита. Надо полагать, после того, как Вы попробовали все написанное ранее они (наблюдения) появились :-). Под наблюдением я здесь понимаю факты зафиксированного несоответствия объекта аудита критериям аудита.

Обратите, пожалуйста, самое пристальное внимание на то КАК именно вы формулируете Ваши наблюдения - если конечно Вы хотите чтобы на них отреагировали небожители :-).

Приведу несколько примеров не самых удачных формулировок и объясню, почему считаю их таковыми.

1. "Выбор поставщика был произведен не на основании его способностей отвечать определенным требованиям, а на основании цены продукции"

Если Вы сформулируете наблюдение таким образом, Вы скорее всего услышите от руководителя тот самый вопрос, о котором я уже вспоминал раньше: "Ну и что с того?"

Во-первых, поставщика чего? Во-вторых, каким "определенным требованиям"? Для поставщика канцелярских скрепок цена вполне может быть единственным принимаемым во внимание требованием. А для поставщика, например, мини-атс для офиса это действительно плохо. Ну и, наконец, совершенно неясно, где именно определены эти самые требования.

2. "Протоколы качества не внедрены в широкое использование в организации"

Отвратительная формулировка. Отвратительная, потому что для подтверждения такой формулировки необходимо привести колоссальное количество объективных доказательств. А кроме того, фраза "не внедрены в широкое использование" совершенно расплывчата.

3. "Из-за дублирования ответственности аудиторам не удалось локализовать 12 из 50 бракованных ключей, возвращенных потребителем"

Достаточно неплохо. Но и это выражение можно улучшить. Например так: "Аудиторам не удалось локализовать 12 из 50 бракованных ключей, возвращенных потребителем. Мастер цеха также не смог предоставить доказательств того, что необнаруженные бракованные изделия не могут находиться среди качественной продукции".

И еще одно замечание к этому наблюдению: я бы никогда не указал на возможную причину в таком виде, как это сделано в примере.

Я бы написал, например, так: "Наиболее вероятная причина несоответствия - дублирование ответственности за осуществление изоляции бракованной продукции между мастером смены и мастером цеха при отсутствии однозначных формальных указаний, кто из них в каких случаях отвечает за изоляцию несоответствующей продукции"

Я не выдумывал эти примеры. Из трех примеров один давали на курсах внутренних аудиторов, на которых довелось присутствовать и мне, один взят из реально существующего заключения сертификационного аудита, а один взят из руководства для внутренних аудиторов североамериканской фирмы. Попробуйте теперь определить какой из примеров откуда взят. Это вместо домашнего задания :-).

Нужно ли как-то классифицировать наблюдения? Думаю, что этого лучше не делать. Любая классификация получается нежизнеспособной, поскольку существенность наблюдения зависит от многих факторов, все из которых невозможно учесть при описании правил классификации. По крайней мере, "наигравшись" в классификацию несоответствий по трем и даже четырем категориям важности я отказался от этой затеи - слишком субъективно, труднообъяснимо, невоспроизводимо.

Наблюдения либо существенны, либо нет - в зависимости от ситуации. Более того, по моему мнению к внутреннему аудиту неприменим подход сертифицирующих организаций, когда некая "критическая масса" несущественных наблюдений превращается в существенное замечание. Такой себе переход количества в качество :-). Я считаю, что для внутреннего аудита большое количество несущественных наблюдений остаются просто большим количеством несущественных наблюдений.

В заключение поговорим о заключении :-). Вернее о том, как его писать.

Наиболее правильным в данном случае было бы сказать "Так как Вы сами посчитаете нужным". Однако, так как я пишу все это чтобы помочь тем людям, которые еще не имеют необходимого опыта, я дам несколько рекомендаций, а Вы сами их опробуете на практике, и выберете наиболее приемлемые. Поехали по порядку.

Совет 1. Начинайте заключение аудита с… выводов.

Выводы - это финальная точка в работе аудитора, но для заключения аудита это самое что ни на есть начало. Следуя этой рекомендации Вы сразу отмечаете те области, на которых следует концентрироваться руководителю при изучении заключения дабы не "растекашися мыслью по древу".

Каким должен быть вывод? Как я ранее говорил, я предлагаю формулировать вывод в терминах адекватности формальной модели системы менеджмента.

В случае "положительных" выводов, хорошие примеры можно подсмотреть в заключениях сертификационных аудитов. В случае "отрицательных" выводов этот фокус не пройдет, т.к. Вам будет очень сложно найти заключение сертификационного аудита с заключением о неадекватности системы :-).

Вообще, сказать, что вывод должен быть "именно таким, и никаким другим", неправильно. Но совершенно очевидно что вывод должен непосредственно следовать из наблюдений, которые представлены в заключении. Вот вам кстати и критерий для определения того, показывать или нет то или иное наблюдение в заключении: если наблюдение подтверждает вывод - то да, в противном случае - нет.

Совет 2. Представляйте наблюдения по мере убывания их важности.

На курсах аудиторов вам, возможно, говорили о том, как следует представлять результаты аудита на заключительном совещании. Помните, "…сначала следует отметить образцовые и положительные участки, потом сказать о мелких замечаниях и в конце представить серьезные несоответствия…". Если вы имеете возможность понаблюдать за работой аудиторов сертифицирующих органов, Вы могли заметить, что они в большинстве придерживаются именно такой линии поведения.

Вспомнили? Я же здесь предлагаю поступить наоборот. Ошибка? Думаю нет. Ведь потребитель заключения аудита - это топ, а ему важнее в первую очередь обратить внимание на самые большие ляпы. Тут не до политесов.

Совет 3. Излагайте наблюдения ясно, но как можно меньшим количеством слов.

No comments. Например, написать заключение аудита в таком стиле, как я пишу эту (и предыдущие) статьи - непростительная наглость :-).

Совет 4. Приводите объективные доказательства, которые подтверждают Ваши наблюдения и сделанные выводы.

Причем, доказательства должны быть еще и убедительными. Довольно жалко смотрятся пассажи типа "20% накладных не содержат одной или более предусмотренных подписей. Пример: накладная от 01.01.01 №01". Во-первых, вспомним то, что я говорил о формулировке наблюдений. Во-вторых, если 20% не соответствуют, а как пример дана ссылка на 1 экземпляр, можно подумать, что проверили "аж" 5 штук накладных :-).

А самый убогий вариант, который я видел - это когда наблюдение "протоколы качества не внедрены в широкое использование в организации" сопровождалось в качестве доказательства примерами всего-навсего 2-х случаев некорректного обращения с протоколами.

Но! И у этого совета есть оборотная сторона, которую может проиллюстрировать

Совет 5. Указывайте эффект, к которому может привести то или иное наблюдение

Например, наблюдение вида "Из 100 имеющихся в досье договоров проверены 40. Из них 2 не были проанализированы в соответствии с процедурой ААА" может показаться не сильно критичным, так как процент несоответствующих договоров невелик. Но что если сумма по этим 2 договорам составляет половину от суммы всех остальных проверенных 38 договоров? Ситуация несколько меняется :-), и наблюдение становится достаточно существенным для руководителя.

Таким образом, важность и объективность выводов может быть уменьшена или усилена посредством различной формулировки одного и того же наблюдения.

Написав заключение внимательно перечитайте его. Представьте, что Вы написанное Вами заключение продаете за деньги (фактически, так оно и есть, в конце концов). Задайте себе вопрос "Я бы сам за это заплатил?".

ЗАКЛЮЧЕНИЕ

Внутренний аудит - достаточно важная часть системы. В этом плане очень показательным было место ВА в модели ISO 9001 предыдущей версии этого стандарта. Там внутренний аудит как бы "раскручивал" колесо, состоящее из 20-и элементов системы качества.

Но как бы хорошо Вы не реализовали систему аудита у себя в организации, какие бы блестящие заключения аудитов не производили - без правильного сочленения системы аудита с другими подсистемами управления Вы вряд ли получите что-то, кроме просто блестящих заключений.

Уф-ф… Тяжело после отдыха писать такие большие тексты :-). Но как бы там ни было, я таки добрался до конца…чего? Уже совершенно ясно, что это не руководство к действию, но скорее обобщение некоторого опыта.

Наверное это объяснимо. Как ни крути, аудит остается большей частью эвристическим, неформальным методом. "За бортом" остались некоторые аспекты аудита, такие как взаимодействия в аудиторских группах, различные совещания. Но эти аспекты менее интересны, так как они-то как раз достаточно легко формализуются. Кстати, как и обещал в самом начале, прикладываю к заключительной части эпопеи один из вариантов такой формализации - процедуру аудита, которая разработана в соответствии с требованиями ISO 19011

Если хоть один человек смог найти что-то полезное для себя в том, что я тут написал, можно считать, что свою задачу я выполнил.

Вот теперь точно все. Спасибо всем, кто уже прислал свои отзывы или принял участие в обсуждении.