|
5.1 Общие положения Организации, нуждающейся в проведении у себя аудита, следует разработать программу аудита, которая поможет в определении результативности ее системы менеджмента. Программа аудита может включать аудиты, относящиеся к одному или более стандартам на системы менеджмента, проводимые либо раздельно, либо в совокупности. Высшему руководству следует обеспечить разработку целей программы аудита и назначить одно или нескольких лиц быть ответственными за управление программой аудита. Объем программы аудита следует основывать на размерах и характере аудитируемой организации, а также на виде, степени работоспособности, сложности и уровне зрелости системы менеджмента, которая будет подвергнута аудиту. Особое внимание следует уделить выделению ресурсов, необходимых для реализации программы аудита, чтобы аудиту было подвергнуто то, что имеет существенное значение для системы менеджмента. К этому могут быть отнесены ключевые показатели качества продукции, опасности, влияющие на здоровье и безопасность, или значительные экологические аспекты, а также методы и способы управления всем этим. ПРИМЕЧАНИЕ. Такой подход известен как аудит, основанный на оценке рисков. Настоящий международный стандарт не содержит руководящих указаний по проведению таких аудитов. В программу аудита следует включать информацию и ресурсы, необходимые для того, чтобы организовать и провести соответствующие аудиты результативно и эффективно в установленных временных рамках. Программа аудита может также включать в себя: - цели программы аудита и конкретных аудитов;
- объем, количество, виды, продолжительность, место проведения и содержание (круг подвергаемых анализу вопросов) аудитов;
- процедуры реализации программы аудита;
- критерии аудита;
- методы проведения аудита;
- порядок формирования команд по аудиту;
- определение необходимых ресурсов, включая вопросы перемещения и проживания;
- порядок обеспечения конфиденциальности, информационной безопасности, охраны здоровья и обеспечения безопасности труда, а также решения других аналогичных проблем.
Ход реализации программы аудита следует подвергать мониторингу и измерениям в целях обеспечения того, чтобы ее цели были достигнуты. Ход программы следует анализировать для выявления возможных улучшений. На рис. 1 представлена блок-схема управления программой аудита.  ПРИМЕЧАНИЕ 1. Данный рисунок иллюстрирует применение цикла PDCA (планируйте -делайте - проверяйте - действуйте) к настоящему международному стандарту.
ПРИМЕЧАНИЕ 2. Указанные на рисунке номера разделов и подразделов являются номерами соответствующих разделов и подразделов данного международного стандарта. Рис. 1. Блок-схема процесса управления программой аудита 5.2 Установление целей программы аудита Высшему руководству следует обеспечить установление целей для программы аудита, чтобы можно было осуществлять планирование и проведение аудитов, а также обеспечить, чтобы программа аудитов реализовывалась результативно. Целям программы аудита следует быть согласованными с политикой и целями системы менеджмента и направленными на их поддержку. Эти цели могут быть основаны на итогах рассмотрения: - приоритетов, имеющихся у руководства организации;
- коммерческих и других намерений, относящихся к бизнесу;
- характеристик процессов, продукции и проектов и любых изменений в этих характеристиках;
- требований к системе менеджмента;
- правовых (законодательных и нормативных) и контрактных требований, а также других требований, которые организация обязалась выполнять;
- потребностей в оценивании поставщиков;
- потребностей и ожиданий заинтересованных сторон, включая потребителей;
- уровня деятельности аудитируемой организации, отражающего степень повторяемости несоответствий или инцидентов или жалоб со стороны потребителей;
- рисков аудитируемой организации;
- результатов предыдущих аудитов;
- уровня зрелости системы менеджмента, подвергаемой аудиту.
Примерами целей программы аудита могут быть: - внести вклад в улучшение системы менеджмента и показателей ее функционирования;
- добиться выполнения внешних требований, например требований стандарта на систему менеджмента в целях ее сертификации;
- верифицировать соответствие контрактным требованиям;
- оценить и подтвердить возможность доверия к способностям поставщика;
- определить результативность системы менеджмента;
- оценить согласованность и связь целей системы менеджмента с политикой системы менеджмента и общими целями организации.
5.3 Разработка программы аудита 5.3.1 Обязанности и ответственность лица, осуществляющего управление программой аудита Лицу, осуществляющему управление программой аудита, следует: - установить объем программы аудита;
- выявить и оценить риски для программы аудита;
- установить ответственность за проведение аудитов;
- разработать процедуры для программы аудита;
- определить необходимые ресурсы;
- обеспечить реализацию программы аудита, включая установление целей аудита, область и критерии конкретных аудитов, определение методов проведения аудитов, а также формирование команды по аудиту и оценивание аудиторов;
- обеспечить ведение и сохранение соответствующих записей по программе аудита;
- проводить мониторинг, анализ и улучшение программы аудита.
Лицу, осуществляющему управление программой аудита, следует информировать высшее руководство о содержании программы аудита и, где это необходимо, просить ее официально одобрить. 5.3.2 Компетентность лица, осуществляющего управление программой аудита Лицу, осуществляющему управление программой аудита, следует иметь необходимую компетентность для результативного и эффективного управления программой аудита и связанными с ней рисками, а также обладать знаниями и навыками в следующих областях: - принципы, процедуры и методы проведения аудитов;
- стандарты на системы менеджмента и связанные с ними документы;
- деятельность, осуществляемая аудитируемой организацией, ее продукция и процессы;
- правовые (законодательные и нормативные) и другие требования, применимые к деятельности аудитируемой организации и к ее продукции;
- потребители и поставщики аудитируемой организации, а также другие заинтересованные стороны - где это применимо.
Лицу, осуществляющему управление программой аудита, следует обеспечивать свое постоянное профессиональное развитие в целях поддержания своих знаний и навыков на уровне, необходимом для управления программой аудита. 5.3.3 Установление объема программы аудита Лицу, осуществляющему управление программой аудита, следует определить объем этой программы, который может быть разным в зависимости от размеров и характера аудитируемой организации, а также от вида, степени работоспособности, сложности, уровня зрелости системы менеджмента, которая будет подвергнута аудиту, и тех вопросов, которые являются важными для этой системы. ПРИМЕЧАНИЕ. В некоторых случаях, в зависимости от структуры аудитируемой организации или характера ее деятельности, программа аудита может состоять только из одного аудита (например аудита деятельности в рамках небольшого проекта). Другими факторами, влияющими на глубину программы аудита, являются следующие: - цели, область и продолжительность каждого аудита и общего количества аудитов, которые предстоит провести, включая (при возникновении такой необходимости) действия, которые необходимо осуществить по завершении аудита;
- количество, важность, сложность, степень аналогичности и место осуществления тех видов деятельности, которые подлежат аудиту;
- факторы, влияющие на результативность системы менеджмента;
- используемые критерии аудита, такие, как мероприятия, запланированные для внедрения соответствующих стандартов на системы менеджмента, правовые (законодательные и нормативные) и контрактные требования, а также другие требования, которые организация обязалась выполнять;
- заключения по итогам предыдущих внутренних или внешних аудитов;
- языковые, культурные и социальные аспекты;
- проблемы, волнующие заинтересованные стороны, такие, как жалобы потребителей или несоответствия правовым требованиям;
- существенные изменения, происшедшие в аудитируемой организации или в ее производственной деятельности;
- применяемые информационные технологии и средства коммуникации для поддержки деятельности по аудиту, в частности, при использовании метода проведения аудита организаций с отдаленными производственными площадками (см. раздел В.1);
- имевшие место внутренние и внешние происшествия, такие, как отказы продукции и/или выявление в ней несоответствий, утечка важной информации, инциденты в области охраны здоровья и обеспечения безопасности труда, криминальные действия или инциденты в области охраны окружающей среды.
5.3.4 Выявление и оценка рисков для программы аудита Существует много различных рисков, касающихся разработки, реализации, проведения мониторинга, анализа и улучшения программы аудита, которые могут влиять на достижение целей в этих компонентах управления программой аудита. Лицу, осуществляющему управление программой аудита, следует учитывать эти риски при разработке соответствующих компонентов управления. Эти риски могут касаться следующего: - планирования, например: установление неадекватных целей аудитов и неадекватного объема программы аудита;
- ресурсов, например: выделение недостаточного времени для разработки программы аудита или для проведения аудита;
- формирования команды по аудиту, например: составление команды, которая не обладает в совокупности компетентностью, необходимой для результативного проведения аудита;
- реализации программы, например: недостаточно результативная коммуникация в ходе реализации программы;
- ведения записей и управления ими, например: недостаточно адекватная защита записей по аудиту, необходимых для демонстрации результативности программы аудита;
- мониторинга хода реализации программы, ее анализа и улучшения, например: отсутствие результативного мониторинга результатов программы аудита.
5.3.5 Разработка процедур для программы аудита Лицу, осуществляющему управление программой аудита, следует разработать одну или несколько процедур, устанавливающих (в той степени, в которой это применимо) порядок осуществления следующего: - планирования и составления графика аудитов с учетом рисков для программы аудитов;
- обеспечения информационной безопасности и соблюдения требований к конфиденциальности;
- обеспечения необходимой компетентности аудиторов и руководителей команд по аудиту;
- формирования соответствующих команд по аудиту, а также распределения обязанностей и ответственности между членами команды;
- проведения аудитов, включая применение подходящих методов осуществления выборки примеров для анализа;
- осуществления действий по завершении аудита, если таковые будут необходимы;
- представления высшему руководству отчетов об общих итогах реализации программы аудита;
- ведения и сохранения записей по программе аудита;
- проведения мониторинга и анализа деятельности и рисков и повышения результативности программы аудита.
5.3.6 Выявление ресурсов, необходимых для реализации программы аудита При выявлении ресурсов, необходимых для реализации программы аудита, лицу, осуществляющему управление программой аудита, следует учесть: - финансовые ресурсы, необходимые для разработки и реализации деятельности по проведению аудитов, а также для управления этой деятельностью и ее улучшения;
- методы проведения аудитов;
- наличие аудиторов и технических экспертов, обладающих компетентностью, необходимой для достижения конкретных целей программы аудита;
- объем программы аудита и относящиеся к ней риски;
- временные и финансовые затраты на переезды, вопросы проживания и необходимость реализации других потребностей, возникающих в ходе аудита;
- имеющиеся информационные технологии и средства коммуникации.
5.4 Реализация программы аудита 5.4.1 Общие положения Лицу, осуществляющему управление программой аудита, следует обеспечить реализацию программы аудита посредством: - доведения соответствующих частей программы аудита до связанных с ними сторон и периодического информирования этих сторон о ходе реализации программы;
- установления целей, области и критериев для каждого конкретного аудита;
- координации и составления графиков проведения аудитов и осуществления другой деятельности в соответствии с программой аудита;
- формирования команд по аудиту, обладающих необходимой компетентностью;
- предоставления командам по аудиту необходимых ресурсов;
- обеспечения проведения аудитов в соответствии с программой аудита и в пределах согласованных временных рамок;
- обеспечения фиксирования по ходу аудита осуществляемой деятельности, нахождения этих записей под соответствующим управлением и их сохранения.
5.4.2 Установление целей, области и критериев для конкретного аудита Каждый конкретный аудит следует основывать на документально оформленных целях, области и критериях аудита. Им следует быть установленными лицом, осуществляющим управление программой аудита, и быть согласованными с общими целями программы аудита. Цели аудита определяют, что должно быть достигнуто в ходе конкретного аудита, и могут включать в себя: - определение того, в какой степени система менеджмента или ее часть соответствует критериям аудита;
- определение того, в какой степени деятельность, процессы и продукция соответствуют требованиям и процедурам, установленным в рамках системы менеджмента;
- оценивание того, в какой степени система менеджмента обладает способностями обеспечивать соблюдение правовых (законодательных и нормативных) и контрактных требований, а также других требований, которые организация обязалась выполнять;
- оценивание результативности системы менеджмента в достижении поставленных целей;
- выявление областей потенциального улучшения системы менеджмента.
Области проведения аудита следует соответствовать программе и целям аудита. В нее входят такие составные части, как подвергаемые аудиту территории (производственные площадки), организационные единицы, виды деятельности и процессы, а также период времени, в течение которого будет анализироваться деятельность, подвергаемая аудиту. Критерии аудита используются как ссылки, применительно к которым оценивается соответствие. К ним могут относиться применимые политики, процедуры, стандарты, правовые (законодательные и нормативные) требования, требования к системе менеджмента, контрактные требования, отраслевые своды правил или другие запланированные мероприятия. В случае внесения каких-либо изменений в цели, область или критерии аудита, программу аудита, если это необходимо, следует откорректировать. Если аудиту одновременно подвергаются две или более системы менеджмента разных типов (комбинированный аудит), важно, чтобы цели, области и критерии аудита были согласованы с целями соответствующих программ аудита. 5.4.3 Выбор методов проведения аудита Лицу, осуществляющему управление программой аудита, следует отобрать и определить методы результативного проведения аудита, исходя из установленных целей, объема и критериев аудита. ПРИМЕЧАНИЕ. Руководящие указания по выбору методов проведения аудита представлены в приложении В. Если две или более аудитирующих организаций проводят совместно аудит одной и той же аудитируемой организации, лицам, осуществляющим управление конкретными программами аудитов, следует согласовать метод проведения аудита и рассмотреть вопрос ресурсного обеспечения и планирования аудита. Если в аудитируемой организации функционируют две или более систем менеджмента разного вида, в программу аудита может быть включено проведение комбинированного аудита. 5.4.4 Формирование команды по аудиту Лицу, осуществляющему управление программой аудита, следует назначить членов команды по аудиту, включая руководителя команды и всех технических экспертов, необходимых для проведения конкретного аудита. Команду по аудиту следует формировать, учитывая компетентность, необходимую для достижения целей конкретного аудита в рамках установленной области аудита. Если в состав команды входит только один аудитор, ему следует выполнять все обязанности, возлагаемые на руководителя команды. ПРИМЕЧАНИЕ. В разделе 7 содержатся руководящие указания по определению компетентности, требуемой членам команды по аудиту, и описание процесса оценивания аудиторов. При решении вопроса о количественном и качественном составе команды по аудиту для проведения конкретного аудита следует учесть: - обеспечивает ли совокупная компетентность членов команды по аудиту потребности, необходимые для достижения целей аудита, принимая во внимание область и критерии аудита;
- сложность аудита, а также то, является ли аудит комбинированным или совместным;
- методы, которые должны быть выбраны для проведения аудита;
- правовые (законодательные и нормативные) и контрактные требования, а также другие требования, которые организация обязалась выполнять;
- необходимость обеспечения независимости членов команды по аудиту от аудитируемой деятельности, а также исключения любых конфликтов интересов [см. принцип е) в разделе 4];
- способность членов команды по аудиту результативно взаимодействовать с представителями аудитируемой организации и работать совместно;
- язык, на котором будет проходить общение во время аудита, а также социальные и культурные особенности аудитируемой организации. Эти проблемы могут быть разрешены либо путем приобретения и наличия соответствующих навыков у самих аудиторов, либо посредством обращения за помощью к техническим экспертам.
Чтобы обеспечить наличие общей компетентности членов команды по аудиту, следует: - выявить знания и навыки, необходимые для достижения целей аудита;
- включить в состав команды по аудиту таких лиц, которые в совокупности обеспечат наличие в команде необходимых знаний и навыков.
Если совокупная компетентность аудиторов, включенных в состав команды по аудиту, не соответствует требуемой, в состав команды следует включить технических экспертов с дополнительной компетентностью. Техническим экспертам следует действовать под руководством аудиторов, но им не следует действовать в качестве аудитора. В состав команды по аудиту могут быть включены аудиторы-стажеры, но им следует действовать под руководством аудиторов и в соответствии с их указаниями. По ходу аудита может потребоваться изменить количественный и качественный состав команды по аудиту, например, если выявится наличие конфликта интересов или отсутствие необходимого уровня компетентности. При возникновении такой ситуации ее следует обсудить с соответствующими сторонами (например: с руководителем команды по аудиту, лицом, осуществляющим управление программой аудита, заказчиком аудита или аудитируемой организацией) до того, как в команде будут осуществлены какие-то изменения. 5.4.5 Возложение ответственности на руководителя команды по аудиту за конкретный аудит Лицу, осуществляющему управление программой аудита, следует возложить ответственность за проведение конкретного аудита на руководителя команды по аудиту. Эту ответственность следует возложить заблаговременно с точки зрения установленной даты проведения аудита, чтобы обеспечить его результативное планирование. Для того чтобы обеспечить результативное проведение конкретного аудита, до руководителя команды по аудиту следует довести следующую информацию: - цели аудита;
- критерии аудита и все соответствующие ссылочные документы;
- область аудита, включая указание организационных и функциональных единиц и процессов, которые должны быть подвергнуты аудиту;
- методы и процедуры проведения аудита;
- состав команды по аудиту;
- контактная информация об аудитируемой организации, месте ее расположения, времени начала и продолжительности аудита;
- ресурсы, выделяемые для проведения аудита;
- информация, необходимая для оценки выявленных рисков, оказывающих влияние на достижение целей аудита, и управления ими.
Предоставляемой руководителю команды по аудиту информации следует также (в том объеме, в котором это применимо) отражать следующие темы: - язык общения между аудиторами и аудитируемой организацией и язык, на котором будет представлена отчетная информация об аудите, если аудиторы используют разные языки и/или их язык отличается от языка, который используется в аудитируемой организации;
- содержание отчета об аудите и схема его распространения, требуемые программой аудита;
- вопросы конфиденциальности и информационной безопасности, если это требуется в программе аудита;
- требования к охране здоровья и обеспечению безопасности труда аудиторов;
- требования к обеспечению личной безопасности и предоставленные полномочия;
- требования к осуществлению действий после завершения аудита, например (если это применимо), к действиям, которые должны быть осуществлены по итогам предыдущего аудита;
- порядок координации с деятельностью по проведению аудита, осуществляемой другими сторонами, в случае проведения совместного аудита.
В случае проведения совместного аудита важно еще до начала аудита достичь согласия между организациями, проводящими аудит, относительно конкретной ответственности каждой из сторон, особенно в части полномочий руководителя сводной команды по этому аудиту. 5.4.6 Управление результатами реализации программы аудита Лицу, осуществляющему управление программой аудита, следует обеспечить, чтобы: - был проведен анализ отчетов об аудите, включая оценивание пригодности и адекватности результатов аудита, и их утверждение;
- был проведен анализ действий по установлению коренных причин выявленных несоответствий и результативности корректирующих и предупреждающих действий;
- отчеты об аудите были направлены высшему руководству и другим соответствующим сторонам;
- была определена необходимость в каких-то дополнительных аудитах.
5.4.7 Управление записями по программе аудита и их сохранение Лицу, осуществляющему управление программой аудита, следует обеспечить ведение записей об аудите, управление ими и их сохранность для демонстрации того, что программа аудита была реализована. Следует установить порядок, обеспечивающий необходимую конфиденциальность в отношении записей об аудите. Записям следует включать в себя следующее: a) записи, относящиеся к программе аудита, такие, как:
- документально оформленные цели и объем программы аудита;
- записи, относящиеся к рискам в отношении программы аудита;
- записи об анализах результативности программы аудита;
b) записи, относящиеся к каждому конкретному аудиту, такие, как:
- планы аудитов и отчеты об аудитах;
- отчеты о несоответствиях;
- отчеты о корректирующих и предупреждающих действиях;
- отчеты о действиях, осуществленных по завершении аудитов (если таковые были);
c) записи, относящиеся к персоналу, участвующему в аудитах, по таким вопросам, как:
- результаты оценивания компетентности и деятельности членов команды по аудиту;
- формирование команд по аудиту и отбор членов команд;
- записи о поддержании и повышении компетентности. Формату и степени детализации записей следует обеспечить демонстрацию того, что цели программы аудита были достигнуты. 5.5 Мониторинг программы аудита Лицу, осуществляющему управление программой аудита, следует проводить мониторинг хода ее реализации, оценивая при этом: - степень соответствия программам, графикам проведения и целям аудитов;
- деятельность членов команды по аудиту;
- способность команд по аудиту реализовать план аудита;
- информацию, получаемую в качестве обратной связи от высшего руководства, аудитируемых организаций, аудиторов и других заинтересованных сторон.
Некоторые факторы могут вызвать необходимость в актуализации программы аудита, например следующие: - результаты аудита;
- продемонстрированный уровень результативности системы менеджмента;
- изменения в системе менеджмента заказчика аудита или аудитируемой организации;
- изменения в стандартах, правовых (законодательных и нормативных) и контрактных требованиях, а также в других требованиях, которые организация обязалась выполнять;
- смена поставщика.
5.6 Анализ и улучшение программы аудита Лицу, осуществляющему управление программой аудита, следует проводить анализ программы аудита, чтобы оценить, достигнуты ли ее цели. Выводы, сделанные в ходе анализа программы аудита, следует использовать в качестве входных данных к процессу постоянного улучшения программы. При проведении анализа программы аудита следует рассмотреть: - результаты и тренды, установленные в ходе мониторинга программы аудита;
- степень соответствия процедурам программы аудита;
- выявленные потребности и ожидания заинтересованных сторон;
- записи по программе аудита;
- альтернативные или новые методы проведения аудита;
- результативность мер по снижению рисков, относящихся к программе аудита;
- вопросы конфиденциальности и информационной безопасности, относящиеся к программе аудита. Лицу, осуществляющему управление программой аудита, следует анализировать ход реализации про граммы аудита в целом, выявлять области для улучшения, вносить, при необходимости, изменения в программу, а также:
- проводить анализ постоянного профессионального развития аудиторов в соответствии с положениями разделов 7.4, 7.5 и 7.6;
- представлять отчеты о результатах анализа программы аудита высшему руководству.
|
