Governance & Compliance · 5 min læsning · Nicolai Glargaard
Intern audit, sådan gennemfører du den korrekt
Intern audit er ledelsessystemets vigtigste forbedringsredskab. Sådan planlægges og gennemføres en intern audit der finder reelle forbedringer, ikke kun formaliteter.
Vidensartikel · ISO-ledelsessystem · SMV-fokus
Intern audit er ikke en kontroløvelse. Det er ledelsessystemets vigtigste forbedringsredskab. Alligevel behandles det i mange organisationer som en formalitet, der gennemføres hurtigst muligt inden den eksterne audit. Den tilgang koster mere, end den sparer.
- Niveau
- Grundlæggende
- Anvendelse
- ISO 9001, 14001, 27001, 45001
- Læsetid
- ca. 5 minutter
Grundforståelse
Hvad en intern audit er, og hvad den ikke er
En intern audit er en systematisk, uafhængig gennemgang af, om ledelsessystemet fungerer som planlagt og opfylder standardens krav. Det er ikke en inspektion af medarbejdere, en fejljagt eller en forberedelse til ekstern audit. Det er en struktureret mulighed for at se organisationen udefra og opdage det, den daglige drift gør usynligt.
ISO kræver et planlagt auditprogram der dækker alle relevante processer og krav over en defineret periode, typisk et år. Omfang og frekvens skal afspejle processernes kritikalitet og tidligere auditresultater.
De tre faser
Forberedelse, gennemførelse og opfølgning
- Fase 1, Forberedelse: Definer omfang og kriterier. Udarbejd tjekliste baseret på standardkrav og tidligere fund. Planlæg tidspunkt og orienter auditerede roller i god tid.
- Fase 2, Gennemførelse: Indledende møde. Gennemgang af dokumentation, interviews og observation. Afsluttende møde med præsentation af foreløbige fund.
- Fase 3, Opfølgning: Auditrapport med fund, afvigelser og observationer. Korrigerende handlinger defineres og tildeles ansvar. Verifikation af implementering.
Trin for trin
Sådan gennemføres en intern audit i praksis
- Udarbejd et auditprogram for året: Planlæg hvilke processer og krav der auditeres hvornår. Prioritér processer med høj risiko, tidligere afvigelser eller væsentlige ændringer siden sidst. Auditprogrammet er et ISO-krav og et styringsredskab der sikrer systematik frem for tilfældighed.
- Udpeg en uafhængig auditor: Auditoren må ikke auditere egne processer. I SMV'er med få medarbejdere kan det betyde, at to kolleger krydsvurderer hinandens processer, eller at en ekstern ressource benyttes til dele af auditprogrammet. Uafhængighed er ikke en formalitet, det er forudsætningen for objektive fund.
- Forbered en tjekliste baseret på standardkrav og processer: En tjekliste sikrer systematisk dækning og giver auditoren et struktureret udgangspunkt. Den skal ikke følges slavisk. Den er et redskab, ikke et manuskript. Gode auditorer følger op på interessante svar med uddybende spørgsmål, der ikke stod på listen.
- Gennemfør auditmødet struktureret: Start med et kort indledende møde: formål, omfang og tidsplan. Gennemgå dokumentation, stil åbne spørgsmål og observér processer i praksis. Afslut med et møde hvor foreløbige fund præsenteres. Ingen må overraskes af det, der står i rapporten.
- Dokumentér fund korrekt: Klassificér fund som: afvigelse (non-conformity), observation (potentielt problem) eller positiv praksis. Afvigelser kræver korrigerende handlinger. Observationer kræver vurdering. Positive praksisser kan deles på tværs af organisationen.
- Følg op på korrigerende handlinger: En afvigelse der ikke følges op, er en afvigelse der gentager sig. Tildel ansvar, sæt deadline og verificér at handlingen er implementeret og effektiv. Opfølgningen er en del af auditprocessen, ikke en separat aktivitet.
Auditspørgsmål
Eksempler på gode auditspørgsmål
| Område | Spørgsmål |
|---|---|
| Procesviden | 'Kan du vise mig, hvordan du udfører dette trin i praksis?' |
| Dokumentation | 'Hvor finder du den gældende procedure, når du er i tvivl?' |
| Afvigelser | 'Hvad gør du, hvis noget ikke forløber som forventet i denne proces?' |
| Forbedring | 'Hvad er den største ineffektivitet i denne proces, og ved din leder det?' |
| Kompetence | 'Hvornår modtog du sidst oplæring i denne opgave, og hvad dækkede den?' |
| Mål | 'Kender du de mål, der er sat for denne proces, og ved du, hvordan det går?' |
- Fejl 1: Auditoren stiller kun lukkede spørgsmål, og får kun ja/nej-svar der ikke afslører noget.
- Fejl 2: Auditprogrammet er ikke risikobaseret. Alle processer auditeres med samme frekvens.
- Fejl 3: Afvigelser dokumenteres, men korrigerende handlinger følges aldrig op.
- Fejl 4: Intern audit gennemføres udelukkende som forberedelse til ekstern audit, ikke som forbedringsredskab.
ISO 9001 kl. 9.2, Auditprogram, Non-conformity, Korrigerende handlinger, SMV
En intern audit er ikke en straf. Det er et spejl. Den viser organisationen, som den faktisk er, ikke som den gerne vil være. Organisationer der bruger intern audit som et reelt forbedringsredskab, er bedre forberedt til ekstern certificering og bedre til at drive godt.