Audyt certyfikacyjny krok po kroku

Czym audyt certyfikacyjny różni się od wewnętrznego

W obiegu funkcjonują trzy audyty i mylenie ich powoduje połowę nieporozumień przed certyfikacją.

Audyt pierwszej strony to audyt wewnętrzny. Prowadzisz go sam u siebie, własnymi zasobami, po to żeby znaleźć problemy zanim znajdzie je ktoś z zewnątrz. Norma go wymaga i to on jest właściwym miejscem na wykrywanie błędów.

Audyt drugiej strony prowadzi klient u dostawcy. Nie kończy się certyfikatem, tylko decyzją o współpracy. Bywa trudniejszy od certyfikacyjnego, bo klient pyta wyłącznie o to, co go interesuje, i nie musi trzymać się żadnej metodyki.

Audyt trzeciej strony, czyli certyfikacyjny, prowadzi niezależna jednostka certyfikująca. Jej niezależność jest regulowana: jednostka nie może doradzać firmie, którą audytuje, i nie może audytować systemu, który sama zaprojektowała. Dlatego wdrożenie i certyfikacja to zawsze dwie osobne umowy z dwoma różnymi podmiotami. Jeżeli ktoś oferuje jedno i drugie w pakiecie, warto zapytać, jak rozwiązuje ten konflikt.

Ta ostatnia różnica ma praktyczny skutek: audytor jednostki nie powie ci, jak masz naprawić niezgodność. Może stwierdzić, że wymaganie nie jest spełnione. Nie może zaprojektować rozwiązania, bo w tym momencie stałby się doradcą.

Z tego samego powodu audyty zewnętrzne dla jednostek certyfikujących prowadzę wyłącznie w organizacjach, którym nie doradzam. Ta sama osoba nie może wdrażać systemu i audytować go do certyfikatu, a certyfikat zawsze wydaje akredytowana jednostka, którą firma wybiera samodzielnie.

Etap 1: przegląd dokumentacji i ocena gotowości

Certyfikacja po raz pierwszy przebiega dwuetapowo i etap 1 jest znacznie częściej lekceważony niż etap 2. Nie jest formalnością i nie jest wizytą kurtuazyjną.

Na etapie 1 sprawdzam, czy system w ogóle nadaje się do audytowania. Patrzę na udokumentowane informacje, ustalam zakres certyfikacji i jego granice, poznaję lokalizacje, procesy i zmiany, sprawdzam identyfikację wymagań prawnych oraz to, czy firma zna własne obowiązki. Rozmawiam o kontekście organizacji i o tym, jak wyznaczono cele.

Dwie rzeczy weryfikuję zawsze, bo bez nich etap 2 nie ma sensu: czy przeprowadzono audyt wewnętrzny obejmujący cały zakres systemu i czy odbył się przegląd zarządzania. To nie jest biurokratyczny wymóg. Audyt wewnętrzny i przegląd zarządzania to jedyne dowody, że system zdążył zadziałać choć raz o własnych siłach. Bez nich audytuję dokumentację, a nie system.

Etap 1 kończy się pisemnymi ustaleniami: co wymaga uzupełnienia przed etapem 2 i jakie obszary uznałem za newralgiczne. To nie są jeszcze niezgodności. To informacja, że jeżeli nic się nie zmieni, na etapie 2 będzie problem.

Odstęp między etapami nie może być dowolny. Jeżeli w międzyczasie zajdą istotne zmiany w organizacji albo odstęp przekroczy limit przyjęty przez jednostkę, etap 1 trzeba powtórzyć w całości lub w części, bo jego wnioski się zdezaktualizowały. W praktyce planuje się kilka tygodni odstępu, żeby zdążyć zamknąć ustalenia, a nie na tyle długo, żeby ryzykować powtórkę.

Etap 2: audyt na miejscu, godzina po godzinie

Etap 2 ocenia wdrożenie oraz skuteczność systemu i co do zasady odbywa się w twoich lokalizacjach. Techniki zdalne mogą go wspierać, ale jego istotą pozostaje obserwacja pracy tam, gdzie się ona odbywa.

Spotkanie otwierające trwa kilkanaście minut. Przedstawiam zespół, potwierdzam zakres i plan, ustalam zasady bezpieczeństwa, przewodników i poufność. Mówię też, czego audyt nie obejmuje. To dobry moment, żeby zgłosić ograniczenia, na przykład że jedna linia stoi z powodu przezbrojenia.

Praca w obszarach zajmuje większość dnia. Poruszam się według planu, ale plan nie jest scenariuszem. Idę ścieżką audytową: biorę jedno zdarzenie i przechodzę przez nie w poprzek organizacji. Reklamacja klienta prowadzi mnie do rejestru, rejestr do analizy przyczyny, analiza do działania korygującego, działanie do zapisu ze szkolenia operatora, a zapis do aktualnej wersji instrukcji na stanowisku. Jeżeli w którymkolwiek miejscu ścieżka się urywa, mam ustalenie.

Pracuję na próbkowaniu i mówię o tym otwarcie. Nie sprawdzam wszystkich zapisów, tylko wybrane. To znaczy, że brak niezgodności nie jest dowodem, iż niezgodności nie ma. Certyfikat nie jest gwarancją bezbłędności i nikt na rynku nie powinien go tak sprzedawać.

Każde ustalenie musi opierać się na dowodzie obiektywnym: dokumencie, zapisie, obserwacji, wypowiedzi. Nie na wrażeniu i nie na tym, że coś zwykle robi się inaczej. Jeżeli audytor nie potrafi wskazać dowodu, ustalenie nie ma podstawy i możesz o tę podstawę zapytać.

Spotkanie zamykające odbywa się na zakończenie audytu. Przedstawiam wszystkie ustalenia i ich klasyfikację, tłumaczę dalsze kroki i terminy. Nie ma tu miejsca na niespodzianki: nic, co nie padło w trakcie audytu, nie powinno pojawić się w raporcie.

I rzecz, którą warto zapamiętać: audytor nie wydaje certyfikatu. Rekomenduje. Decyzję podejmuje w jednostce osoba lub komitet, który nie brał udziału w audycie. To kolejny mechanizm niezależności.

Niezgodność duża, mała i spostrzeżenie

Nazewnictwo różni się między jednostkami, ale logika podziału jest wszędzie taka sama.

Najczęstszy błąd polega na traktowaniu spostrzeżeń jak poleceń. Firmy wdrażają je z rozpędu, budują wokół nich procedury i po trzech latach mają system opasły od rozwiązań, których nikt nie potrzebował. Spostrzeżenie to opinia audytora, a nie wymaganie normy.

Drugi częsty błąd jest odwrotny: negocjowanie klasyfikacji zamiast zajęcia się przyczyną. Klasyfikację można kwestionować, jeżeli masz argument merytoryczny, ale sama zmiana etykiety niczego w firmie nie naprawia.

Działania korygujące: co jednostka uznaje, a co odsyła

Po audycie dostajesz określony czas na odpowiedź. Konkretne terminy wyznacza jednostka i różnią się między programami, więc sprawdź je w umowie, a nie w internecie. Niezmienna jest natomiast struktura odpowiedzi, która musi zawierać trzy elementy.

Korekcja to natychmiastowe usunięcie skutku. Brakujący zapis zostaje uzupełniony, wadliwa partia zablokowana, nieaktualna instrukcja wycofana ze stanowiska.

Analiza przyczyny źródłowej odpowiada na pytanie, dlaczego system na to pozwolił. To jest miejsce, w którym odrzucam najwięcej odpowiedzi. Zdanie „pracownik nie dopilnował" nie jest przyczyną źródłową, tylko opisem objawu. Przyczyną jest to, że stanowisko nie miało aktualnej instrukcji, że nadzór nad dokumentacją nie obejmował tego obszaru albo że nikt nie zaplanował szkolenia przy zmianie procesu.

Działanie korygujące usuwa przyczynę tak, żeby zdarzenie się nie powtórzyło, i obejmuje wszystkie miejsca, w których ta przyczyna działa. Jeżeli problem dotyczył jednej linii, a przyczyna leży w procedurze wspólnej dla czterech, działanie musi objąć cztery.

Do tego dochodzą dowody: zaktualizowany dokument, lista obecności ze szkolenia, zapis z ponownej kontroli, zrzut z systemu. Odpowiedź bez dowodów wraca do uzupełnienia niezależnie od tego, jak dobrze jest napisana.

W firmach, które prowadzę, ten etap zajmuje najwięcej czasu i najbardziej opłaca się go przećwiczyć wcześniej, na szkoleniu audytorów wewnętrznych. Zespół, który raz napisał porządną analizę przyczyny, nie potrzebuje potem pomocy.

Audyty nadzoru i recertyfikacja

Certyfikat nie jest jednorazowym egzaminem, tylko wejściem w trzyletni cykl.

Audyty nadzoru odbywają się co najmniej raz w roku kalendarzowym, a pierwszy z nich musi się odbyć w ciągu dwunastu miesięcy od daty decyzji certyfikacyjnej. Są krótsze od certyfikacyjnego i nie obejmują całego systemu, ale pewne elementy sprawdzane są za każdym razem: audyty wewnętrzne, przegląd zarządzania, postępowanie ze skargami, skuteczność działań z poprzedniego audytu, zmiany w organizacji i sposób używania znaku certyfikacji.

Recertyfikacja zamyka cykl i musi się odbyć na tyle wcześnie, żeby decyzja zapadła przed wygaśnięciem certyfikatu. Ocenia system jako całość i dodatkowo jego skuteczność w całym minionym okresie, w tym zdolność do doskonalenia. Jeżeli recertyfikacja nie zakończy się przed datą ważności, certyfikat wygasa. Jednostka może go przywrócić tylko w ograniczonym czasie po wygaśnięciu, a po jego upływie konieczny jest co najmniej ponowny etap 2. Pilnowanie kalendarza jest tańsze niż jego naprawianie.

Osobno występują audyty specjalne: przy rozszerzeniu zakresu, po istotnej zmianie w organizacji albo po skardze, która wymaga wyjaśnienia. Bywają zapowiadane w krótkim terminie.

Pytania, które zadaję najczęściej

Ta lista zwykle robi większe wrażenie niż cała reszta tekstu, bo pokazuje, że audytor nie sprawdza dokumentacji, tylko to, czy ktokolwiek jej używa.

• „Skąd pan wie, że to działa?" Pytanie o dowód, a nie o przekonanie. Odpowiedzią jest wskaźnik, zapis albo wynik kontroli.
• „Kto zatwierdził tę wersję i gdzie jest poprzednia?" Sprawdza nadzór nad dokumentacją. Wersja na stanowisku różna od wersji w systemie to klasyczna niezgodność.
• „Co się stało z niezgodnością z zeszłego roku?" Powrót tego samego problemu jest najmocniejszą przesłanką, żeby zaklasyfikować go jako dużą niezgodność.
• „Proszę pokazać, jak to robicie." Zamiast pytać o procedurę, proszę o wykonanie czynności. Rozbieżność między opisem a praktyką widać w kilkanaście sekund.
• „Kto zastępuje tę osobę podczas nieobecności?" Sprawdza, czy proces zależy od systemu, czy od jednego człowieka.
• „Jaki jest cel tego wskaźnika i co zrobiliście, gdy nie został osiągnięty?" Cel bez reakcji na jego niezrealizowanie to cel dekoracyjny.
• „Jak dowiedzieliście się o tej zmianie przepisów?" Sprawdza, czy identyfikacja wymagań prawnych jest procesem, czy jednorazowym zestawieniem sprzed lat.

W schematach branżowych dochodzą pytania specyficzne. W IATF 16949 duża część audytu dotyczy wymagań specyficznych klienta i narzędzi Core Tools. W systemie HACCP audytor idzie za analizą zagrożeń i weryfikuje nadzór nad punktami krytycznymi. W wymaganiach NIS-2 nacisk pada na zarządzanie ryzykiem, ciągłość działania i zgłaszanie incydentów; przebieg takiego audytu opisałem osobno w przewodniku po wdrożeniu i audycie NIS-2. Metoda pozostaje ta sama, zmienia się tylko przedmiot dowodu.

Jak przygotować zespół, żeby nie improwizował

Najgorszy scenariusz to firma, która przygotowuje się do audytu przez trzy dni przed audytem. Widać to natychmiast: świeże podpisy zebrane hurtem, instrukcje wydrukowane tego samego ranka, pracownicy recytujący politykę jakości, której nie rozumieją.

Cztery rzeczy, które działają:

• Pełny cykl audytów wewnętrznych z prawdziwymi ustaleniami. Audyt wewnętrzny bez ani jednej niezgodności jest dla mnie sygnałem ostrzegawczym, a nie powodem do zadowolenia.
• Przegląd zarządzania z decyzjami. Protokół, który streszcza dane, ale nie zawiera decyzji ani przydzielonych odpowiedzialności, nie jest przeglądem.
• Rozmowa z ludźmi, nie nauka regułek. Operator nie musi znać numeru punktu normy. Musi wiedzieć, co robi, po co, i co robi, gdy coś pójdzie nie tak.
• Uporządkowany dostęp do zapisów. Godzina szukania dokumentu przy audytorze robi gorsze wrażenie niż sama niezgodność, bo pokazuje, że nikt z tych zapisów nie korzysta na co dzień.

Jeżeli planujesz certyfikację i chcesz porównać koszt przygotowania z kosztem samego audytu, przedziały i strukturę wyceny opisałem w cenniku. Zakres norm, które wdrażam, znajdziesz w katalogu usług.

Najczęstsze pytania

Ile trwa audyt certyfikacyjny?

Czas audytu wynika z liczby pracowników, liczby lokalizacji i złożoności procesów, a nie z uznania audytora. Jednostka wylicza go według reguł swojego programu akredytacji. W małej firmie jednooddziałowej oba etapy zamykają się zwykle łącznie w dwóch, trzech dniach. W zakładzie produkcyjnym na kilkaset osób etap 2 potrafi zająć tydzień pracy kilkuosobowego zespołu.

Czy audytor może przyjść bez zapowiedzi?

Audyty planowe są uzgadniane z wyprzedzeniem i dostajesz plan audytu przed wizytą. Jednostka zachowuje jednak prawo do audytu w krótkim terminie, na przykład po skardze, po poważnym incydencie albo po istotnej zmianie w organizacji. W niektórych schematach branżowych audyty niezapowiedziane są elementem programu.

Co się dzieje, gdy dostanę dużą niezgodność?

Duża niezgodność nie unieważnia całego audytu. Wstrzymuje decyzję certyfikacyjną do czasu, aż przedstawisz analizę przyczyny, wdrożysz korekcję i działanie korygujące oraz dostarczysz dowody, które jednostka uzna za wystarczające. Przy certyfikacji po raz pierwszy dopóki duża niezgodność jest otwarta, certyfikat nie zostanie wydany.

Czy mogę nie zgodzić się na skład zespołu audytowego?

Tak. Jednostka przedstawia skład zespołu przed audytem właśnie po to, żeby dać ci możliwość zgłoszenia uzasadnionego sprzeciwu, na przykład gdy audytor pracował wcześniej dla bezpośredniego konkurenta. Sprzeciw musi mieć podstawę merytoryczną, a nie wynikać z tego, że dany audytor ma opinię wymagającego.

Czym audyt certyfikacyjny różni się od kontroli sanepidu?

Audyt certyfikacyjny jest dobrowolny i kończy się certyfikatem albo jego brakiem. Kontrola urzędowa jest obowiązkowa, wynika z przepisów i kończy się decyzją administracyjną, a w skrajnym przypadku wstrzymaniem działalności. Certyfikat nie chroni przed kontrolą, natomiast dobrze prowadzony system zwykle sprawia, że kontrola przebiega spokojniej.

Ile kosztuje audyt certyfikacyjny?

Koszt audytu płacisz jednostce certyfikującej i jest on niezależny od kosztu doradztwa przy wdrożeniu. To dwie osobne umowy z dwoma różnymi podmiotami, których nie wolno łączyć, bo jednostka nie może audytować systemu, który sama zaprojektowała. Strukturę kosztu po stronie doradztwa opisałem w cenniku.