Audyt wewnętrzny według ISO 19011 – jak przygotować skuteczny program

Program audytów oparty na ryzyku

Program audytów powinien wynikać z celów systemu, znaczenia procesów, zmian, wcześniejszych wyników oraz ryzyk dla zgodności i skuteczności. Nie wystarczy coroczny kalendarz. Trzeba określić cele programu, zakresy, metody, odpowiedzialności, zasoby i sposób monitorowania realizacji. Proces o wysokiej zmienności lub historii niezgodności może wymagać większej częstotliwości niż stabilny proces pomocniczy.

Kryteria i zakres

Kryterium to wymaganie, z którym porównuje się dowody: norma, procedura, umowa, przepis albo plan. Zakres wyznacza granice audytu, lokalizacje, procesy i okres. Oba elementy muszą być jednoznaczne, aby ustalenia były możliwe do obrony.

Kompetencje i bezstronność audytora

Audytor potrzebuje wiedzy o zasadach audytowania, systemie zarządzania, procesach i kontekście branżowym. Kompetencje ocenia się przez edukację, doświadczenie, szkolenie i obserwację pracy. Bezstronność wymaga zarządzania konfliktem interesów; audytor nie powinien oceniać własnych działań, jeśli utrudnia to obiektywny osąd.

Pytania i próbkowanie

Pytania otwarte pomagają zrozumieć przebieg procesu, a pytania zamknięte potwierdzają szczegóły. Próbka powinna uwzględniać ryzyko, typy zapisów, zmiany i wyjątki. Brak problemu w małej próbce nie dowodzi zgodności całej populacji.

Dowody, ustalenia i działania

Dowód audytowy musi być weryfikowalny i związany z kryterium. Ustalenie powinno jasno opisywać wymaganie, zaobserwowany stan i dowód. Po audycie organizacja analizuje przyczyny niezgodności, planuje korekcję i działanie korygujące, a następnie ocenia skuteczność. Raport ma wspierać decyzje, a nie tylko zamknąć formalny punkt programu.

Najczęstszy błąd

Częstym błędem jest przepisywanie wymagania normy bez wskazania konkretnego dowodu i skali problemu. Takie ustalenie utrudnia analizę przyczyn oraz potwierdzenie skuteczności reakcji.