Ukázka programu interního auditu QMS. Interní audit ve zkušebně

Mezinárodní standardy pro profesionální praxi interního auditu (IPSIA) vyžadují vypracování plánu interního auditu založeného na rizicích, zejména na základě formálního hodnocení rizik prováděného alespoň jednou ročně.

Kanonický přístup.

Samozřejmě, že kanonický přístup lze nazvat přístupem, který je založen na existujícím hodnocení rizik. Na těchto stránkách je poměrně velký web, kde ukážu přístupy k vytvoření plánu práce interního auditu na daný rok.

Existuje tedy registr rizik s vypočítanými matematickými očekáváními současného a zbytkového rizika. Musíte začít seřazením rizik pro interní audit.

První věc, kterou je třeba určit, je, jaké matematické očekávání by se mělo použít k hodnocení rizik. Můj názor je, že je potřeba seřadit podle aktuálního. Logika je zhruba následující: management bude vždy trvat na tom, že „ano, teď je s námi všechno špatné (nebo, dobře, všechno je dobré), ale v blízké budoucnosti se to zhorší (no, nebo bude ještě lepší) .“ Jak ukazuje praxe, blízká budoucnost nepřichází vždy rychle (koneckonců délka lidského života je z hlediska doby existence vesmíru bezvýznamná a v tomto měřítku je blízká budoucnost i 100 let). Proto byl plán kontrol vypracován na základě aktuálního matematického očekávání. Teoreticky ale připouštím situaci, kdy je plán auditu sestaven jak na základě matematického očekávání zbytkových rizik, tak i změny v deltě mezi matematickým očekáváním současného a zbytkového rizika. Logikou posledně jmenovaného je audit účinnosti úsilí vynaloženého vedením

Při určování náročnosti práce není potřeba brát ohled na rychlost rozhodování managementu. Pokud si konkrétní manažer dal tři týdny pauzu kvůli dovolené, musí se člověk z oddělení interního auditu věnovat něčemu jinému. Ano, existují různé psychologické typy a mezi interními auditory také. Mám pocit, že čím víc věcí musím udělat, tím víc toho stihnu. Možná je to jen moje zvláštnost: stres někomu pomáhá, jinému překáží. Ale odolnost vůči stresu se zdá být vyžadována u všech volných míst.

Plánování.

Některé zřejmé tipy na plánování.

Tip #1. Pokud jsou v průběhu roku plánovány velké změny procesních křivek, je vhodné naplánovat audit na leden-únor (jasným příkladem z programu výše je audit současného systému zadávání zakázek).

Tip #2. Pokud vedení uvedlo datum provedení 33. března, pak je vhodné zahájit audit provádění procesu 34. března.

Tip #3. Neplánujte služební cesty na červenec-srpen. Výlety v létě jsou samozřejmě mnohem zajímavější než v zimě (i když v zimě je to pro mě pohodlnější, protože se nezmoknete potem). Letenky a další ubytování jsou ale v únoru nebo listopadu mnohem levnější. Nemluvíme o neplánovaných úkolech – zde platí, že pokud je něco potřeba, je to potřeba okamžitě.

Pokud najdete chybu, zvýrazněte část textu a klikněte Ctrl+Enter.

3. Normativní odkazy

ISO 9000:2005 – „Systémy managementu kvality. Základy a slovní zásoba."

ISO 9001:2008 – „Systém managementu kvality. Požadavky".

ISO 19011:2002 – „Směrnice pro audit systémů managementu kvality a/nebo environmentálního managementu“.

4. Termíny, zkratky a symboly

Termíny a definice:

Audit (verifikace) je systematický, nezávislý a zdokumentovaný proces získávání důkazních informací a jejich objektivního vyhodnocování za účelem zjištění míry plnění dohodnutých kritérií (ISO 9000:2005).

Auditor je osoba, která prokázala osobní kvality a způsobilost vyžadovanou k provedení auditu (ISO 9000:2005).

Skupina auditorů - jeden nebo více auditorů provádějících audit za pomoci (v případě potřeby) technických specialistů.

Použité zkratky:

DP – dokumentovaný postup

QMS – systém managementu kvality

Legenda:

Operace procesu rozvětvení/sloučení

5. Popis procesu

5.1 Základy

Audit QMS ve společnosti KPMS je prováděn s cílem:

• určit úroveň souladu QMS s požadavky normy ISO 9001:2008;
• stanovit úroveň souladu QMS s požadavky interních regulačních dokumentů.

Audit lze provádět plánovaně (na základě ročního plánu auditu) i neplánovaně (na základě příkazu generálního ředitele).

Frekvence plánovaných auditů by měla být alespoň jednou za šest měsíců.

Za organizaci auditů je odpovědný pracovník kvality.

Za provádění auditů odpovídá vedoucí auditor.

Roční plán interního auditu je vypracován a schválen nejpozději do 20. prosince. Roční plán interního auditu vypracovává pracovník kvality. Při plánování interních auditů QMS je zajištěn povinný audit každého z oddělení, každého z procesů a každého z požadavků ISO 9001:2008.

Před začátkem každého auditu je vypracován harmonogram auditu. Harmonogram je vypracován týden před datem auditu.

Pro provádění interních auditů jsou z řad zaměstnanců společnosti jmenováni vedoucí auditor, auditoři a techničtí specialisté. Kandidatury vedoucího auditora a auditorů určuje komisař kvality. Jmenování vedoucího auditora a auditorů se provádí příkazem generálního ředitele pro personál. V objednávce může být uvedena doba trvání schůzky. Není-li lhůta uvedena, pak se vedoucí auditor (auditoři) považuje za jmenovaného na dobu neurčitou a statut auditora ztrácí až na základě příkazu generálního ředitele ke jmenování nového vedoucího auditora (auditora) nebo při propuštění ze společnosti.

Ke každému auditu jsou na doporučení vedoucího auditora přiděleni (v případě potřeby) techničtí specialisté. Jmenování technických specialistů se provádí tak, aby organizace provedla interní audit.

Při sestavování harmonogramu auditu by rozdělení auditorů a technických specialistů mezi objekty kontroly mělo vyloučit možnost, aby kontrolovali jednotky, ve kterých auditoři a techničtí specialisté pracují.

Potřeba interních auditů se již stala samozřejmostí pro střední a velké organizace. Malé firmy ne vždy provádějí audity kvůli menšímu objemu pracovních procesů, ale pro některé z nich by taková kontrola mohla přinést řadu výhod. Přečtěte si o zlepšení procesu, plánování a přípravě v tomto článku. Zde také na příkladu naleznete informace o provádění interního auditu v podniku.

Program a harmonogram interního auditu

Plánování inspekce je jednou z velmi důležitých fází přípravy. V tuto chvíli je nutné posoudit celkový rozsah prací, stanovit harmonogram a načasování auditu, sestavit kontrolní program, zvolit vhodnou metodiku a nejprve identifikovat nejproblematičtější celky. Také ve fázi plánování je vhodné pokusit se zohlednit potenciální vnější vlivy.

Spolu s plánem je sestaven program interního auditu. Nejčastěji má program osobní formu, která zohledňuje nejdůležitější aspekty podléhající kontrole v konkrétní společnosti. Tento dokument popisuje všechny nuance činností auditora a obsahuje následující body:

1. Hlavním účelem provedení interního auditu.
2. Oblast použití.
3. Definice a zkratky.
4. Informace o dalších dokumentech.
5. Seznam osob odpovědných za aplikaci.
6. Popis procesu auditu.
7. Harmonogram a četnost kontrolních kontrol.
8. Příprava podrobného plánu auditu.
9. Příprava potřebných dokumentů.
10. Posloupnost sběru informací.
11. Nuance přípravy závěrečných zpráv.

Objednávka na provedení interního auditu (ukázka)

Objednávka na provedení interního auditu - 1

Objednávka na provedení interního auditu - 2

V případě, že interní audit provádí třetí strana, musí být k objednávce připojena dohoda. Pouze na základě tohoto dokumentu je možné podepsat smlouvu o provedení VA.

Pravidla a postup pro provádění interního auditu jsou popsány níže.

Provedení interního auditu QMS za účelem splnění normy ISO 9001 ukazuje toto video:

Pravidla

Existují určité mezinárodní a ruské standardy pro provádění interních auditů. Zároveň není zákonem zakázáno vytvářet vlastní interní pravidla VA. Hlavní část federálních norem se týká činnosti externích auditorů, která reguluje jejich práci s cílem zajistit kvalitu poskytovaných služeb.

Standardy interního auditu vytvořené konkrétní společností přitom nemohou odporovat federálním a mezinárodním pravidlům. Bez ohledu na úroveň pravidel jsou všechna rozdělena do několika bloků. Z toho jsou 3 povinné:

1. Blok č. 1 odráží nuance organizační a ekonomické činnosti auditorů.
2. Blok č. 2 specifikuje povinnosti auditorů, způsob získávání důkazních informací a postup pro vyvozování závěrů.
3. Blok č. 3 obsahuje pravidla pro výběr metod, dokumentaci a pracovní pokyny.

Je důležité pochopit, že pro získání spolehlivých dat z auditu je nutné mít strukturu auditu s jasnými pravidly. Pouze systematizované činnosti podle určitých standardů mohou prokázat jasné výsledky.

Krok za krokem kroky

Na první pohled je provedení interního auditu celkem jednoduché. Tento postup zahrnuje pouze 3 kroky:

1. Předběžná příprava.
2. Shromažďování důkazních informací.
3. Evidence výsledků kontroly.

Často se tyto fáze nazývají: přípravná, pracovní a závěrečná. Eliminace nebo zanedbání některé z fází zbavuje vnitřní naslouchání jakéhokoli smyslu.

• Ve fázi přípravy je nutné naplánovat a shromáždit potřebná data, dokumenty a různé informace o předmětu kontroly.
• Pracovní etapa zahrnuje přímou aplikaci vybraných kontrolních metod, provádění testů, vyhledávání důkazů a dokumentaci prováděných činností.
• V konečné fázi se sečtou výsledky auditu, provede se rozbor auditu a dokončí se příprava dokumentace.

Výsledky implementace

• Všechny výsledky VA musí být v dokumentované formě pro následnou studii. Dokumenty znamenají nejčastěji menší formuláře. Uvádí nejen informace o zjištěných nedostatcích, ale i navrhované způsoby jejich odstranění. Také výsledky interního auditu nutně odrážejí možné cesty ke zefektivnění pracovních procesů.
• Kromě vypracování zpráv a další revizní dokumentace je nutný další postup. Je důležité si předem ujasnit kritéria efektivity práce inspektorů a po ukončení interního auditu analyzovat kvalitu provedené kontroly.
• Tato kritéria často zahrnují dodržování stanoveného časového rámce inspekce, přítomnost úplných a jasných komentářů ke všem studovaným bodům a upozornění na potenciální problémy v budoucnu. Dále je nutné analyzovat činnost auditorů z hlediska dodržování kontrolních předpisů a správného používání různých kontrolních metod. Dalším kritériem je dostupnost, úplnost a včasnost poskytnutí dokumentace o provedené kontrole.

Při provádění interního auditu hraje velkou roli jeho příprava (a nezapomeňte!). Bez řádně provedené přípravné části je kvalitní práce inspektorů nemožná. Neexistuje jednotný systém auditu, každá společnost samostatně kombinuje kontrolní metody, proto se vyplatí věnovat přípravě, samotnému auditu a analýze efektivity práce zvláštní pozornost.

Provedení interního auditu systému řízení je popsáno v tomto videu:

Řízení rizik, audit a vnitřní kontrola Filatov Alexander Alexandrovich

5. Postup plánování činnosti interního auditu

Vedoucí interního auditu zpracovává plán činnosti interního auditu, zpravidla na roční bázi.

Plán činnosti interního auditu zahrnuje plánované kontroly a další činnosti interního auditu.

Vedoucí interního auditu předkládá plán činnosti interního auditu k posouzení (schválení) výkonným orgánům a schválení představenstvem. Plán může také obsahovat pracovní harmonogram, personální obsazení jednotek, plán zdrojů a finanční rozpočet interního auditu.

Plán činnosti interního auditu je vypracován na základě modelu auditu s využitím informací a požadavků obdržených od výkonných orgánů a představenstva společnosti, výsledků hodnocení rizik společnosti (zpracované např. službou řízení rizik společnosti, pokud taková služba ve společnosti existuje).

Plánování činností interního auditu se skládá z následujících fází:

– vytvoření/aktualizace modelu auditu společnosti;

– provádění/využití výsledků hodnocení rizik;

– seřazení kontrolovaných objektů podle úrovně rizika s přihlédnutím k dalším faktorům;

– vytvoření plánu interního auditu založeného na riziku;

– sestavení plánu činnosti interního auditu na základě plánu kontroly zaměřeného na riziko, požadavků/pokynů od výkonných orgánů a představenstva společnosti, opatření k provedení následné kontroly finančních a ekonomických činností, jakož i dalších činností interního auditu;

– tvorba harmonogramu práce, personální obsazení oddělení, plán zdrojů a finanční rozpočet.

Model auditu společnosti zahrnuje seznam objektů auditu, například obchodní procesy, obchodní funkce, projekty/iniciativy společnosti, divize, obchodní jednotky a další, v závislosti na přístupu zvoleném společností ke strukturování objektů auditu.

Seznam objektů auditu je upraven s ohledem na změny v činnosti společnosti (například vznik nových projektů, vznik nových divizí atd.). Za tímto účelem je model auditu minimálně jednou ročně revidován.

Pro účely vypracování plánu činnosti interního auditu jsou využívány výsledky hodnocení rizik společnosti prováděné výkonnými orgány (služba řízení rizik) společnosti v rámci RMS.

Při rozhodování o využití výsledků hodnocení rizik společnosti může vedoucí interního auditu s přihlédnutím k dostupným zdrojům zajistit dodatečnou analýzu schopnosti spoléhat se na tyto informace (včetně analýzy úplnosti identifikovaných rizik, kvality popisu a hodnocení rizik, efektivita procesů používaných výkonnými orgány společností pro sledování a reporting rizik atd.).

Pokud jsou informace o rizicích obdržené od výkonných orgánů společnosti nedostatečné/informace nejsou poskytnuty (například při absenci formalizovaných procesů pro identifikaci a hodnocení rizik), provede interní audit analýzu rizik kontrolovaných objektů samostatně. Přístup k identifikaci a hodnocení rizik kontrolovaných objektů je stanoven interním auditem samostatně, na základě charakteristiky společnosti.

Na základě výsledků hodnocení rizik jsou zjištěná rizika a objekty auditu korelovány. Objekty auditu jsou seřazeny podle úrovně rizika. Metody hodnocení a seznam dalších faktorů používaných pro hodnocení určuje interní audit samostatně na základě specifik společnosti.

Při klasifikaci auditovaných objektů se doporučuje zvážit několik dalších faktorů, včetně: významnosti (významný dopad na výkonnostní výsledky společnosti) auditovaného objektu; Počet zaměstnanců; fluktuace vrcholových a středních manažerů; změny v činnosti zařízení; čas uplynulý od poslední kontroly; výsledky předchozího auditu daného objektu auditu atd.

Na základě výsledků žebříčku se vytvoří skupiny objektů auditu s vysokou, střední a nízkou úrovní rizika.

Předměty auditu jsou zahrnuty do plánu činnosti interního auditu na základě výsledků hodnocení rizik výběrově. Provádění plánovaných auditů je hlavní činností interního auditu. Kromě toho je nutné zajistit časový rozpočet pro následující činnosti:

– konzultace s vedením společnosti v oblasti řízení rizik, vnitřní kontroly a corporate governance;

– tvorba a aktualizace interních regulačních dokumentů upravujících činnost interního auditu (metodika interního auditu);

– sledování plnění akčních plánů ve společnosti k odstranění nedostatků, porušení a zlepšení vnitřního kontrolního systému, vypracovaného vedoucími kontrolovaných objektů na základě výsledků kontrol

– vypracování plánu činnosti interního auditu na období s definováním priorit činností interního auditu;

– zpracování zprávy o výsledcích činnosti interního auditu;

– pomoc výkonným orgánům společnosti při vyšetřování nečestného/nezákonného jednání zaměstnanců a třetích osob;

– interakce s externím auditorem a divizemi společnosti v otázkách souvisejících s činnostmi interního auditu;

– zvyšování odborné kvalifikace interních auditorů atd.

Na základě údajů o celkovém množství času na provedení plánovaných auditů a dalších činností interního auditu a údajů o celkovém dostupném čase pro realizaci plánu vedoucí interního auditu zjišťuje dostatek (nedostatek) vnitřních zdrojů.

Pokud interní zdroje neumožňují provedení všech plánovaných auditů a dalších činností uvedených v plánu, informuje vedoucí interního auditu představenstvo (revizní komisi) o nutnosti přijmout vhodné rozhodnutí (například vyčlenit dodatečné zdroje na implementovat plán zvýšením počtu interních auditorů, přilákáním třetích stran (outsourcing/co-sourcing) nebo snížením rozsahu úkolů).