Группа компаний «Интерсертифика»
| Вид материала | Документы |
- Анализ ситуации на рынке производства сахара, 81.6kb.
- Группа компаний «интерсертифика», 2045.03kb.
- Автоматизация бизнес-процессов предприятий Концерна «Тракторные Заводы», 35.46kb.
- Группа компаний «Фарлеп-Оптима» будет оказывать услуги под единым брендом vega, 131.47kb.
- Собор, группа компаний, 7.96kb.
- Группа компаний «03Реклама», т. 518-24-70, 789-80-43, www. 03reklama, 2kb.
- Группа Компаний «Экспертно-информационная служба Содружества», 50.23kb.
- Группа Компаний «Экспертно-информационная служба Содружества», 44.91kb.
- Группа компаний «авитекс» Звоните нам по тел:(846)2-709-777, 13.77kb.
- В г. Екатеринбурге по инициативе Ассоциации «Группа 7/89» состоится открытый Форум, 148.82kb.
6 Деятельность по проведению аудита
6.1 Общие положения
Настоящий раздел содержит указания по планированию и осуществлению деятельности по проведению аудита как части программы аудита. На рис. 2 в общем виде представлен обзор типичных видов деятельности по проведению аудита. Объем, в котором применимы положения настоящего раздела, зависит от области действия и сложности конкретного аудита и от предполагаемого использования заключений по аудиту.
Инициирование аудита (6.2)
- назначение руководителя команды по аудиту
- определение целей, области действия и критериев аудита
- определение возможности проведения аудита
- подбор команды по аудиту
- установление первоначального контакта с аудитируемой организацией
Проведение анализа документов (6.3)
- анализ соответствующих документов системы менеджмента, включая записи, и определение их адекватности по отношению к критериям аудита
Подготовка к деятельности по аудиту «на месте» (6.4)
- подготовка плана аудита
- распределение работы в команде по аудиту
- подготовка рабочих документов
Осуществление деятельности по аудиту «на месте» (6.5)
- проведение вступительного совещания
- коммуникация во время аудита
- роль и ответственность сопровождающих лиц и наблюдателей
- сбор и верификация информации
- получение результатов аудита
- подготовка заключений по аудиту
- проведение заключительного совещания
Подготовка, утверждение и распространение отчета об аудите (6.6)
- подготовка отчета об аудите
- утверждение и распространение отчета об аудите
Завершение аудита
(6.7)
Проведение соответствующих действий после аудита
(6.8)
ПРИМЕЧАНИЕ. Пунктирная линия показывает, что любые последующие действия, осуществляемые после аудита, обычно не рассматриваются как часть аудита.
Рис. 2. Обзор типичных видов деятельности по проведению аудита
6.2 Инициирование аудита
6.2.1 Назначение руководителя команды по аудиту
Тем, кто несет ответственность за менеджмент программы аудита, следует назначить руководителя команды по аудиту для конкретного аудита.
В случае, когда проводится совместный аудит, очень важно до начала аудита достигнуть соглашения между аудитирующими организациями по конкретной ответственности каждой организации, особенно в отношении полномочий руководителя команды по аудиту, назначенного для данного аудита.
6.2.2 Определение целей, области действия и критериев аудита
В рамках общих целей программы аудита каждый конкретный аудит следует основывать на документально оформленных целях, области действия и критериях.
ГОСТ Р ИСО 9011-2003: Для каждого аудита необходимо определить цели, область и критерии в пределах программы аудита.
ISO 19011:2002(Е): Within the overall objectives of an audit programme, an individual audit should be based on documented objectives, scope and criteria.
Цели аудита определяют, что должно быть выполнено в ходе аудита, и могут включать следующее:
- определение степени соответствия системы менеджмента аудитируемой организации или части этой системы критериям аудита;
- оценивание способности системы менеджмента обеспечивать соответствие законодательным, нормативным и контрактным требованиям;
- оценивание результативности системы менеджмента в достижении установленных ею целей;
- выявление областей потенциального улучшения системы менеджмента.
Область действия аудита описывает объем и границы аудита (например: месторасположение, подразделения организации, виды деятельности и процессы, подлежащие аудиту), а также период времени, охватываемый аудитом (период предшествующей деятельности, анализируемой в ходе аудита).
Критерии аудита используются как ссылка, относительно которой определяется соответствие, и могут включать применимые для данного конкретного случая политики, процедуры, стандарты, законы и нормативные документы (предписания), требования системы менеджмента, контрактные требования или кодексы поведения отрасли/бизнес-сектора.
Цели аудита следует определять заказчику аудита. Область действия и критерии аудита следует определять заказчику аудита и руководителю команды по аудиту в соответствии с процедурами программы аудита. Любые изменения в целях, области действия и критериях аудита следует согласовывать этим же сторонам.
Если предстоит проведение комплексного аудита, важно, чтобы руководитель команды по аудиту обеспечил соответствие целей, области действия и критериев аудита характеру комплексного аудита.
6.2.3 Определение возможности проведения аудита
Следует определять возможность проведения аудита, учитывая такие факторы, как наличие:
- достаточной и соответствующей информации для планирования аудита;
- адекватного сотрудничества со стороны аудитируемой организации;
- адекватного времени и ресурсов.
Если аудит неосуществим, следует, проконсультировавшись с аудитируемой организацией, предложить заказчику аудита альтернативу.
6.2.4 Подбор команды по аудиту
После того, как будет признана возможность проведения аудита, следует подобрать команду по аудиту, учитывая компетентность, необходимую для достижения целей аудита. Если имеется только один аудитор, ему следует выполнять все соответствующие обязанности руководителя команды по аудиту. В разделе 7 содержатся указания по определению необходимой компетентности аудиторов и описаны процессы оценивания аудиторов. – Эта фраза в ГОСТ Р ИСО 19011-2003 пропущена (прим. переводчиков).
При решении вопроса о размере и составе команды по аудиту следует учитывать следующее:
- цели, область действия, критерии и оцениваемую продолжительность аудита;
- является аудит комплексным или совместным;
- совокупную компетентность команды по аудиту, необходимую для достижения целей аудита;
- соответствующие законодательные, нормативные и контрактные требования, а также требования по аккредитации/сертификации;
- необходимость обеспечения независимости команды по аудиту от видов деятельности, подлежащих аудиту, и избежания конфликта интересов;
- способность членов команды по аудиту результативно взаимодействовать с аудитируемой организацией, а также работать совместно;
- язык, на котором будет проходить аудит, и понимание особых социальных и культурных характеристик аудитируемой организации; данные вопросы могут быть разрешены либо за счет собственных навыков аудиторов, либо за счет поддержки со стороны технического эксперта.
В процесс обеспечения совокупной компетентности команды по аудиту следует включать следующие шаги:
- определение знаний и навыков, необходимых для достижения целей аудита;
- подбор таких членов в команду по аудиту, чтобы в команде по аудиту были представлены все необходимые знания и навыки.
Если необходимые знания и навыки не полностью охвачены аудиторами в команде по аудиту, они могут быть достигнуты путем включения в состав команды технических экспертов. Техническим экспертам следует действовать под руководством аудитора.
Аудиторы-стажеры могут быть включены в команду по аудиту, но им не следует проводить аудит без направляющих или руководящих указаний.
Как заказчик аудита, так и аудитируемая организация могут потребовать замены определенных членов команды по аудиту на разумных основаниях, базирующихся на принципах проведения аудита, описанных в разделе 4. Примерами разумных оснований являются ситуации конфликта интересов (например, член команды по аудиту был ранее работником аудитируемой организации или предоставлял ей консультационные услуги) и неэтичное поведение в прошлом. Такие основания следует довести до сведения руководителя команды по аудиту и тех, кто несет ответственность за менеджмент программы аудита, которым следует разрешить этот вопрос совместно с заказчиком аудита и аудитируемой организацией до того, как принимать какие-либо решения по замене членов команды по аудиту.
6.2.5 Установление первоначального контакта с аудитируемой организацией
Первоначальный контакт с аудитируемой организацией по вопросу аудита может быть неформальным или официальным, но его следует осуществлять тем, кто несет ответственность за менеджмент программы аудита, или руководителю команды по аудиту. Целями первоначального контакта являются:
- установление каналов коммуникации с представителем аудитируемой организации;
- подтверждение полномочий на проведение аудита;
- предоставление информации относительно предлагаемого распределения времени и состава команды по аудиту;
- получение доступа к соответствующим документам, включая записи;
- определение применимых правил по охране труда и технике безопасности при работе «на месте»;
- проведение подготовительных работ для аудита;
- согласование присутствия наблюдателей, а также необходимости в лицах, сопровождающих команду по аудиту.
6.3 Проведение анализа документов
Прежде, чем осуществлять деятельность по аудиту непосредственно «на месте», следует провести анализ документации аудитируемой организации, чтобы определить, насколько система в том виде, как она документирована, соответствует критериям аудита. Документация может включать соответствующие документы и записи системы менеджмента, а также отчеты о предыдущих аудитах. При анализе следует учитывать размер, характер и сложность организации, а также цели и область действия аудита. В некоторых случаях этот анализ может быть отложен до тех пор, пока не начнется деятельность «на месте», если это не окажет негативного влияния на результативность проведения аудита. В других случаях может быть проведен предварительный визит «на место» в целях получения подходящего обзора имеющейся информации.
Если документация окажется неадекватной, руководителю команды по аудиту следует информировать об этом заказчика аудита, тех, кто несет ответственность за менеджмент программы аудита, и аудитируемую организацию. Следует принять решение о том, продолжать ли аудит или его приостановить, пока не будут разрешены все вопросы, касающиеся документации.
6.4 Подготовка к проведению аудита «на месте»
6.4.1 Подготовка плана аудита
Руководителю команды по аудиту следует подготовить план аудита, чтобы предоставить основу для соглашения между заказчиком аудита, командой по аудиту и аудитируемой организацией относительно проведения аудита. Следует, чтобы план способствовал составлению графика аудита и координации деятельности по аудиту.
Степень детализации плана аудита следует соотносить с областью действия и сложностью аудита. Детали плана могут быть различными, например: для планов первичного и последующих аудитов, для планов внутренних и внешних аудитов. Плану аудита следует быть достаточно гибким, чтобы допускать изменения (например, изменение области действия аудита), которые могут стать необходимыми в ходе осуществления деятельности по аудиту «на месте».
В плане аудита следует отражать следующее:
- цели аудита;
- критерии аудита и все другие ссылочные документы;
- область действия аудита, включая идентификацию организационных и функциональных подразделений и процессов, подлежащих аудиту;
- даты и места, где будет проводиться аудит «на месте»;
- ожидаемое время и продолжительность аудита «на месте», включая совещания с руководством аудитируемой организации и совещания команды по аудиту;
- обязанности и ответственность членов команды по аудиту и сопровождающих лиц;
- выделение соответствующих ресурсов для критических (проблемных и особо важных) областей аудита.
При необходимости в плане аудита следует также отражать следующее:
- идентификацию представителя аудитируемой организации для аудита;
- рабочий язык и язык отчета об аудите, если он отличается от языка, на котором объясняется аудитор и/или аудитируемая организация;
- темы (разделы) отчета об аудите;
- мероприятия логистики (поездки, средства и оборудование «на месте» и т.д.);
- вопросы, касающиеся конфиденциальности;
- любые последующие после аудита действия.
План следует проанализировать и принять заказчику аудита и представить аудитируемой организации до начала деятельности по аудиту «на месте».
Любые возражения со стороны аудитируемой организации следует разрешать между руководителем команды по аудиту, аудитируемой организацией и заказчиком аудита. Любые изменения плана аудита следует согласовывать между затрагиваемыми сторонами, прежде чем продолжить аудит.
6.4.2 Распределение работы в команде по аудиту
Руководителю команды по аудиту, консультируясь с командой по аудиту, следует установить каждому члену команды ответственность за проведение аудита конкретных процессов, функциональных подразделений, участков, областей или видов деятельности. При таком распределении следует учитывать необходимость независимости и компетентности аудиторов и результативного использования ресурсов, а также различные обязанности и ответственность аудиторов, аудиторов-стажеров и технических экспертов. Для обеспечения достижения целей аудита в ходе аудита могут вноситься изменения в распределение обязанностей и ответственности.
6.4.3 Подготовка рабочих документов
Членам команды по аудиту следует проанализировать информацию, относящуюся к установленным им заданиям на аудит, и подготовить рабочие документы, которые необходимы для использования в качестве справочных (ссылочных) документов и для протоколирования хода аудита. Такие рабочие документы могут включать:
- контрольные перечни вопросов и планы выборочного контроля;
- формы для записи информации, такой, как поддерживающие свидетельства аудита, результаты аудита и протоколы совещаний.
Использование контрольных перечней и форм не должно ограничивать диапазон деятельности по аудиту, который может меняться в результате собранной в ходе аудита информации.
Рабочие документы, включая записи, появляющиеся вследствие использования этих документов, следует сохранять, по меньшей мере, до завершения аудита. Сохранение документов после завершения аудитов описано в разделе 6.7. Членам команды по аудиту следует всегда надлежащим образом охранять те документы, которые содержат конфиденциальную или частную информацию.
6.5 Проведение аудита «на месте»
6.5.1 Проведение вступительного совещания
Вступительное совещание следует проводить с руководством аудитируемой организации или, где это уместно, с теми, кто несет ответственность за аудитируемые функции или процессы. Целями вступительного совещания являются:
- подтверждение плана аудита;
- предоставление краткого обзора того, как будет осуществляться деятельность по аудиту;
- подтверждение коммуникационных каналов;
- предоставление возможности для аудитируемой организации задать вопросы.
Практическая помощь: вступительное совещание
Во многих случаях, например при внутренних аудитах малых организаций, вступительное совещание может состоять просто из сообщения о том, что проводится аудит, и объяснения его характера.
В других случаях вступительное совещание следует проводить как официальное мероприятие с регистрацией присутствующих. Совещание следует проводить под председательством руководителя команды по аудиту, при этом в соответствующей форме следует рассматривать следующие вопросы:
- представление участников, включая изложение их обязанностей;
- подтверждение целей, области действия и критериев аудита;
- подтверждение временного графика аудита и других соглашений, связанных с аудитом (таких, как дата и время заключительного совещания, какие-либо промежуточные совещания команды по аудиту и руководства аудитируемой организации, а также все самые последние изменения в плане аудита);
- методы и процедуры, которые будут применяться при проведении аудита, включая информирование аудитируемой организации о том, что свидетельства аудита будут основываться только на примерах информации, ставшей доступной аудиторам, и поэтому при проведении аудита присутствует элемент неопределенности;
- подтверждение официальных каналов коммуникации между командой по аудиту и аудитируемой организацией;
- подтверждение языка, на котором будут вестись беседы во время аудита;
- подтверждение того, что во время аудита аудитируемая организация будет получать информацию о ходе аудита;
- подтверждение того, что ресурсы и оборудование (средства, аппаратура), необходимые команде по аудиту, будут доступны ей;
- подтверждение положений, относящихся к конфиденциальности;
- подтверждение соответствующих процедур по технике безопасности, поведению в чрезвычайных ситуациях и обеспечению личной безопасности команды по аудиту;
- подтверждение наличия, обязанностей и фамилий всех сопровождающих лиц;
- метод составления и предоставления отчетов об аудите, включая все способы классификации несоответствий;
- информация об условиях, при которых аудит может быть прекращен;
- информация обо всех системах подачи и рассмотрения апелляций по проведению аудита или по заключениям по аудиту.
6.5.2 Коммуникация во время аудита
В зависимости от области действия аудита и его сложности, во время аудита может потребоваться заключение официальных соглашений по вопросам коммуникации внутри команды по аудиту и с аудитируемой организацией.
Команде по аудиту следует периодически совещаться для обмена информацией, оценки хода аудита, а также (если это необходимо) для перераспределения работы между членами команды по аудиту.
Во время аудита руководителю команды по аудиту следует периодически в приемлемой форме сообщать аудитируемой организации и заказчику аудита о ходе аудита и всех касающихся аудита вопросах. Собранные в ходе аудита свидетельства, указывающие на прямой и существенный риск (например, касающийся безопасности, окружающей среды или качества), следует незамедлительно доводить до сведения аудитируемой организации и, в соответствующей форме, до заказчика аудита. Следует обращать внимание на любые факты, находящиеся за пределами области действия аудита, но вызывающие опасениях, беспокойство или тревогу, и сообщать о них руководителю команды по аудиту для возможной передачи информации об этом заказчику аудита и аудитируемой организации.
В случае, когда имеющиеся свидетельства аудита указывают на то, что цели аудита недостижимы, руководителю команды по аудиту следует сообщить причины заказчику аудита и аудитируемой организации для определения соответствующих действий. Такие действия могут включать в себя переутверждение или изменение плана аудита, изменение целей или области действия аудита или прекращение аудита.
Любую необходимость изменения области действия аудита, которая может стать очевидной при продолжении аудита «на месте», следует подвергнуть анализу и утверждению со стороны заказчика аудита и, в приемлемой форме, со стороны аудитируемой организации.
ГОСТ Р ИСО 19011-2003: Любые изменения области аудита, которые могут быть заметными в ходе выполнения аудита, следует анализировать и утверждать должным образом.
ISO 19011:2002(Е): Any need for changes to the audit scope which can become apparent as on-site auditing activities progress should be reviewed with and approved by the audit client and, as appropriate, the auditee.
6.5.3 Обязанности и ответственность сопровождающих лиц и наблюдателей
Сопровождающие лица и наблюдатели могут сопровождать команду по аудиту, но они не являются ее частью. Им не следует ни влиять на проведение аудита, ни препятствовать ему.
В том случае, когда аудитируемая организация назначает сопровождающих лиц, последним следует оказывать помощь команде по аудиту и действовать лишь по просьбе руководителя команды по аудиту. Их ответственность может включать следующее:
- установление контактов и назначение времени для интервью;
- организация посещений конкретных участков «на месте» или подразделений организации;
- обеспечение того, чтобы правила, касающиеся процедур по охране труда и обеспечению безопасности, были известны членам команды по аудиту и соблюдались ими;
- выполнение от имени аудитируемой организации обязанностей свидетелей аудита;
- предоставление пояснений или оказание помощи в сборе информации.
6.5.4 Сбор и верификация информации
Во время аудита следует собирать посредством соответствующей выборки и верифицировать информацию, касающуюся целей, области действия и критериев аудита, включая информацию, относящуюся к взаимодействию между функциональными структурами, видам деятельности и процессам. Свидетельством аудита может быть только верифицируемая информация. Свидетельства аудита следует документально оформить.
Свидетельства аудита основываются на выборках доступной аудиторам информации. Поэтому при проведении аудитов присутствует элемент неопределенности, и это следует иметь в виду тем, кто будет участвовать в выработке заключений по аудиту.
ГОСТ Р ИСО 19011-2003: Свидетельство аудита основано на выборках подходящих данных.
ISO 19011:2002(Е): The audit evidence is based on samples of the available information.
На рис. 3 представлен обзор процесса аудита от сбора информации до получения заключений по аудиту.
