Планирование самоинспекций и аудитов. Провалил планирование, спланировал провал
Самоинспекция и аудит – деятельность, успех которой во многом зависит от этапа планирования. На практике принято выделять три уровня планирования:
- стратегический план,
- годовой план,
- программа (план) конкретного аудита или самоинспекции.
При определенных условиях планы могут поддерживаться в электронном виде, например в MS Excel или MS Word.
Стратегический план
Стратегический план аудитов и (или) самоинспекций обычно покрывает горизонт планирования на 2-5 лет и составляется администратором системы качества (например, Отдел обеспечения качества или Ответственное Лицо дистрибьютора).
Аудиты поставщиков и (или) клиентов проводятся с периодичностью в 2-4 лет, соответственно нужен стратегический план на 4 года. Та же ситуация с самоинспекциями. Часто они носят выборочный характер, а значит годовой план самоинспекций может включать не все подразделения и (или) процессы системы качества. Соответственно, и здесь нужен стратегический план на тот период, который покрывает все требования, формирующие основу для проверки.
Годовой план
Годовой план обычно составляется на полный календарный год (12 мес.) и отражает все аудиты и (или) самоинспекции, которые необходимо провести в пределах планируемого периода. Это может быть единый план, а могут быть отдельные годовые планы на каждый вид аудиторской активности, т.е. отдельный на самоинспекции (внутренние аудиты) и отдельный – на аудиты поставщиков и (или) клиентов. Ответственность за подготовку и поддержание в актуальном состоянии годовых планов самоинспекций и (или) аудитов также на администраторе системы качества.
Для аудита поставщиков все достаточно просто – составляется годовой план, в котором как минимум указываются:
- (1) организации, подлежащие аудиторской проверке;
- (2) месяц и (или) квартал для проверки;
- (3) форма аудиторской проверки (документарный, удаленный или очный аудит).
Годовой план аудита поставщиков целесообразно дополнять сметой на аудит или приводить расчет необходимых ресурсов.
С самоинспекциями сложнее. При составлении годового плана самоинспекций первичным являются требования стандарта и (или) правил, а не посещаемые подразделения. Последние являются лишь местом, где можно получить информацию и проанализировать примеры той или иной деятельности с точки зрения ее соответствия. Это относится и к процессам системы качества. Они – лишь поле, на котором можно найти и проанализировать примеры того, как соблюдаются требования. Соответственно, годовой план самоинспекций и (или) аудитов может включать проверку соответствия всех требований, но не всех подразделений и (или) процессов. Это с одной стороны. С другой стороны – ориентируясь на статус, важность и уровень риска процессов и проверяемой деятельности, самоинспекция критических процессов и (или) подразделений должна быть чаще, чем для остальных. Для составления сбалансированного годового плана самоинспекций нужно учитывать множество факторов, включая: (1) требования, в отношении которых требуется обязательное подтверждение соответствия; (2) критичность выполняемых операций, (3) их однотипность, (4) наличие значимых изменений или их ожидание и (или) (5) значимых несоответствий по результатам прошлых самоинспекций, и т.п. Чтобы ничего не потерять может потребоваться составление различных матриц.
В годовом плане самоинспекций обычно отражаются:
- (1) количество запланированных самоинспекций;
- (2) ожидаемый срок каждой самоинспекции (месяц, или декада-неделя месяца);
- (3) объем (сфера) проверки, т.е. планируемые к проверке элементы системы качества, подразделения и (или) процессы;
- (4) длительность самоинспекции (на данном этапе планирования может не указываться или указываться ориентировочная);
- (5) при возможности, назначенные аудиторы и необходимые ресурсы.
Допускается вместо годового плана поддерживать только стратегический план с возможностью выборки (фильтрации) аудитов по заданному периоду.
Операционные планы
План (программа) составляется отдельно на каждую самоинспекцию и (или) аудит, независимо от того, является проверка плановой или внеплановой. Может составляться администратором системы качества, либо непосредственно командой аудиторов и (или) главным аудитором.
Обычно план (программа) самоинспекции и (или) аудита включает:
- (1) цели;
- (2) объекты;
- (3) критерии проверки;
- (4) объем и масштабы обследования;
- (5) продолжительность (длительность) и (или) временной график;
- (6) ограничения;
- (7) аудиторская группа.
Программа и план – в контексте данной заметки слова-синонимы, однако возможно терминологическое разделение – программу составляет администратор системы качества, в котором указывает цели, объем и критерии проверки, а также назначенных аудиторов (своеобразное техническое задание); а план составляется главным аудитором или командой аудиторов исходя из задач и (или) ограничений, заявленных в программе. Тогда в таком плане уточняются детали, оговаривается конкретный график (по часам), распределяется ответственность между конкретными аудиторами и т.п.
План (программу) аудита поставщиков, клиентов или удаленных структурных подразделений организации целесообразно дополнять сметой на аудит или приводить расчет необходимых ресурсов.
Разъяснения по отдельным пунктам программы (плана) аудита
Критерии проверки
В плане должны указываться конкретные стандарты, правила и (или) документы, на соответствие которым проводится аудит и (или) самоинспекция. В этом разделе нужно быть осторожным(ой) со ссылками – бояться своих желаний. Если, например, заявляется необходимость оценки соответствия правилам GMP/GDP, это значит, что проверяемые объекты (подразделения, процессы) должны быть оценены на соответствие КАЖДОМУ пункту как GMP, так и GDP. Правильнее для конкретных объектов указывать конкретные требования. Например, «пункты 3.3-3.16 части 1 GMP», «раздел 9 правил GDP», иногда с уточнением принадлежности требований (национальные правила, правила ЕАЭС, ЕС, США и т.п.).
Аудит всегда направлен на анализ деятельности организации и ее системы качества именно с точки зрения соответствия требованиям стандартов и (или) правил (GxP, ISO 9001, ISO 13485, ISO 17025 и др.). Для самоинспекций применимы ссылки на внутренние документы системы качества.
Объем и масштабы обследования
В этом разделе должны быть определены процессы, подразделения, включенные в объем аудита и (или) самоинспекции. Необязательно скрупулезно перечислять все подразделения, деятельность которых запланирована для проверки. Бывает достаточно указать «все подразделения, непосредственно вовлеченные в такой-то процесс или такую-то деятельность». А уже непосредственно в ходе аудита и (или) самоинспекции очертить более детализированную картину. Важно учитывать, что проверяемые могут отказать аудиторам в доступе к той информации, документам, инфраструктуре и т.п., которая выходит за пределы объема аудита, указанного в плане (программе) аудита. И наоборот, слишком обтекаемая формулировка может привести к концентрации аудиторов на второстепенных объектах.
Также бытует мнение, что проверять необходимо все подразделения и все процессы в отношении соблюдения требований, заявленных в критериях проверки. Это, мягко говоря, не очень корректно. Основа аудиторской техники – выборочная проверка. Для получения аргументированного заключения по любому пункту стандарта и (или) правил не нужно проводить 100% проверку всех объектов (подразделений, процессов, аутсорсинговых организаций). Достаточно обосновать и обеспечить репрезентативность выборки для проведения КАЖДОЙ самоинспекции и (или) аудита. Деятельность других подразделений будет анализироваться в ходе последующих проверок. Также нет необходимости везде проверять одно и то же. Более целесообразно разделить проверяемые требования между подразделениями, возможно даже с помощью метода ранжирования и фильтрации рисков. Это позволит провести оценку соответствия в каждом случае более глубоко и собрать в комплексе более детальную информацию для формулирования аудиторского заключения.
Если в ходе аудита и (или) самоинспекции предполагается проверка деятельности, переданной на аутсорсинг, аудиторы должны предупредить проверяемую организацию и (или) подразделения (1) о необходимости проведения проверки у выбранных исполнителей аутсорсинговых работ, (2) о необходимости обеспечения доступа к документам и записям, связанным с аутсорсинговыми работами. Аргументы об удаленности таких мест, транспортных и других проблемах (например, визовых, если место проведения работ находится заграницей) здесь не имеют значения. Что касается расходов – все расходы на проведение аудита исполнителя аутсорсинговых работ всегда несет заказчик таких работ.
Также одной из целей самоинспекции и (или) аудита является заключение о реализации и эффективности (результативности и достаточности) корректирующих и (или) предупреждающих действий (САРА) по несоответствиям, выявленных в ходе предыдущих аудиторских проверок. Анализ этого является одним из обязательных пунктов плана последующих проверок.
Продолжительность аудиторской проверки
Время проведения проверки должно ПОЗВОЛИТЬ провести оценку соблюдения соответствующих требований. У аудиторов должно быть достаточно времени для беседы с руководителем и специалистами подразделений, анализа необходимых документов и записей, анализа соблюдения требований в местах выполнения работ.
Обычно для проверки деятельности крупных подразделений (склад, цех, отдел контроля качества и т.п.) необходимо не менее 4 часов. Более правильно для каждого из них планировать полный день. Хотя для менее опытных аудиторов этого времени, скорее всего, тоже не хватит.
Допускается указать только общую продолжительность с последующей детализацией уже в ходе аудита. В то же время детализированный график посещения отдельных объектов поможет проверяемым более четко и слаженно организовать сопровождение аудита. И иногда даже снижает вероятность известных уловок типа «закрытые двери», «отсутствие ответственных лиц», «мы не знали, нам не сказали», «все ушли на фронт», «короче, приходите завтра» и т.п.
Ограничения
Непосредственно в плане (программе) самоинспекции и (или) аудита могут содержаться требования к деятельности аудиторов и (или) проверяемых объектов. Например, требование или просьба:
- подготовить к проверке конкретный пакет документов или их переводы;
- обеспечить постоянное присутствие переводчика;
- в момент самоинспекции и (или) аудита осуществлять конкретную деятельность (например, процесс производства конкретной продукции и т.п.);
- внести коррективы в график работы отдельных подразделений и (или) постоянного присутствия конкретных должностных лиц и т.п.
Аудиторская группа
Аудиты и самоинспекции могут проводить постоянно действующие аудиторы (например, состоящие в штате Отдела обеспечения качества) или ситуативно вовлекаемые аудиторы из разных структурных подразделений организации. Для аудита поставщиков могут привлекаться внештатные аудиторы и (или) консультанты. По факту, аудит и (или) самоинспекцию может проводить один (единственный) аудитор, а может потребоваться группа из 3-5 аудиторов.
Количество аудиторов определяется (1) целями и (2) критериями проверки, (3) количеством проверяемых объектов и (4) выделенным для проверки временем, (5) необходимостью наличия специальных знаний и навыков у аудиторов, иногда (6) аспектами персональной безопасности.
Еще бытует мнение, что аудиторы не меньше 50% времени, отведенного на аудит, должны работать вместе. Это опять же не верно. ИМХО. По своему статусу все аудиторы при проведении самоинспекции и (или) аудита являются равноценными боевыми единицами. Во время проверки каждый из них – квалифицированный аудитор и должен уметь самостоятельно оценивать соответствие любому требованию соответствующего стандарта и (или) правил. Поэтому совместная работа обоснована только тогда, когда этого требуют установленные правила проведения аудита и (или) самоинспекции, либо когда это продиктовано мерами безопасности (в том числе персональной). Например, в одной из американских компаний на уровне стандартной операционной процедуры (СОП) указаны разделы, проверку которых требуется проводить совместно (преимущественно те, которые находятся в зоне ответственности руководителей и при проверке крупных подразделений) и при этом заявлено особое требование к планированию, чтобы в общем случае аудиторы работали совместно не более 10-15% случаев. Хотя для малых организаций работа аудиторов с руководителями может занимать до 50% выделенного времени.
Автор: Александр Александров, Виалек
Больше информации на Telegram-канале СЛУЖБА КАЧЕСТВА
Обсуждения, дискуссии вопросы-ответы в чате специалистов по качеству