Моделирование деятельности организации: от целей к средствам

Программа конференции

Знакомство с практикой организации и проведения внутренних аудитов систем менеджмента качества, сертифицированных на соответствие требованиям Международного стандарта ISO 9001:2000 или находящихся, так сказать, в «предсертификационной» стадии, позволяет сделать вывод о том, что в данном виде деятельности складывается, а, возможно, даже сложилась определенная «субкультура». Здесь необходимо сделать следующую оговорку: речь идет о моих личных наблюдениях, и я сознаю, что располагаю ограниченным материалом. Тем не менее, считаю необходимым обсудить с аудиторией некоторые вещи, которые, как я полагаю, этого заслуживают. Основными элементами или внешними проявлениями упомянутой «субкультуры», вокруг которых я намерен построить, так сказать, обзорную, аналитическую или, если хотите, критическую часть дальнейшего изложения, являются:

• подходы к формированию содержания обязательной документированной процедуры по внутреннему аудиту;
• подходы к формированию номенклатуры рабочих документов аудита, а также бланков (форм) рабочих документов;
• фактический «масштаб» решаемых с помощью внутреннего аудита задач организации;
• отношение назначенных внутренних аудиторов к осуществляемой деятельности.

Результат своего осмысления этого материала я дам в последующей «конструктивной» части доклада.

Итак, приступим к обзорной части доклада, которую я начну с реальной картины знакомства с практикой внутреннего аудита на конкретном (но не называемом) предприятии. Так сказать, в полевых условиях.

1. «Картинка с выставки»

«С выставки», потому что это конкретное наблюдение с конкретного сертификационного аудита, который часто носит отпечаток «выставочности».

… На вступительный вопрос, проводился ли внутренний аудит в подразделении, контактное лицо бодро отвечает, что «да, один или два раза». Следующая за этим просьба показать соответствующие документы озадачивает собеседника, поскольку с ходу он вспомнить не в состоянии, где они находятся (должны находиться). В конце концов документы отыскиваются - их приносят от ОСК (из «Службы качества»).

Что же это за документы?

По конкретному аудиту мы видим контрольный лист, опросный лист, несколько (точнее, 5) сообщений о несоответствиях, отчет по аудиту – красивые бланки, заполненные от руки авторучкой.

В контрольном листе:

• в графе «Цель аудита» мы читаем примерно следующее: «Целью аудита является проверка соблюдения в проверяемом подразделении требований нормативной документации и системы менеджмента качества»;
• в графе «Относящиеся к аудиту документы» значится: «Должны быть проверены все документы, относящиеся к деятельности проверяемого подразделения». Но, если бы, скажем, возникло желание написать конкретнее – список документов, увы, для реализации этого замысла на бланке просто нет места.

В этом листе еще после «Цели аудита» есть графа «Основные задачи проверки» - что там написано, не помню, но наверно что-то очень важное.

Но основная задача контрольного листа - отметить, какая многоплановая работа проделана до, во время и после аудита. Из него мы узнаем, что в процессе аудита выделяется 15 обязательных шагов. И начинаем уважать этот вид деятельности. Что же это за шаги? Пожалуйста:

• Согласование точного времени аудита с РП
• Ознакомление со структурой и персональным составом проверяемого подразделения, согласование списка лиц, непосредственно участвующих в аудите
• Согласование с РП перечня используемой в подразделении документации, получение требуемых данных
• Анализ документации
• Составление опросного листа аудита
• Предварительное совещание в проверяемом подразделении
• Осмотр рабочих мест, условий, ознакомление с деятельностью
• Проведение аудиторских опросов на местах
• Проверка правильности ведения документации
• Анализ результатов проверки и заполнение протоколов несоответствий
• Согласование с РП корректирующих мер в отношении несоответствий
• Заключительное совещание
• Составление отчета об аудите
• Передача документов об аудите ОСК
• Участие в оценке проведенных корректирующих мер

И везде стоят одни и те же дата и отметка о выполнении «Выполнено». Без комментариев.

Опросный лист хранит на себе «домашние заготовки» аудитора – выношенные загодя «убойные» вопросы- ловушки – аж 5 штук! Больше все равно на бланке не помещается. А задействовать еще один бланк как-то недосуг.

Далее – 5 отчетов об обнаруженных несоответствиях. В голове сама собой возникает догадка. Смотрим в опросный лист – таки да! Что ни вопрос, то несоответствие.

Несоответствия, правда, так себе, хиленькие. Здесь кто-то подпись не поставил, а там в обозначение документа СМК вкралась ошибка. Встречаются, правда, вещи и посерьезнее, например: «В подразделении не проводится оценка эффективности корректирующих действий». Ни больше, ни меньше.

Отчет об аудите снова извещает нас о цели аудита (см. выше контрольный лист), а также избавляет нас от необходимости заниматься вычислениями и сообщает важную информацию о том, что в процессе аудита обнаружено 5 несоответствий.

Приглашаем внутреннего аудитора. На мой прямой вопрос, когда заполнялись контрольный и опросный листы - до или после аудита, следует честный ответ – после. Вот такая вкратце картина. Уже по ней можно сделать несколько заключений:

• в процессе аудита все, что касается рабочих документов, поставлено с ног на голову;
• бланки документов заставляют заниматься ненужным переписыванием;
• эффективность проделанной работы – близка к нулю. На первый взгляд. А если разобраться, то не исключено, что она вообще представляет собой ощутимую отрицательную величину.

Возникает и вопрос: если с аудитом дело обстоит таким образом, что происходит с системой в целом? Если аудитор не видит перекосов в своей работе, как он может положительно влиять на функционирование системы?

2. Смотрим в процедуру

Предположим, после всего этого мы начинаем читать документированную процедуру по внутреннему аудиту. Оговорюсь, что дальше примеры взяты не из одной процедуры. Что же можно увидеть в процедурах?

В разделе «Определения и сокращения»: «Внутренний аудит - систематический и независимый анализ, позволяющий определить соответствие деятельности и результатов в области качества запланированным мероприятиям, а также эффективность внедрения мероприятий и их пригодность поставленным целям».

Это определение – «вольный» синтез из кусочков: из определения аудита (п. 3.9.1 ISO 9000:2000) взяты слова «систематический, независимый», но проигнорирован «документируемый», и вместо слова «процесс» употреблено слово «анализ»; «запланированные мероприятия» и «эффективность внедрения» проникли сюда из п. 8.2.2 ISO 9001:2000, но все остальное этой чести не удостоилось.

В результате получилась лихая закрученная фраза с весьма туманным смыслом и сомнительной ценностью. Чего стоят эти «деятельность и результаты», «эффективность внедрения мероприятий» и все остальное? Для кого это написано?

В разделе «Ответственность»: «Ответственность за систематическое проведение анализа и оценки эффективности и соответствия установленным требованиям действующей на предприятии системы качества несет высшее руководство.

За планирование и обработку результатов внутреннего аудита отвечает ОСК.

Руководители проверяемых подразделений несут ответственность за всестороннее содействие проведению аудита и представление всей запрашиваемой информации аудитору, своевременное и качественное выполнение корректирующих действий.

Корректирующие действия контролирует ОСК».

Из всего написанного к теме процедуры относится ответственность ОСК за планирование аудита и руководителей – за содействие аудиту. Анализ руководства, корректирующие действия – для этого в системе есть свое место. Есть и вопросы:

• что означают слова «обработка результатов внутреннего аудита»?
• зачем ОСК контролировать корректирующие действия? И в чем этот контроль должен заключаться?
• откуда у автора процедуры уверенность, что «корректирующее действие» будет всегда в компетенции «руководителя проверяемого подразделения»?

В разделе «Планирование внутреннего аудита»: «Внутренние аудиты разделяются на плановые, которые должны обязательно регулярно проводиться на предприятии, и внеочередные, которые назначаются генеральным директором или ОСК по мере надобности». Кому нужно это деление на «плановые и внеочередные»? Если принято решение добавить что-то в план, то это просто изменение плана.

В другой процедуре расписан процесс подготовки «экспертов-аудиторов»: «Внутренние проверки проводят подготовленные и аттестованные эксперты-аудиторы. Программой внутренних проверок и подготовкой экспертов-аудиторов руководит представитель руководства по системе качества. Требования к квалификации, опыту и личным качествам аудиторов приведены в Приложении А к настоящей документированной процедуре. При проведении внутренней проверки один из экспертов-аудиторов назначается главным экспертом-аудитором. Функции и полномочия главного эксперта-аудитора приведены в Приложении Б к настоящей документированной процедуре.

План обучения экспертов-аудиторов по форме Ф 00.01.04. По окончании обучения представитель руководства по системе качества организовывает аттестацию экспертов-аудиторов. Протокол заседания аттестационной комиссии по форме Ф 00.01.05».

Титула «аудитор» уже мало. На внутреннюю проверку идут бригадой с вожаком. Что еще можно добавить к квалификационным требованиям, изложенным в стандарте? План обучения – по форме. Протокол заседания – тоже. А если человек поучится где-нибудь на стороне? Облом в системе… И так далее. Можно приводить и приводить примеры.

А теперь снова пройдемся по нашим вехам, но уже сначала.

Что собой должна представлять документированная процедура по внутреннему аудиту в организации? Нетрудно догадаться, что это должны быть конкретные правила осуществления данного вида деятельности в конкретной организации, которые не должны противоречить установленным нормам. Что же мы видим в действительности? Примерами характерных несуразностей, если не сказать больше, являются такие «феномены», как:

• буквальное переписывание из стандарта в процедуру определений терминов, используемых (пуще того – не используемых) далее в процедуре, а также некоторых положений и требований стандартов;
• «не буквальное» переписывание, искажающее смысл исходных положений, результатом чего зачастую является просто бессмыслица;
• не совсем очевидное и оправданное «навешивание» на конкретных должностных лиц обязанностей по решению тех или иных вопросов, возникающих в процессе аудита;
• желание предельно забюрократизировать все, что попадает в поле зрения;
• игнорирование специфики организации и протекающих в ней производственных процессов;
• выход за рамки «темы» (собственно аудит).

3. О рабочих документах аудита

В формировании набора рабочих документов можно выделить два аспекта:

• номенклатура рабочих документов;
• формы самих документов.

Опыт общения с представителями организаций показывает, что некоторые документы явно лишние. Для одних документов простым доказательством их ненужности является то, что «в теории» они должны составляться до аудита, а практически составляются после оного. Для других – то, что они содержат метаинформацию (данные, выводимые из первичных данных), которая потом нигде и никем не используется. Что же касается установленных форм документов, то их «красивые» бланки зачастую предрасполагают к ненужной писанине, а также к тому, что с какого-то момента конкретный документ оказывается «эпицентром», вокруг которого обязаны вращаться, в общем-то, занятые люди, вынужденные отвлекаться от более важных дел.

4. Баллы и жизнь

В русле общей тенденции бюрократизации еще одно характерное явление заключается в упорном уходе от содержательных проблем в обобщения и оценки. Например, я располагаю бланком «Протокола аудита», где по вертикали перечислены (весьма выборочно) пункты стандарта, а по горизонтали предусмотрены оценки:

• 3 балла - документация соответствует требованиям процесса и СМК и полностью выполняется;
• 2 балла - документация соответствует требованиям процесса и СМК, но выполняется не полностью;
• 1 балл - документация не полностью соответствует требованиям процесса и СМК, и не выполняется;
• 0 баллов - документация не соответствует требованиям процесса и СМК.

В нижней части бланка требуется заняться подсчетами количества ответов по столбцам, количества баллов по столбцам, фактического количества баллов, возможного количества баллов и сделать итоговую оценку. Спрашивается, что потом делать с этой оценкой?

5. Уровень поднимаемых проблем

Какие же задачи при этом решает внутренний аудит? Каков их масштаб? Вернее, каков масштаб поднимаемых аудитом проблем, поскольку аудит призван вскрывать проблемы, а не решать их. Здесь трудно делать строгие обобщения, но позволю себе утверждать, что подавляющее число «обнаруженных несоответствий» составляют находки типа «нет подписи», «не проставлена дата», «ошибка в обозначении документа» и т.д.

На недавнем ресертификационном аудите в одной организации я обратил внимание на то, что половина выявленных внутренним аудитом «несоответствий» касается ошибок, связанных с обозначениями документов (все эти «ПР», «ДП», «Ж», «Ф» с цифрами и точками). С одной стороны, утверждения типа «У нас такая хорошая система классификации документов, нам так удобно с ней работать!», с другой – есть чем занять аудиторов. Тем временем и там же внутренний аудит спокойно прошел мимо несуразностей и недоработок, связанных с применением процессного подхода. Ему не было дела до того, что весь процессный подход в системе «прикрыт» как фиговым листком двумя-тремя бумажками - все свелось к загадочному «красивому» рисунку формата А4 и двум листикам с курьезными критериями эффективности каких-то процессов. Например, аудит спокойно воспринял такие критерии эффективности процесса управления персоналом:

• количество поощрений в текущем году не менее чем в предыдущем;
• количество взысканий в текущем году не более чем в предыдущем.

Надо ли говорить, что между рисунком и этими листиками соответствие не просматривалось?

Покажите мне, например, где аудит волнует отсутствие применения на предприятии статистических методов. В первую очередь аудит озабочен имитацией собственной деятельности. В тех же случаях, когда речь идет о более или менее серьезных вопросах, очень трудно увидеть документальные следы их серьезной отработки, как говорится, «по полной программе» - с устранением несоответствия, с поиском возможных его причин, их нахождением, планированием корректирующих действий…

6. Отношение аудитора к своей работе

Приведенные примеры «негатива» во многом обусловлены отношением внутренних аудиторов к своей работе, которое является также следствием определенных причин. Каких именно? Их по крайней мере две. Во-первых, внутренний аудит – вид деятельности, требующий высокого профессионализма по многим аспектам: видение истинных целей и задач, умение определить собственные «правила игры», владение нормативной базой, относительно которой нужно рассматривать процессы и явления и т.д. В частности, профессионализм - это широкое видение многочисленных аспектов и возможностей, но в то же время профессионализм – это умение и устоять перед некоторыми «искушениями» и делать только то, что действительно приносит пользу. Во-вторых, внутренний аудит – это деятельность, по определению не основная для лиц, ее осуществляющих. За основную работу человек получает вознаграждение. Дополнительная работа в любом случае отвлекает ресурс от основной и она - дополнительная «головная боль», которая в отдельных случаях может стать (и иногда становится!) весьма заметной.

На старте еще неискушенный аудитор-новичок с трудом, но воспринимает навязанную ему консультантом, Интернетом или еще кем-то бюрократическую технологию аудита. И он искренне верит, что это – «ИСО»! И далее, «зацикленный» на необходимости заполнять бланки и бланки на бланки, внутренний аудитор спокойно проходит мимо всевозможных несуразностей и ляпов, допущенных в родной для него системе. Так, он годами не видит, что документация системы написана, мягко говоря, не по-русски – ее как перевели в свое время с «иностранного», так она и несет в себе следы деятельности компьютерного переводчика. Ему невозможно растолковать, что его предприятие, занимаясь проектной работой, живет в ритме выполнения конкретных заказов, поэтому планирование проведения внутренних аудитов должно учитывать этот ритм и происходить динамически, а не быть торжественно-статичным с направленностью на стационарную организационную структуру.

7. О коррекции и корректирующих действиях

Стало чуть ли не нормой использовать бланк, на котором за полем для фиксации несоответствия сразу следует блок «корректирующего действия». Давайте разберемся, что следует за обнаружением несоответствия?

Правильно, его устранение, т.е. «коррекция». По определению п. 3.6.6 ISO 9000:2000 «коррекция» (correction) – действие, направленное на устранение обнаруженного несоответствия (nonconformity – п. 3.6.2). При этом дается два примечания:

Примечание 1. Коррекция может выполняться вместе с корректирующим действием (corrective action – п. 3.6.5).

Примечание 2. Коррекция может заключаться, например, в переделке (rework – п. 3.6.7) или в понижении градации (regrade – п. 3.6.8).

Что такое «rework» и «regrade»?

П. 3.6.7: переделка (rework) – действие, которое выполняют с несоответствующим продуктом (nonconforming product – п. 3.4.2), чтобы сделать его удовлетворяющим требования (requirements – п. 3.1.2). Примечание: в отличие от переделки, ремонт (repair – п. 3.6.9) может воздействовать или изменять части несоответствующего продукта.

П. 3.6.8: понижение градации (regrade) – изменение градации (grade – п. 3.1.3) несоответствующего продукта (nonconforming product – п. 3.4.2), такое, что продукт удовлетворяет требованиям (requirements – п. 3.1.2), отличным от первоначальных.

К коррекции смело можно добавить и ремонт (repair – п. 3.6.9) – действие с несоответствующим продуктом (nonconforming product – п. 3.4.2) с целью сделать его приемлемым для предполагаемого использования.

Примечание 1: ремонт охватывает (включает) действия над продуктом, ранее соответствовавшего требованиям, по его восстановлению для дальнейшего использования, которые, например, могут выполняться в рамках технического обслуживания (maintenance).

Вопрос: а почему ремонт продукта, сразу не прошедшего контроль, - это не ремонт?

Примечание 2 полностью повторяет примечание к п. 3.6.7: в отличие от переделки, ремонт (repair – п. 3.6.9) может воздействовать или изменять части несоответствующего продукта.

Конечно, здесь все время идет речь о продукте. На мой взгляд, следует четко разграничить «8.3 Управление несоответствующим продуктом» (8.3 Control of nonconforming product) и вопросы управления несоответствиями, которые, в частности, могут обнаруживаться в процессах внутреннего аудита. Должен (может) ли аудитор проверять продукт на соответствие требованиям? Забота аудитора - система. То есть, поле его деятельности намного шире. Но основные механизмы применимы и на уровне системы.

Итак, мы обнаружили несоответствие, и осуществили коррекцию одним из вышеперечисленных способов.

Надо ли это фиксировать?

Ясно, что необходимость фиксации несоответствия и его коррекции определяется масштабом несоответствия. Можно наткнуться на мелочь, которая, будучи исправленной «на ходу», не будет в дальнейшем отвлекать занятых людей от работы. Серьезным генератором мелких проблем является нахождение всевозможных ошибок и несуразностей в документах СМК. Тяжеловесность процедуры управления документацией во многих случаях делает коррекцию документации просто неподъемным делом. Как вспомнишь про «Извещение об изменении», отзыв учтенных копий, их исправление и снова рассылка через ведомость распределения, так и весь энтузиазм пропадает.

Аудитор выявляет проблему и адресно уведомляет о ней тех, кого она непосредственно касается. Кто входит в круг адресатов? Во-первых, тот, кто может и должен выполнить коррекцию. Во-вторых, тот, кто может заняться выяснением причин(ы) обнаруженного несоответствия.

Если повезет, умный специалист найдет искомую причину. А может т не найти. Тогда все, «finita la comedia», и все отдыхают. То есть, радостно рапортуют о закрытии проблемы (отчитываются в собственном бессилии). Но предположим, причина найдена. Тогда на повестке дня вопрос о ее устранении. То есть, о корректирующем действии. Вспомним, что корректирующее действие (corrective action - п. 3.6.5): действие по устранению причины обнаруженного несоответствия (nonconformity – п. 3.6.2) или другой нежелательной ситуации.

Примечание 1. Несоответствие может иметь более чем одну причину.

Примечание 2. Корректирующее действие предпринимается для предупреждения повторения, тогда как предупреждающее действие (preventive action - п. 3.6.4) предпринимается для предотвращения возникновения несоответствия.

Примечание 3. Имеется различие между коррекцией (correction – п. 3.6.6) и корректирующим действием. Нежелательная ситуация – это не несоответствие. Кто фиксирует нежелательные ситуации? Внутренний аудитор обязан это делать? Ну, предположим, что аудитор обязан заниматься и нежелательными ситуациями, но тогда как их для начала фиксировать? Бланк-то у нас только для несоответствий…

Но вернемся к корректирующему действию. В общем случае, реализация этого (корректирующего) действия может выходить за рамки личной компетенции того, кто предлагает действие. Стало быть, он должен сообразить и то, кому передать эстафетную палочку. Корректирующее действие, в свою очередь, может оказаться простым, а может и нет.

Нужно ли по каждой проблеме «напрягать» ОСК или «Службу качества»? Я думаю, нет. Отработка «находок» аудитора должна быть распределенной – каждый должен заниматься своим делом в пределах компетенции.

8. Чем должен и может заниматься внутренний аудит?

Чем должен заниматься внутренний аудит в целом, и каждый внутренний аудитор в отдельности? П. 8.2.2 ISO 9001:2000 гласит: «Организация должна проводить внутренние аудиты с запланированной периодичностью, чтобы определить, насколько система менеджмента качества:

1. соответствует запланированным мероприятиям (см. 7.1), требованиям настоящего Международного Стандарта и требованиям к системе менеджмента качества, установленным организацией, и
2. эффективно внедрена и поддерживается».

Смысл внутреннего аудита я бы определил чуть шире: самоконтроль организации, направленный на повышение результативности и эффективности ее работы.

Кстати, что значит «запланированная периодичность»? По-моему, слово «периодичность» здесь лишнее.

Далее, если пункт «а)» не вызывает вопросов, то пункт «б)» - вызывает. Что является критерием того, что СМК эффективно внедрена и поддерживается (а может быть, и эффективно поддерживается)? Любопытно узнать, задумывается ли кто-либо на эту тему серьезно, т.е. практически? Давайте проведем «online »-эксперимент – попробуем на ходу сгенерировать эти критерии. Чтобы требовать от аудитора выполнения п. «б)», нужно вооружить его точно сформулированными критериями. Если их нет, данный пункт стандарта для аудитора – пустой звук.

Вспомним еще раз п. 8.2.2 ISO 9001:2000, согласно которому цель аудита состоит «в определении, насколько…». Давайте из этого и исходить – аудитор не должен заниматься исправлениями, поиском причин обнаруженных несоответствий, разработкой и реализацией корректирующих действий.

Правда, в том же пункте есть некоторая «туманность»: «Руководство, которое отвечает за проверяемый участок, должно обеспечить своевременное (без необоснованной задержки) выполнение действий, чтобы устранить обнаруженные несоответствия и их причины. Последующие действия должны включать проверку предпринятых действий, и составление отчета о результатах проверки (см. п. 8.5.2)».

Речь идет о пресловутых корректирующих действиях. «Туманность», на мой взгляд, в том, что как-то прямо не говорится, кто должен «проверять», «составлять отчет». А потом, кто этот отчет будет читать?

Кстати, п. 8.5.2 в части «д)» требует регистрировать результаты выполненных корректирующих действий. Не много ли бумаг вокруг одной сущности?

И что это такое, результаты выполненных корректирующих действий? Кто и зачем должен их «регистрировать»?

А что, если причину несоответствия найти не удалось?

Цепочки проблем и решений, порожденные исходной, вскрытой в процессе аудита проблемой, в общем случае имеют непредсказуемую конфигурацию.

9. О результативности и эффективности внутреннего аудита

Результативность (effectiveness – п. 3.2.14): степень, в которой запланированная деятельность реализована и запланированные результаты достигнуты. Эффективность (efficiency – п. 3.2.15): отношение между достигнутым результатом и использованными ресурсами.

Если с результативностью все в основном понятно, то эффективность вызывает вопрос. Пусть достигнут скромный результат – далеко не тот, который планировался, но сделано это с небольшой затратой ресурсов.

Деятельность можно считать эффективной, если результативность низка?

Умозрительно можно представить, что, если внутренний аудит вскрыл незначительные проблемы, но и потратился на это незначительно, «буквальная» эффективность этого может быть близка эффективности аудита, который вскрыл существенные проблемы, но и затратил значительные ресурсы. Но это умозрительно. А в действительности, серьезное повышение эффективности аудита может быть тогда, когда у нас: в числителе нацеленность аудитора на обнаружение существенных проблем; в знаменателе – высокая квалификация аудитора и хорошо отлаженная продуманная технология проведения аудита, как минимум, без «глубокомысленных наворотов».

10. Как можно работать

Аудитор берет чистый лист бумаги формата А4 и на нем записывает все возникающие в связи с грядущим аудитом мысли (аудит начался!). Если он считает целесообразным заблаговременно познакомиться с документацией подразделения, свои впечатления (если они у него появятся) он также вносит на этот лист. Не хватит одного листа, исписанного с двух сторон, пускай возьмет второй, третий. Возникнут вопросы, которые нужно будет задать в процессе интервью с представителем поверяемого подразделения, пускай они будут записаны здесь же. Собственно, если есть такая возможность и желание, на начальной фазе можно использовать компьютер.

Накопленный материал вводится в компьютер, а затем печатается для использования в процессе интервью, которое можно законспектировать на этих же или добавленных листах. При этом очень удобно воспользоваться жесткой папкой, куда можно подшить заполненные и чистые листы, и писать на них в любых условиях (в кабинете, в цеху, на свежем воздухе).

В процессе аудита возникают, на мой взгляд, два тонких вопроса: какие несоответствия нужно фиксировать? что делать, если аудитор воспринимает нечто как недостаток, но затрудняется подвести его «под букву закона»?

По первому вопросу. Совершенно очевидно, что мелкие нарушения недостойны отработки «по полной программе».

По второму вопросу. Опыт показывает, что иногда очень трудно очевидный недостаток квалифицировать как нарушение установленной нормы. Ну, например, в одном документе СМК сделана ссылка на другой документ, но оказывается, что таковой вообще не существует. Нарушена целостность документации системы, но где написано требование «Документация СМК должна быть целостной»?

В ходе аудита на листах рабочих записей вызревают сюжеты, которые найдут отражение в последующих бумагах. Каких? Ну, во-первых, это фиксация несоответствий. Во-вторых, это замечания, которые трудно квалифицировать как несоответствия. В-третьих, это могут быть предложения. В-четвертых и т.д. – все что угодно.

Разве можно представить себе заранее, какие мысли могут возникнуть у умного заинтересованного человека?

Нужно ли переписывать начисто эти записи или вводить их в компьютер? Да упаси Бог! Зачем делать лишнюю работу?

В каком виде нужно делать производные от аудита? Совершенно не вижу смысла делать их на «красивых» бланках. Собственно, что должно быть написано? Буквально несколько позиций:

• кому адресуется бумага, и адресатов может быть несколько (проблема должна кого-то озадачить); формулировка проблемы и любая другая сопутствующая информация, которую аудитор считает целесообразным привести (самая суть);
• ссылка на пункт плана аудитов («откуда есть пошла проверка…»);
• дата и подпись аудитора (как же без этого?).

Рабочие записи и производные документы – вот и весь «выход» процесса аудита. Рабочие записи идут в архив. А производные документы начинают работать. И вот здесь аудит заканчивается, и начинаются другие важные и нужные вещи.

Проблема может быть решена, а может породить другую проблему, и не одну. Какие нити потянутся от исходной проблемы, в какой узор они сложатся (например, вспомним «несоответствие может иметь несколько причин» - примечание 1 к определению корректирующего действия п. 3.6.5 ISO 9000:2000), кто будет задействован в их рассмотрении и решении проблем – жизнь покажет.

Самое лучшее, что может сделать система – не мешать и ничего не навязывать, а обеспечить всего только контроль исполнения принятых решений и прослеживаемость переходов в обе стороны: от текущего состояния проблемы или ее решения до истоков; от аудитора до текущего состояния поставленной им проблемы.

11. Выводы и рекомендации

Рассмотрев если не несоответствия, то хотя бы недостатки, сопутствующие во многих случаях практическому внутреннему аудиту, а также их вероятные причины, можно предложить несколько групп соответствующих «корректирующих действий».

I. Документированная процедура

Нелишне снова процитировать п. 8.2.2: «В документированной процедуре должны быть определены ответственности и требования по планированию и проведению аудитов, по отчетности и документальному оформлению (см. 4.2.4)».

Не нужно в процедуру перетаскивать положения стандартов.

В процедуре должны быть определены моменты, специфичные для данной организации, а именно:

• что в организации понимают под эффективностью внедрения и поддержки СМК;
• принцип планирования внутренних аудитов в организации, включая и дисциплину коррекции планов;
• признание того, что кроме несоответствий (нарушения норм), есть и другие недостатки, на которые аудитор может обращать внимание, и не просто обращать, а и фиксировать их, а также «давать ход» этим документам;
• технология проведения аудита, включая ведение рабочих записей, фиксацию несоответствий, а также «нежелательных ситуаций». При этом должен быть поставлен барьер для проникновения в документацию аудита «лишних полей», «полей для метаданных» и для бездумного переписывания одних и тех же фраз из документа в документ. Кроме того, должно быть четко и конкретно определено, куда и как поступают рабочие документы, как они хранятся и т.д.;
• обеспечение гибкости адресации сигналов о несоответствиях и др. замечаний;
• правила взаимодействия с аудиторами второй и третьей сторон, позволяющие извлечь максимум пользы из соответствующих аудитов, не полагаясь на внешние процедуры.

В процедуре должно быть четко разграничено, что аудитор «должен» делать, и что он «может» делать (т.е. может и не делать). В принципе, вся «философия» вопроса, разъяснения и специфические методы могут быть изложены в отдельном документе со статусом методических материалов, освоение которых будет являться базой для профессионального роста аудитора.

II. Подготовка аудитора

Мы уже видели, что в процедуре иногда пишут на тему подготовки аудиторов. Но в чем заключается «правда жизни»? В том, что в организации может быть разработан и в дальнейшем постепенно развиваться учебный курс, в котором, кроме общеизвестных истин из стандартов с комментариями к ним, будет рассказано об СМК предприятия, и почему она такая, как есть на сегодняшний день. Конечно, аудитору не грех поучиться и на стороне. Можно ли в процедуре предусмотреть все возможности?

III. Статус аудитора в организации

На роль внутренних аудиторов организация должна назначать лиц, не только формально удовлетворяющих квалификационным требованиям, но, в первую очередь, умеющих думать. Аудитор должен иметь высокий статус, его деятельность его должна поощряться и стимулироваться. Насколько она эффективна, должно решать высшее руководство и выбор методов и форм стимулирования, конечно же, за ним, но в любом случае внутренний аудитор должен чувствовать себя входящим в элиту организации.

IV. «Настрой» аудитора

Аудитор должен чувствовать себя не мелким клерком, со всех сторон обложенным, как волк флажками, правилами и требованиями (в том числе по отчетности), а свободным человеком, включающим свой интеллект в процесс осуществления интереснейшей деятельности по совершенствованию организации - в той степени, в какой ему это интересно (во всех смыслах). Желательно, чтобы на полную мощь. Аудитор должен ощущать продуманность, целесообразность и эффективность своей собственной деятельности. Только тогда она окажет позитивное влияние на деятельность других людей.

Версия для печати