Audyt wewnętrzny ISO 9001 nie powinien być kontrolą nastawioną na szukanie winnych ani mechanicznym sprawdzaniem dokumentów. Jego zadaniem jest dostarczenie wiarygodnych informacji o tym, czy system zarządzania jakością działa zgodnie z przyjętymi wymaganiami, wspiera cele firmy i prowadzi do zamierzonych wyników.
Po lekturze zrozumiesz, jak zaplanować program audytów, przygotować dokumenty i pytania, prowadzić rozmowy z pracownikami, formułować niezgodności oraz sprawdzać skuteczność działań korygujących. Artykuł obejmuje cały cykl audytu — od ustalenia zakresu do zamknięcia ustaleń.
Czym jest audyt wewnętrzny ISO 9001?
Audyt wewnętrzny ISO 9001 to systematyczny, udokumentowany i bezstronny proces zbierania dowodów oraz ich oceny względem określonych kryteriów. Ma odpowiedzieć przede wszystkim na trzy pytania:
- Czy organizacja spełnia wymagania ISO 9001 oraz własne wymagania?
- Czy system zarządzania jakością został skutecznie wdrożony i jest utrzymywany?
- Czy procesy osiągają zaplanowane rezultaty?
Wymagania dotyczące audytu wewnętrznego znajdują się w punkcie 9.2 normy ISO 9001. Organizacja powinna prowadzić audyty w zaplanowanych odstępach, opracować program audytów, określić kryteria i zakres, zapewnić bezstronność audytorów, raportować wyniki oraz podejmować odpowiednie działania.
ISO 19011 zawiera natomiast wytyczne dotyczące zarządzania programem audytów, prowadzenia audytów i kompetencji audytorów. Jest przewodnikiem, a nie podstawą certyfikacji systemu zarządzania jakością.
Granice audytu wewnętrznego
Audyt wewnętrzny nie jest:
- inspekcją każdej wykonanej operacji,
- pełną kontrolą wszystkich dokumentów,
- oceną osobowości pracowników,
- przesłuchaniem,
- konsultingiem prowadzonym równocześnie z niezależną oceną,
- audytem certyfikującym,
- narzędziem dyscyplinarnym.
Audyt opiera się na próbkowaniu. Brak wykrytych niezgodności nie oznacza, że w całej organizacji nie istnieje żadna niezgodność. Oznacza jedynie, że w zbadanej próbce nie znaleziono wystarczających dowodów na jej występowanie.
Audyt wewnętrzny, audyt dostawcy i audyt certyfikacyjny — różnice
Rodzaj audytu | Kto go prowadzi | Główny cel | Typowe kryteria |
|---|---|---|---|
Audyt wewnętrzny | Organizacja lub osoba działająca na jej zlecenie | Ocena własnego systemu i procesów | ISO 9001, procedury, wymagania klienta, przepisy |
Audyt dostawcy | Klient lub jego przedstawiciel | Ocena zdolności dostawcy | Umowa, specyfikacje, wymagania branżowe |
Audyt certyfikacyjny | Niezależna jednostka certyfikująca | Ocena zgodności przed wydaniem lub utrzymaniem certyfikatu | ISO 9001 i zasady certyfikacji |
Audyt regulacyjny | Organ nadzoru lub uprawniona instytucja | Weryfikacja zgodności prawnej | Przepisy i decyzje administracyjne |
Audyt wewnętrzny może przygotować firmę do audytu certyfikacyjnego, ale nie powinien ograniczać się do symulowania wizyty jednostki certyfikującej. Jego wartość polega przede wszystkim na wykrywaniu słabych punktów procesów przed wystąpieniem reklamacji, strat lub problemów z klientem.
Program audytów a plan pojedynczego audytu
Program audytów i plan audytu to dwa różne poziomy zarządzania.
Program audytów
Program audytów obejmuje zbiór audytów zaplanowanych na określony okres, najczęściej rok. Powinien uwzględniać:
- cele programu,
- procesy i lokalizacje objęte audytami,
- częstotliwość audytów,
- znaczenie poszczególnych procesów,
- ryzyka i szanse,
- zmiany organizacyjne, technologiczne lub prawne,
- wyniki wcześniejszych audytów,
- reklamacje i problemy jakościowe,
- odpowiedzialność za zarządzanie programem,
- zasoby i kompetencje audytorów,
- metody prowadzenia audytów,
- sposób monitorowania realizacji programu.
Program nie musi pokrywać się z rokiem kalendarzowym. Może obejmować okres dopasowany do cyklu przeglądów zarządzania, sezonowości produkcji albo specyfiki projektów.
Plan audytu
Plan dotyczy jednego konkretnego audytu. Określa między innymi:
- cel audytu,
- zakres organizacyjny i procesowy,
- kryteria,
- termin i czas,
- zespół audytujący,
- osoby lub funkcje uczestniczące,
- kolejność rozmów i obserwacji,
- lokalizacje,
- metody zdalne lub stacjonarne,
- termin spotkania otwierającego i zamykającego,
- zasady raportowania.
W małej firmie plan może mieć formę jednostronicowego dokumentu lub wiadomości przesłanej właścicielom procesów. W organizacji wielooddziałowej może być rozbudowanym harmonogramem z podziałem na zespoły, lokalizacje i zmiany robocze.
Jak zaplanować program audytów ISO 9001?
Krok 1: Ustal cele programu
Celem nie powinno być wyłącznie „spełnienie wymagania normy”. Cele mogą obejmować:
- ocenę skuteczności najważniejszych procesów,
- sprawdzenie wdrożenia zmian,
- ograniczenie powtarzalnych reklamacji,
- ocenę nadzoru nad dostawcami,
- przygotowanie do certyfikacji,
- sprawdzenie działania procesu projektowania,
- ocenę skuteczności działań po wcześniejszych niezgodnościach,
- identyfikację dobrych praktyk możliwych do zastosowania w innych działach.
Dobrze sformułowany cel wpływa na zakres, próbkę, kompetencje audytora i treść raportu.
Krok 2: Zidentyfikuj procesy objęte systemem
Punktem wyjścia powinna być rzeczywista mapa procesów, a nie sam spis działów. Typowe procesy to:
- sprzedaż i przegląd wymagań klienta,
- projektowanie i rozwój,
- zakupy oraz kwalifikacja dostawców,
- produkcja lub realizacja usługi,
- kontrola jakości,
- magazynowanie i wysyłka,
- nadzór nad wyposażeniem pomiarowym,
- zarządzanie kompetencjami,
- obsługa reklamacji,
- nadzór nad dokumentacją,
- ocena wyników i przegląd zarządzania,
- postępowanie z niezgodnościami.
Audytowanie wyłącznie według działów może utrudniać śledzenie zależności między procesami. Przykładowo reklamacja klienta może dotyczyć jednocześnie sprzedaży, projektowania, produkcji, kontroli i logistyki.
Krok 3: Ustal częstotliwość na podstawie ryzyka
ISO 9001 nie nakazuje audytowania każdego procesu dokładnie raz w roku. Audyty mają odbywać się w zaplanowanych odstępach, a program powinien uwzględniać znaczenie procesów, zmiany i wyniki poprzednich audytów.
Częściej warto audytować procesy:
- mające bezpośredni wpływ na bezpieczeństwo lub zgodność wyrobu,
- generujące dużo reklamacji,
- z wysokim udziałem braków i poprawek,
- po istotnej zmianie technologicznej,
- po zmianie właściciela procesu,
- z powtarzającymi się niezgodnościami,
- realizowane przez nowych lub zewnętrznych wykonawców,
- objęte szczególnymi wymaganiami klienta albo prawa.
Stabilny proces o dobrych wynikach może być audytowany rzadziej, pod warunkiem że organizacja potrafi uzasadnić tę decyzję.
Krok 4: Dobierz metodę audytu
Audyt może być:
- stacjonarny,
- zdalny,
- hybrydowy,
- procesowy,
- przekrojowy,
- tematyczny,
- następczy, skoncentrowany na działaniach korygujących.
Audyt zdalny sprawdza się przy przeglądzie zapisów, rozmowach z osobami pracującymi zdalnie i procesach cyfrowych. Może być niewystarczający, gdy kluczowe znaczenie ma obserwacja hali, identyfikacja materiału, stan infrastruktury albo fizyczne zabezpieczenie wyrobu.
Krok 5: Przydziel niezależnych i kompetentnych audytorów
Audytor powinien być bezstronny i nie powinien oceniać własnej pracy. Nie oznacza to, że zawsze musi pochodzić z innego działu. Kluczowe jest to, czy może wydać obiektywną ocenę bez konfliktu interesów.
Kompetencje audytora obejmują:
- znajomość wymagań ISO 9001,
- rozumienie procesów i podejścia opartego na ryzyku,
- umiejętność prowadzenia rozmów,
- zbieranie i weryfikowanie dowodów,
- formułowanie ustaleń,
- znajomość przepisów oraz wymagań branżowych odpowiednich dla zakresu,
- umiejętność zachowania poufności.
W małych firmach rozwiązaniem może być audyt krzyżowy pomiędzy działami albo skorzystanie z audytora zewnętrznego. Audyt zewnętrzny realizowany na zlecenie firmy nadal może być częścią jej programu audytów wewnętrznych.
Kryteria, zakres i cele audytu
Te trzy pojęcia nie powinny być stosowane zamiennie.
Kryteria audytu
Kryteria są wymaganiami, względem których oceniane są dowody. Mogą nimi być:
- ISO 9001,
- polityki i procedury organizacji,
- instrukcje pracy,
- plany jakości,
- wymagania klienta,
- umowy i specyfikacje,
- przepisy prawa,
- wymagania regulatora,
- cele i mierniki procesu.
Nie należy zgłaszać niezgodności tylko dlatego, że audytor zastosowałby inne rozwiązanie. Musi istnieć możliwe do wskazania kryterium.
Zakres audytu
Zakres określa granice oceny, na przykład:
- konkretny proces,
- lokalizację,
- linię produkcyjną,
- projekt,
- zmianę roboczą,
- okres objęty badaniem,
- grupę produktów lub usług.
Cel audytu
Cel określa, po co audyt jest prowadzony. Przykładem może być ocena, czy zmieniony proces zatwierdzania zamówień zapobiega przyjmowaniu wymagań, których firma nie potrafi spełnić.
Przygotowanie dokumentów do audytu
Dokumentacja powinna pomagać audytorowi zrozumieć proces i wybrać próbkę. Nie należy żądać tworzenia dodatkowych procedur wyłącznie na potrzeby audytu, jeżeli nie są one potrzebne do skutecznego działania systemu.
Dokumenty do przeglądu przed audytem
W zależności od zakresu mogą to być:
- mapa procesów,
- polityka i cele jakości,
- opis odpowiedzialności,
- procedury i instrukcje,
- wskaźniki procesu,
- oceny ryzyka,
- wyniki poprzednich audytów,
- reklamacje i zwroty,
- wykaz niezgodności,
- działania korygujące,
- wyniki kontroli i badań,
- dane dotyczące dostawców,
- zapisy szkoleń i kompetencji,
- protokoły przeglądu zarządzania,
- informacje o zmianach w procesie.
Audytor powinien sprawdzić aktualność i przydatność dokumentów, ale nie może założyć, że treść procedury odzwierciedla rzeczywistą praktykę. To wymaga potwierdzenia podczas rozmów, obserwacji i badania zapisów.
Lista kontrolna audytu
Lista kontrolna może obejmować pytania i obszary do sprawdzenia, lecz nie powinna ograniczać audytora do zamkniętego formularza.
Dobra lista:
- wynika z celu i kryteriów audytu,
- uwzględnia ryzyka procesu,
- zawiera pytania otwarte,
- wskazuje przykładowe dowody,
- przypomina o wcześniejszych problemach,
- umożliwia zapisanie numerów próbek i obserwacji.
Słaba lista kontrolna składa się wyłącznie z pytań typu „czy firma posiada procedurę?”. Taki sposób badania promuje formalne odpowiedzi zamiast oceny skuteczności.
Jak prowadzić audyt wewnętrzny krok po kroku?
Spotkanie otwierające
Spotkanie otwierające powinno potwierdzić:
- cel, zakres i kryteria,
- plan oraz przewidywany czas,
- uczestników,
- dostępność dokumentów i obszarów,
- zasady poufności,
- sposób komunikowania pilnych problemów,
- klasyfikację ustaleń,
- termin spotkania zamykającego i raportu.
W małej organizacji spotkanie może trwać kilka minut. Ważniejsze od formalności jest wspólne zrozumienie sposobu prowadzenia audytu.
Śledzenie przebiegu procesu
Jedną z najskuteczniejszych metod jest śledzenie konkretnego zlecenia, wyrobu, usługi albo reklamacji przez kolejne etapy.
Przykładowy ślad audytowy zamówienia:
- zapytanie klienta,
- przegląd wymagań,
- oferta i umowa,
- planowanie realizacji,
- zakup materiałów,
- produkcja lub wykonanie usługi,
- kontrola,
- zwolnienie wyrobu,
- wysyłka,
- informacja zwrotna lub reklamacja.
Takie podejście pozwala ocenić interakcje procesów i ogranicza ryzyko, że każdy dział pokaże wyłącznie wybrane, idealne zapisy.
Obserwacja pracy
Audytor powinien porównywać:
- wymagania,
- deklarowany sposób działania,
- rzeczywisty przebieg pracy,
- powstające zapisy,
- osiągane wyniki.
Obserwacja może ujawnić nieaktualne instrukcje, nieoznaczone materiały, pominięte kontrole, nieautoryzowane zmiany, niewłaściwe warunki przechowywania lub praktyki skuteczniejsze niż formalny opis procesu.
Dobór próbek
Wielkość próbki zależy od ryzyka, jednorodności procesu, liczby transakcji, wyników wcześniejszych kontroli i dostępnego czasu. ISO 9001 nie określa minimalnej liczby dokumentów, rekordów ani rozmów.
Jeżeli pierwsze próbki wskazują problem, audytor powinien rozszerzyć badanie, aby ustalić jego skalę i charakter. Nie należy jednak prowadzić dochodzenia bez końca. Zadaniem audytora jest uzyskanie wystarczających dowodów do uzasadnienia ustalenia, a nie wykonanie pełnej analizy przyczyn.
Rozmowy z pracownikami podczas audytu
Rozmowa ma pomóc zrozumieć proces i zweryfikować dowody. Pracownik nie powinien być oceniany na podstawie pamięciowego cytowania procedur lub punktów normy.
Jak zadawać pytania?
Najlepiej stosować pytania otwarte:
- Jak rozpoczyna Pan lub Pani tę pracę?
- Skąd wiadomo, jakie są wymagania klienta?
- Co dzieje się, gdy materiał nie spełnia wymagań?
- Jak rozpoznawana jest aktualna wersja instrukcji?
- Kto może zatwierdzić zmianę?
- Jakie problemy wystąpiły ostatnio?
- Po czym wiadomo, że proces działa prawidłowo?
- Proszę pokazać ostatnio wykonany przykład.
- Co dzieje się w przypadku awarii systemu?
- Jak przekazywane są informacje następnej zmianie?
Pytania zamknięte warto stosować do potwierdzania konkretnych informacji, a nie jako główną metodę badania.
Technika „pokaż mi”
Deklaracja pracownika jest jednym z dowodów, ale zwykle powinna zostać potwierdzona. Audytor może poprosić o pokazanie:
- ostatniego zlecenia,
- zapisu kontroli,
- aktualnej instrukcji,
- identyfikacji partii,
- zgłoszonej niezgodności,
- wyników monitorowania,
- dowodu zatwierdzenia zmiany.
Rozmowa, dokument, zapis i obserwacja powinny tworzyć spójny obraz.
Jak nie prowadzić rozmowy?
Należy unikać:
- pytań sugerujących odpowiedź,
- publicznego obwiniania,
- ironii i ocen osobistych,
- przerywania odpowiedzi,
- demonstrowania przewagi,
- ukrywania celu pytania,
- formułowania niezgodności bez weryfikacji dowodów.
Jeżeli pracownik nie zna numeru procedury, nie oznacza to automatycznie braku kompetencji. Istotne jest, czy potrafi prawidłowo wykonać zadanie, znaleźć potrzebne informacje i zareagować na odchylenie.
Dowody, ustalenia i wnioski z audytu
Dowód audytowy
Dowodem może być informacja możliwa do zweryfikowania, na przykład:
- zapis w systemie,
- formularz,
- wynik pomiaru,
- obserwacja działania,
- zatwierdzenie elektroniczne,
- oznaczenie materiału,
- spójne informacje uzyskane podczas rozmów.
Opinia audytora bez oparcia w dowodach nie jest wystarczającą podstawą do niezgodności.
Rodzaje ustaleń
Organizacja może stosować kategorie takie jak:
- zgodność,
- niezgodność,
- obserwacja,
- ryzyko,
- możliwość doskonalenia,
- dobra praktyka.
ISO 9001 nie narzuca podziału niezgodności na małe i duże. Taka klasyfikacja może być elementem wewnętrznej metodyki, lecz kryteria powinny być jednoznaczne.
Możliwość doskonalenia nie może zastępować niezgodności. Jeżeli wymaganie nie jest spełnione i istnieje obiektywny dowód, ustalenie należy nazwać niezgodnością.
Jak prawidłowo opisać niezgodność?
Dobra niezgodność zawiera trzy elementy:
- Kryterium — jakie wymaganie miało zostać spełnione.
- Dowód — co konkretnie stwierdzono.
- Opis luki — na czym polega różnica między wymaganiem a stanem faktycznym.
Przykład słabego zapisu
„Dział produkcji nieprawidłowo nadzoruje dokumentację.”
Taki opis jest ogólny, ocenny i nie wskazuje ani wymagania, ani dowodu.
Przykład lepszego zapisu
„Instrukcja procesu wymaga stosowania formularza kontroli w wersji 5. Na stanowiskach A2 i A4 podczas audytu używano wydruków wersji 3, wycofanej z użytkowania. W dwóch z pięciu sprawdzonych zapisów wykonanych na formularzu w wersji 3 brakowało pola zatwierdzenia końcowego. Organizacja nie zapewniła dostępności właściwej wersji udokumentowanej informacji w miejscu jej użycia.”
Opis nie powinien zawierać nieuzgodnionej przyczyny ani narzucać rozwiązania. Audytor może wskazać ryzyko, ale właściciel procesu odpowiada za analizę przyczyny i dobór działania.
Raport z audytu wewnętrznego
Raport powinien być użyteczny dla właściciela procesu i kierownictwa. Sam wykaz niezgodności nie zawsze wystarcza do oceny kondycji systemu.
Minimalna zawartość raportu
Raport może zawierać:
- datę i miejsce audytu,
- cel, zakres i kryteria,
- audytorów oraz uczestników,
- zastosowane metody,
- badane procesy i próbki,
- podsumowanie wyników,
- mocne strony,
- niezgodności,
- obserwacje i możliwości doskonalenia,
- ograniczenia audytu,
- wnioski dotyczące skuteczności procesu,
- odpowiedzialność i terminy dalszych działań.
Raport powinien trafić do właściwego kierownictwa. Nie oznacza to automatycznego wysyłania pełnego dokumentu wszystkim pracownikom. Zakres dystrybucji należy dostosować do odpowiedzialności i poufności informacji.
Spotkanie zamykające
Podczas spotkania zamykającego należy:
- przedstawić ustalenia,
- wyjaśnić dowody i kryteria,
- upewnić się, że ustalenia są zrozumiałe,
- omówić terminy reakcji,
- wskazać dalszy proces nadzoru,
- odnotować rozbieżne stanowiska.
Osoba audytowana nie musi zgadzać się z audytorem, ale powinna rozumieć podstawę ustalenia. Spór rozstrzyga się przez ponowną ocenę kryterium i dowodów, a nie przez hierarchię stanowisk.
Korekcja, działanie korygujące i doskonalenie
Pojęcia te mają różne znaczenia.
Pojęcie | Cel | Przykład |
|---|---|---|
Korekcja | Usunięcie wykrytego problemu | Wymiana nieaktualnej instrukcji |
Działanie ograniczające skutki | Kontrola bieżącego ryzyka | Sprawdzenie wszystkich stanowisk i wstrzymanie podejrzanych partii |
Działanie korygujące | Usunięcie przyczyny, aby problem się nie powtórzył | Zmiana procesu publikowania dokumentów i blokowanie nieaktualnych wydruków |
Doskonalenie | Poprawa wyniku ponad aktualny poziom | Automatyczne udostępnianie instrukcji na terminalach |
Samo poprawienie błędnego dokumentu jest zwykle korekcją. Nie dowodzi jeszcze, że usunięto przyczynę jego używania.
Analiza przyczyn niezgodności
Po otrzymaniu niezgodności właściciel procesu powinien:
- opanować sytuację i ograniczyć skutki,
- sprawdzić, czy podobny problem występuje gdzie indziej,
- ustalić przyczynę lub przyczyny,
- ocenić potrzebę działania korygującego,
- zaplanować działanie,
- wdrożyć je,
- zachować dowody realizacji,
- ocenić skuteczność.
Metody analizy przyczyn
W zależności od złożoności problemu można wykorzystać:
- 5 Why,
- diagram Ishikawy,
- analizę procesu,
- analizę Pareto,
- analizę barier,
- analizę drzewa błędów,
- FMEA,
- metodę 8D.
Nie każda niezgodność wymaga rozbudowanego raportu 8D. Metoda powinna odpowiadać ryzyku i złożoności problemu.
Częste odpowiedzi, takie jak „błąd pracownika”, „nieuwaga” lub „brak szkolenia”, zwykle nie wyjaśniają pełnej przyczyny. Warto sprawdzić między innymi dostępność informacji, ergonomię, obciążenie pracą, uprawnienia, działanie systemu informatycznego, sposób nadzoru i odporność procesu na pomyłkę.
Jak sprawdzać skuteczność działań korygujących?
Zamknięcie zadania nie jest tym samym co potwierdzenie skuteczności. Dowód wdrożenia mówi, że działanie wykonano. Dowód skuteczności pokazuje, że usunięto przyczynę i problem nie powraca.
Etapy weryfikacji
Audytor lub wyznaczona osoba powinna sprawdzić:
- czy wykonano zaplanowane działania,
- czy objęto nimi właściwy zakres,
- czy usunięto lub ograniczono przyczynę,
- czy podobne ryzyko sprawdzono w innych procesach,
- czy nie powstały nowe skutki uboczne,
- czy wyniki procesu uległy poprawie,
- czy niezgodność nie powtórzyła się w odpowiednim okresie.
Przykładowe dowody skuteczności
Mogą nimi być:
- brak powtórzeń w kolejnych zleceniach,
- obniżenie poziomu reklamacji,
- poprawa terminowości,
- wyniki ponownego audytu,
- poprawne zapisy z kilku kolejnych okresów,
- pozytywny wynik testu procesu,
- skuteczne działanie zabezpieczeń systemowych,
- potwierdzenie kompetencji w praktyce.
Termin sprawdzenia trzeba dopasować do częstotliwości procesu. Nie ma sensu oceniać skuteczności po tygodniu, jeżeli dana operacja odbywa się raz na kwartał.
Kiedy nie zamykać niezgodności?
Niezgodność nie powinna być zamknięta, gdy:
- wykonano tylko korekcję,
- nie zbadano zakresu problemu,
- przyczyna jest nieudokumentowanym przypuszczeniem,
- działanie nie odnosi się do przyczyny,
- brakuje dowodów wdrożenia,
- problem się powtórzył,
- nie określono sposobu oceny skuteczności,
- wskaźniki nie potwierdzają poprawy.
Tabela decyzyjna: jak dobrać zakres i intensywność audytu?
Sytuacja | Zalecana decyzja | Zakres próbki | Dalsze postępowanie |
|---|---|---|---|
Proces stabilny, dobre wyniki, brak istotnych zmian | Audyt standardowy lub rzadszy | Reprezentatywna próbka z kilku okresów | Monitorować wskaźniki |
Nowy proces lub system informatyczny | Audyt po wdrożeniu | Większa próbka pierwszych realizacji | Sprawdzić szkolenia, ryzyka i działanie zabezpieczeń |
Wysoka liczba reklamacji | Audyt tematyczny | Reklamacje, zlecenia powiązane i proces źródłowy | Połączyć wyniki z analizą przyczyn |
Powtarzająca się niezgodność | Audyt następczy | Dowody wdrożenia i kolejne realizacje | Nie zamykać bez potwierdzenia skuteczności |
Istotna zmiana organizacyjna | Audyt przekrojowy | Procesy i interfejsy objęte zmianą | Ocenić odpowiedzialności i przepływ informacji |
Proces realizowany zdalnie | Audyt zdalny lub hybrydowy | Zapisy cyfrowe, dostęp, wywiady, próbki transakcji | Ocenić bezpieczeństwo i wiarygodność danych |
Brak niezależnego audytora wewnątrz firmy | Audyt krzyżowy lub zewnętrzny | Zgodnie z ryzykiem procesu | Zweryfikować kompetencje i bezstronność |
Problem dotyczący bezpieczeństwa lub zgodności prawnej | Audyt pilny | Rozszerzona próbka i obszary podobne | Natychmiast ograniczyć skutki i eskalować |
Jedna odosobniona pomyłka | Najpierw ocena skali | Dodatkowe przypadki z tego samego okresu | Ustalić, czy jest to incydent, czy problem systemowy |
Liczby i wskaźniki w audycie ISO 9001
Wymagania ISO 9001 są zawarte w punktach od 4 do 10, a audyt wewnętrzny jest opisany w punkcie 9.2. Postępowanie z niezgodnością i działaniami korygującymi znajduje się w punkcie 10.2.
ISO 9001 opiera się na siedmiu zasadach zarządzania jakością:
- orientacji na klienta,
- przywództwie,
- zaangażowaniu ludzi,
- podejściu procesowym,
- doskonaleniu,
- podejmowaniu decyzji na podstawie dowodów,
- zarządzaniu relacjami.
Norma nie określa:
- obowiązkowej liczby audytów rocznie,
- minimalnej liczby audytorów,
- wymaganej długości audytu,
- minimalnej wielkości próbki,
- terminu zamknięcia każdej niezgodności,
- obowiązkowego podziału niezgodności na małe i duże.
Organizacja powinna ustalić te wartości na podstawie ryzyka i specyfiki działalności.
Praktyczne parametry planowania
Poniższe wartości mogą być punktem wyjścia, ale nie są wymaganiami ISO:
- 30–60 minut na rozmowę z właścicielem rozbudowanego procesu,
- co najmniej kilka próbek z różnych okresów, zmian lub typów zleceń,
- większa próbka przy wykryciu niespójności,
- oddzielny termin wdrożenia działania i sprawdzenia jego skuteczności,
- częstsze audyty procesów wysokiego ryzyka niż procesów stabilnych.
Wskaźniki programu audytów
Warto monitorować:
- procent audytów wykonanych zgodnie z programem,
- liczbę przełożonych lub odwołanych audytów,
- udział niezgodności zamkniętych w terminie,
- średni czas od zgłoszenia do wdrożenia działania,
- udział działań uznanych za skuteczne przy pierwszej weryfikacji,
- liczbę niezgodności powtarzalnych,
- liczbę ustaleń według procesu i rodzaju przyczyny,
- udział audytów skoncentrowanych na procesach wysokiego ryzyka,
- liczbę problemów wykrytych wewnętrznie przed reklamacją klienta.
Same liczby nie wystarczą. Spadek liczby niezgodności może oznaczać poprawę, ale może też wynikać z powierzchownych audytów lub zbyt małej próbki.
Najczęstsze błędy podczas audytów wewnętrznych
Audytowanie wyłącznie punktów normy
Audytor przechodzi kolejno przez wymagania ISO 9001, ale nie śledzi rzeczywistego procesu. W efekcie trudno ocenić przepływ informacji, odpowiedzialności i wyników.
Stały harmonogram bez uwzględnienia ryzyka
Każdy proces jest audytowany raz w roku, niezależnie od wyników, zmian i reklamacji. Program formalnie istnieje, lecz nie reaguje na sytuację firmy.
Audytor ocenia własną pracę
Osoba, która zaprojektowała i wykonuje proces, potwierdza jego zgodność. Taki układ osłabia bezstronność nawet wtedy, gdy audytor ma odpowiednie kwalifikacje.
Niezgodność oparta na opinii
Audytor zgłasza problem, ponieważ preferuje inne rozwiązanie. Brakuje kryterium lub obiektywnego dowodu.
Nadmierne skupienie na dokumentach
Dokumentacja jest kompletna, lecz audytor nie obserwuje pracy i nie rozmawia z osobami wykonującymi zadania. System „na papierze” może różnić się od praktyki.
Zamykanie niezgodności po przesłaniu planu
Plan działania nie jest dowodem wdrożenia, a wdrożenie nie jest jeszcze dowodem skuteczności.
Nadużywanie szkolenia jako działania korygującego
Szkolenie może być właściwe, jeśli przyczyną jest rzeczywisty brak wiedzy. Nie rozwiąże problemu wynikającego z błędnego systemu, niejasnego formularza, braku czasu lub nieskutecznego nadzoru nad zmianami.
Mity dotyczące audytów ISO 9001
Mit: każdy proces trzeba audytować raz w roku
Norma wymaga audytów w zaplanowanych odstępach, ale nie narzuca rocznej częstotliwości dla każdego procesu.
Mit: audytor musi znaleźć niezgodność
Celem audytora jest obiektywna ocena. Brak niezgodności nie jest błędem, jeżeli próbka była właściwa, a wnioski oparto na dowodach.
Mit: pracownik musi znać normę ISO 9001
Pracownik powinien rozumieć swoje zadania, wymagania, wpływ pracy na jakość i sposób reagowania na problemy. Nie musi cytować numerów punktów normy.
Mit: każda niezgodność wymaga nowej procedury
Dodatkowa procedura może zwiększyć biurokrację bez poprawy procesu. Działanie powinno wynikać z przyczyny problemu.
Mit: brak zapisu zawsze oznacza, że czynności nie wykonano
Brak wymaganego zapisu jest niezgodnością dotyczącą udokumentowanej informacji, ale nie zawsze dowodzi, że sama czynność się nie odbyła. Audytor powinien precyzyjnie opisać stwierdzoną lukę.
Mit: audyt zewnętrzny nie może być audytem wewnętrznym
Firma może zlecić wykonanie audytu kompetentnej osobie zewnętrznej. Nadal odpowiada jednak za program, kryteria, wykorzystanie wyników i działania poaudytowe.
Wyjątki i sytuacje szczególne
Mała firma bez niezależnych audytorów
Można zastosować audyty krzyżowe, rotację audytorów albo usługę zewnętrzną. Właściciel firmy może uczestniczyć w audycie, ale nie powinien samodzielnie potwierdzać zgodności procesów, które bezpośrednio wykonuje.
Proces zewnętrzny
Zlecenie procesu podwykonawcy nie usuwa odpowiedzialności organizacji za jego nadzorowanie. Audyt może obejmować sposób kwalifikacji dostawcy, wymagania zakupowe, monitorowanie wyników oraz reakcję na niezgodności.
Poufne informacje
Dostęp audytora można kontrolować, ale ograniczenia nie powinny uniemożliwiać osiągnięcia celu audytu. Możliwe są próbki zanonimizowane, nadzorowany dostęp lub raport o ograniczonej dystrybucji.
Zmiany klimatyczne w kontekście systemu
Organizacja powinna rozważyć, czy zmiana klimatu jest istotnym zagadnieniem w jej kontekście oraz czy zainteresowane strony mają związane z nią wymagania. Audyt nie powinien automatycznie wymuszać celów środowiskowych w systemie ISO 9001. Powinien natomiast sprawdzić, czy organizacja przeprowadziła adekwatną ocenę wpływu na zdolność dostarczania zgodnych wyrobów i usług.
Jak zbudować stronę-hub wokół audytu wewnętrznego?
Temat audytu można rozwinąć w osobne materiały wspierające:
- program audytów ISO 9001,
- plan audytu wewnętrznego,
- lista kontrolna ISO 9001,
- kompetencje audytora wewnętrznego,
- pytania audytowe dla poszczególnych procesów,
- raport z audytu — wzór i przykłady,
- klasyfikacja niezgodności,
- analiza przyczyn źródłowych,
- metoda 5 Why,
- działania korygujące według ISO 9001,
- weryfikacja skuteczności działań,
- audyt zdalny,
- audyt procesu zakupów,
- audyt produkcji,
- audyt sprzedaży i obsługi klienta,
- przygotowanie do audytu certyfikacyjnego.
Struktura linkowania powinna prowadzić od niniejszego przewodnika do szczegółowych instrukcji, formularzy i przykładów branżowych, a z każdego materiału szczegółowego z powrotem do strony głównej tematu.
Lista kontrolna skutecznego audytu
Przed zamknięciem audytu warto potwierdzić:
- Czy cel, zakres i kryteria były jednoznaczne?
- Czy audytor był bezstronny i kompetentny?
- Czy program uwzględniał ryzyko, zmiany i wcześniejsze wyniki?
- Czy zbadano rzeczywisty przebieg procesu?
- Czy rozmawiano z osobami wykonującymi pracę?
- Czy zastosowano reprezentatywne próbki?
- Czy ustalenia oparto na możliwych do zweryfikowania dowodach?
- Czy każda niezgodność wskazuje wymaganie i konkretną lukę?
- Czy raport trafił do osób odpowiedzialnych?
- Czy ustalono terminy i odpowiedzialność za działania?
- Czy oddzielono korekcję od działania korygującego?
- Czy zaplanowano ocenę skuteczności?
- Czy wyniki audytu wykorzystano w ocenie systemu i przeglądzie zarządzania?
FAQ — audyt wewnętrzny ISO 9001
Jak często trzeba przeprowadzać audyt wewnętrzny ISO 9001?
Norma nie wskazuje jednej obowiązkowej częstotliwości. Audyty należy prowadzić w zaplanowanych odstępach, z uwzględnieniem znaczenia procesów, zmian i wyników wcześniejszych audytów. Procesy wysokiego ryzyka mogą wymagać częstszej oceny.
Czy audyt wewnętrzny musi obejmować wszystkie punkty normy?
W całym cyklu programu organizacja powinna uzyskać odpowiednią ocenę systemu względem mających zastosowanie wymagań. Pojedynczy audyt nie musi obejmować wszystkich punktów ISO 9001.
Czy lista kontrolna jest obowiązkowa?
Nie. Jest narzędziem pomocniczym. Obowiązkowe jest skuteczne zaplanowanie i przeprowadzenie audytu oraz zachowanie odpowiedniej udokumentowanej informacji o programie i wynikach.
Czy audytor może audytować własny dział?
Może audytować obszar organizacyjny, z którym jest związany, jeżeli nie ocenia własnej pracy i zachowuje bezstronność. Potencjalny konflikt interesów powinien być oceniony przed audytem.
Czy kierownik procesu może odrzucić niezgodność?
Może zakwestionować kryterium, dowód lub interpretację. Niezgodność należy ponownie ocenić na podstawie faktów. Sam brak zgody właściciela procesu nie unieważnia ustalenia.
Ile próbek powinien sprawdzić audytor?
Nie istnieje uniwersalna liczba. Próbka powinna odpowiadać ryzyku, zmienności procesu, liczbie realizacji i wynikom wcześniejszych ocen. Wykrycie niespójności zwykle uzasadnia rozszerzenie próbki.
Kto odpowiada za analizę przyczyny?
Za analizę i działania odpowiada właściciel procesu lub inna wyznaczona osoba. Audytor ocenia adekwatność odpowiedzi i skuteczność działań, ale nie powinien przejmować odpowiedzialności za zaprojektowanie rozwiązania.
Czy każda niezgodność wymaga działania korygującego?
Organizacja powinna ocenić potrzebę działania odpowiednio do skutków i ryzyka. Zawsze należy zareagować na niezgodność i opanować jej skutki, ale zakres analizy oraz działania może być różny.
Kiedy można zamknąć niezgodność?
Gdy wykonano potrzebne korekcje, wdrożono uzasadnione działania, zgromadzono dowody oraz potwierdzono ich skuteczność w odpowiednim czasie. Samo zaakceptowanie planu nie wystarcza.
Czy raport musi mieć podpis audytora i kierownika?
ISO 9001 nie narzuca określonego formularza ani podpisów. Organizacja powinna jednak zapewnić identyfikowalność raportu, odpowiedzialności oraz potwierdzenie przekazania wyników właściwemu kierownictwu.
Czy można przeprowadzić cały audyt zdalnie?
Tak, jeżeli metoda zdalna pozwala zebrać wiarygodne dowody i osiągnąć cel. Jeżeli konieczna jest fizyczna obserwacja warunków, wyposażenia lub identyfikacji wyrobu, lepszy może być audyt hybrydowy albo stacjonarny.
Jak rozpoznać skuteczny program audytów?
Program jest skuteczny, gdy koncentruje zasoby na istotnych ryzykach, jest realizowany zgodnie z planem, dostarcza wiarygodnych ustaleń, prowadzi do skutecznych działań i pomaga organizacji poprawiać wyniki — a nie tylko utrzymywać komplet formularzy.
4 comments
0 thoughts on “Audyt wewnętrzny ISO 9001 w firmie: kompletny przewodnik”