ISO 19011 и вътрешните одити. Каква "документирана информация" ни е нужна?

За да разберем какви документи и записи за/от одит изискват стандартите, нека да погледнем в ISO 9001, където в т. 9.2.2, за вътрешните одити пише (да го видим в оригинал) ...

"9.2.2 The organization shall: 

...

f) retain documented information as evidence of the implementation of the audit programme and the audit results."

В българския превод текстът е ...

"f) съхранява документирана информация като доказателство за изпълнението на програмата за одит и за резултатите от одита"

Същият или много подобен текст ще намерим и в другите стандарти за системи за управление с поставени изисквания за вътрешно одитиране.

Да анализираме внимателно този текст ...

"документирана информация като доказателство за изпълнението на програмата ..." 
От текста на изискването следва това, че програма за одити, като документ под една или друга форма, трябва да я има. Така ще може да се отчита изпълнение на документираната програма. Най-просто е в самата програма да се прави подходящо отбелязване кои планирани одити са изпълнени и кои -- не. Стига програмата да не е само с един одит на цяла система и то за цялата година. Така отчитането се изразява просто в една справка за ходa на изпълнение на програмата. Надали обаче това е достатъчно за една добре построена система за управление. Между редовете на стандарта се чете един по-задълбочен смисъл, свързан с това дали изпълнението на програмата постига нейните цели и какъв е ефектът от провеждане на заложените одити. Най-общо казано, макар и неизчерпателно, но изпълнението на една програма става чрез изпълнение на програмираните в нея одити.

Нека разгледаме два, почти диаметрално различни, варианта: 

1. няма Програма, оформена във вид на обособен, пълноценен по замисъл и съдържание документ, а има само един График за одити, който определя кога и какво ще се одитира през годината. Това е масов случай, в който може да приемем, че този График представлява силно окастрена по съдържание програма -- без заложени цели, без планирани осигуровки;
   
   
2. има подробно разработена Програма, в която са заложени повече от дадените в стандарта ISO 19011 указания за съдържание, но два раздела в това съдържание ще са най-важните. Единият е графикът -- т.е. кога, къде, какво ще се одитира и с каква цел. В такъв график не очакваме да видим само един единствен одит за цяла година, а добре разпределена и насочена серия от одити, проверяващи, в тяхната съвкупност, цялата система.
   Другият раздел е с всичко, което може да е дейности, нужни ресурси и всичко останало, което е с насоченост да осигури успешно и ефективно изпълнение на програмата от одит на одит. Нито един, заложен в графика одит да не "пострада" поради липса на някакъв ресурс, лоша организация или друго недомислие и недоглеждане.   

Да пропуснем за момент първи вариант и се спрем на втория. 

Документите, в т.ч. и записи, които може да са необходими за одитирането, може да са самата Програма и всякакви други записи, свързани с нейното прилагане.

Да опитаме да видим кои документи може да са нужни за успешно доказване, че програмата ни е внедрена и се изпълнява добре. 

Та, като внимаваме да не изпаднем в перфектизъм, такива документи може да са:

• Програмата с раздели за цели, график, ресурси и дейности по осигуряване на одитите;
• документи за изпълнение на одит (виж по-горе вариантите 1, 2, 3 или 4);
• документи и записи, свързани с обучения и с оценявания на одиторите;
• документи и записи, ползвани при преглед на Програмата, с акцент върху подобренията;
• документи и записи за извършена работа и/или отчети на корекции, коригиращи действия, препоръки, предписания от одити;
• аналитични записи за извеждане на тенденции от установените при одити констатации и заключения и оценка на реакциите по направени предписания;
• пакет документи и записи по управление на рискове, свързани с Програмата и одитите.

Седем вида документи! Ето как, макар и да не искахме, попаднахме в капана на перфектизма...
Спираме дотук, иначе изпадаме в клинично състояние, наречено "одитизъм". Но даже и сега има риск нещо да сме недогледали или пропуснали. Със сигурност ще установим това, ако седнем да четем внимателно указанията на ISO 19011. И ако видим, че има нещо пропуснато, значи сме на прага на одитизма и ще ни е нужна помощ за усмиряване. Накрая ще решим, че само първите два от изброените седем документа ще са ни достатъчни (нека добавим -- в повечето случаи).

Второ, документираната информация за "резултатите от одити." 

Това са заключенията от одити, защото по дефиниция, заключението от одит е резултат от одита. А заключенията се съдържат в Доклад или Протокол, или друг някакъв запис за изпълнен одит. Ако приемем по-широко и извън официалната дефиниция, за резултати от одит може да приемем План за одит и записите, свързани с направени Констатации. Накрая, ако си позволим поради някаква причина да гледаме още по-широко на понятието "резултат от одит", ще може да добавим и други документи -- въпросници, чек-листи, заснети фотоматериали, блок-схеми и всичко друго, по наша преценка, което би могло да е полезно с някаква цел, ако се документира. Но, ако се върнем пак в най-тесния смисъл на понятието "резултат", то това си е Заключението от одит. Това заключение, в най-минимизиран вариант, би могло дори да не се съдържа като част от Доклад или Протокол, а да е само като кратка бележка, която съдържа текст за заключение. 

Казаното до тук -- в резюме. Имаме четири варианта и трябва да си изберем един:

1. доклад, протокол или друго, описващо одита, но съдържащо текст за Заключение;
2. документ със Заключение, към него добавени -- План и Констатации;
3. както (2), но с добавени и други, най-вече помощни за одита, документи;
4. само най-кратък документ с данни за кой одит става дума, с каква цел е и Заключение

Вижда се, че (4) е "най-мързелив" вариант, но пък е напълно достатъчен от гл. т. на стандарта, в случая -- ISO 9001. Но и при другите стандарти, изискващи одит, нещата са пак така...

Да се върнем пак на текста от стандарта ISO 9001 ...

"9.2.2 The organization shall: 

...

f) retain documented information as evidence of the implementation of the audit programme and the audit results."

Забелязваме, че документирана информация се изисква с идеята за доказване на внедряването.
Какво значи "за доказване"? Човек не доказва нещо сам на себе си. Доказва на/пред някой друг.
Този друг може да е клиентът на одита, заинтересовано лице или пък одитор. Всяко доказване е свързано с представяне и възприемане на доказателства, констатации и заключения и това възприемане винаги е съвсем индивидуално. В смисъл, че едни хора лесно се убеждават, а други -- с голям зор или никак. Казано иначе -- на едни хора им стигат малко убеждения (разбирай тук и "документирана информация"), а на други хора... и вода от девет кладенeца не е достатъчна! Затова на нас ни трябва да се спрем на балансирано решение точно колко и какви документи да имаме за одитиране и това решение да си е наше, в смисъл да е защитимо и аргументирано от позицията пред кого и как ще ни се налага (да се мъчим!) да докажем, че програмата е внедрена.

От написаното токущо става ясно защо тук няма посочени "образци" на "точните" документи. Да, защото решенията може да са най-различни, според нашия избор и разбирания, и всяко от решенията може да е най-подходящо и най-правилно за даден случай. Решения не само за документалния състав, но и за структурата и съдържанието на всеки отделен документ/запис.

И все пак... ако някой е отворил тази публикация с надеждата да намери "идеални" образци, нека не се разочарова от това, че не е намерил. Нека се обади на автора на този материал, да каже какво го интересува и ще получи, надявам се, задоволителен отговор и това, което търси...