ДСТУ ІSО 19011:2003. Настанови щодо здійснення аудитів систем управління якістю і (або) екологічного управління (ДСТУ ІSО 19011:2003. Установки относительно осуществления аудитов систем управления качеством и (или) экологического управления)

НАЦІОНАЛЬНИЙ СТАНДАРТ УКРАЇНИ

 НАСТАНОВИ

ЩОДО ЗДІЙСНЕННЯ АУДИТІВ

СИСТЕМ УПРАВЛІННЯ ЯКІСТЮ

І (АБО) ЕКОЛОГІЧНОГО УПРАВЛІННЯ

(ISO 19011:2002, IDT) ДСТУ ISO 19011:2003

Київ

ДЕРЖСПОЖИВСТАНДАРТ УКРАЇНИ 2004

ПЕРЕДМОВА

1 ВНЕСЕНО: Державний науково-дослідний інститут метрології вимірювальних і управляючих
систем (ДНДІ «Система») спільно з Технічним комітетом стандартизації «Управління якістю і за
безпечення якості» (ТК 93)

ПЕРЕКЛАД І НАУКОВО-ТЕХНІЧНЕ РЕДАГУВАННЯ: Л. Віткін; В. Горопацький, канд. фіз.-мат. наук; І. Єршова, канд. техн. наук; В. Паракуда, канд. техн. наук; А. Сухенко (керівник розробки); Ю. Тройнін

1.  НАДАНО ЧИННОСТІ: наказ Держспоживстандарту України від 28 листопада 2003 р. № 215
   з 2004-07-01
2.  Національний стандарт відповідає ISO 19011:2002 Guidelines for quality and/or environmental
   management systems auditing (Настанови щодо здійснення аудитів систем управління якістю
   і (або) екологічного управління)

Ступінь відповідності ідентичний (IDT) Переклад з англійської (en)

4 НА ЗАМІНУ ДСТУ ISO 10011-1-97, ДСТУ ISO 10011-2-97, ДСТУ ISO 10011-3-97, ДСТУ ISO 14010-97,
ДСТУ ISO 14011-97, ДСТУ ISO 14012-97

ЗМІСТ

с.

Національний вступ IV

Вступ IV

1.  Сфера застосування 1
2.  Нормативні посилання 1
3.  Терміни та визначення понять 2
4.  Принципи здійснення аудиту З
5.  Управління програмою аудиту 4

1.  Загальні положення 4
2.  Цілі та обсяг програми аудиту 5
3.  Відповідальність за програму аудиту, ресурси та методики програми аудиту 6
4.  Виконування програми аудиту 6
5.  Протоколи за програмою аудиту 7
6.  Моніторинг та аналізування програми аудиту 7

6 Аудиторська діяльність 7

1.  Загальні положення 7
2.  Розпочинання аудиту 7
3.  Аналізування документів 10
4.  Підготування до аудиторської діяльності на місцях 10
5.  Здійснення аудиторської діяльності на місцях 11
6.  Підготування, схвалення та розсилання звіту про аудит 15
7.  Завершення аудиту 16
8.  Виконування подальших дій після аудиту 16

7 Компетентність та оцінювання аудиторів 16

1.  Загальні положення 16

Особисті якості 17

1.  Знання та вміння 17
2.  Освіта, досвід роботи, аудиторська підготовленість і досвід проведення аудитів 19
3.  Підтримування та поліпшення компетентності 21
4.  Оцінювання аудиторів 21
5.  

НАЦІОНАЛЬНИЙ ВСТУП

Цей стандарт є тотожний переклад ISO 19011:2002 Guidelines for quality and/or environmental management systems auditing (Настанови щодо здійснення аудитів систем управління якістю і (або) екологічного управління), який розроблено Технічним комітетом ISO/TC 176 «Управління якістю і забезпечення якості» (підкомітет SC 3 «Допоміжні технології») і Технічним комітетом ISO/TC 207 «Екологічне управління» (підкомітет SC 2 «Екологічний аудит і пов'язані екологічні дослідження»).

Технічний комітет, відповідальний за цей стандарт, ТК 93 «Управління якістю і забезпечення якості».

Стандарт містить настанови щодо здійснення аудитів систем управління якістю і (або) екологічного управління.

Цей стандарт замінює ДСТУ ISO 10011-1-97, ДСТУ ISO 10011-2-97, ДСТУ ISO 10011-3-97, ДСТУ ISO 14010-97, ДСТУ ISO 14011-97, ДСТУ ISO 14012-97.

Треба звернути увагу на те, що деякі елементи цього стандарту можуть бути предметом патентних прав. Держспоживстандарт України не несе відповідальності за ідентифікацію будь-якого чи всіх цих патентних прав.

До стандарту внесено такі редакційні зміни:

структурні елементи цього стандарту: «Обкладинку», «Передмову», «Зміст», «Терміни та виз
начення понять», «Бібліографічні дані» оформлено згідно з вимогами національної стандарти
зації України;

вираз «цей міжнародний стандарт» замінено на «цей стандарт»;

до розділу 2 «Нормативні посилання» подано «Національне пояснення», яке виділено рамкою.

ВСТУП

Міжнародні стандарти ISO серій 9000 та 14000 підкреслюють важливість аудитів як управлінського засобу моніторингу і перевіряння фактичного впровадження політики організації у сфері якості і (або) її екологічної політики. Аудити також є невід'ємною частиною таких видів діяльності з оцінювання відповідності, як сертифікація/реєстрація сторонніми органами, оцінювання ланцюга постачання і нагляд.

Цей стандарт містить настанови щодо управління програмами аудиту, проведення внутрішніх чи зовнішніх аудитів систем управління якістю і (або) екологічного управління, а також настанови щодо компетентності та оцінювання аудиторів. Він призначений для застосування широким колом потенційних користувачів, включаючи аудиторів, організації, які впроваджують системи управління якістю і (або) екологічного управління, організації, які потребують проведення аудитів систем управління якістю і (або) екологічного управління за контрактними умовами, та організації, діяльність яких пов'язана з сертифікацією або підготовкою аудиторів, сертифікацією/реєстрацією систем управління, акредитацією або стандартизацією в сфері оцінювання відповідності.

Викладені в цьому стандарті настанови не є жорсткими. У тексті стандарту зазначено, що використання цих настанов може різнитися залежно від розміру, характеру діяльності та складності організації, яка піддана аудиту, а також від цілей та сфери аудитів, що проводять. Весь текст цього стандарту супроводжується додатковими настановами або прикладами, які подані у формі практичної допомоги і взяті в рамку. У деяких випадках вони спрямовані на сприяння використовуванню цього стандарту малими організаціями.

У розділі 4 описано принципи здійснення аудиту. Ці принципи допомагають користувачу правильно оцінити сутність аудиту і є необхідною передумовою для розуміння розділів 5, 6 та 7.

Розділ 5 містить настанови щодо управління програмами аудиту та охоплює такі питання, як розподіл відповідальності за управління програмами аудиту, установлення цілей програми аудиту, координування пов'язаних з аудитом робіт і забезпечення групи з аудиту достатніми ресурсами.

Розділ 6 містить настанови щодо проведення аудитів систем управління якістю і (або) екологічного управління, включаючи формування групи з аудиту.

Розділ 7 містить настанови щодо необхідної аудитору компетентності та описує процес оцінювання аудиторів.

IV

У випадку, коли системи управління якістю та екологічного управління впроваджують разом, користувач цього стандарту має право самостійно вирішити доцільність проведення аудитів системи управління якістю і системи екологічного управління окремо або разом.

Хоча цей стандарт застосовний до здійснення аудитів систем управління якістю і (або) екологічного управління, користувач, у разі необхідності, може вирішити адаптувати чи розширити подані в ньому настанови з тим, щоб застосувати їх до інших видів аудитів, включаючи аудити інших систем управління.

Цей стандарт є лише настановою, проте користувачі можуть застосовувати його для розробляння своїх власних вимог, пов'язаних з аудитом.

Крім того, викладені в цьому стандарті настанови можуть бути корисними для будь-якої особи чи організації, яка певним чином зацікавлена у здійсненні моніторингу відповідності вимогам, наприклад, технічним умовам на продукцію або законам та регламентам.

V

ДСТУ ISO 19011:2003 НАЦІОНАЛЬНИЙ СТАНДАРТ УКРАЇНИ

НАСТАНОВИ

ЩОДО ЗДІЙСНЕННЯ АУДИТІВ

СИСТЕМ УПРАВЛІННЯ ЯКІСТЮ

І (АБО) ЕКОЛОГІЧНОГО УПРАВЛІННЯ

РУКОВОДСТВО

ПО ОСУЩЕСТВЛЕНИЮ АУДИТОВ

СИСТЕМ УПРАВЛЕНИЯ КАЧЕСТВОМ

И/ИЛИ ЭКОЛОГИЧЕСКОГО УПРАВЛЕНИЯ

GUIDELINES FOR QUALITY

AND/OR ENVIRONMENTAL

MANAGEMENT SYSTEMS AUDITING

Чинний від 2004-07-01

1 СФЕРА ЗАСТОСУВАННЯ

Цей стандарт містить настанови щодо принципів здійснення аудиту, управління програмами аудиту, проведення аудитів системи управління якістю і аудитів системи екологічного управління, а також настанови щодо компетентності аудиторів систем управління якістю та екологічного управління.

Він застосовний до всіх організацій, які потребують проведення внутрішніх чи зовнішніх аудитів систем управління якістю і (або) екологічного управління чи управління програмою аудиту.

Застосування цього стандарту до інших видів аудиту є принципово можливим за умови, що у таких випадках слід звернути увагу на визначення необхідної компетентності членів групи з аудиту.

2 НОРМАТИВНІ ПОСИЛАННЯ

Наведені нижче нормативні документи містять положення, які в разі наявності посилань на них у тексті стають чинними і для цього стандарту. У разі посилань зі сталою ідентифікацією всі подальші зміни або перегляди будь-яких із цих публікацій не застосовують. Проте сторонам угод, які беруть за основу цей стандарт, необхідно знайти можливість застосування останнього видання зазначених нижче нормативних документів. У разі посилань зі змінною ідентифікацією застосовують останнє видання нормативного документа, на який зроблено посилання. Члени ISO та ІЕС ведуть реєстри чинних міжнародних стандартів.

ISO 9000:2000 Quality management systems Fundamentals and Vocabulary

ISO 14050:2002 Environmental management Vocabulary.

НАЦІОНАЛЬНЕ ПОЯСНЕННЯ

ISO 9000:2000 Системи управління якістю. Основні положення та словник1'

ISO 14050:2002 Екологічне управління. Словник термінів.

1) Стандарт ISO 9000:2000 прийнятий в Україні як ДСТУ ISO 9000-2001 Системи управління якістю. Основні положення та словник.

З ТЕРМІНИ ТА ВИЗНАЧЕННЯ ПОНЯТЬ

У цьому стандарті застосовано терміни та визначення понять, подані в ISO 9000 та ISO 14050, якщо тільки вони не замінені нижченаведеними термінами та визначеннями.

Термін у тексті визначення або в примітці, зазначений у будь-якому іншому місці в цьому розділі, подано напівжирним шрифтом і його супроводжує порядковий номер у дужках. Цей, поданий напівжирним шрифтом, термін може бути замінений у тексті визначення його власним визначенням.

3.1 аудит (en audit, ru аудит)

Систематичний, незалежний і задокументований процес отримання доказів аудиту (3.3) і об'єктивного їх оцінювання з метою визначення ступеня виконання критеріїв аудиту (3.2).

Примітка 1. Внутрішні аудити, які іноді називають «аудити першою стороною», провадить зазвичай або сама організація або за її дорученням для аналізування з боку керівництва і для інших внутрішніх цілей і вони можуть служити основою для декларування відповідності. У багатьох випадках, зокрема, в малих організаціях, незалежність може бути продемонстрована відсутністю відповідальності за діяльність, аудит якої проводять.

Примітка 2. До зовнішних аудитів належать ті, що їх зазвичай називають «аудити другою стороною» або «аудити третьою стороною». Аудити другою стороною провадять сторони, що мають певний інтерес до діяльності організації, наприклад, замовники, або інші особи за їхнім дорученням. Аудити третьою стороною провадять зовнішні незалежні організації, наприклад, такі, які забезпечують реєстрацію чи сертифікацію на відповідність вимогам ISO 9001 чи ISO 14001.

Примітка 3. Якщо систему управління якістю та систему екологічного управління перевіряють разом, це називають скомбінованим аудитом.

Примітка 4. Якщо дві чи декілька організацій здійснюють аудит одного об'єкта аудиту (3.7), це називають спільним аудитом

3.2 критерії аудиту (en audit criteria, ru критерии аудита)
Сукупність політики, методик чи вимог.

Примітка. Критерії аудиту використовують як еталон, з яким порівнюють докази аудиту (3.3)

3.3 доказ аудиту (en audit evidence, ru доказательство аудита)

Протоколи, виклади фактів чи інша інформація, що є істотними для критеріїв аудиту (3.2) і уможливлюють їхню перевірку.

Примітка. Доказ аудиту може бути якісним або кількісним

3.4 дані аудиту (en audit findings, ru наблюдения аудита)

Результати оцінювання зібраних доказів аудиту (3.3) за критеріями аудиту (3.2).

Примітка. Дані аудиту можуть вказувати на відповідність чи невідповідність критеріям аудиту або на можливості поліпшення

3.5 висновок аудиту (en audit conclusion, ru заключение по результатам аудита)
Підсумок аудиту (3.1), який формулює група з аудиту (3.9) в результаті розгляду всіх даних

аудиту (3.4) з урахуванням цілей аудиту

3.6 замовник аудиту (en audit client, ru заказчик аудита)
Організація чи особа, яка подає заявку на проведення аудиту (3.1).

Примітка. Замовником аудиту може бути об'єкт аудиту (3.7) чи будь-яка інша організація, яка має регуляторне або контрактне право подавати заявку на проведення аудиту

1.  об'єкт аудиту (en auditee, ru проверяемая организация)
   Організація, піддана аудиту
2.  аудитор (en auditor, ru аудитор)

Особа, яка має компетентність (3.14) для проведення аудиту (3.1)

3.9 група з аудиту (en audit team, ru группа по аудиту)

Один чи декілька аудиторів (3.8), що проводять аудит (3.1) за підтримки, якщо потрібно, технічних експертів (3.10).

Примітка 1. Одного з аудиторів групи з аудиту призначають керівником групи з аудиту. Примітка 2. Група з аудиту може включати аудиторів-стажистів

3.10 технічний експерт (en technical expert, ru технический эксперт)
Особа, яка володіє спеціальними знаннями чи досвідом у групі з аудиту (3.9).

Примітка 1. Спеціальні знання чи досвід включають знання чи досвід стосовно організації, процесу або діяльності, що піддають аудиту, або стосовно мови чи культури.

Примітка 2. Технічний експерт не має повноважень аудитора (3.8) в групі з аудиту

3.11 програма аудиту (en audit programme, ru программа аудита)

Один чи декілька аудитів (3.1), запланованих на конкретний період часу і спрямованих на досягнення конкретної мети.

Примітка. Програма аудиту містить всі види діяльності, необхідні для планування, організації та проведення аудитів

1.  план аудиту (en audit plan, ru план аудита)
   Опис видів діяльності та заходів з проведення аудиту (3.1)
2.  сфера аудиту (en audit scope, ru сфера аудита)
   Обсяг та межі аудиту (3.1).

Примітка. Сфера аудиту, як правило, охоплює опис місцезнаходження ділянок, структурних підрозділів організації, видів діяльності та процесів, а також термін проведення аудиту

3.14 компетентність (en competence, ru компетентность)

Продемонстровані особисті якості і доведена спроможність застосовувати знання та вміння.

4 ПРИНЦИПИ ЗДІЙСНЕННЯ АУДИТУ

Здійснення аудиту характеризується застосуванням низки принципів. Це робить аудит ефективним та надійним засобом підтримування політики керівництва та його методів управління, а також забезпечення інформацією, на основі якої організація може вживати заходи щодо поліпшення своєї діяльності. Дотримання цих принципів є передумовою забезпечення доречних і достатніх висновків аудиту, а також надання можливості для того, щоб аудитори, працюючи незалежно один від одного, робили подібні висновки за подібних обставин.

Наведені нижче принципи стосуються аудиторів.

a) Етичність поведінки: основа професіоналізму.

Справедливість, непідкупність, дотримання конфіденційності та розсудливість є суттєві для здійснення аудиту.

b) Чесність у поданні результатів: зобов'язання правдиво і точно звітуватися.

Дані аудиту, висновки аудиту і звіти аудиту правдиво і точно відображають аудиторську діяльність. У звітах наводять суттєві перешкоди, які мали місце під час аудиту, а також неузгод-жені розбіжності між групою з аудиту та об'єктом аудиту.

c) Належна професійна ретельність: вміння старанно та розсудливо здійснювати аудит.
Аудитори діють ретельно у відповідності з важливістю виконуваного ними завдання і довіри

до них з боку замовників аудиту та інших зацікавлених сторін. Наявність необхідної компетентності є важливим фактором.

Наведені далі принципи стосуються аудиту, який, за визначенням, є незалежним та систематичним.

d) Незалежність: основа неупередженості аудиту та об'єктивності висновків аудиту.

Аудитори є незалежними від діяльності, аудит якої проводять, неупередженими і непричетними до конфлікту інтересів. Аудитори зберігають об'єктивність мислення протягом всього процесу аудиту для забезпечення того, щоб дані та висновки аудиту базувалися лише на доказі аудиту.

є) Підхід, що базується на доказі: раціональний метод формування надійних та відтворюваних висновків аудиту в систематичному процесі аудиту.

Доказ аудиту уможливлює його перевіряння. Він базується на частині наявної інформації, оскільки аудит проводять протягом обмеженого періоду часу і за обмежених ресурсів. Належне використовування відібраної інформації тісно пов'язане з довірою, яку можуть викликати висновки аудиту.

Настанови, викладені в подальших розділах цього стандарту, ґрунтуються на встановлених вище принципах.

5 УПРАВЛІННЯ ПРОГРАМОЮ АУДИТУ

5.1 Загальні положення

Програма аудиту може включати один чи декілька аудитів залежно від розміру, характеру діяльності та складності організації, аудит якої проводять. Ці аудити можуть мати різні цілі, а також можуть бути спільними чи скомбінованими (див. примітки 3 і 4 до визначення аудиту в 3.1).

Програма аудиту також містить всі види діяльності, необхідні для планування та організації аудитів за видами і кількістю, а також забезпечення ресурсами для результативного і ефективного проведення аудитів у встановлені терміни.

Організація може встановити декілька програм аудиту.

Найвищому керівництву організації треба призначити відповідального за управління програмою аудиту.

Відповідальному за управління програмою аудиту треба:

1.  сформувати, забезпечити виконання, відстежувати, аналізувати та поліпшувати програму аудиту;
2.  визначити необхідні ресурси та забезпечити їх наявність.

На рисунку 1 проілюстровано послідовність виконання робіт з управління програмою аудиту.

Якщо в організації, аудит якої проводять, функціонують системи управління якістю та екологічного управління, до програми аудиту можуть бути включені скомбіновані аудити. У такому випадку особливу увагу треба звернути на компетентність членів групи з аудиту.

Дві чи більше аудиторських організацій можуть співпрацювати у проведенні спільного аудиту в межах їхніх програм аудиту. У такому випадку особливу увагу треба звернути на розподіл відповідальності, забезпечення додатковими ресурсами, компетентність групи з аудиту, наявність відповідних методик. Ці питання треба узгодити до початку аудиту.

Практична допомога. Приклади програм аудиту

Прикладами програм аудиту є:

1.  низка внутрішніх аудитів, які повністю охоплюють систему управління якістю організації
   протягом поточного року;
2.  аудити систем управління потенційних постачальників важливої продукції за участю другої
   сторони, які проводять протягом шести місяців;
3.  сертифікаційні/реєстраційні та наглядові аудити системи екологічного управління, що
   проводить орган з сертифікації/реєстрації як третя сторона протягом періоду часу, узгодженого конт
   рактом між органом з сертифікації і замовником.

Програма аудиту також охоплює відповідне планування, забезпечення ресурсами і встановлення методик з проведення аудитів у межах програми.

5.2 Цілі та обсяг програми аудиту

5.2.1 Цілі програми аудиту

Для програми аудиту треба встановити цілі, виходячи з яких плануватимуть аудити і провадитимуть аудити.

Цілі можуть базуватися на розгляді:

1.  пріоритетів управління;
2.  комерційних намірів;
3.  вимог системи управління;
4.  законодавчих, регламентувальних та контрактних вимог;
   є) потреби щодо оцінювання постачальника;

f) вимог замовників;

д) потреб інших зацікавлених сторін;

h) ризиків для організації.

Практична допомога. Приклади цілей програми аудиту

Прикладами цілей програми аудиту є:

1.  підтвердження відповідності вимогам стандарту на систему управління з метою серти
   фікації;
2.  перевіряння відповідності вимогам контрактів;
3.  здобуття та підтримування довіри до можливостей постачальника;
4.  сприяння поліпшенню системи управління.

5.2.2 Обсяг програми аудиту

Обсяг програми аудиту може змінюватися залежно від розміру, характеру діяльності та складності організації, аудит якої проводить, а також від:

1.  сфери, мети та тривалості кожного аудиту, який треба провести;
2.  частоти проведення аудитів;

кількості, важливості, складності, подібності та місцезнаходження видів діяльності, які підля
гають аудиту;

d) стандартів, законодавчих, регламентувальних і контрактних вимог та інших критеріїв аудиту;
є) потреби в акредитації або реєстрації/сертифікації;

f) висновків попередніх аудитів або результатів аналізування попередньої програми аудиту;

g) будь-яких мовних, культурних та соціальних аспектів;

h) інтересів зацікавлених сторін;

і) суттєвих змін в організації або в її діяльності.

5.3 Відповідальність за програму аудиту, ресурси та методики програми аудиту

5.3.1 Відповідальність за програму аудиту

Відповідальність за управління програмою аудиту треба покласти на одну чи декілька осіб, які розуміють у цілому принципи аудиту, вимоги до компетентності аудиторів, а також застосування методів аудиту. їм треба мати досвід управління, а також розуміти технічні та підприємницькі аспекти, пов'язані з видами діяльності, які підлягають аудиту.

Відповідальному за управління програмою аудиту треба:

1.  визначити цілі та обсяг програми аудиту;
2.  встановити відповідальність, методики і забезпечити наявність ресурсів;
3.  забезпечити виконання програми аудиту;
4.  забезпечити ведення відповідних протоколів за програмою аудиту;
   є) відстежувати, аналізувати та поліпшувати програму аудиту.

5.3.2 Ресурси програми аудиту

Під час визначання ресурсів для виконання програми аудиту треба враховувати:

1.  фінансові ресурси, необхідні для підготування, здійснення, поліпшення аудиторської діяль
   ності та управління нею;
2.  методи аудиту;
3.  процеси, спрямовані на набуття та підтримування компетентності аудиторів і на поліпшення
   діяльності аудиторів;
4.  наявність аудиторів і технічних експертів, компетентність яких відповідає цілям конкретної
   програми аудиту;

є) обсяг програми аудиту;

f) час на поїздки, проживання та інші обумовлені аудитом потреби.

5.3.3 Методики програми аудиту

Методики програми аудиту мають стосуватися:

1.  планування аудитів та складання графіків їх проведення;
2.  засвідчення компетентності аудиторів та керівників груп з аудиту;
3.  формування відповідних груп з аудиту і встановлювання їхніх ролей та відповідальності;
4.  проведення аудитів;

є) виконання, у разі потреби, подальших дій після аудиту;

f) ведення протоколів за програмою аудиту;

д) моніторингу виконування та результативності програми аудиту;

h) звітування найвищому керівництву про загальні досягнення за програмою аудиту.

У малих організаціях вищезазначені види діяльності можуть бути охоплені однією методикою.

5.4 Виконування програми аудиту

Виконування програми аудиту має стосуватись:

1.  надавання інформації про програму аудиту відповідним сторонам;
2.  координування та складання графіків проведення аудитів та іншої діяльності, пов'язаної
   з програмою аудиту;
3.  встановлювання та підтримування процесу оцінювання аудиторів і постійного підвищення
   їхньої кваліфікації відповідно до 7.6 та 7.5;
4.  забезпечування формування груп з аудиту;

є) забезпечування груп з аудиту необхідними ресурсами; f) забезпечування проведення аудитів відповідно до програми аудиту; д) забезпечування управління протоколами аудиторської діяльності;

h) забезпечування аналізування і схвалення звітів про аудит та розсилання цих звітів замовнику аудиту та іншим встановленим сторонам;

і) забезпечення, у разі потреби, виконання подальших дій після аудиту.

5.5 Протоколи за програмою аудиту

Для доказу виконання програми аудиту треба складати протоколи, які можуть містити:

a) протоколи, пов'язані з окремими аудитами, наприклад:

плани аудиту;

звіти про аудит;

звіти про невідповідності;

звіти про коригувальні та запобіжні дії;

звіти про подальші дії після аудиту, у разі потреби;

1.  результати аналізування програми аудиту;
2.  протоколи, пов'язані з персоналом, що здійснює аудит, які висвітлюють такі аспекти:

оцінювання компетентності та дій аудитора;

формування групи з аудиту;

підтримування та поліпшення компетентності.
Протоколи треба зберігати і належним чином охороняти.

5.6 Моніторинг та аналізування програми аудиту

Виконування програми аудиту треба відстежувати і з визначеною періодичністю аналізувати для встановлювання, чи досягнуто її цілей і визначення можливості поліпшення. Про результати треба звітувати найвищому керівництву.

Показники виконання треба використовувати для моніторингу таких характеристик:

здатність груп з аудиту виконати план аудиту;

дотримання програм та графіків аудиту;

зворотний зв'язок з замовниками аудиту, об'єктами аудиту та аудиторами.
Під час аналізування програми аудиту треба враховувати:

1.  результати моніторингу і виявлені тенденції;
2.  дотримання методик;
3.  змінювані потреби та очікування зацікавлених сторін;
4.  протоколи за програмою аудитів;

є) альтернативні чи нові практичні підходи до здійснення аудиту; f) узгодженість дій між групами з аудиту в подібних ситуаціях.

За результатами аналізування програми аудиту можливе виконання коригувальних та запобіжних дій і здійснення поліпшення програми аудиту.

6 АУДИТОРСЬКА ДІЯЛЬНІСТЬ

6.1 Загальні положення

Цей розділ містить настанови щодо планування та здійснення аудиторської діяльності як частини програми аудиту. На рисунку 2 представлено загальний опис типової аудиторської діяльності. Ступінь застосування положень цього розділу залежить від сфери та складності конкретного аудиту та передбачуваного використовування висновків аудиту.

6.2 Розпочинання аудиту

6.2.1 Призначення керівника групи з аудиту

Особам, відповідальним за управління програмою аудиту, треба призначити керівника групи з аудиту для проведення конкретного аудиту.

У разі проведення спільного аудиту важливо, щоб аудиторські організації до початку аудиту дійшли згоди щодо конкретної відповідальності кожної організації, особливо щодо повноважень призначеного керівника групи з аудиту.

6.2.2 Визначання цілей, сфери та критеріїв аудиту

У контексті загальних цілей програми аудиту кожний конкретний аудит має базуватися на задокументованих цілях, сфері та критеріях.

Цілі аудиту визначають, що повинне бути виконане за допомогою аудиту, і можуть містити: а) визначення ступеня відповідності системи управління об'єкта аудиту (або її частин) критеріям аудиту;

1.  оцінювання здатності системи управління забезпечувати відповідність законодавчим, рег-
   ламентувальним та контрактним вимогам;
2.  оцінювання результативності системи управління щодо досягнення її конкретних цілей;
3.  визначання сфер потенційного поліпшення системи управління.

Сфера аудиту визначає обсяг та межі аудиту, а саме, місцезнаходження ділянок, структурні підрозділи організації, види діяльності та процеси, які підлягають аудиту, а також строки проведення аудиту.

Критерії аудиту використовують як еталон, за яким визначають відповідність, і вони можуть містити застосовні політики, методики, стандарти, закони та регламенти, вимоги системи управління, вимоги контрактів або зводи правил виконання в промисловому/підприємницькому секторі.

Цілі аудиту треба визначати замовнику аудиту. Сферу та критерії аудиту треба визначати замовнику аудиту разом з керівником групи з аудиту відповідно до методик програми аудиту. Будь-які зміни в цілях, сфері чи критеріях треба схвалювати тим самим сторонам.

У випадку проведення скомбінованого аудиту важливо, щоб керівник групи з аудиту забезпечив відповідність цілей сфери та критеріїв аудиту характеру скомбінованого аудиту.

6.2.3 Встановлення можливості здійснення аудиту

Треба встановлювати можливість здійснення аудиту з урахуванням, за необхідності, таких факторів:

достатності та відповідності інформації для планування аудиту;

належної співпраці з боку об'єкта аудиту;

достатності часу та ресурсів.

Якщо аудит здійснити неможливо, треба проконсультувавшись з об'єктом аудиту, запропонувати замовнику аудиту альтернативний варіант.

6.2.4 Формування групи з аудиту

Якщо встановлено, що аудит здійснити можливо, треба сформувати групу з аудиту, враховуючи компетентність, необхідну для досягнення цілей аудиту. Якщо в групі є лише один аудитор, йому слід виконувати всі відповідні обов'язки керівника групи з аудиту. Розділ 7 містить настанови щодо визначення потрібної аудитору компетентності і описує процес оцінювання аудиторів.

Під час прийняття рішення щодо чисельності та складу групи з аудиту треба враховувати:

1.  цілі, сферу, критерії аудиту і передбачену тривалість аудиту;
2.  чи є аудит скомбінованим чи спільним;
3.  загальну компетентність групи з аудиту, необхідну для досягнення цілей аудиту;

застосовні законодавчі, регламентувальні, контрактні та акредитаційні/сертифікаційні ви
моги;

є) необхідність забезпечення незалежності групи з аудиту від діяльності, що перевіряється, та уникнення конфліктів інтересів;

f) здатність членів групи з аудиту результативно взаємодіяти і співпрацювати з об'єктом аудиту;

д) мову, яку використовують під час аудиту, і розуміння соціальних та культурних особливостей об'єкта аудиту; це може забезпечуватись або власним умінням аудитора, або за підтримки технічного експерта.

Процес засвідчення загальної компетентності групи з аудиту має містити такі кроки:

визначання знань та вмінь, необхідних для досягнення цілей аудиту;

вибір членів групи з аудиту таким чином, щоб група з аудиту володіла всіма необхідними
знаннями та вміннями.

У разі недостатності знань та вмінь аудиторів необхідні знання та вміння забезпечують включенням до складу групи з аудиту технічних експертів. Технічні експерти мають виконувати роботу під керівництвом аудитора.

Аудитори-стажисти можуть входити до складу групи з аудиту, але їм не треба здійснювати аудит без керівництва чи нагляду.

Як замовник аудиту, так і об'єкт аудиту можуть вимагати заміни окремих членів групи з аудиту за наявності розумних підстав, виходячи з принципів здійснення аудиту, описаних у розділі 4. Розумними підставами є, наприклад, ситуації, пов'язані з конфліктом інтересів (коли член групи з ауди-

ту є колишнім працівником об'єкта аудиту або надавав йому консультаційні послуги), або мала місце неетична поведінка у минулому. Про такі підстави треба повідомляти керівника групи з аудиту і відповідального за управління програмою аудиту, яким треба разом з замовником аудиту та об'єктом аудиту розглянути це питання до прийняття рішення щодо заміни членів групи з аудиту.

6.2.5 Налагодження попереднього зв'язку з об'єктом аудиту

Попередній зв'язок з об'єктом аудиту з питань проведення аудиту може бути неформальним або формальним, а налагоджувати його треба лише особам, відповідальним за управління програмою аудиту, або керівнику групи з аудиту. Метою цього зв'язку є:

1.  встановлювання способів обміну інформацією з представниками об'єкта аудиту;
2.  підтвердження повноважень щодо проведення аудиту;
3.  надання інформації про запропонований термін проведення аудиту і склад групи з аудиту;
4.  запит щодо доступу до відповідних документів, разом з протоколами;
   є) визначання застосовних правил безпеки на місцях проведення аудиту;
   f) підготування договору щодо проведення аудиту;

д) погодження присутності спостерігачів і потреби у супроводжувальних особах для групи з аудиту.

6.3 Аналізування документів

До здійснення аудиторської діяльності на місцях треба проаналізувати документацію об'єкта аудиту для визначання відповідності задокументованої системи критеріям аудиту. Документація може включати відповідні документи і протоколи системи управління, а також звіти про попередні аудити. Під час аналізування треба враховувати розмір, характер діяльності і складність організації, а також цілі та сферу аудиту. У деяких ситуаціях це аналізування може бути відкладено до початку робіт на місцях, якщо це негативно не впливатиме на результативність проведення аудиту. В інших ситуаціях може бути здійснене попереднє відвідування місць проведення аудитів з тим, щоб мати відповідне уявлення про наявну інформацію.

Якщо встановлено невідповідність документації, керівнику групи з аудиту треба поінформувати про це замовника аудиту, відповідального за управління програмою аудиту та об'єкт аудиту. Треба прийняти рішення щодо продовження аудиту або його тимчасового припинення до вирішення проблем, пов'язаних з документацією.

6.4 Підготування до аудиторської діяльності на місцях

6.4.1 Підготування плану аудиту

Керівнику групи з аудиту треба підготувати план аудиту як основу забезпечення згоди між замовником аудиту, групою з аудиту та об'єктом аудиту стосовно проведення аудиту. План має сприяти здійсненню аудиторської діяльності за графіком та полегшити її координування.

Рівень деталізації інформації, наданої в плані аудиту, має відповідати сфері та складності аудиту. Деталізація може бути різною, наприклад, для попереднього та наступного аудиту, а також для внутрішнього та зовнішнього аудиту. План аудиту має бути достатньо гнучким щодо внесення змін, наприклад, до сфери аудиту, які можуть стати необхідними в ході здійснення аудиторської діяльності на місцях.

План аудиту може містити:

1.  цілі аудиту;
2.  критерії аудиту та будь-які документи, на які є посилання;

сферу аудиту, включаючи ідентифікацію організаційних і функціональних підрозділів та про
цесів, аудит яких треба проводити;

1.  дату та місце проведення аудиту;

є) очікуваний час та тривалість аудиторської діяльності на місцях, включаючи наради з керівництвом об'єкта аудиту і наради групи з аудиту;

f) ролі і відповідальність членів групи з аудиту та будь-яких супроводжувальних осіб;

д) надання відповідних ресурсів для критичних елементів аудиту.

План аудиту, за необхідності, може також містити:

h) визначення відповідальної особи від об'єкта аудиту за проведення аудиту;

і) робочу мову аудиту та мову звіту про аудит, якщо це інша мова, ніж та, якою користується аудитор і (або) об'єкт аудиту;

j) тематичний зміст звіту про аудит;

к) домовленість щодо пересування (поїздки, умови перебування на місцях тощо);

І) питання, пов'язані з конфіденційністю;

т) будь-які подальші дії після аудиту.

План має бути проаналізований і прийнятий замовником аудиту та наданий об'єкту аудиту до початку аудиторської діяльності на місцях.

Рішення щодо будь-яких заперечень з боку об'єкта аудиту треба приймати спільно керівнику групи з аудиту, об'єкту аудиту і замовнику аудиту. Будь-які зміни плану аудиту треба узгодити зацікавленим сторонам до продовження аудиту.

6.4.2 Визначання робочих завдань для групи з аудиту

Керівнику групи з аудиту треба шляхом консультації з групою з аудиту встановити для кожного члена групи відповідальність за проведення аудиту конкретних процесів, функцій, ділянок, елементів чи видів діяльності. У цьому випадку треба враховувати потребу у незалежності та компетентності аудиторів та ефективному використанні ресурсів, а також різні ролі та відповідальність аудиторів, аудиторів-стажистів і технічних експертів. Для забезпечення досягнення цілей аудиту робочі завдання можуть бути змінені під час аудиту.

6.4.3 Підготування робочих документів

Членам групи з аудиту треба проаналізувати інформацію, пов'язану з їхніми завданнями з аудиту, і підготувати робочі документи, необхідні для реєстрування інформації в ході аудиту. Такі робочі документи можуть містити:

перелік контрольних питань і плани відбирання інформації під час аудиту;

бланки для реєстрування інформації, такої, як підтверджувальні докази, дані аудиту і про
токоли нарад.

Використовування переліків контрольних питань і бланків не повинне обмежувати обсяг аудиторської діяльності, який може змінюватися на підставі інформації, зібраної під час аудиту.

Робочі документи, включаючи оформлені на їх основі протоколи, треба зберігати щонайменше до завершення аудиту. Порядок зберігання документів після завершення аудиту описано в 6.7. Документи, що містять конфіденційну чи патентну інформацію, членам групи з аудиту треба завжди належним чином охороняти.

6.5 Здійснення аудиторської діяльності на місцях

6.5.1 Проведення попередньої наради

Попередня нарада має бути проведена за участю керівництва об'єкта аудиту або, за необхідності, відповідальних за діяльність чи процеси, які підлягають аудиту. Метою попередньої наради є:

1.  ухвалення плану аудиту;
2.  подавання стислого опису того, як буде проведено аудит;
3.  підтвердження способів обміну інформацією;
4.  надання можливості персоналу об'єкта аудиту задати запитання.

Практична допомога. Попередня нарада

У багатьох випадках, наприклад, для внутрішніх аудитів у малій організації, попередня нарада може передбачати лише повідомлення про проведення аудиту і роз'яснення характеру аудиту.

Для інших видів аудитів нарада має бути офіційною і належним чином запротокольована. На попередній нараді під головуванням керівника групи з аудиту треба розглянути, за необхідності, такі питання:

1.  представлення учасників з окресленням їхніх ролей;
2.  підтвердження цілей, сфери та критеріїв аудиту;
3.  підтвердження графіка проведення аудиту та інших відповідних домовленостей з об'єктом
   аудиту щодо, наприклад, дати та години заключної наради, будь-яких проміжних нарад за уча
   стю групи з аудиту та керівництва об'єкта аудиту, а також будь-яких останніх змін;

d) методи і методики, які використовуватимуть під час проведення аудиту, а також доведення до відома об'єкта аудиту, що доказ аудиту базуватиметься лише на частині наявної інформації і тому для аудита є характерним елемент невизначеності;

є) підтвердження офіційних способів обміну інформацією між групою з аудиту і об'єктом аудиту;

f) підтвердження вибору мови, яку використовуватимуть під час аудиту;

д) підтвердження того, що під час аудиту об'єкт аудиту отримуватиме всю інформацію про хід виконання аудиту;

h) підтвердження наявності ресурсів і забезпеченості умовами роботи, потрібних групі з аудиту;

і) підтвердження того, що є предметом конфіденційності;

j) підтвердження відповідних дій, пов'язаних з охороною праці, аварійними ситуаціями та особистою безпекою для групи з аудиту;

к) підтвердження наявності, ролей та особистостей будь-яких супроводжувальних осіб;

І) метод звітування, включаючи градацію невідповідностей;

т) інформацію про умови, за яких аудит може бути припинений;

п) інформацію про порядок подання апеляцій стосовно проведення аудиту чи його висновків.

6.5.2 Обмін інформацією під час аудиту

Залежно від сфери та складності аудиту під час аудиту може виникнути необхідність в офіційному обміні інформацією як між членами групи з аудиту, так і з об'єктом аудиту.

Групі з аудиту треба періодично проводити наради для обміну інформацією, оцінювання ходу виконання аудиту і перерозподілу, у разі потреби, робочих завдань між членами групи з аудиту.

Під час аудиту керівнику групи з аудиту треба періодично інформувати об'єкт аудиту і, за необхідності, замовника аудиту про хід виконання аудиту та будь-які проблеми. Про зібрані під час аудиту докази, які свідчать про безпосередній та значний ризик (наприклад, пов'язаний з безпекою, навколишнім середовищем або якістю), треба невідкладно повідомити об'єкт аудиту і, за необхідності, замовника аудиту. Питання поза сферою аудиту, що викликають будь-яку стурбованість, треба нотувати і доповідати про них керівнику групи з аудиту для можливого інформування замовника аудиту і об'єкта аудиту.

У разі, коли наявний доказ аудиту свідчить про неможливість досягнення цілей аудиту, керівнику групи з аудиту треба доповісти про причини цього замовнику аудиту і об'єкту аудиту для визначання відповідної дії. Такою дією може бути повторне підтвердження чи змінення плану аудиту, зміни у цілях аудиту чи сфері аудиту або припинення аудиту.

Замовнику аудиту і, за необхідності, об'єкту аудиту треба аналізувати та схвалювати будь-яку потребу у внесенні змін до сфери аудиту, яка може ставати очевидною під час здійснення аудиторської діяльності на місцях.

6.5.3 Ролі та відповідальність супроводжувальних осіб і спостерігачів
Супроводжувальні особи і спостерігачі можуть супроводжувати групу з аудиту, але вони не

входять до її складу. Вони не повинні впливати на проведення аудиту або втручатися в нього.

Супроводжувальним особам, призначеним об'єктом аудиту, треба сприяти роботі групи з аудиту і діяти за вказівкою керівника групи з аудиту. Супроводжувальні особи можуть бути відповідальними за:

1.  встановлювання контактів і часу для опитування;
2.  підготування відвідувань конкретних місць організації або організації в цілому;
3.  ознайомлення членів групи з аудиту з правилами охорони праці та особистої безпеки і їх
   дотримання;

d) засвідчення результатів аудиту від імені об'єкта аудиту;
є) надання пояснень чи допомоги у збиранні інформації.

6.5.4 Збирання та перевіряння інформації

Під час аудиту відповідним відбором треба збирати інформацію згідно з цілями, сферою та критеріями аудиту, включаючи інформацію щодо зв'язків між функціями, видами діяльності та про-

цесами і перевіряти її. Лише інформація, яку можна перевірити, може бути доказом аудиту. Треба реєструвати доказ аудиту.

Доказ аудиту базується на частині наявної інформації. Тому для аудиту є характерним елемент невизначеності, і тим, хто діє за висновками аудиту, треба це усвідомлювати.

На рисунку 3 подано загальний опис процесу аудиту від збирання інформації до подання висновків аудиту.

Методи збирання інформації містять:

опитування;

спостереження за діяльністю;

аналізування документів.

Практична допомога. Джерела інформації

Вибрані джерела інформації можуть різнитися залежно від сфери та складності аудиту і можуть містити:

1.  опитування працівників та інших осіб;
2.  спостереження за діяльністю, виробничим середовищем та умовами;

документи, такі, як політика, цілі, плани, методики, стандарти, інструкції, ліцензії та доз
воли, технічні умови, креслення, контракти і замовлення;

протоколи, такі, як протоколи контролю, протоколи нарад, звіти про аудит, протоколи за
програмами моніторингу і результати вимірювання;

є) зведені дані, результати аналізування і показники діяльності;

f) інформацію про програми об'єкта аудиту щодо відбирання зразків і про методики з управління процесами відбирання зразків та вимірювання;

д) повідомлення з інших джерел, наприклад, зворотний зв'язок із замовниками, іншу відповідну інформацію від зовнішніх сторін та рейтинг постачальників;

h) комп'ютерні бази даних і веб-сайти.

Практична допомога. Опитування

Опитування є одним із важливих засобів збирання інформації і його треба проводити у спосіб, прийнятний для ситуації та особи, яку опитують. Проте аудитору треба враховувати, що:

1.  опитування треба проводити з особами відповідних рівнів та функціональних обов'язків
   у межах сфери аудиту;
2.  опитування слід проводити у звичайний робочий час і, якщо можливо, на робочому місці
   особи, яку опитують;
3.  до початку та під час опитування треба докладати всіх зусиль для створення невимуше
   ної атмосфери для особи, яку опитують;

d) треба пояснювати причину опитування та необхідність ведення будь-яких записів;
є) опитування може починатися з прохання до осіб розповісти про свою роботу;

f) треба уникати запитань, що впливають на відповідь (тобто навідних запитань); д) результати опитування треба підсумовувати та переглядати за участю особи, яку опитували;

h) треба подякувати особам, яких опитували, за їхню участь та співпрацю.

6.5.5 Підготування даних аудиту

Для підготування даних аудиту треба оцінити доказ аудиту за критеріями аудиту. Дані аудиту можуть вказувати або на відповідність, або на невідповідність критеріям аудиту. Якщо це передбачено цілями аудиту, то за даними аудиту можна визначати можливість для поліпшення.

Для аналізування даних аудиту групі з аудиту треба, у разі потреби, збиратися на відповідних стадіях здійснення аудиту.

Відповідність критеріям аудиту треба підсумовувати із зазначенням місць, функцій або процесів, аудит яких було проведено. Якщо це передбачено планом аудиту, конкретні дані аудиту про відповідність та їхні підтверджувальні докази треба також реєструвати.

Невідповідності та їхні підтверджувальні докази аудиту треба реєструвати. Невідповідності можуть бути зазначені за градацією. їх треба аналізувати за участю об'єкта аудиту для отримання визнання того, що доказ аудиту є правильним і невідповідності є зрозумілими. Треба докладати всіх зусиль для узгодження думок стосовно доказу аудиту і (або) даних аудиту, а всі розбіжності треба реєструвати.

6.5.6 Підготування висновків аудиту

Групі з аудиту треба перед заключною нарадою провести нараду з тим, щоб: а) проаналізувати зібрані під час аудиту дані аудиту та будь-яку іншу відповідну інформацію на відповідність цілям аудиту;

1.  дійти згоди щодо висновків аудиту, враховуючи притаманну процесу аудиту невизначеність;
2.  підготувати рекомендації, якщо це передбачено цілями аудиту;

Внимание! Это не полная версия документа. Полная версия доступна для скачивания.