Internrevisjon ISO: Slik sikrer du at ledelsessystemet fungerer
Internrevisjon er et av de viktigste verktøyene for å holde et ISO-sertifisert ledelsessystem levende og effektivt. Mange virksomheter innfører standarder som ISO 9001, ISO 14001, ISO 27001 eller ISO 45001, men det er først gjennom jevnlige interne revisjoner at man faktisk ser om systemet følges i praksis. Denne artikkelen forklarer hva internrevisjon innebærer, hvorfor det er et krav, og hvordan du kan gjennomføre det på en god måte.
Hva er internrevisjon i ISO-sammenheng-
Internrevisjon er en systematisk, uavhengig og dokumentert prosess for å innhente objektive bevis og vurdere i hvilken grad virksomhetens ledelsessystem oppfyller egne krav, krav i den aktuelle ISO-standarden og lovpålagte krav. Med andre ord handler det om å kontrollere at det som står skrevet i kvalitetshåndboken, rutinene og prosedyrene faktisk blir fulgt i hverdagen.
Internrevisjonen skiller seg fra ekstern revisjon, som gjennomføres av et akkreditert sertifiseringsorgan. Ekstern revisjon avgjør om virksomheten skal få eller beholde sertifikatet, mens internrevisjon er et verktøy virksomheten bruker selv for kontinuerlig forbedring. Den interne revisjonen skal avdekke avvik, svakheter og forbedringsmuligheter før de blir store problemer.
Hvorfor er internrevisjon et krav-
Alle moderne ISO-standarder med ledelsessystemstruktur stiller krav om internrevisjon. Dette fremgår normalt av kapittel 9 i standardene, der det beskrives at virksomheten skal planlegge, gjennomføre og følge opp interne revisjoner med jevne mellomrom. Kravet er med andre ord ikke valgfritt dersom man ønsker å være i samsvar med standarden og opprettholde sertifikatet.
I tillegg til å oppfylle et formelt krav, gir internrevisjon verdi for ledelsen. Den gir et bilde av hvordan organisasjonen fungerer, hvor det er risiko for feil, og hvor ressursene best kan settes inn. Ved ekstern revisjon vil sertifiseringsorganet også se etter dokumentasjon på at internrevisjonen er planlagt, gjennomført og fulgt opp. Mangler dette, kan det gi avvik som må lukkes før sertifikatet kan godkjennes.
Retningslinjer for revisjon: ISO 19011
Standarden ISO 19011 gir veiledning for revisjon av ledelsessystemer og er den sentrale referansen for hvordan en intern revisjon bør gjennomføres. Den beskriver prinsipper for revisjon, herunder integritet, rapporteringsplikt, objektivitet og en risikobasert tilnærming. Den beskriver også hvordan revisjonsprogrammet skal styres, hvordan revisjonene planlegges og utføres, og hvilke kompetansekrav som gjelder for revisorene.
Mange virksomheter bruker ISO 19011 som en huskeliste. Den hjelper dem med å sikre at revisjonen dekker det den skal, og at resultatene er sammenlignbare over tid. Det er en god idé å gjøre seg kjent med standarden før man setter i gang med det første revisjonsprogrammet.
Slik gjennomfører du en internrevisjon, steg for steg
En god internrevisjon starter lenge før selve revisjonsbesøket. Det første steget er å lage et revisjonsprogram for hele året. Programmet bør dekke alle prosesser og avdelinger i ledelsessystemet, og prioriteres etter risiko og betydning. Kritiske prosesser, områder med tidligere avvik og endringer i organisasjonen bør revideres oftere.
Deretter utarbeides en plan for den enkelte revisjonen. Planen beskriver omfang, formål, tidspunkt, deltakere og kriterier. Revisorene bør forberede sjekklister, men de bør ikke være låst til dem. En sjekkliste er et hjelpemiddel, ikke et mål i seg selv.
Under selve revisjonen samler revisoren objektive bevis gjennom intervjuer, observasjoner og gjennomgang av dokumenter og registreringer. Det er viktig å stille åpne spørsmål og å etterprøve det som blir fortalt. Hvis en prosedyre sier at alle avvik skal registreres, bør revisoren be om å se noen faktiske avviksregistreringer og følge dem videre.
Funnene dokumenteres deretter i en revisjonsrapport. Avvik skiller seg gjerne i to kategorier: avvik som viser at et krav ikke er oppfylt, og observasjoner eller forbedringsmuligheter der systemet fungerer, men kan gjøres bedre. Rapporten bør presenteres for den reviderte avdelingen, og det bør avtales en frist for å lukke avvikene.
Til slutt er oppfølging helt avgjørende. Korrigerende tiltak må ikke bare settes i verk, de må også verifiseres. Mange virksomheter gjør feilen å lukke avvik på papiret uten å undersøke om årsaken faktisk er fjernet. Ved å se etter årsaker, og ikke bare symptomer, får man varig forbedring.
Vanlige utfordringer ved internrevisjon
En av de hyppigste utfordringene er mangel på uavhengighet. Dersom revisoren reviderer sin egen arbeidsplass eller sitt eget arbeid, blir vurderingen lett farget. Standarden krever at revisorer er objektive og ikke reviderer egen virksomhet. I mindre organisasjoner kan dette være vanskelig å ordne, men det kan løses ved å bytte revisorer mellom avdelinger eller bruke eksterne ressurser.
En annen utfordring er at internrevisjonen blir en rutineoppgave som gjøres for å krysse av i en kalender. Da blir resultatene ofte tynne, og ledelsen opplever ikke verdien. Det er derfor viktig å knytte revisjonene til reelle utfordringer i virksomheten, og å la ledelsen få tydelige og praktiske tilbakemeldinger.
Mange opplever også at revisjonsrapporter blir for lange, uklare eller vanskelige å bruke. En god rapport er kortfattet, konkret og knytter hvert funn til et krav og et faktisk bevis. Den bør være skrevet slik at ledere og ansatte forstår hva som må gjøres.
Kompetanse hos interne revisorer
Interne revisorer trenger både teknisk forståelse av standarden og gode kommunikasjons- og intervjuferdigheter. De bør kjenne til prosessene de reviderer, og de må kunne stille gode spørsmål uten å virke konfronterende. Kompetansekravene i ISO 19011 gir en god oversikt over hva som bør ligge til grunn for opplæringen.
Mange virksomheter velger å utdanne egne interne revisorer. Det gir god kjennskap til organisasjonen, men krever tid og ressurser. Andre velger å hente inn ekspertise utenfra, enten for hele revisjonsprogrammet eller for enkeltrevisjoner. Begge modeller kan fungere godt, så lenge kompetansen er tilstrekkelig og uavhengigheten er ivaretatt.
Hvordan velge riktig hjelp til internrevisjon
Dersom virksomheten velger å kjøpe tjenester innen internrevisjon, er det lurt å stille noen kritiske spørsmål før man inngår avtale. Har leverandøren dokumentert erfaring med den aktuelle ISO-standarden- Kjenner de bransjen din- Kan de dokumentere kompetanse etter ISO 19011, og har de rutiner for uavhengighet og taushetsplikt- Hvordan rapporterer de funn, og hvordan følger de opp at avvik blir lukket-
Det er også viktig at leverandøren forstår at målet ikke bare er å oppfylle et krav, men å skape verdi. En god samarbeidspartner vil hjelpe virksomheten med å forbedre prosesser, ikke bare peke på hva som er galt. Referanser fra tidligere oppdrag kan være nyttige å se på.
Fordeler med en godt gjennomført internrevisjon
Når internrevisjonen fungerer godt, får virksomheten flere konkrete fordeler. Færre avvik ved ekstern revisjon er den mest synlige effekten, men den viktigste er kanskje at kvaliteten på tjenestene eller produktene forbedres. Prosesser blir mer effektive, risikoen for feil og skader reduseres, og ansatte får en tydeligere forståelse av hva som forventes av dem.
Internrevisjon bidrar også til tillit hos kunder og samarbeidspartnere. Mange oppdragsgivere stiller krav om ISO-sertifisering, og de vil gjerne vite at systemet lever i praksis. En virksomhet som kan vise til velfungerende internrevisjoner, står sterkere i anbudsprosesser og i dialogen med kunder.
Kom i gang med internrevisjon
Har du ikke internrevisjon i dag, eller er det lite formelt over det du gjør, er det lurt å starte med en enkel plan. Definer hvilke ISO-standarder som gjelder for virksomheten, lag et revisjonsprogram for det kommende året, og sørg for at minst én person får opplæring i revisjonsmetodikk. Start gjerne med de prosessene som er mest kritiske, og bygg opp erfaringen derfra.
Med en god plan, kompetente revisorer og en vilje til å bruke funnene til å forbedre virksomheten, blir internrevisjon et av de mest verdifulle verktøyene for ledelsessystemet. Kontakt oss gjerne dersom du ønsker hjelp til å finne en leverandør med riktig kompetanse for din virksomhet, så formidler vi kontakt med kvalifiserte fagpersoner som kan bistå med internrevisjon etter ISO-standardene.
Internrevisjon ISO i andre områder
BedriftLink
