Normelement 9.2 vraagt organisaties een auditprogramma vast te stellen met frequentie, methode, verantwoordelijkheden, planning en rapportagewijze. Voor iedere afzonderlijke audit moeten de criteria en de reikwijdte worden vastgelegd, en afwijkingen moeten zonder onnodig uitstel worden opgelost.
In de praktijk gaat dit vaker mis dan verwacht. De focus ligt van oudsher vooral op controle van het uitvoeringsproces, terwijl auditen ook kan worden ingezet om risico's en kansen vast te stellen en het management bruikbare stuurinformatie te leveren.
In de praktijk is er veel meer uit interne audits te halen. Een audit die enkel bestaat uit het toetsen of medewerkers voorgeschreven instructies volgen, stelt zelden de vraag of de beschreven werkwijze zelf nog wel de meest effectieve is. Een puur controlerende audit roept bij medewerkers bovendien het gevoel op dat hun functioneren wordt beoordeeld, waardoor draagvlak voor interne audits ontbreekt.
Ook wordt bij een bredere risicogebaseerde blik soms toch vooral naar afwijkingen gezocht, in plaats van naar bruikbare stuurinformatie.
Daarnaast worden bevindingen wel gerapporteerd aan het management, maar niet altijd besproken met de betrokken afdeling, waardoor opvolging en draagvlak beperkt blijven en een audit als afrekening wordt ervaren.
Een organisatie moet een auditprogramma vaststellen met frequentie, methode, verantwoordelijkheden, planning en rapportagewijze en voor iedere audit criteria en reikwijdte vastleggen. Van oudsher lag de nadruk sterk op het uitvoeringsproces, maar een puur controlerende audit kan bij medewerkers het gevoel oproepen dat hun functioneren wordt beoordeeld, wat draagvlak kost.
Door risicogebaseerd te auditen wordt de audit niet langer uitsluitend een toets op naleving, maar een middel om risico's en kansen vast te stellen. Dit verandert de rol van de auditor. Van iemand die toetst of regels worden gevolgd naar iemand die vanuit de doelen van het proces redeneert, zonder toch vooral op zoek te blijven naar afwijkingen.
De norm vraagt dat afwijkingen zonder onnodig uitstel leiden tot corrigerende maatregelen, maar minstens zo belangrijk is de opvolging van risico's en kansen die uit audits naar voren komen. Het management moet bevindingen periodiek prioriteren en koppelen aan concrete acties en deze ook bespreken met de betrokken afdeling in plaats van alleen te rapporteren.
QMSS helpt u om interne audits risicogebaseerd in te richten, zodat ze daadwerkelijk bruikbare stuurinformatie opleveren voor het management.
Concrete voorbeelden laten zien hoe interne audits terugkomen in dagelijkse keuzes, processen en verbeteringen.
Bij een traditionele aanpak wordt aan het begin van het jaar een auditplanning opgesteld waarin al vaststaat welke afdeling wanneer wordt geaudit. De audit functioneert dan vooral als controlemiddel. Is gewerkt volgens het kwaliteitshandboek? Wat hierbij vaak wordt gemist, is de vraag of de voorgeschreven werkwijze zelf nog wel de meest effectieve en efficiënte is en medewerkers ervaren dit al snel als een beoordeling van hun eigen functioneren.
Bij risicogebaseerd auditen ligt de focus niet op het aantonen van naleving, maar op het vaststellen van risico's en kansen vanuit het perspectief van klanttevredenheid en procesverbetering. Dit vraagt auditoren die kunnen redeneren vanuit doelen in plaats van vanuit voorschriften, al worden afwijkingen nog steeds gerapporteerd waar nodig. Afdelingen of processen waar meer risico's en kansen worden verwacht, kunnen bewust frequenter worden geaudit dan processen met een stabiel verloop.
In plaats van audits te beperken tot één afdeling wordt bij procesgericht auditen het gehele proces gevolgd, ook wanneer dit meerdere afdelingen doorkruist. Dit voorkomt suboptimalisatie, want een auditor die alleen binnen de muren van één afdeling kijkt, mist juist de kansen die in de samenwerking tussen afdelingen liggen. Medewerkers krijgen zo ook minder snel het gevoel individueel beoordeeld te worden, zeker wanneer de auditor dit benadrukt.
De grootste meerwaarde ontstaat wanneer de interne audit aansluit bij actuele vraagstukken binnen de organisatie. In plaats van vooraf een vast onderwerp per afdeling te bepalen, kan pas kort voor de audit in overleg met de proceseigenaar worden gekozen waar de audit zich op richt, bijvoorbeeld een hardnekkige stagnatie in een proces of een nulmeting voorafgaand aan een verbeterproject binnen de afdeling.
Bekijk welke andere normelementen binnen hetzelfde hoofdstuk of thema aansluiten op dit onderwerp. Zo ziet u hoe de verschillende onderdelen met elkaar samenhangen en waar verdere verdieping relevant is.
ISO 9001 vraagt organisaties een auditprogramma vast te stellen met frequentie, methode, verantwoordelijkheden, planning en rapportagewijze. Voor iedere audit moeten criteria en reikwijdte worden vastgelegd, bevindingen moeten worden gerapporteerd aan het relevante management en afwijkingen moeten zonder onnodig uitstel worden opgelost.
Een controlerende audit toetst vooral of medewerkers voorgeschreven instructies volgen. Een risicogebaseerde audit gaat verder en stelt vast waar risico's ontstaan en waar kansen liggen om klantgerichtheid, effectiviteit en efficiëntie te verbeteren, ook binnen de managementprocessen van de organisatie.
Wanneer een audit enkel toetst of instructies worden gevolgd, kan dit bij medewerkers het gevoel oproepen dat hun eigen functioneren wordt beoordeeld. Dit roept weerstand op en beperkt draagvlak, terwijl een audit die risico's en kansen zoekt eerder als behulpzaam wordt ervaren binnen de organisatie.
Een proces doorkruist vaak meerdere afdelingen. Een auditor die alleen binnen één afdeling kijkt, mist de kansen die juist in de samenwerking tussen afdelingen liggen. Procesgericht auditen voorkomt suboptimalisatie en verkleint bovendien het gevoel van individuele beoordeling bij medewerkers.
Het management moet bevindingen periodiek prioriteren, omdat het niet realistisch is om alles tegelijk op te pakken. Aan de bevindingen met de hoogste prioriteit worden vervolgens acties gekoppeld, en deze worden ook besproken met de betrokken afdeling of proceseigenaar, niet alleen gerapporteerd.
Met een interne audit krijgt u helder inzicht in de werking van uw kwaliteitsmanagementsysteem. QMSS kijkt graag met u mee en vertaal bevindingen naar concrete verbeterpunten die u direct kunt opvolgen.
