Audyt pierwszej, drugiej i trzeciej strony w przemyśle: cele, dowody i decyzje poaudytowe
W przedsiębiorstwie przemysłowym audyt nie powinien być traktowany wyłącznie jako kontrola dokumentacji przed certyfikacją. To narzędzie oceny ryzyka, sprawdzenia skuteczności procesów i podejmowania decyzji dotyczących dostawców, produkcji oraz dalszego rozwoju systemu zarządzania. Kluczowe znaczenie ma rozróżnienie audytów pierwszej, drugiej i trzeciej strony, ponieważ każdy z nich opiera się na innych dowodach i prowadzi do innych decyzji.
Trzy strony audytu, trzy różne cele
Audyt pierwszej strony jest audytem wewnętrznym. Organizacja ocenia własne procesy, system zarządzania i zgodność przyjętych zasad z wymaganiami normy, przepisami oraz ustaleniami operacyjnymi. Jego wartość nie polega na formalnym potwierdzeniu, że dokumenty istnieją, lecz na sprawdzeniu, czy sposób pracy jest znany, stosowany i skuteczny. W praktyce auditor analizuje między innymi zapisy produkcyjne, wyniki kontroli, działania korygujące, kompetencje pracowników i realizację celów jakościowych.
Audyt drugiej strony przeprowadza zwykle klient u dostawcy albo organizacja oceniająca podwykonawcę. Jego zakres wynika z potrzeb relacji biznesowej: może obejmować zdolność produkcyjną, nadzór nad zmianami, identyfikowalność, kontrolę wyposażenia pomiarowego, terminowość działań korygujących lub spełnienie specyficznych wymagań klienta. Wynik takiej oceny pomaga zdecydować, czy dostawca może zostać zatwierdzony, wymaga planu poprawy, czy powinien podlegać częstszemu nadzorowi.
Audyt trzeciej strony ma inny status. Jest prowadzony przez niezależną jednostkę certyfikującą w celu oceny zgodności systemu zarządzania z wymaganiami określonej normy. Dlatego audyt trzeciej strony w procesie certyfikacji ISO jest przede wszystkim niezależnym badaniem systemu, a nie konsultacją ani wewnętrznym przeglądem gotowości. Jego rezultat może mieć znaczenie dla certyfikacji, ale nie zwalnia organizacji z odpowiedzialności za własne procesy, wyroby i decyzje.
Dowód musi wynikać z procesu
Różnica między rodzajami audytów najlepiej ujawnia się w sposobie gromadzenia dowodów. W audycie pierwszej strony organizacja może skoncentrować się na pytaniu, gdzie występują słabe punkty i jakie działania pozwolą je usunąć. W audycie drugiej strony ważne jest to, czy dostawca spełnia uzgodnione wymagania klienta oraz czy potrafi utrzymać powtarzalność. W audycie trzeciej strony dowody muszą pozwolić auditorowi ocenić zgodność i skuteczność systemu w uzgodnionym zakresie.
Sam dokument nie jest jeszcze dowodem skutecznego działania. Procedura zakupowa może określać sposób kwalifikacji dostawców, ale auditor będzie szukał także zapisów z ocen, decyzji, monitorowania wyników i reakcji na problemy. Podobnie instrukcja kontroli procesu powinna być powiązana z rzeczywistymi zapisami, wynikami pomiarów, kryteriami akceptacji oraz działaniami podejmowanymi po wykryciu odchylenia.
W zakładzie przemysłowym warto budować ścieżkę dowodową od ryzyka do decyzji. Najpierw należy określić, co może zakłócić proces lub wpłynąć na wyrób. Następnie trzeba wskazać punkt kontroli, właściciela działania, wymagany zapis i sposób reagowania. Taki układ ułatwia zarówno audyt wewnętrzny, jak i przygotowanie do oceny zewnętrznej, ponieważ pokazuje nie tylko zgodność z wymaganiem, ale też logikę zarządzania.
Co dzieje się po audycie pierwszej i drugiej strony
Wyniki audytu wewnętrznego powinny prowadzić do priorytetyzacji działań. Nie każda obserwacja wymaga takiej samej reakcji. Niezgodność dotycząca krytycznej kontroli procesu może wymagać natychmiastowego zabezpieczenia wyrobu i analizy przyczyny, podczas gdy niepełny zapis szkolenia może skutkować uzupełnieniem kompetencji i zmianą nadzoru nad dokumentacją. Ważne jest, aby działanie korygujące odnosiło się do przyczyny problemu, a nie tylko do jego widocznego objawu.
Po audycie dostawcy decyzja powinna uwzględniać ryzyko dla własnej produkcji. Organizacja może zaakceptować wynik, ustalić termin poprawy, zwiększyć częstotliwość kontroli wejściowej albo przeprowadzić ponowną ocenę. Samo przesłanie listy uwag nie gwarantuje poprawy. Potrzebne są odpowiedzialności, terminy, kryteria zamknięcia i sprawdzenie skuteczności.
W obu przypadkach raport audytowy powinien być zrozumiały dla osób, które nie uczestniczyły w ocenie. Opis ustalenia powinien wskazywać wymaganie lub kryterium, obiektywny dowód, zakres problemu i możliwe ryzyko. Taki raport staje się narzędziem zarządczym, a nie wyłącznie archiwalnym dokumentem.
Decyzje po audycie trzeciej strony
Audyt trzeciej strony obejmuje przygotowanie, ocenę na miejscu lub w uzgodnionej formie, raportowanie oraz dalsze działania wynikające z ustaleń. Organizacja powinna potrafić przedstawić zakres systemu, odpowiedzialności, sposób nadzorowania procesów i zapisy potwierdzające realizację ustaleń. W centrum zainteresowania pozostaje nie tylko to, czy procedura została napisana, ale także czy jest stosowana i czy przynosi zamierzony rezultat.
Jeżeli auditor stwierdzi niezgodność, organizacja powinna przeanalizować jej przyczynę, zaplanować działanie korygujące i dostarczyć wymagane dowody. Ostateczna ocena zależy od charakteru ustalenia, zasad jednostki certyfikującej i przedstawionych materiałów. Nie należy zakładać, że każda uwaga automatycznie prowadzi do utraty certyfikatu ani że samo usunięcie pojedynczego zapisu zamyka temat. Kluczowe jest wykazanie, że organizacja kontroluje problem i ogranicza ryzyko jego powtórzenia.
Certyfikacja nie jest końcem pracy nad systemem. Późniejsze audyty nadzoru oraz kolejne oceny sprawdzają, czy przyjęte rozwiązania nadal funkcjonują, a organizacja reaguje na zmiany w procesach, wymaganiach i otoczeniu biznesowym. Z tego powodu przygotowanie do audytu powinno być elementem codziennego zarządzania, a nie krótkotrwałą akcją porządkową.
Jak połączyć audyty w jeden system zarządzania
Największą wartość daje spójny program audytów. Audyt pierwszej strony powinien dostarczać informacji o stanie własnych procesów. Audyty drugiej strony powinny uzupełniać ocenę ryzyka w łańcuchu dostaw, a audyt trzeciej strony powinien dostarczać niezależnego spojrzenia na zgodność systemu z wymaganiami normy. Zakresy mogą się częściowo pokrywać, lecz cele i odbiorcy wyników pozostają odmienne.
Pomocne jest przypisanie właścicielom procesów odpowiedzialności za przygotowanie dowodów, analizę wyników i monitorowanie działań. System działa lepiej, gdy zapisy audytowe są powiązane z celami, wskaźnikami, reklamacjami, niezgodnościami i decyzjami kierownictwa. Wtedy audyt nie tworzy równoległej biurokracji, lecz wspiera bieżące sterowanie działalnością.
W tym podejściu podejście procesowe BBQuality można traktować jako punkt odniesienia przy porządkowaniu odpowiedzialności, dowodów i kontroli. Najpierw rozpoznaje się stan organizacji, następnie projektuje rozwiązania, wdraża je z udziałem zespołu, a później rozwija na podstawie wyników i doświadczeń. Takie uporządkowanie pomaga przygotować się do zewnętrznej oceny bez odrywania systemu od realnej pracy zakładu.
Najważniejsze pytania przed kolejnym audytem
Przed zaplanowaniem audytu warto odpowiedzieć na kilka praktycznych pytań: jaki jest cel oceny, jakie ryzyka mają największe znaczenie, kto jest właścicielem procesu, jakie dowody potwierdzą wykonanie działań oraz w jaki sposób zostanie sprawdzona ich skuteczność. Należy także ustalić, czy auditorzy mają odpowiednie kompetencje i niezależność od ocenianego obszaru.
Dobrze zaprojektowany audyt nie obiecuje braku niezgodności. Ma ujawnić informacje potrzebne do podejmowania rozsądnych decyzji. Pierwsza strona pomaga organizacji uczyć się na własnych danych, druga chroni relacje w łańcuchu dostaw, a trzecia dostarcza niezależnej oceny zgodności z normą. Dopiero połączenie tych perspektyw daje kierownictwu pełniejszy obraz dojrzałości systemu i kierunków dalszego doskonalenia.
