Dit document mag slechts op een stand-alone PC worden geinstalleerd. Gebruik op een netwerk is alleen.

Transcriptie

1 Dit document mag slechts op een stand-alone PC worden geinstalleerd. Gebruik op een netwerk is alleen. toestaan als een aanvullende licentieovereenkomst voor netwerkgebruik met NEN is afgesloten. This document may only be used on a stand-alone PC. Use in a network is only permitted when a supplementary license agreement for us in a network with NEN has been concluded. KAM-MANAGEMENT 4 Normalisatie: de wereld op één lijn

2 Auditing

3 Auditing Aan de slag met ISO Nederlands Normalisatie-instituut, Delft, 2010

4 Colofon Auteurs Jos Claessen Math Göbbels Dick Hortensius Ariette Kroeders Vormgeving Kade 05, Eindhoven 1e druk, e herziene druk, 2010 ISBN NUR 800 UIT 2 ICS ; Nederlands Normalisatie-instituut, Delft, 2010 Auteursrecht voorbehouden. Behoudens uitzondering door de wet gesteld mag zonder schriftelijke toestemming van het Nederlands Normalisatie-instituut niets uit deze uitgave worden verveelvoudigd en/of openbaar gemaakt door middel van fotokopie, microfilm, opslag in computerbestanden of anderszins, hetgeen ook van toepassing is op gehele of gedeeltelijke bewerking. Het Nederlands Normalisatie-instituut is met uitsluiting van ieder ander gerechtigd de door derden verschuldigde vergoedingen voor verveelvoudiging te innen en/of daartoe in en buiten rechte op te treden, voor zover deze bevoegdheid niet is overgedragen c.q. rechtens toekomt aan de Stichting Reprorecht. Hoewel bij deze uitgave de uiterste zorg is nagestreefd, kunnen fouten en onvolledigheden niet geheel worden uitgesloten. Het Nederlands Normalisatie-instituut en/of de leden van de commissies aanvaarden derhalve geen enkele aansprakelijkheid, ook niet voor directe of indirecte schade, ontstaan door of verband houdend met toepassing van door het Nederlands Normalisatie-instituut gepubliceerde uitgaven. Nederlands Normalisatie-instituut Vlinderweg 6, Postbus 5059, 2600 GB Delft Telefoon (015) , Fax (015)

5 Voorwoord Deze praktijkgids is een (beperkte) herziening van de gids die NEN in 2003 heeft gepubliceerd. Dat gebeurde om organisaties te voorzien van een praktische toelichting op de toen net ver schenen ISO Richtlijnen voor het uitvoeren van kwaliteits- en/of milieumanagementsysteemaudits. Inmiddels is ISO een veelgebruikte richtlijn, waardoor ook de inzichten over de inter pretatie en best practices op een aantal onderdelen zijn veranderd. Ook zijn de belangrijkste normen voor managementsystemen, zoals ISO 9001, ISO en OHSAS 18001, onder tussen gewijzigd. Redenen dus voor een herziening van deze praktijkgids. Daarnaast werkt ISO aan een herziening van ISO Die versie wordt eind 2011 verwacht en zal dan tot een ingrijpende herziening van deze praktijkgids leiden. Het doel van de gids blijft hetzelfde: organisaties helpen om het maximale uit hun interne audits te (blijven) halen. Delft, maart 2010 Ariette Kroeders Voorwoord bij de 1e druk In oktober 2002 is de norm NEN-EN-ISO Richtlijnen voor het uitvoeren van kwaliteitsen/of milieumanagementsysteemaudits gepubliceerd. De inhoud van deze norm is voorbereid door de Joint Working Group on Auditing van de International Organization for Standardization (ISO). Het Nederlands Normalisatie-instituut (NEN) heeft bij de ontwikkeling van ISO een belangrijke rol gespeeld. Vanuit Nederland is in 1997 het initiatief genomen na te gaan of de verschillende ISO-normen voor kwaliteits- en milieuauditing konden worden samengevoegd tot één document. Toen dat idee steun vond bij de overige leden van ISO, werd NEN gevraagd het secretariaat van de Joint Working Group op zich te nemen. Daarnaast hebben verscheidene deskundigen uit Nederland een actieve bijdrage geleverd aan de discussies die uiteindelijk hebben geleid tot ISO in zijn huidige vorm. Daarmee is voor het eerst een ISO-norm ontwikkeld die zowel behoort tot de ISO 9000-serie voor kwaliteitsmanagement als de 5

6 ISO serie voor milieumanagement, de twee meest bekende en meest toegepaste internationale normenseries. Het sluit aan bij de behoefte van veel organisaties om kwaliteits- en milieumanagement beter op elkaar af te stemmen en te integreren in één systeem. Gecombineerde audits leveren hieraan een belangrijke bijdrage en ISO biedt daarvoor een uitstekend raamwerk. Deze norm beschouwen wij niet alleen als een mijlpaal, maar bovenal als een goede norm die inhoudelijk veel verbeteringen bevat ten opzichte van zijn voorlopers. Daarom hebben wij deze praktijkgids geschreven, met het doel de gebruikers van ISO praktische handvatten te geven om de norm toe te passen op een op de eigen organisatie toegesneden manier van auditen. Een manier van auditen die effectief is en resultaten oplevert, waar de organisatie mee verder komt, van controleren naar leren en verbeteren. De combinatie NEN en KDI 1 is naar onze mening erg goed om een praktische toelichting op ISO te schrijven. NEN beschikt over kennis over de achtergrond en inhoud van de norm en KDI heeft ervaring in het geven van trainingen over en het uitvoeren van audits. De praktijkgids is bedoeld voor iedereen die met ISO aan de slag gaat, zoals: kleine en grote bedrijven die interne audits uitvoeren op hun kwaliteits-, milieu- en/of arbomanagementsysteem of zo n systeem bij een toeleverancier beoordelen; organisaties die externe audits op managementsystemen uitvoeren; adviesbureaus op het gebied van managementsystemen en auditing; organisaties die trainingen voor auditors verzorgen; het reguliere onderwijs waar managementsystemen en auditing aan bod komen. Wij hopen dat deze praktijkgids bijdraagt aan de toepassing van ISO in Nederland en ervoor zorgt dat bedrijven het maximale uit hun audits halen. Wij wensen de gebruikers van deze praktijkgids veel succes met de toepassing van ISO en veel plezier in het organiseren, het uitvoeren en vooral het verbeteren van hun audits. Delft, januari 2003 Jos Claessen Math Göbbels Dick Hortensius 1 Sinds 1 januari 2009 vormt KDI een onderdeel van Schouten & Nelissen, red. 6

7 Inhoud Inleiding Een norm voor het auditen van managementsystemen De oorsprong van auditing Het belang van auditing Auditing en managementsystemen Normen voor auditing Ontwikkeling van ISO Beoogde gebruikers van ISO De basis van auditing Wat is een audit? Typen audits Onderwerp van de audit Positie van de auditor ten opzichte van de organisatie Betrokken partijen bij het uitvoeren van audits Principes van auditing Managementsysteemaudits als kritisch bedrijfsproces Opzetten en managen van een auditprogramma Wat is een auditprogramma? Het belang van een auditprogramma Aspecten van een auditprogramma Opzetten van een auditprogramma Doelstellingen Omvang en reikwijdte Benodigde middelen Implementeren van een auditprogramma Bewaken en beoordelen van een auditprograma

8 3.7 Verbeteren van een auditprogramma Auditprogramma als input voor de directiebeoordeling Vakbekwaamheid van auditors Persoonlijke eigenschappen Kennis en vaardigheden Opleiding, werkervaring, auditortraining en auditervaring Beoordeling van auditors Initiatie van een audit Inleiding Vaststellen van de doelstellingen, reikwijdte en criteria voor de audit Bepalen van de haalbaarheid van de audit Samenstellen van een auditteam Overleg met de auditee Beoordeling van documentatie en voorbereiding van de audit Beoordeling van documentatie Voorbereiding van de audit Maken van een auditplan Werkverdeling binnen het auditteam Verzamelen en voorbereiden van werkdocumenten Uitvoering van de audit Openingsbijeenkomst Verzamelen en verifiëren van informatie Informatiebronnen en audittechnieken Auditinterview Auditen van specifieke doelgroepen of onderwerpen Vaststellen van auditbevindingen Opstellen van auditconclusies Slotbijeenkomst Rapportage en afronding Rapportage Opstellen van het auditrapport Goedkeuring en verspreiding van het auditrapport Afronding

9 9 Follow-up Bijlagen 1 Termen en definities Eisen voor interne auditing in normen voor managementsystemen Taken en verantwoordelijkheden van de bij een audit betrokken partijen van het beoordelingsproces bij het samenstellen van een auditteam van een gedeeltelijk ingevuld auditrapport Over de auteurs

10 10

11 Inleiding De tijd is voorbij dat onze maatschappij zo overzichtelijk was dat iedereen zelf kon vaststellen of een product of dienst aan de door hem belangrijk gevonden eisen voldeed. Daarvoor zijn de producten te ingewikkeld geworden, de eisenpakketten te complex en is het aankoopgedrag te veel veranderd (veel inkopen vinden nu via internet plaats). Dit geldt voor consumenten die artikelen kopen, bedrijven die zaken doen en overheden die naleving van wetgeving moeten controleren. Iedereen laat zich steeds meer leiden door informatie van anderen bij het nemen van beslissingen met soms verstrekkende gevolgen. De behoefte aan betrouwbare, liefst onafhankelijk geverifieerde informatie is dan ook sterk toegenomen. Dit zien we terug in de sterke groei in allerlei keurmerken, certificaten en goedgekeurde financiële of milieujaarverslagen. Dat zijn belangrijke hulpmiddelen in het maatschappelijk verkeer en we willen ervan kunnen uitgaan dat ze zijn gebaseerd op betrouwbaar onderzoek en een weloverwogen oordeel van deskundige personen. De afgelopen jaren zijn we regelmatig opgeschrikt door schandalen zoals Enron en Worldcom, waarbij door een bedrijf verstrekte informatie niet juist bleek te zijn en gerenommeerde externe accountantsbureaus die informatie toch goedkeurden of door het bedrijf handig om de tuin werden geleid met systematische fraude en malversaties in de boekhouding. In het geval van Enron werd het vertrouwen in onafhankelijke en onkreukbare beoordelaars wel erg geschaad, toen bekend werd dat belangrijk bewijsmateriaal bewust door de papierversnipperaar was gehaald en de accountants een veel te positieve voorstelling van zaken willens en wetens hadden goedgekeurd. De maatschappelijke consequenties van dit soort praktijken zijn enorm: grote bedrijven gaan failliet, bekende namen verdwijnen van het zakelijke toneel en het spaargeld van talloze gewone burgers verdampt. De betrouwbaarheid van informatie en controlerende instanties is een groot maatschappelijk goed geworden. Wereldwijd zijn er op dit moment zo n één miljoen bedrijven gecertificeerd Inleiding 11

12 voor hun kwaliteitsmanagementsysteem op basis van ISO 9001, zo n voor hun milieumanagementsysteem op basis van ISO en een onbekend aantal voor arbomanagement op basis van OHSAS Over de gehele wereld stelt een veelvoud van deze aantallen organisaties zijn vertrouwen in deze bedrijven op basis van die certificaten. Ondernemingen gaan ervan uit dat ISO 9001-gecertificeerde bedrijven betrouwbare handelspartners zijn die goede producten leveren die aan hun eisen en wensen voldoen. Overheden verwachten dat bedrijven met een ISO certificaat aan wet- en regelgeving op milieugebied voldoen en hun milieuprestaties voortdurend verbeteren. Werknemers vertrouwen erop dat werkgevers met een OHSAS certificaat zorgen voor goede en veilige arbeidsomstandigheden. Certificaten worden verleend op basis van een positieve uitkomst van de certificatieaudit op het managementsysteem. Organisaties houden zelf hun managementsysteem op peil met behulp van interne audits. Managementsysteemaudits spelen dus een cruciale rol in het lokale, nationale en internationale maatschappelijk verkeer. Daarom is het niet vreemd dat ISO een internationale richtlijn, ISO 19011, heeft ontwikkeld met het doel de best practice op het gebied van auditing vast te leggen. Iedereen die audits uitvoert, moet deze dan kunnen toepassen en iedereen die te maken heeft met de resultaten van audits, weet dan wat voor proces daaraan ten grondslag ligt. Deze praktijkgids is niet bedoeld ter vervanging van ISO 19011, maar is een aanvulling op deze internationale richtlijn. ISO beschrijft de wereldwijd geaccepteerde definities en principes van auditing en de eisen die aan auditprogramma s, audits en auditors worden gesteld. Zoals de meeste ISO-normen gaat ISO niet diep in op de manier waarop organisaties invulling kunnen geven aan die eisen. ISO beschrijft vooral het wat en niet zozeer het hoe. Deze praktijkgids beoogt vooral dat laatste: het geven van praktische handvatten om met ISO aan de slag te gaan. In de hoofdstukken 1 en 2 van de praktijkgids wordt ingegaan op de ontwikkeling van audits als belangrijk onderdeel van een managementsysteem en op de totstandkoming en verdere ontwikkeling van normen voor auditing in ISO-verband, vooral ISO Tevens wordt het concept van auditing belicht waarop ISO is gebaseerd en wordt beschreven welke typen audits er zijn te onderscheiden en wat voor partijen bij het uitvoeren van audits zijn betrokken. De hoofdstukken 3 en 4 zijn gewijd aan belangrijke randvoorwaarden voor het uitvoeren van doelgerichte, efficiënte en betrouwbare audits: het opzetten en beheren van auditprogramma s, de bekwaamheid van auditors en de manier waarop die kunnen worden beoordeeld. 12 Inleiding

13 In de hoofdstukken 5 tot en met 9 worden alle aspecten van de uitvoering van een individuele audit behandeld, van initiatie tot en met follow-up en alle stappen die daartussen liggen. Begrip van de algemene aspecten van auditing (hoofdstukken 1 en 2) en een goede organisatie van de randvoorwaardelijke activiteiten (hoofdstukken 3 en 4) vormen de basis voor datgene waar het uiteindelijk om gaat: effectieve, efficiënte en doelgerichte audits op kwaliteits-, milieu- en/of arbomanagementsystemen. Het auditproces dat is beschreven in ISO 19011, wordt uitgebreid toegelicht met voorbeelden om daar in uw eigen praktijk invulling aan te geven. Inleiding 13

14 14

15 1 Een norm voor het auditen van managementsystemen 1 Dit hoofdstuk gaat in op de vraag waarom auditing een belangrijke activiteit is en wat de meerwaarde ervan is voor een organisatie. Daarna komt de functie van auditing in het kader van managementsystemen, bijvoorbeeld die voor kwaliteit en milieu, aan de orde en wordt besproken welke normen voor auditing ISO in het verleden heeft ontwikkeld. Het hoofdstuk wordt afgesloten met een korte schets van de ontwikkeling van ISO 19011: waarom is die norm ontwikkeld en voor wie is die bedoeld? En wat is de toekomst van ISO 19011? Maar allereerst: waar komt de term auditing eigenlijk vandaan? 1.1 De oorsprong van auditing De oorsprong van auditing ligt in de tijd van het Romeinse Rijk. Toen werden aankondigingen van de autoriteiten verspreid door officiële boodschappers. Om ervoor te zorgen dat dergelijke aankondigingen volledig en juist werden weergegeven, werden de boodschappers vergezeld van auditors ( toehoorders ). Deze auditors kenden de boodschap evengoed als de boodschappers en ze luisterden of er sprake was van een correcte weergave. Vervolgens konden ze aan de autoriteiten rapporteren of de boodschappers hun werk naar behoren hadden verricht. Auditing komt van het Latijnse woord audere, wat 'luisteren' betekent en dit is nog steeds een belangrijke vorm van waarnemen in de auditprocessen van vandaag de dag. Later is de term auditing vooral gebruikt in het accountantsberoep voor het onderzoek naar de betrouwbaarheid van financiële gegevens. Op basis van audits doen accountants onder meer uitspraken over de waarheidsgetrouwheid van financiële rapportages van bedrijven. Een norm voor het auditen van managementsystemen 15

16 Bestelformulier Stuur naar: NEN Standards Products & Services t.a.v. afdeling Klantenservice Antwoordnummer WB Delft NEN Standards Products & Services Postbus GB Delft Vlinderweg AX Delft Ja, ik bestel ex. UIT 2:2010 nl Auditing - Aan de slag met ISO T (015) F (015) Wilt u deze norm in PDF-formaat? Deze bestelt u eenvoudig via Gratis nieuwsbrieven Wilt u op de hoogte blijven van de laatste ontwikkelingen op het gebied van normen, normalisatie en regelgeving? Neem dan een gratis abonnement op een van onze nieuwsbrieven. Gegevens Bedrijf / Instelling T.a.v. O M O V Klantnummer NEN Uw ordernummer BTW nummer Postbus / Adres Postcode Plaats Telefoon Fax Factuuradres (indien dit afwijkt van bovenstaand adres) Postbus / Adres Postcode Plaats Datum Handtekening Retourneren Fax: klantenservice@nen.nl Post: NEN Standards Products & Services, t.a.v. afdeling Klantenservice Antwoordnummer 10214, 2600 WB Delft (geen postzegel nodig). Voorwaarden De prijzen zijn geldig tot 31 december 2018, tenzij anders aangegeven. Alle prijzen zijn excl. btw, verzend- en handelingskosten en onder voorbehoud bij o.m. ISO- en IEC-normen. Bestelt u via de normshop een pdf, dan betaalt u geen handeling en verzendkosten. Meer informatie: telefoon , dagelijks van 8.30 tot uur. Wijzigingen en typefouten in teksten en prijsinformatie voorbehouden. U kunt onze algemene voorwaarden terugvinden op: LEREN, WERKEN EN GROEIEN MET NEN preview