Dit document mag slechts op een stand-alone PC worden geinstalleerd. Gebruik op een netwerk is alleen.

Transcriptie

1 Dit document mag slechts op een stand-alone PC worden geinstalleerd. Gebruik op een netwerk is alleen. toestaan als een aanvullende licentieovereenkomst voor netwerkgebruik met NEN is afgesloten. This document may only be used on a stand-alone PC. Use in a network is only permitted when a supplementary license agreement for us in a network with NEN has been concluded. PRAKTIJKGIDS Auditing Aan de slag met ISO Dick Hortensius Ariette Kroeders Normalisatie: de wereld op één lijn.

2 Auditing

3 Auditing Aan de slag met ISO Nederlands Normalisatie-instituut, Delft, 2013

4 Colofon Auteurs Dick Hortensius Ariette Kroeders Vormgeving Kade 05, Eindhoven Eerste druk, 2003 Tweede herziene druk, 2010 Derde herziene druk, 2012 ISBN NUR 800 UIT 2 ICS ; Nederlands Normalisatie-instituut, Delft, 2013 Auteursrecht voorbehouden. Behoudens uitzondering door de wet gesteld mag zonder schriftelijke toestemming van het Nederlands Normalisatie-instituut niets uit deze uitgave worden verveelvoudigd en/of openbaar gemaakt door middel van fotokopie, microfilm, opslag in computerbestanden of anderszins, hetgeen ook van toepassing is op gehele of gedeeltelijke bewerking. Het Nederlands Normalisatie-instituut is met uitsluiting van ieder ander gerechtigd de door derden verschuldigde vergoedingen voor verveelvoudiging te innen en/of daartoe in en buiten rechte op te treden, voor zover deze bevoegdheid niet is overgedragen c.q. rechtens toekomt aan de Stichting Reprorecht. Hoewel bij deze uitgave de uiterste zorg is nagestreefd, kunnen fouten en onvolledigheden niet geheel worden uitgesloten. Het Nederlands Normalisatie-instituut en/of de leden van de commissies aanvaarden derhalve geen enkele aansprakelijkheid, ook niet voor directe of indirecte schade, ontstaan door of verband houdend met toepassing van door het Nederlands Normalisatie-instituut gepubliceerde uitgaven. Nederlands Normalisatie-instituut Vlinderweg 6, Postbus 5059, 2600 GB Delft Telefoon (015) , Fax (015)

5 Voorwoord In 2003 verscheen de eerste druk van deze praktijkgids. Het doel was om organisaties te voorzien van een praktische toelichting op de nieuwe ISO Richtlijnen voor het uitvoeren van kwaliteits- en/of milieumanagementsysteemaudits. In 2010 is een beperkte herziening van de praktijkgids gepubliceerd. De reden hiervoor was dat de belangrijkste normen voor management systemen, zoals ISO 9001, ISO en OHSAS 18001, inmiddels waren herzien. De consequenties van de wijzigingen voor de toepassing van ISO zijn toen in de praktijkgids doorgevoerd. In november 2011 is de volledig herziene tweede editie van de norm ISO Richtlijnen voor het uitvoeren van audits van managementsystemen' gepubliceerd. Het toepassingsgebied van de richtlijn is enerzijds verbreed naar alle typen managementsystemen en anderzijds meer gericht op interne audits. De nieuwste inzichten op het gebied van auditen van managementsystemen zijn in ISO 19011:2011 verwerkt. Er wordt bijvoorbeeld meer aandacht besteed aan het auditen van geïntegreerde managementsystemen, het begrip risico wordt geïntroduceerd en er is sprake van een uitbreiding van de aanbevolen auditmethoden. Daarnaast wordt nog meer ingegaan op een goede organisatorische inbedding van interne audits (het auditprogramma). Door de inhoud en het gedachtegoed van de richtlijn toe te passen kunnen organisaties hun audits tot een waardevol instrument maken waarmee ze inzicht kunnen verkrijgen in het verloop van processen, de werking van het managementsysteem en mogelijke verbeteringen daarin. Hiermee kunnen audits bijdragen aan het beter functioneren van de organisatie als geheel. Redenen genoeg dus om de bestaande gids grondig te herzien. Daarbij zijn we dank verschuldigd aan de medeauteurs van de oorspronkelijke editie, Jos Claessen en Math Göbbels. Hun bijdrage van toen is in veel gevallen bruikbaar gebleven en heeft mede als basis gediend voor deze herziene editie. Deze praktijkgids is bedoeld voor iedereen die met ISO aan de slag gaat, zoals: kleine en grote bedrijven die interne audits uitvoeren op hun managementsysteem of zo n systeem bij een toeleverancier beoordelen; adviesbureaus op het gebied van managementsystemen en auditing; 5

6 organisaties die trainingen voor auditoren verzorgen; het reguliere onderwijs waar managementsystemen en auditing aan bod komen. Wij hopen dat deze praktijkgids bijdraagt aan de toepassing van ISO in Nederland en ervoor zorgt dat bedrijven het maximale uit hun interne audits halen. Wij wensen u als lezer van deze praktijkgids veel succes met de toepassing van ISO en veel plezier in het organiseren, het uitvoeren en vooral het verbeteren van uw audits. Delft, januari 2013 Dick Hortensius, Ariette Kroeders 6

7 Inhoud Inleiding Het auditen van managementsystemen Wat is een audit? Managementsystemen, doelstellingen en risico s Het belang van auditen Auditing en de normen voor managementsystemen De norm ISO Ontstaansgeschiedenis De verdere ontwikkeling Opzet en samenhang Doelgroep De basis van auditing Typen audits Onderscheid op basis van onderwerp Onderscheid op basis van de relatie van de auditor tot de auditee De relatie tussen interne audits en certificatieaudits Betrokken partijen bij het uitvoeren van audits Principes van auditing Het auditprogramma Wat is een auditprogramma? De auditprogrammamanager Een auditprogramma opzetten De aanpak Doelstellingen bepalen Omvang en reikwijdte bepalen Benodigde middelen bepalen Risico s managen

8 3.4 Een auditprogramma implementeren Algemeen Communicatie Planning, prioriteiten en risicobeoordeling Gecombineerde audits Bewaken van het auditproces Een auditprogramma monitoren, beoordelen en verbeteren De implementatie van het auditprogramma De doeltreffendheid van het auditprogramma beoordelen Een auditprogramma aanpassen en verbeteren Auditprogramma als input voor de directiebeoordeling Competentie van auditoren Inleiding Persoonlijk gedrag Kennis en vaardigheden Algemene kennis en vaardigheden Specifieke kennis en vaardigheden Opleiding, werkervaring, auditortraining en auditervaring Beoordeling van auditoren Een audit initiëren Inleiding De doelstellingen, reikwijdte en criteria voor de audit vaststellen De doelstellingen vaststellen De reikwijdte vaststellen De criteria vaststellen De auditmethode bepalen Een auditteam samenstellen Het eerste overleg met de auditee De haalbaarheid van de audit bepalen Een audit voorbereiden Inleiding Beoordelen van de documenten van het managementsysteem Een auditplan maken De werkzaamheden binnen het auditteam verdelen Werkdocumenten verzamelen en voorbereiden en van werkdocumenten

9 6.5.2 Aandachtspuntenlijst Steekproefplan Gecombineerde audits Een audit uitvoeren Taken en verantwoordelijkheden Openingsbijeenkomst Informatie verzamelen en verifiëren Verifiëren van informatie Informatiebronnen en audittechnieken Documentenbeoordeling Auditinterview Auditgesprekken met directie en leidinggevend management Auditgesprekken met medewerkers op de werkvloer Auditbevindingen vaststellen Auditconclusies opstellen Slotbijeenkomst Rapportage en afronding Rapportage Een auditrapport opstellen Een auditrapport goedkeuren en verspreiden Afronding Follow-up Bijlagen 1 Termen en definities Eisen voor interne auditing in normen voor managementsystemen Taken en verantwoordelijkheden van de bij een audit betrokken partijen van het beoordelingsproces bij het samenstellen van een auditteam van een gedeeltelijk ingevuld auditrapport Over de auteurs

10 10

11 Inleiding De tijd is voorbij dat onze maatschappij zo overzichtelijk was dat iedereen zelf kon vaststellen of een product of dienst aan de door hem gewenste eisen voldeed. Daarvoor zijn de producten en processen te ingewikkeld geworden, de eisenpakketten te complex en is het aankoopgedrag te veel veranderd (veel inkopen vinden nu wereldwijd en via internet plaats). Dit geldt voor consumenten die artikelen kopen, bedrijven die zaken doen en overheden die naleving van wetgeving moeten controleren. Iedereen laat zich steeds meer leiden door informatie van anderen bij het nemen van beslissingen met soms verstrekkende gevolgen. De behoefte aan betrouwbare, liefst onafhankelijk geverifieerde informatie is dan ook sterk toegenomen. Dit zien we terug in de sterke groei in allerlei keurmerken, certificaten en goedgekeurde financiële, milieu- en zelf MVO-jaarverslagen. Dat zijn belangrijke hulpmiddelen in het maatschappelijk verkeer en we willen ervan kunnen uitgaan dat ze zijn gebaseerd op betrouwbaar onderzoek en een weloverwogen oordeel van deskundige personen. Het afgelopen decennium zijn we regelmatig opgeschrikt door schandalen zoals Enron en Worldcom, waarbij door een bedrijf verstrekte informatie niet juist bleek te zijn en gerenommeerde externe accountantsbureaus die informatie toch goedkeurden of door het bedrijf handig om de tuin werden geleid met systematische fraude en malversaties in de boekhouding. In het geval van Enron werd het vertrouwen in onafhankelijke en onkreukbare beoordelaars wel erg geschaad, toen bekend werd dat belangrijk bewijsmateriaal bewust door de papierversnipperaar was gehaald en de accountants een veel te positieve voorstelling van zaken willens en wetens hadden goedgekeurd. De maatschappelijke consequenties van dit soort praktijken zijn enorm: grote bedrijven gaan failliet, bekende namen verdwijnen van het zakelijke toneel en het spaargeld van talloze burgers verdampt. De betrouwbaarheid van informatie en controlerende instanties is een groot maatschappelijk goed geworden. Wereldwijd zijn er op dit moment ongeveer 1,25 miljoen bedrijven gecertificeerd voor hun kwaliteitsmanagementsysteem op basis van ISO 9001, zo n voor hun milieu managementsysteem op basis van ISO en een onbekend aantal voor hun arbomanagement systeem op basis van OHSAS Daarnaast zijn ettelijke tienduizenden bedrijven gecertificeerd volgens de minder bekende normen, zoals ISO voor Inleiding 11

12 management van informatiebeveiliging en ISO voor voedselveiligheidsmanagement. Over de gehele wereld stelt een veelvoud van deze aantallen organisaties vertrouwen in die bedrijven op basis van die certificaten. Ondernemingen gaan ervan uit dat ISO 9001-gecertificeerde bedrijven betrouwbare handelspartners zijn die goede producten leveren die aan hun eisen en wensen voldoen. Overheden verwachten dat bedrijven met een ISO certificaat aan wet- en regelgeving op milieugebied voldoen en hun milieuprestaties voortdurend verbeteren. Werknemers vertrouwen erop dat werkgevers met een OHSAS certificaat zorgen voor goede en veilige arbeidsomstandigheden. Certificaten worden verleend op basis van een positieve uitkomst van de certificatieaudit op het managementsysteem. Minstens zo belangrijk is dat organisaties zelf hun managementsysteem op peil houden met behulp van interne audits. Managementsysteemaudits spelen dus een cruciale rol in het lokale, nationale en internationale maatschappelijk verkeer. Daarom is het logisch dat ISO een internationale richtlijn, ISO 19011, heeft ontwikkeld met het doel de best practice op het gebied van auditing vast te leggen. Iedereen die audits uitvoert, kan deze dan toepassen en iedereen die te maken heeft met de resultaten van audits, weet dan wat voor proces daaraan ten grondslag ligt. Deze praktijkgids is niet bedoeld ter vervanging van ISO 19011, maar is een aanvulling op deze internationale richtlijn. ISO beschrijft de wereldwijd geaccepteerde definities en principes van auditing en de richtlijnen die gelden voor auditprogramma s, audits en auditoren. Zoals de meeste ISO-normen gaat ISO niet heel diep in op de manier waarop organisaties invulling kunnen geven aan die richtlijnen. ISO beschrijft vooral het wat en minder het hoe. Deze praktijkgids beoogt vooral het laatste: het geven van praktische handvatten om met ISO aan de slag te gaan. Leeswijzer Hoofdstuk 1 van deze praktijkgids gaat in op de vraag wat een audit is en wat de relatie is met een managementsysteem. Ook worden de achtergrond en hoofdlijnen van ISO geschetst. Hoofdstuk 2 laat zien welke typen audits er zijn, wie bij een audit betrokken zijn en welke principes aan audits ten grondslag liggen. De hoofdstukken 3 en 4 zijn gewijd aan belangrijke randvoorwaarden voor het uitvoeren van doelgerichte, efficiënte en betrouwbare audits: het opzetten en managen van auditprogramma s, de competentie van auditoren en de manier waarop die kunnen worden beoordeeld. In de hoofdstukken 5 tot en met 9 worden alle aspecten van de uitvoering van een individuele audit behandeld, van initiatie tot en met follow-up en alle stappen die daartussen liggen. 12 Inleiding

13 Begrip van de algemene aspecten van auditing (hoofdstukken 1 en 2) en een goede organisatie van de randvoorwaardelijke activiteiten (hoofdstukken 3 en 4) vormen de basis voor datgene waar het uiteindelijk om gaat: effectieve, efficiënte en doelgerichte audits op bijvoorbeeld kwaliteits-, milieu- en/of arbomanagementsystemen. Het auditproces dat is beschreven in ISO 19011, wordt uitgebreid toegelicht met voorbeelden om daar in uw eigen praktijk invulling aan te geven. Inleiding 13

14 14

15 1 Het auditen van managementsystemen 1 In dit hoofdstuk staan we stil bij de vraag wat een audit eigenlijk is en wat de relatie is met een managementsysteem. Hierbij kijken we naar zowel de formele definities als de achterliggende concepten. We schetsen ook de achtergrond en hoofdlijnen van ISO Wat is een audit? ISO geeft de volgende definitie van een audit: Een systematisch, onafhankelijk en gedocumenteerd proces voor het verkrijgen van auditbewijsmateriaal en het objectief beoordelen daarvan om vast te stellen in welke mate aan de auditcriteria is voldaan. ISO bevat meer definities, die samen een goed beeld geven van het auditconcept waarop deze norm is gebaseerd. In bijlage 1 van deze gids zijn deze definities opgenomen. Hieronder gaan we nader in op de definitie van audit en laten we zien welk concept van auditing daarvan kan worden afgeleid. De definitie spreekt over een systematisch, onafhankelijk en gedocumenteerd proces. Een proces is een serie samenhangende activiteiten die moeten leiden tot een concreet resultaat. Dat resultaat is in het geval van de audit een oordeel of het onderzochte onderwerp voldoet aan de daaraan gestelde eisen. Zoals bij elk proces zijn een goede planning en beheersing randvoorwaarden om tot een goed resultaat in dit geval een betrouwbaar oordeel te komen. Een van de methoden om het proces beheersbaar te maken is het vooraf documenteren van wat er gaat gebeuren. Door het te documenteren wordt ook Het auditen van managementsystemen 15

16 Bestelformulier Stuur naar: NEN Uitgeverij t.a.v. afdeling Marketing Antwoordnummer WB Delft Ja, ik bestel NEN Uitgeverij Postbus GB Delft Vlinderweg AX Delft T (015) F (015) ex. UIT 2:2013 nl Auditing - Aan de slag met ISO Wilt u deze norm in PDF-formaat? Deze bestelt u eenvoudig via Stel uw vraag aan Klantenservice Gratis nieuwsbrieven Wilt u op de hoogte blijven van de laatste ontwikkelingen op het gebied van normen, normalisatie en regelgeving? Neem dan een gratis abonnement op een van onze nieuwsbrieven. Gegevens Bedrijf / Instelling T.a.v. O M O V Klantnummer NEN Uw ordernummer BTW nummer Postbus / Adres Postcode Plaats Telefoon Fax Factuuradres (indien dit afwijkt van bovenstaand adres) Postbus / Adres Postcode Plaats Datum Handtekening Retourneren Fax: (015) marketing@nen.nl Post: NEN Uitgeverij, t.a.v. afdeling Marketing Antwoordnummer 10214, 2600 WB Delft (geen postzegel nodig). Voorwaarden De prijzen zijn geldig tot 31 december 2015, tenzij anders aangegeven. Alle prijzen zijn excl. btw, verzend- en handelingskosten en onder voorbehoud bij o.m. ISO- en IEC-normen. Bestelt u via de normshop een pdf, dan betaalt u geen handeling en verzendkosten. Meer informatie: telefoon (015) , dagelijks van 8.30 tot uur. Wijzigingen en typefouten in teksten en prijsinformatie voorbehouden. U kunt onze algemene voorwaarden terugvinden op: Normalisatie: de wereld op één lijn. preview