Dit document mag slechts op een stand-alone PC worden geinstalleerd. Gebruik op een netwerk is alleen. toestaan als een aanvullende licentieovereenkomst voor netwerkgebruik met NEN is afgesloten. This document may only be used on a stand-alone PC. Use in a network is only permitted when a supplementary license agreement for us in a network with NEN has been concluded. PRAKTIJKGIDS Auditing Aan de slag met ISO 19011 Dick Hortensius Ariette Kroeders Normalisatie: de wereld op één lijn.
Auditing
Auditing Aan de slag met ISO 19011 Nederlands Normalisatie-instituut, Delft, 2013
Colofon Auteurs Dick Hortensius Ariette Kroeders Vormgeving Kade 05, Eindhoven Eerste druk, 2003 Tweede herziene druk, 2010 Derde herziene druk, 2012 ISBN 978 90 5254 158 7 NUR 800 UIT 2 ICS 03.120.20; 13.020.10 Nederlands Normalisatie-instituut, Delft, 2013 Auteursrecht voorbehouden. Behoudens uitzondering door de wet gesteld mag zonder schriftelijke toestemming van het Nederlands Normalisatie-instituut niets uit deze uitgave worden verveelvoudigd en/of openbaar gemaakt door middel van fotokopie, microfilm, opslag in computerbestanden of anderszins, hetgeen ook van toepassing is op gehele of gedeeltelijke bewerking. Het Nederlands Normalisatie-instituut is met uitsluiting van ieder ander gerechtigd de door derden verschuldigde vergoedingen voor verveelvoudiging te innen en/of daartoe in en buiten rechte op te treden, voor zover deze bevoegdheid niet is overgedragen c.q. rechtens toekomt aan de Stichting Reprorecht. Hoewel bij deze uitgave de uiterste zorg is nagestreefd, kunnen fouten en onvolledigheden niet geheel worden uitgesloten. Het Nederlands Normalisatie-instituut en/of de leden van de commissies aanvaarden derhalve geen enkele aansprakelijkheid, ook niet voor directe of indirecte schade, ontstaan door of verband houdend met toepassing van door het Nederlands Normalisatie-instituut gepubliceerde uitgaven. Nederlands Normalisatie-instituut Vlinderweg 6, Postbus 5059, 2600 GB Delft Telefoon (015) 2 690 390, Fax (015) 2 690 190 www.nen.nl
Voorwoord In 2003 verscheen de eerste druk van deze praktijkgids. Het doel was om organisaties te voorzien van een praktische toelichting op de nieuwe ISO 19011 Richtlijnen voor het uitvoeren van kwaliteits- en/of milieumanagementsysteemaudits. In 2010 is een beperkte herziening van de praktijkgids gepubliceerd. De reden hiervoor was dat de belangrijkste normen voor management systemen, zoals ISO 9001, ISO 14001 en OHSAS 18001, inmiddels waren herzien. De consequenties van de wijzigingen voor de toepassing van ISO 19011 zijn toen in de praktijkgids doorgevoerd. In november 2011 is de volledig herziene tweede editie van de norm ISO 19011 Richtlijnen voor het uitvoeren van audits van managementsystemen' gepubliceerd. Het toepassingsgebied van de richtlijn is enerzijds verbreed naar alle typen managementsystemen en anderzijds meer gericht op interne audits. De nieuwste inzichten op het gebied van auditen van managementsystemen zijn in ISO 19011:2011 verwerkt. Er wordt bijvoorbeeld meer aandacht besteed aan het auditen van geïntegreerde managementsystemen, het begrip risico wordt geïntroduceerd en er is sprake van een uitbreiding van de aanbevolen auditmethoden. Daarnaast wordt nog meer ingegaan op een goede organisatorische inbedding van interne audits (het auditprogramma). Door de inhoud en het gedachtegoed van de richtlijn toe te passen kunnen organisaties hun audits tot een waardevol instrument maken waarmee ze inzicht kunnen verkrijgen in het verloop van processen, de werking van het managementsysteem en mogelijke verbeteringen daarin. Hiermee kunnen audits bijdragen aan het beter functioneren van de organisatie als geheel. Redenen genoeg dus om de bestaande gids grondig te herzien. Daarbij zijn we dank verschuldigd aan de medeauteurs van de oorspronkelijke editie, Jos Claessen en Math Göbbels. Hun bijdrage van toen is in veel gevallen bruikbaar gebleven en heeft mede als basis gediend voor deze herziene editie. Deze praktijkgids is bedoeld voor iedereen die met ISO 19011 aan de slag gaat, zoals: kleine en grote bedrijven die interne audits uitvoeren op hun managementsysteem of zo n systeem bij een toeleverancier beoordelen; adviesbureaus op het gebied van managementsystemen en auditing; 5
organisaties die trainingen voor auditoren verzorgen; het reguliere onderwijs waar managementsystemen en auditing aan bod komen. Wij hopen dat deze praktijkgids bijdraagt aan de toepassing van ISO 19011 in Nederland en ervoor zorgt dat bedrijven het maximale uit hun interne audits halen. Wij wensen u als lezer van deze praktijkgids veel succes met de toepassing van ISO 19011 en veel plezier in het organiseren, het uitvoeren en vooral het verbeteren van uw audits. Delft, januari 2013 Dick Hortensius, Ariette Kroeders 6
Inhoud Inleiding... 11 1 Het auditen van managementsystemen... 15 1.1 Wat is een audit?... 15 1.2 Managementsystemen, doelstellingen en risico s... 18 1.3 Het belang van auditen... 21 1.4 Auditing en de normen voor managementsystemen... 22 1.5 De norm ISO 19011... 25 1.5.1 Ontstaansgeschiedenis... 25 1.5.2 De verdere ontwikkeling... 27 1.5.3 Opzet en samenhang... 28 1.5.4 Doelgroep... 29 2 De basis van auditing... 31 2.1 Typen audits... 31 2.1.1 Onderscheid op basis van onderwerp... 31 2.1.2 Onderscheid op basis van de relatie van de auditor tot de auditee... 33 2.1.3 De relatie tussen interne audits en certificatieaudits... 34 2.2 Betrokken partijen bij het uitvoeren van audits... 35 2.3 Principes van auditing... 37 3 Het auditprogramma... 41 3.1 Wat is een auditprogramma?... 41 3.2 De auditprogrammamanager... 44 3.3 Een auditprogramma opzetten... 45 3.3.1 De aanpak... 45 3.3.2 Doelstellingen bepalen... 45 3.3.3 Omvang en reikwijdte bepalen... 47 3.3.4 Benodigde middelen bepalen... 48 3.3.5 Risico s managen... 50 7
3.4 Een auditprogramma implementeren... 50 3.4.1 Algemeen... 50 3.4.2 Communicatie... 52 3.4.3 Planning, prioriteiten en risicobeoordeling... 52 3.4.4 Gecombineerde audits... 55 3.4.5 Bewaken van het auditproces... 56 3.5 Een auditprogramma monitoren, beoordelen en verbeteren... 57 3.5.1 De implementatie van het auditprogramma... 57 3.5.2 De doeltreffendheid van het auditprogramma beoordelen... 57 3.5.3 Een auditprogramma aanpassen en verbeteren... 57 3.6 Auditprogramma als input voor de directiebeoordeling... 58 4 Competentie van auditoren... 61 4.1 Inleiding... 61 4.2 Persoonlijk gedrag... 62 4.3 Kennis en vaardigheden... 62 4.3.1 Algemene kennis en vaardigheden... 63 4.3.2 Specifieke kennis en vaardigheden... 65 4.4 Opleiding, werkervaring, auditortraining en auditervaring... 66 4.5 Beoordeling van auditoren... 68 5 Een audit initiëren... 71 5.1 Inleiding... 71 5.2 De doelstellingen, reikwijdte en criteria voor de audit vaststellen... 72 5.2.1 De doelstellingen vaststellen... 72 5.2.2 De reikwijdte vaststellen... 73 5.2.3 De criteria vaststellen... 76 5.3 De auditmethode bepalen... 77 5.4 Een auditteam samenstellen... 78 5.5 Het eerste overleg met de auditee... 80 5.6 De haalbaarheid van de audit bepalen... 81 6 Een audit voorbereiden... 83 6.1 Inleiding... 83 6.2 Beoordelen van de documenten van het managementsysteem... 83 6.3 Een auditplan maken... 84 6.4 De werkzaamheden binnen het auditteam verdelen... 86 6.5 Werkdocumenten verzamelen en voorbereiden... 87 6.5.1 en van werkdocumenten... 87 8
6.5.2 Aandachtspuntenlijst... 88 6.5.3 Steekproefplan... 94 6.5.4 Gecombineerde audits... 96 7 Een audit uitvoeren... 97 7.1 Taken en verantwoordelijkheden... 97 7.2 Openingsbijeenkomst... 98 7.3 Informatie verzamelen en verifiëren... 99 7.3.1 Verifiëren van informatie... 99 7.3.2 Informatiebronnen en audittechnieken... 100 7.3.3 Documentenbeoordeling... 104 7.3.4 Auditinterview... 105 7.3.5 Auditgesprekken met directie en leidinggevend management... 109 7.3.6 Auditgesprekken met medewerkers op de werkvloer................................... 111 7.4 Auditbevindingen vaststellen... 112 7.5 Auditconclusies opstellen... 120 7.6 Slotbijeenkomst.... 120 8 Rapportage en afronding... 123 8.1 Rapportage... 123 8.1.1 Een auditrapport opstellen... 123 8.1.2 Een auditrapport goedkeuren en verspreiden... 124 8.2 Afronding... 125 9 Follow-up... 127 Bijlagen 1 Termen en definities... 129 2 Eisen voor interne auditing in normen voor managementsystemen... 133 3 Taken en verantwoordelijkheden van de bij een audit betrokken partijen... 140 4 van het beoordelingsproces bij het samenstellen van een auditteam... 144 5 van een gedeeltelijk ingevuld auditrapport... 147 Over de auteurs... 152 9
10
Inleiding De tijd is voorbij dat onze maatschappij zo overzichtelijk was dat iedereen zelf kon vaststellen of een product of dienst aan de door hem gewenste eisen voldeed. Daarvoor zijn de producten en processen te ingewikkeld geworden, de eisenpakketten te complex en is het aankoopgedrag te veel veranderd (veel inkopen vinden nu wereldwijd en via internet plaats). Dit geldt voor consumenten die artikelen kopen, bedrijven die zaken doen en overheden die naleving van wetgeving moeten controleren. Iedereen laat zich steeds meer leiden door informatie van anderen bij het nemen van beslissingen met soms verstrekkende gevolgen. De behoefte aan betrouwbare, liefst onafhankelijk geverifieerde informatie is dan ook sterk toegenomen. Dit zien we terug in de sterke groei in allerlei keurmerken, certificaten en goedgekeurde financiële, milieu- en zelf MVO-jaarverslagen. Dat zijn belangrijke hulpmiddelen in het maatschappelijk verkeer en we willen ervan kunnen uitgaan dat ze zijn gebaseerd op betrouwbaar onderzoek en een weloverwogen oordeel van deskundige personen. Het afgelopen decennium zijn we regelmatig opgeschrikt door schandalen zoals Enron en Worldcom, waarbij door een bedrijf verstrekte informatie niet juist bleek te zijn en gerenommeerde externe accountantsbureaus die informatie toch goedkeurden of door het bedrijf handig om de tuin werden geleid met systematische fraude en malversaties in de boekhouding. In het geval van Enron werd het vertrouwen in onafhankelijke en onkreukbare beoordelaars wel erg geschaad, toen bekend werd dat belangrijk bewijsmateriaal bewust door de papierversnipperaar was gehaald en de accountants een veel te positieve voorstelling van zaken willens en wetens hadden goedgekeurd. De maatschappelijke consequenties van dit soort praktijken zijn enorm: grote bedrijven gaan failliet, bekende namen verdwijnen van het zakelijke toneel en het spaargeld van talloze burgers verdampt. De betrouwbaarheid van informatie en controlerende instanties is een groot maatschappelijk goed geworden. Wereldwijd zijn er op dit moment ongeveer 1,25 miljoen bedrijven gecertificeerd voor hun kwaliteitsmanagementsysteem op basis van ISO 9001, zo n 300.000 voor hun milieu managementsysteem op basis van ISO 14001 en een onbekend aantal voor hun arbomanagement systeem op basis van OHSAS 18001. Daarnaast zijn ettelijke tienduizenden bedrijven gecertificeerd volgens de minder bekende normen, zoals ISO 27001 voor Inleiding 11
management van informatiebeveiliging en ISO 22000 voor voedselveiligheidsmanagement. Over de gehele wereld stelt een veelvoud van deze aantallen organisaties vertrouwen in die bedrijven op basis van die certificaten. Ondernemingen gaan ervan uit dat ISO 9001-gecertificeerde bedrijven betrouwbare handelspartners zijn die goede producten leveren die aan hun eisen en wensen voldoen. Overheden verwachten dat bedrijven met een ISO 14001-certificaat aan wet- en regelgeving op milieugebied voldoen en hun milieuprestaties voortdurend verbeteren. Werknemers vertrouwen erop dat werkgevers met een OHSAS 18001-certificaat zorgen voor goede en veilige arbeidsomstandigheden. Certificaten worden verleend op basis van een positieve uitkomst van de certificatieaudit op het managementsysteem. Minstens zo belangrijk is dat organisaties zelf hun managementsysteem op peil houden met behulp van interne audits. Managementsysteemaudits spelen dus een cruciale rol in het lokale, nationale en internationale maatschappelijk verkeer. Daarom is het logisch dat ISO een internationale richtlijn, ISO 19011, heeft ontwikkeld met het doel de best practice op het gebied van auditing vast te leggen. Iedereen die audits uitvoert, kan deze dan toepassen en iedereen die te maken heeft met de resultaten van audits, weet dan wat voor proces daaraan ten grondslag ligt. Deze praktijkgids is niet bedoeld ter vervanging van ISO 19011, maar is een aanvulling op deze internationale richtlijn. ISO 19011 beschrijft de wereldwijd geaccepteerde definities en principes van auditing en de richtlijnen die gelden voor auditprogramma s, audits en auditoren. Zoals de meeste ISO-normen gaat ISO 19011 niet heel diep in op de manier waarop organisaties invulling kunnen geven aan die richtlijnen. ISO 19011 beschrijft vooral het wat en minder het hoe. Deze praktijkgids beoogt vooral het laatste: het geven van praktische handvatten om met ISO 19011 aan de slag te gaan. Leeswijzer Hoofdstuk 1 van deze praktijkgids gaat in op de vraag wat een audit is en wat de relatie is met een managementsysteem. Ook worden de achtergrond en hoofdlijnen van ISO 19011 geschetst. Hoofdstuk 2 laat zien welke typen audits er zijn, wie bij een audit betrokken zijn en welke principes aan audits ten grondslag liggen. De hoofdstukken 3 en 4 zijn gewijd aan belangrijke randvoorwaarden voor het uitvoeren van doelgerichte, efficiënte en betrouwbare audits: het opzetten en managen van auditprogramma s, de competentie van auditoren en de manier waarop die kunnen worden beoordeeld. In de hoofdstukken 5 tot en met 9 worden alle aspecten van de uitvoering van een individuele audit behandeld, van initiatie tot en met follow-up en alle stappen die daartussen liggen. 12 Inleiding
Begrip van de algemene aspecten van auditing (hoofdstukken 1 en 2) en een goede organisatie van de randvoorwaardelijke activiteiten (hoofdstukken 3 en 4) vormen de basis voor datgene waar het uiteindelijk om gaat: effectieve, efficiënte en doelgerichte audits op bijvoorbeeld kwaliteits-, milieu- en/of arbomanagementsystemen. Het auditproces dat is beschreven in ISO 19011, wordt uitgebreid toegelicht met voorbeelden om daar in uw eigen praktijk invulling aan te geven. Inleiding 13
14
1 Het auditen van managementsystemen 1 In dit hoofdstuk staan we stil bij de vraag wat een audit eigenlijk is en wat de relatie is met een managementsysteem. Hierbij kijken we naar zowel de formele definities als de achterliggende concepten. We schetsen ook de achtergrond en hoofdlijnen van ISO 19011. 1.1 Wat is een audit? ISO 19011 geeft de volgende definitie van een audit: Een systematisch, onafhankelijk en gedocumenteerd proces voor het verkrijgen van auditbewijsmateriaal en het objectief beoordelen daarvan om vast te stellen in welke mate aan de auditcriteria is voldaan. ISO 19011 bevat meer definities, die samen een goed beeld geven van het auditconcept waarop deze norm is gebaseerd. In bijlage 1 van deze gids zijn deze definities opgenomen. Hieronder gaan we nader in op de definitie van audit en laten we zien welk concept van auditing daarvan kan worden afgeleid. De definitie spreekt over een systematisch, onafhankelijk en gedocumenteerd proces. Een proces is een serie samenhangende activiteiten die moeten leiden tot een concreet resultaat. Dat resultaat is in het geval van de audit een oordeel of het onderzochte onderwerp voldoet aan de daaraan gestelde eisen. Zoals bij elk proces zijn een goede planning en beheersing randvoorwaarden om tot een goed resultaat in dit geval een betrouwbaar oordeel te komen. Een van de methoden om het proces beheersbaar te maken is het vooraf documenteren van wat er gaat gebeuren. Door het te documenteren wordt ook Het auditen van managementsystemen 15
Bestelformulier Stuur naar: NEN Uitgeverij t.a.v. afdeling Marketing Antwoordnummer 10214 2600 WB Delft Ja, ik bestel NEN Uitgeverij Postbus 5059 2600 GB Delft Vlinderweg 6 2623 AX Delft T (015) 2 690 390 F (015) 2 690 271 www.nen.nl/normshop ex. UIT 2:2013 nl Auditing - Aan de slag met ISO 19011 53.00 Wilt u deze norm in PDF-formaat? Deze bestelt u eenvoudig via www.nen.nl/normshop Stel uw vraag aan Klantenservice via: @NEN_webcare Gratis e-mailnieuwsbrieven Wilt u op de hoogte blijven van de laatste ontwikkelingen op het gebied van normen, normalisatie en regelgeving? Neem dan een gratis abonnement op een van onze e-mailnieuwsbrieven. www.nen.nl/nieuwsbrieven Gegevens Bedrijf / Instelling T.a.v. O M O V E-mail Klantnummer NEN Uw ordernummer BTW nummer Postbus / Adres Postcode Plaats Telefoon Fax Factuuradres (indien dit afwijkt van bovenstaand adres) Postbus / Adres Postcode Plaats Datum Handtekening Retourneren Fax: (015) 2 690 271 E-mail: marketing@nen.nl Post: NEN Uitgeverij, t.a.v. afdeling Marketing Antwoordnummer 10214, 2600 WB Delft (geen postzegel nodig). Voorwaarden De prijzen zijn geldig tot 31 december 2015, tenzij anders aangegeven. Alle prijzen zijn excl. btw, verzend- en handelingskosten en onder voorbehoud bij o.m. ISO- en IEC-normen. Bestelt u via de normshop een pdf, dan betaalt u geen handeling en verzendkosten. Meer informatie: telefoon (015) 2 690 391, dagelijks van 8.30 tot 17.00 uur. Wijzigingen en typefouten in teksten en prijsinformatie voorbehouden. U kunt onze algemene voorwaarden terugvinden op: www.nen.nl/leveringsvoorwaarden. Normalisatie: de wereld op één lijn. preview - 2015