En internrevisjon etter ISO 9001 skal vise om ledelsessystemet virker i praksis, ikke bare om dokumentene finnes. Likevel blir den i mange bedrifter en årlig øvelse rett før sertifiseringsrevisjonen, med et skjema som signeres og legges bort. Det er synd, for godt gjort er internrevisjonen en av de enkleste måtene å finne svakheter på før kunden eller sertifiseringsorganet gjør det.
Hva ISO 9001 krever av internrevisjon
Kravet står i kapittel 9, som handler om evaluering av prestasjoner. Med egne ord krever standarden at dere:
- reviderer systemet med planlagte mellomrom
- har et revisjonsprogram som tar hensyn til hvor viktige prosessene er, endringer og resultater fra tidligere revisjoner
- bestemmer hva hver revisjon skal dekke og hva det skal revideres mot
- bruker revisorer som er objektive, slik at ingen reviderer sitt eget arbeid
- rapporterer resultatene til ledelsen og følger opp funnene
ISO 14001 og ISO 45001 har tilsvarende krav. Har dere et integrert ledelsessystem, kan én revisjon dekke alle tre standardene i samme prosess.
Standarden sier altså ingenting om at alt må revideres hvert år, eller at det skal skje på en bestemt måte. Den gir dere stor frihet, og det er den friheten dere bør bruke.
Hvorfor internrevisjonen ofte gir lite
Etter mange revisjonsdager som revisjonsleder i et sertifiseringsorgan har vi sett de samme mønstrene hos mange bedrifter:
- Revisjonen følger standardens kapitler, ikke bedriftens prosesser. Revisoren sjekker at det finnes en prosedyre, ikke at den brukes.
- Alt revideres på én dag rett før den eksterne revisjonen, så det er ingen tid til å rette opp noe.
- Kvalitetslederen reviderer sitt eget system og ser ikke det som har blitt vanlig.
- Funnene skrives i en rapport, men havner ikke i tiltakslisten. Neste år finner man det samme.
Ingenting av dette er brudd på standarden i seg selv, men det gir lite tilbake for tiden dere bruker.
Slik får dere verdi ut av internrevisjonen
Revider prosesser, ikke kapitler
Ta utgangspunkt i prosesskartet. Velg en prosess, for eksempel fra forespørsel til levering, og følg den gjennom virksomheten. Da ser dere hvordan kravene fungerer sammen, og hvor overgangene mellom avdelinger svikter.
Bruk risiko til å prioritere
Prosesser med mange avvik, nye kunder, nytt utstyr eller nye folk bør revideres oftere. Prosesser som går stabilt, kan vente. Spre revisjonene utover året, så får dere tid til å rette opp mellom dem.
Gå ut der arbeidet skjer
Snakk med dem som gjør jobben, ikke bare med den som har skrevet prosedyren. Be om å få se en konkret ordre, en konkret sveis eller en konkret leverandørvurdering, og spor den bakover. Det er der dere finner forskjellen mellom beskrevet og faktisk praksis.
Skriv funn som kan følges opp
Et godt funn sier hvilket krav det gjelder, hva dere fant og hvilket bevis det bygger på. «Rutinen følges ikke alltid» er vanskelig å gjøre noe med. «Tre av fem kontrollerte innkjøp manglet dokumentert mottakskontroll» er lett å forstå og lett å følge opp.
Før tiltakene i samme tiltaksliste
Funn fra internrevisjonen skal inn i den samme listen som alle andre avvik og tiltak, med ansvarlig og frist. Med et dashbord ser hver ansvarlig sine egne saker, og ledelsen ser hva som står åpent. Hvordan vi jobber med avvik, har vi skrevet mer om i Avviksbehandling som faktisk gir forbedring.
Et eksempel fra en prosjektbedrift
Tenk dere en prosjektbedrift med 20 ansatte som leverer stålkonstruksjoner. Internrevisjonen har i flere år vært en gjennomgang av prosedyrene, og det har sjelden kommet funn.
Neste år velger de å revidere innkjøpsprosessen i stedet. Revisoren tar tre bestillinger fra siste prosjekt og følger dem fra materialbehov til materialet står på lager. Det viser seg at bestillingen ikke alltid spesifiserer hvilket materialsertifikat som kreves, og at mottakskontrollen bare sjekker antall, ikke sertifikat mot bestilling.
Ingen av delene sto i en prosedyre, og ingen hadde tenkt over det. Funnene føres i tiltakslisten, innkjøpsmalen får et felt for sertifikatkrav, og mottakskontrollen får en kort sjekkliste. Neste revisjon av prosessen sjekker om endringen virker.
En beskrevet innkjøpsprosess er for øvrig en av de vanligste mangelene vi ser. For verksteder som sveiser, henger den tett sammen med kravene i ISO 3834, som vi beskriver under sveis.
Egen revisor eller innleid?
Mange små bedrifter har ingen som kan revidere uten å revidere sitt eget arbeid. Da er en innleid revisor ofte den enkleste løsningen. En ekstern revisor ser det dere har blitt vant til, og har sammenligningsgrunnlag fra andre bedrifter.
Egne revisorer kjenner virksomheten bedre. En god kombinasjon er å la en ekstern revisor gjennomføre de første revisjonene sammen med en av deres egne, slik at kompetansen bygges opp internt.
Vi tilbyr internrevisjon både som enkeltoppdrag og som en årsavtale. Med årsavtalen setter vi opp revisjonsprogrammet sammen med dere, gjennomfører revisjonene gjennom året og forbereder ledelsens gjennomgåelse. Dere får en fast rytme i arbeidet, uten at noe blir hengende til uka før den eksterne revisjonen.
Internrevisjon og ledelsens gjennomgåelse henger sammen
Resultatene fra internrevisjonen er en av de viktigste inngangene til ledelsens gjennomgåelse. Når funnene er ført i tiltakslisten og fulgt opp gjennom året, blir gjennomgåelsen en reell vurdering av hvordan systemet virker, ikke en oppsummering skrevet kvelden før. Hvordan revisjon, avvik og ledelse henger sammen i et velfungerende system, beskriver vi i Slik ser et godt ledelsessystem ut.
Neste steg
Har dere ikke et ledelsessystem på plass ennå, eller er dere usikre på om det dere har holder, er en gap-analyse et godt sted å begynne. Den viser hva som mangler mot standarden, og gir dere en tiltaksplan å jobbe etter.