De 12 gouden interne audit regels
Laatst bijgewerkt:
22-12-2022
1. Daag nooit uit, confronteer niet
Het succes van een (interne) audit staat of valt met de bereidheid van de auditee 1) om mee te werken en volledige en zinvolle antwoorden te geven op de vragen van de auditor 2) .
Wanneer de auditee zich aangevallen of bekritiseerd voelt zal deze in de verdediging gaan. Dit kan leiden tot resultaten variërend van een te rooskleurige voorstelling van de feiten tot een vijandige houding.
Wanneer een auditee zich aangevallen voelt zal hij barricades opwerpen, wapens worden tevoorschijn gehaald, de audit ontaardt in een ordinair gevecht en is afgelopen.
Een audit is geen confrontatie, maar coöperatie. Persoonlijke strubbelingen zullen geen objectieve informatie opleveren. Een agressieve, confronterende auditor zal nooit de oorzaak van eventuele problemen achterhalen, omdat de auditee zich zal ingraven en dichtslaan uit angst voor persoonlijke kritiek en de gevolgen daarvan.
Er zijn slechts weinig auditees die met opzet fouten maken, het is de taak van de auditor om te achterhalen welke omstandigheden tot fouten leiden en welke oorzaak daaraan ten grondslag ligt. Dit doel kan alleen worden bereikt wanneer de audit in een ontspannen sfeer verloopt.
1) De auditee is degene die de audit ondergaat 2) De auditor is degene die de audit uitvoert
2. Geef altijd een objectief en eerlijk beeld
Een auditor moet eerlijke, betrouwbare en objectieve informatie verzamelen. Leugens en gekleurde informatie dienen niet gerapporteerd te worden. Maar al te vaak is een auditor erop uit om iemand te betrappen op een fout om daarmee zijn bestaansrecht aan te tonen. Een auditor moet afgaan op een representatieve steekproef, niet op incidentele op zichzelf staande kleine tekortkomingen.
Het rapporteren van tekortkomingen als:
- Die ene ontbrekende kalibratie sticker in een systeem waarin honderden meetinstrumenten zijn
- opgenomen;
- De ontbrekende handtekening van de inkoper op een van de vijftig bestelformulieren;
- Dat ene onvolledig ingevulde afkeurlabel;
leidt alleen maar tot uitspraken als “auditen is muggenziften” en niet tot verbeteringen. Het formeel rapporteren van dergelijke incidenten getuigt niet van professionaliteit; een professionele auditor Iaat dergelijke futiliteiten indien nodig ter plaatse corrigeren. Helemaal bizar in dit soort gevallen zijn afwijkingsrapporten met teksten als: “kalibratie systeem niet geïmplementeerd”.
3. Zoek naar feiten, niet naar fouten
Het doel van een audit is niet om “iemand ergens op te pakken”; het doel is om een goed beeld te krijgen van de activiteiten van de auditee.
Er bestaan auditors die zichzelf een brevet van onvermogen geven wanneer ze geen afwijking kunnen rapporteren. Hun houding en werkwijze is gericht op het vinden van fouten, hoe irrelevant deze ook mogen zijn. Zij moeten zich realiseren dat zwakke punten in een systeem of organisatie nooit geëlimineerd worden wanneer de sterke punten niet bekend zijn. Slechts door de sterke punten te benutten kunnen zwakten worden bestreden.
De auditor moet de auditee tegemoet treden met een “open mind” en onbevooroordeeld. De auditor die concludeert dat er niets deugt, heeft zijn werk niet goed gedaan. Wanneer er echt niets zou deugen, had de betreffende organisatie niet meer bestaan.
Om een zinvolle audit te kunnen uitvoeren moet de auditor dus de mogelijkheden en capaciteiten van de auditee inventariseren en dit objectief en eerlijk rapporteren. Het is onmogelijk om dit te bewerkstelligen door middel van een jacht op fouten.
4. Ga systematisch te werk
Op ieder moment moet de auditor weten hoever de audit is gevorderd. Dit kan alleen worden bereikt door op systematische wijze de activiteiten en systemen van de auditee te analyseren en een systematische vraagtechniek te hanteren.
Het is essentieel om te weten welke de volgende vraag moet zijn. Ervaren en professionele auditors volgen een beproefd systeem bij het uitvoeren van een audit. Zij beperken zich niet tot het uitvoeren van standaardactiviteiten als het controleren van revisienummers, kalibratie stickers, controlelijsten en identificatiekenmerken, maar realiseren zich dat de audit dan pas is begonnen.
Onbekwame auditors neigen ertoe om van de hak op de tak te springen met hun vragen en terug te komen op onderwerpen die al zijn aangestipt in plaats van onderwerp voor onderwerp volledig te auditen. De kans dat (potentiële) problemen en mogelijkheden deze op te lossen door dergelijke auditors worden geïdentificeerd, is gering.
5. Verlies nooit ‘het product’ uit het oog
De auditee is ervoor om een bijdrage te leveren aan de totstandkoming van het product. Het systeem dat hij volgt moet hem helpen bij het bereiken van het gemeenschappelijke doel. Dit is ofwel een tevreden klant, te bereiken door het leveren van kwaliteit, ofwel een tevreden omgeving, te bereiken door aanvaardbaar milieu gedrag van de organisatie. De activiteiten van de auditee moeten hierop zijn gericht.
De verleiding om tijdens een audit uitgebreid in te gaan op details is altijd aanwezig, met het risico dat men vast komt te zitten in de afweging of corrigerende maatregelen wel of niet nodig zijn. In dergelijke situaties moet men even afstand nemen en zichzelf de vraag stellen “wat is hier eigenlijk het product?” of “wat is eigenlijk het doel van deze activiteiten?” om de juiste prioriteiten vast te stellen.
6. Achterhaal de interpretatie van de auditee, wees onbevooroordeeld
Een auditor wil nog wel eens zijn eigen interpretatie van een norm opdringen aan de auditee. Wanneer men hierop niet bedacht is, trapt men snel in deze valkuil. Een belangrijk doel van een audit is om uit te vinden wat de auditee doet en waarom hij dat op die manier doet. Het is daarom noodzakelijk om de gedachtegang en beslissingen van de auditee te begrijpen, in het bijzonder omdat veel normen op basis waarvan audits worden uitgevoerd niet altijd eenduidig zijn en meerdere interpretaties toelaten.
Waar het om gaat in een audit is niet hoe de auditor denkt dat de norm geïnterpreteerd moet worden, maar hoe de auditee de eisen van de norm heeft geïmplementeerd en waarom hij dat op die manier heeft gedaan. Door het bereiken van dit inzicht kan de auditor de auditee begrijpen en zijn kennis en positie op de “kwaliteits- of milieu-leercurve” beoordelen. Zonder dit inzicht kan de auditor de auditee nooit helpen met zinvolle voorstellen voor corrigerende maatregelen of verbeteringen.
Maar al te vaak worden afwijkingsrapporten geschreven met de bewering dat de auditee een eis van de norm schendt, waarin werkelijkheid sprake is van een afwijking ten opzichte van de ideeën en (waan)denkbeelden van de auditor. Zelfs wanneer de praktijken van de auditee de auditor niet aanstaan, is dat niet gerechtvaardigd.
De auditor moet altijd uitgaan van de letterlijke tekst van de norm en zich realiseren dat het onredelijk is te eisen dat de auditee voldoet aan veronderstellingen van een auditor. Een auditor die hij waarschijnlijk nog nooit eerder heeft gezien, en die zijn vooroordelen hoogstwaarschijnlijk niet vooraf schriftelijk heeft meegedeeld.
De enige manier om een zinvolle dialoog tot stand te brengen is uit te vinden hoe de interpretatie van de auditee luidt en deze te toetsen aan de letterlijke tekst van de norm. Staat de interpretatie van de auditee de auditor niet aan, dan zal hij de auditee ervan moeten overtuigen dat zijn interpretatie voordelen biedt. Echter zolang de auditee voldoet aan de letterlijke tekst van de norm is een afwijkingsrapport niet gerechtvaardigd.
7. Wees goed voorbereid
Het succes van een audit staat of valt met de voorbereiding. Zonder kennis van het doel van de audit, de te onderzoeken locaties of afdelingen, het onderwerp van de audit, de inhoud van de procedures, handboeken en instructies en beleid verwordt een audit al snel tot een rondleiding door het bedrijf, een bezoek waar niemand voordeel van heeft.
Een goede voorbereiding zorgt ervoor dat het juiste auditteam wordt ingeschakeld, het tijdsbudget goed wordt vastgesteld en de audit efficiënt kan verlopen. Slecht voorbereid is de auditor die als eerste vraag stelt “Hebt u een procedure?”*. Wanneer hij zich had voorbereid had hij dat al geweten en deze procedure bestudeerd om inzicht te krijgen in de activiteiten van de auditee.
Het tijdens de audit beoordelen van documentatie die vooraf al beschikbaar had moeten zijn, is verspilling van (kostbare) tijd van zowel auditee als auditor.
*) Deze opmerking betreft de letterlijke inhoud van deze vraag, en niet de vraag, bedoeld om te kunnen verifiëren of de door de auditee gebruikte procedure overeenkomt met de procedure die door de auditor bij de voorbereiding is gebruikt.
8. Definieer de audit doelen
“If you don’t know where you’re going, it doesn’t matter which road you take”
(Lewis Carroll, Alice in Wonderland).
Het is onmogelijk om een audit goed voor te bereiden, de juiste auditors te selecteren en bruikbare managementinformatie te verschaffen, wanneer niet bekend is waarom de audit uitgevoerd wordt en wat het doel is. Geen enkele auditor kan tot een betrouwbare en waardevolle conclusie komen zonder dit te weten.
9. Help de auditee
Audits worden uitgevoerd in het belang van de auditee, niet ter meerdere eer en glorie van de auditor. De auditee heeft het meeste profijt van een audit die toegevoegde waarde heeft door een constructieve en behulpzame benadering van de auditor. Zoeken naar fouten is daarom ook in tegenspraak met auditen met toegevoegde waarde.
In een audit met toegevoegde waarde zijn afwijkingsrapporten die de tekortkoming niet precies omschrijven en geen oplossing aanreiken voor geconstateerde problemen waardeloos en dus onacceptabel. Een aanzienlijk aantal auditees is geen expert op het gebied van kwaliteits-, arbo-, milieuzorg of voedselveiligheid, en beschouwen de auditor als “de specialist”. De auditee in een lastig parket brengen (en laten), niet wetend wat te doen om een blijkbaar onacceptabele situatie op te heffen, helpt noch de auditee, noch de auditor.
Waar het om gaat in kwaliteits- en milieuzorg is het continu streven naar verbetering, het is de plicht van
de auditor hieraan bij te dragen. Door nuttig advies en een constructieve benadering van de auditor wordt
de audit op zijn waarde geschat. Een auditor is geen politieagent!!
10. Zorg voor een doeltreffende communicatie
In de doelen van een audit staat centraal het inzicht krijgen in en rapporteren over de actuele status
en mogelijkheden van het te auditen proces. Dit kan slechts worden bereikt wanneer de auditor en de auditee elkaar begrijpen. Effectieve communicatie is een voorwaarde voor het krijgen van objectieve informatie. Een auditee kan geen relevante antwoorden geven als hij/zij de vragen van de auditor niet begrijpt. Een auditee die de inhoud van een verzoek tot corrigerende maatregelen niet begrijpt, zal ook niet in staat zijn adequate maatregelen te implementeren.
Een goede interviewtechniek en goede uitdrukkingsvaardigheid (mondeling en schriftelijk) zijn essentiële bekwaamheden voor een auditor. Bekwaamheden die door training kunnen worden verkregen en vergroot. Wanneer een auditor voortdurend zijn/haar vragen moet herformuleren of herhalen, daalt de doelmatigheid van de audit aanzienlijk. De kosten en baten van de audit wegen dan niet meer tegen elkaar op.
11. Zoek en identificeer de werkelijke oorzaak van geconstateerde problemen
Audits vormen een managementinstrument, gericht op foutenpreventie en kostenreductie. Verbeteringen kunnen slechts worden bereikt indien de werkelijke oorzaken van problemen worden geïdentificeerd en geëlimineerd. Auditors die hun vak verstaan, zoeken en vinden de werkelijke oorzaak van problemen en rapporteren deze zodanig dat daadwerkelijk een oplossing vastgesteld kan worden.
Het komt geregeld voor dat auditors en auditees zich beperken tot “brandjes blussen”, met frustraties over “elke keer weer dezelfde problemen” als enige resultaat. Wanneer bijvoorbeeld een verouderde versie van een document wordt aangetroffen kan dat eenvoudig worden opgelost door dit document te vervangen. Een corrigerende maatregel is daarmee nog niet genomen, die kan pas worden vastgesteld wanneer de vraag “Waarom is de juiste revisie niet aanwezig?” is beantwoord (bijv. omdat de distributielijst niet volledig is) en de oorzaak van het probleem is vastgesteld.
12. Volg eventuele corrigerende maatregelen op
Er bestaan auditees die minder bereid zijn om corrigerende maatregelen te treffen wanneer ze denken dat de auditor deze toch niet opvolgt. In dergelijke situaties heeft een verzoek tot corrigerende maatregelen weinig effect; de audit heeft dan ook geen waarde. Er bestaan ook redelijke en verstandige auditees. Dezen zullen teleurgesteld zijn wanneer de auditor de corrigerende maatregelen niet opvolgt. Veelal willen ze bevestigd zien dat ze het probleem goed hebben opgelost. Wanneer een onafhankelijke expert, collega of meerdere deze prestatie erkent en waardeert, stijgt de motivatie met sprongen.
Wanneer audits en daaruit voortkomend verzoeken tot corrigerende maatregelen niet zullen worden opgevolgd heeft een audit geen zin. Het idee om verbetering te bewerkstelligen kan dan maar beter helemaal overboord worden gezet.