И когда мы не можем постичь созданной нами же сложности, то, охваченные чувством беспомощности, становимся жертвами своего непонимания.

Джозеф О'Коннор и Иан Макдермотт

Внутренний аудит на малых предприятиях. Нестандартный подход в проведении

Практически все стандарты серии ISO по системам менеджмента включают обязательные требования по проведению внутреннего аудита. Стандарт ISO 19011: 2018 содержит требования к планированию, проведению и оценке внутренних аудитов. Необходимо отметить, что стандарты являются добровольными. Казалось бы, все просто. Курсы подготовки внутренних аудиторов технологически отработаны, программы, тесты, видео – все есть. Курсы обучения проводят органы по сертификации систем менеджмента - классическая схема (IRCA), консалтинговые компании – классическая схема или индивидуальная разработка программ.

Две строчки об индивидуальной разработке программ. Это происходит, когда необходимо повышение квалификации внутренних аудиторов. Здесь типовые программы уже не работают. Какова последовательность шагов в этом случае. Необходимо познакомиться с предприятием. Лучше всего посещение. Что смотреть? Процедуру внутреннего аудита (она как правило стандартная). Что более интересное для анализа и формирования программы? Это отчеты предыдущих аудитов, опросные листы, примеры выполнения корректирующих действий, оценка работы внутренних аудиторов (принимаем риск необъективной оценки), примеры положительных изменений по результатам внутренних аудиторов. Отлично если есть возможность поговорить с внутренними аудиторами и сотрудниками предприятия, в том числе руководителя подразделений (использовать технологии сфокусированной беседы). Зачем все это? Программа обучения должна учитывать всю полученную информацию. В этом случае предприятие получает действительно повышение квалификации, а не очередной пересказ того, что его сотрудники слышали уже много раз. Осталось иметь желание осваивать и совершенствоваться.

В стандартах серии ISO по системам менеджмента фактически определены цели проведения внутренних аудитов: подтверждение, что система соответствует собственным требованиям предприятия, требованиям стандарта, результативна и поддерживается. Остается вопрос, которого нет в стандартах. В чем ценность внутреннего аудита для предприятия? Ценность и цели - это разные категории. Они взаимосвязаны. Эту связь легко продемонстрировать последовательностью:

Ценности                         убеждения                          цели                          нормы поведения.

А теперь, представим малое предприятие. Под словом малое я пониманию не финансовые показатели, а предприятие / компанию с небольшим количеством сотрудников, где организационная структура достаточно простая, а часто и вовсе отсутствует, количество человек в структурных подразделениях два, три, а порой в одном лице – руководитель подразделения. Очень сильно развито совмещение различных функций в одном сотруднике. Руководство, менеджеры по направлениям, инженерно-технический персонал – 8-15 человек. Если предприятие производственное, то есть еще рабочие специальности. Думаю, многим знакомая такая ситуация. И еще, очень часто все находятся практически в одном помещении и постоянно контактируют в ходе выполнения работ. И вот наступает время для проведения внутреннего аудита. Необходимо обеспечить соблюдение всех его принципов:

•       Этическое поведение;

•       Честность в представлении результатов;

•       Надлежащая профессиональная тщательность;

•       Конфиденциальность;

•       Независимость;

•       Подход, основанный на доказательстве.

Я думаю, что часть читателей наблюдали достаточно забавную ситуацию, когда в ходе внутреннего аудита сотрудник сотруднику задает вопросы, ответы на которые он и так получает каждый день в ходе совместной работы, а результаты работы коллеги, что говорится "чувствует на собственной шкуре". В чем тогда ценность такого внутреннего аудита? Стоит ли проводить его по классической схеме, чтобы только показать отчеты внешнему аудитору? Что нового узнают сотрудники в ходе таких внутренних аудитов? Что думают и чувствуют? Насколько это способствует открытию новых возможностей и пониманию рисков? Как такой внутренний аудит влияет на корпоративную культуру? Способствует ли они снижению стрессовых ситуаций и конфронтации? Является ли профилактикой эмоционального истощения? Вопросы, вопросы, вопросы. На каждый вопрос можно получить разные варианты ответов, причем думаю, что будут среди них и диаметрально противоположные.

Использую модное сейчас слово "дизайн". Как по-другому можно провести внутренний аудит, при этом обеспечив выполнения требований стандартов ISO, достигнуть поставленных целей, наполнит смыслом и создать ценности для предприятия? Как провести дизайн процесса внутренний аудит именно для небольших по численности предприятий.

Немного теории. Это важно.

"Аудит – систематический, независимый и документируемый процесс получения свидетельств аудита и объективного их оценивания с целью установления степени выполнения согласованных критериев аудита.

Организация должна:

а) планировать, разрабатывать, реализовывать и поддерживать в актуальном состоянии программу(мы) аудитов, включая периодичность и методы проведения аудитов, а также ответственность, планируемые для проверки требования и предоставление отчетности.

Программа(мы) аудитов должна(ы) разрабатываться с учетом важности проверяемых процессов, изменений, оказывающих влияние на организацию, и результатов предыдущих аудитов;

b) определять критерии аудита и область проверки для каждого аудита;

c) отбирать аудиторов и проводить аудиты так, чтобы обеспечивалась объективность и беспристрастность процесса аудита;

d) обеспечивать передачу информации о результатах аудитов соответствующим руководителям;

e) осуществлять соответствующую коррекцию и корректирующие действия без необоснованной задержки;

f) регистрировать и сохранять документированную информацию как свидетельство реализации программы аудитов и полученных результатов аудитов".[1]

Для предприятий с малой численностью сотрудников, простой организационной структурой я предлагаю проводить внутренний аудит в виде совещаний. Периодичность проведения, например, один раз в квартал. Хотя никто не запрещает это делать один раз в месяц. Решение за предприятием. Первый опыт такого проведения уже есть. Представленный подход конечно будет развиваться и совершенствоваться.

Давайте разберем, насколько такой подход обеспечивает выполнение вышеперечисленных требований ISO 9001:2015 (сохранены подпункты стандарта):

а) для проведения совещания составляется программа, где указываются: Когда? Что? Как? С кем? и Зачем? Составить такую программу совещания не составляет большой сложности, если на предприятии присутствует культура проведения совещаний, сотрудники обладают достаточными навыками и компетенциями. При этом каждое такое совещание может быть посвящено одной или нескольким бизнес направлениям, с тем чтобы не пропустить ни одного бизнес-процесса и изменений во внешнем и внутреннем контекстах. Такое планирование более гибкое, чем традиционное планирование внутренних аудитов. Кто-то возразит, что это подмена понятий, где просто совещание почему-то решили назвать внутренним аудитов. Возможно.

b) в программе совещания-внутренний аудит указываются критерии аудита (политики, правила, процедуры и т.д.). Доступ к ним должен быть обеспечен в ходе проведения совещания-внутренний аудит;

c) фактически каждый сотрудник выступает в роли внутреннего аудитора и должен обладать соответствующими компетенциями. Здесь конечно не обойтись без обучения по программе подготовки внутренних аудиторов, но она модифицирована под такую технологию проведения внутреннего аудита и состоит из различных блоков. Когда учить? Прямо в ходе проекта по применению стандарта, а далее в рамках повышения квалификации. А как по-другому при ограниченности персонала обеспечить объективность и беспристрастность;

d) ход совещания протоколируется с последующей передачей информации участникам совещания с учетом правил внутренних коммуникаций;

е) в проколе совещаний определяются необходимые корректирующие действия и коррекции, которые осуществляются согласно установленных процедур;

f) сохранение протоколов совещаний.

Мне кажется, что все очень логично. Да, возможно для внешнего аудитора это необычно и может на некоторое время даже ввести в замешательство. Да простят меня аудиторы за такое.

Это юридическая сторона вопроса. Но что с практикой проведения такого совещания–внутренний аудит?

Важно. Данная технология проведения совещания-внутреннего аудита основывается на положении: "Аудит процессов (подразделений) через результаты своего процесса (подразделения)". Как? Читайте дальше.

Для результативного проведения совещания-внутреннего аудита, которое затем преобразуется в эффективность работы предприятия должны быть созданы простые, но крайне необходимые предпосылки. Далее не по степени значимости. Сотрудники должны быть обучены и обладать соответствующими компетенциями. Чему и какими? Уметь слушать; уметь наблюдать; уметь ставить вопросы; навыки ненасильственного, неконфликтного общения; понимать язык тела; навыки аналитической обработки данных, умение составлять ментальные карты (начал пробовать в своих проектах), визуализации. Сотрудники должны знать и понимать составляющие групповой работы. Возможно кто-то список продолжит, а кто-то посчитает его слишком большим. Что интересно? Результаты совещания-внутреннего аудита могут подсказать на что необходимо обратить внимание и какие навыки необходимо развивать у конкретного сотрудника.

Следующая составляющая для результативного проведения совещания-внутреннего аудита это наличии на предприятии культуры работы с несоответствиями и выполнении коррекций и корректирующих действий. Хорошей практикой является, когда на предприятии формируется единая база несоответствий. Тут не обойтись без электронных помощников. Наличие такой базы очень хорошо помогает в работе с рисками. Несоответствие – реализованный риск со своими последствиями.

Как проводиться само совещание-внутренний аудит? Сотрудник – владелец процесса дает информацию о своем процессе, процессах-поставщиках и процессах-потребителях. Рекомендую использовать методы визуализации, которые ближе к комиксам, чем строгим графическим изображениям. Хорошо здесь помогают книги Дэна Рона о визуальном мышлении. Далее идет информация о факторах успеха, проблемах, сбоях, сложностях, несоответствиях, открывшихся возможностях, которые имели место, а их причины связаны с процессом-поставщик и процессом-потребитель. Здесь есть один интересный момент, как доводить эту информацию. Можно на слайдах, можно устно. Я предлагаю делать в виде Обращения к процессам – поставщик и процессам - потребитель. Это документ, где сотрудник – владелец процесса показывает связь между несоответствиями, возможностями и влиянием их непосредственно на его процесс, а возможно и на другие процессы. И здесь хорошо работают методы визуализации. В конце материала написано: "Чем Вам помочь? Как будем использовать возможности?" Чем интересен такой подход. У сотрудников остаются на руках документы, где четко отражены факты взаимного влияния.  

Небольшая ремарка о процессе-потребитель. Почему важно не забывать о нем. В системе менеджмента очень важным является получение обратной связи. "Наличие обратных связей — неотъемлемая характеристика систем: нет обратных связей, нет и систем. Существует два основных типа обратной связи:

• Усиливающая обратная связь — когда изменение состояния системы служит сигналом к усилению первоначального изменения. Иными словами, система обеспечивает большее изменение в том же направлении.

• Уравновешивающая (балансирующая) обратная связь — когда изменение состояния системы служит сигналом к началу движения в противоположном направлении, чтобы восстановить утраченное равновесие[2].

"Чем Вам помочь? Как будем использовать возможности?" Эти вопросы имеют конкретных адресатов. Именно с них начинается дальнейшее обсуждение, фактически аудит. Я опускаю технологию проведения обсуждения. Это отдельная тема. Что в результате? Принятые решения, которые фиксируются в протоколе совещания-внутренний аудит.

Какие еще открываются возможности при таком подходе? Я ранее писал, что участниками такого совещания-внутренний аудит являются фактически все сотрудники предприятия - руководители, менеджеры по направлениям, инженерно-технический персонал. Практика работ, показывает, что 80% причин наших несоответствий лежит за пределами наших процессов, наших компетенций. И в ходе обсуждения и поиска ответа на вопрос: "Чем тебе помочь?" все участники задействованы в обсуждении и выработке решений. Сотрудники сразу получают информацию об их роли в появлении причин несоответствий или открывающихся возможностях.

Почему это важно? Это связано со свойствами системы. "Возможно, вы слышали об «эффекте бабочки»: взмах ее крыльев в Майами может вызвать сильнейший град в Пекине". Продолжаю: "Привычное причинное мышление не срабатывает, когда нам приходится иметь дело с системами, потому что оно склонно везде усматривать действие простых, локализованных в пространстве и во времени причинно-следственных связей, а не комбинаций взаимовлияющих факторов. В системах причина и ее следствие могут быть далеко разнесены в пространстве и во времени. Следствие может проявиться лишь спустя несколько дней, недель и даже лет, а действовать нам нужно сейчас.[3] А на совещании-внутренний аудит сотрудники сокращают разнесение в пространстве и во времени.

Это еще не все. "Системы обладают эмерджентными, или возникающими, свойствами, которых нет ни у одной из их частей. Разобрав систему на части и проанализировав каждую из них, вы не сможете предвидеть свойства целостной системы.

Вторая важная особенность систем — зеркальное отражение первой. Поскольку свойства системы присущи только ей самой, но не ее частям, то стоит разделить ее на части, как эти свойства исчезнут.

Когда мы что-то разбираем на части, чтобы узнать, как оно работало, это называется анализом. Он может быть очень полезен при решении определенного типа проблем, а также для понимания того, каким образом малые системы образуют одну большую.

С помощью анализа мы получаем знание, однако теряем возможность понять свойства системы, разбив ее на отдельные составляющие.

Дополнением анализа является синтез — создание целого из частей. С помощью синтеза мы обретаем понимание"[4].

Классическая форма проведения внутреннего аудита приводит к потери эмерджентных или возникающих свойств. Почему? Аудит разбивает целое на части. Как только произошло разбиение, фактически теряется смысл проведения аудита из-за исчезновения объекта аудита – система с ее свойствами. Об этом не говорят ни на одном обучении внутренних аудитов. Это катастрофа. Аудиторам не доносят, что, проводя аудит части системы, необходимо видеть все время систему в целом. Что получаем в результате такого подхода? Получаем ответ, что что-то "соответствует" или "не соответствует" и не более. Многим знакома ситуация, когда, собрав в единое целое механизм он не работает, хотя все части соответствуют установленным требованиям. Так и результаты внутреннего аудита. Части соответствуют, а целое дает сбой или не работает. Что делать, чтобы внутренний аудит все-таки был результативным, а не формальным? Внутренние аудиторы должны иметь отличную подготовку в части системного управления, а не просто технологии проведения внутренних аудитов. Проводя аудит, аудитор должен все время видеть систему в целом и оценивать полученную информацию именно с позиции влияния на систему, а не на ее часть. Отлично, когда такой анализ представлен в отчете по результатам аудита. Критически важным является этап анализа сводных результатов внутренних аудитов, который фактически является синтезом, создание целого из частей. Здесь уже недостаточно просто констатации фактов "соответствует" – "не соответствует". Здесь необходимо аналитическое мышление и риск ориентированное мышление.

В ходе совещания-внутреннего аудита свойства системы не теряются. Фактически, что происходит на совещании-внутренний аудит? За счет присутствия всех сотрудников (читай процессов, подразделений, бизнес-направлений) мы получаем цикл: Целая система – > Разбиение и анализ – > Синтез, создание целого – > Целая система со своими эмерджентными свойствами. Все открыто, понятно и прозрачно для участников совещания-внутренний аудит.

Фактически предприятие запускает цикл совещаний-внутренний аудит, который имеет свою длительность и периодичность. Это как в классическом варианте проведения внутреннего аудита.

В этом цикле есть одно очень важное совещание. Его проведение зона ответственности директора предприятия. Цели, политика, ценности, этика, реализация корректирующих действий, риски. Вопросы очень важные. Я их называю общесистемными. Возможно потребуется проведение не одного, а более совещаний.

Пока писал, несколько раз обращался к требованиям стандарта ISO 19011:2018. Все очень сложно и громоздко для малых предприятий. Соблюдение всех положений стандарта не увеличивает ценности внутреннего аудита, а наоборот превращает в формальную процедуру, которая отнимает ресурсы предприятия и демотивирует персонал.

Пока писал, сам себе задал вопрос: "А почему такая методика проведения внутреннего аудита не может быть применена на средних и крупных предприятиях? Действительно, если факторы, которые однозначно исключают такой подход?"

Удачи.

---

[1] ISO 9001:2015 "Системы менеджмента качества. – Требования"

[2]Искусство системного мышления: Необходимые знания о системах и творческом подходе к решению проблем / Джозеф О'Коннор и Иан Макдермотт

[3] Искусство системного мышления: Необходимые знания о системах и творческом подходе к решению проблем / Джозеф О'Коннор и Иан Макдермотт

[4] Искусство системного мышления: Необходимые знания о системах и творческом подходе к решению проблем / Джозеф О'Коннор и Иан Макдермотт