Первоначальный контакт с проверяемой организацией может быть неофициальным или официальным, но должен устанавливаться лицами, назначенными ответственными за руководство программой аудита, или руководителем аудиторской группы. Цели первоначального контакта:
а) установление каналов связи с представителем проверяемой организации;
б) подтверждение полномочий на проведение аудита;
в) предоставление информации по предполагаемым срокам аудита и составу аудиторской группы;
г) запрос доступа к соответствующим документам, включая отчетные;
д) определение применимых правил техники безопасности на площадке аудита;
е) подготовка мероприятий аудита;
ж) достижение соглашения о присутствии наблюдателей и необходимости в сопровождающих для аудиторской группы.
До проведения аудита на местах должен быть проведен анализ документации проверяемой организации для определения соответствия документированной системы критериям аудита. Документация может включать соответствующие документы системы менеджмента, включая отчетные, и отчеты по предыдущим аудитам. Анализ должен учитывать размер, тип и сложность организации, а также цели и объем аудита. В ряде случаев, данный анализ может быть отложен до начала проведения аудита на местах, если это не нанесет ущерба результативности аудита. В других случаях, может оказаться необходимым предварительное посещение места аудита для получения общего представления об имеющейся информации.
Если документация будет признана неадекватной, то руководитель аудиторской группы должен сообщить об этом заказчику аудита, лицам, назначенным ответственными за руководство программой аудита, и проверяемой организации. Должно быть принято решение, может ли аудит быть продолжен или приостановлен до момента решения всех вопросов по документации.
5. Подготовка к проведению аудита на местах
Руководитель аудиторской группы должен подготовить план аудита в качестве основы соглашения между аудиторской группой, проверяемой организацией и заказчиком аудита. План должен облегчить составление графика и координации действий по аудиту.
Степень подробности плана аудита должна отражать объем и сложность аудита. Так, подробности могут быть различными для первоначального и последующего аудита, а также для внутреннего и внешнего аудита. План аудита должен быть достаточно гибким, чтобы допускать изменения, например, изменение объема аудита, которое может оказаться необходимым по мере выполнения аудита на местах.
План аудита должен включать следующее:
а) цели аудита;
б) критерии аудита и любые справочные документы;
в) объем аудита, включая идентификацию организационных и функциональных единиц и процессов, подлежащих проверке;
г) дату и место, где должны осуществляться действия по аудиту на местах;
д) ожидаемое время и продолжительность действий по аудиту на местах, включая совещания с руководством проверяемой организации и совещания аудиторской группы;
е) роли и обязанности членов аудиторской группы и сопровождающих лиц;
ж) выделение соответствующих ресурсов для критических областей аудита.
Если применимо, план аудита также должен включать следующее:
з) идентификация представителя проверяемой организации при аудите;
и) рабочий язык аудита и язык отчетных документов, если он отличается от языка аудитора и/или проверяемой организации;
к) разделы отчета по аудиту;
л) техническое обеспечение (поездки, оборудование на местах и т.д.);
м) вопросы конфиденциальности;
н) любые последующие аудиты.
План должен быть проанализирован и принят заказчиком аудита и представлен проверяемой организации до начала проведения аудита на местах.
Любые возражения со стороны проверяемой организации должны быть разрешены совместно руководителем аудиторской группы, проверяемой организацией и заказчиком аудита. Любой пересмотренный план аудита должен быть согласован вовлеченными сторонами до продолжения аудита.
Руководитель аудиторской группы, путем консультаций с аудиторской группой, должен установить ответственность каждого члена группы за проверку конкретных процессов, функций, площадок, областей или действий.
Члены аудиторской группы должны проанализировать соответствующую информацию, относящуюся к распределению обязанностей при проведении аудита, и подготовить рабочие документы, необходимые как ссылочный материал и для регистрации результатов аудита. Такие рабочие документы могут включать:
а) контрольные перечни (чек-листы) и планы выборки для аудита; и
б) формы для регистрации информации, такой как дополнительные свидетельства, наблюдения аудита и протоколы совещаний.
Использование чек-листов и форм не должно ограничивать объем действий по аудиту, который может изменяться в зависимости от информации, собранной в процессе аудита.
Рабочие документы, включая записи по результатам их использования, должны храниться по крайней мере до окончания аудита. Такие документы, содержащие конфиденциальную или запатентованную информацию, должны храниться в течение всего времени членами аудиторской группы с соблюдением соответствующих требований безопасности.
6. Проведение аудита на местах
Вступительное совещание должно проводиться с участием руководства проверяемой организации или, если применимо, лиц, ответственных за функции или процессы, подлежащие проверке. Цели совещания:
а) подтверждение плана аудита;
б) краткое изложение действий по аудиту;
в) подтверждение каналов связи; и
г) обеспечение возможности для проверяемой организации задать вопросы.
В зависимости от объема и сложности аудита может возникнуть необходимость в официальных мероприятиях для обеспечения связи между аудиторской группой и проверяемой организацией в процессе проведения аудита. Аудиторская группа должна периодически совещаться для обмена информацией, оценки хода аудита и, при необходимости, перераспределения обязанностей между аудиторами.
В процессе проведения аудита руководитель аудиторской группы должен периодически доводить до сведения проверяемой организации и заказчика аудита информацию о ходе аудита и любых проблемах, если это применимо. Свидетельства, собранные при аудите, которые предполагают немедленный и значительный риск (например, безопасность, окружающая среда или качество), должны быть немедленно доведены до сведения проверяемой организации и, если применимо, заказчика аудита. Любая проблема по вопросу, не входящему в объем аудита, должна быть отмечена и доведена до сведения руководителя аудиторской группы для возможного информирования заказчика аудита и проверяемой организации.
Если имеющееся свидетельство аудита указывает на то, что цели аудита недостижимы, то руководитель аудиторской группы должен сообщить причины заказчику аудита и проверяемой организации для определения дальнейших действий. Эти действия могут включать повторное подтверждение или изменение плана аудита, либо изменение целей или объема аудита, либо прекращение аудита.
Любая необходимость изменения объема аудита, которая может стать очевидной по мере выполнения аудита на местах, должна быть проанализирована и утверждена заказчиком аудита и, если применимо, проверяемой организацией.
Свидетельства аудита основываются на выборке из имеющейся информации. Поэтому, при проведении аудита присутствует элемент неопределенности, и лица, подготавливающие заключение по результатам аудита, должны осознавать это.
Методы сбора информации включают: опрос; наблюдение за деятельностью; анализ документации.
Свидетельства аудита должны быть оценены с точки зрения критериев аудита для формирования наблюдений аудита. Наблюдения аудита могут указывать либо на соответствие, либо на несоответствие критериям аудита. Если это было определено целями аудита, наблюдения аудита могут указывать на возможности для улучшения.
Несоответствия и подтверждающие их свидетельства аудита должны регистрироваться. Несоответствия могут быть классифицированы. Они должны быть проанализированы совместно с представителем проверяемой организации для получения подтверждения того, что свидетельства аудита верны и несоответствия понятны. Должно быть сделано все возможное для преодоления любых разногласий относительно свидетельств и/или наблюдений аудита, нерешенные вопросы должны быть зарегистрированы.
До заключительного совещания аудиторская группа должна собраться, чтобы:
а) проанализировать наблюдения аудита и любую другую соответствующую информацию, собранную в процессе аудита, с точки зрения целей аудита;
б) согласовать заключения по результатам аудита, с учетом элемента неопределенности, свойственного процессу аудита;
в) подготовить рекомендации, если это предусмотрено целями аудита;
г) обсудить последующий аудит, если это было включено в план аудита.
В ходе заключительного совещания под председательством руководителя аудиторской группы должны быть представлены наблюдения аудита и заключения по результатам аудита таким образом, чтобы они были понятны и признаны проверяемой организацией, а также, если применимо, согласованы сроки представления проверяемой организацией плана корректирующих и предупреждающих действий. Участниками заключительного совещания должны быть представители проверяемой организации, а также могут быть заказчик аудита и другие стороны. В случае возникновения в процессе аудита ситуаций, которые могут отразиться на надежности заключений по результатам аудита, руководитель аудиторской группы должен сообщить об этом проверяемой организации.