Внутренний аудит -- это оценка рисков

[Вячеслав Лебединец]

Вынос модератором из viewtopic.php?t=10315
Тема отмодерирована: удалены или выделены в отдельные самостоятельные дискуссии посты, не имеющие отношения к теме, заявленной инициатом дискусии

Уважаемые коллеги!
На одном из фармпредприятий стали практиковать так называемые экспресс-аудиты (или инспекции, или ревизии - с названием не определились).
Суть таких проверок в следующем:
Цели таких экспресс-ревизий - поддержание постоянной "боевой готовности" персонала - "чтоб не расслаблялись".
В этом они не совпадают с целями внутренних аудитов, т.к. принято считать, что у последних это повышение результативности СМК через нахождение и минимизацию "слабых звеньев" самой системы.
Таким образом, внутренние аудиты используют для изучения процессов и межпроцессных связей в СМК для нахождения потенциала ее совершенствования, а экспресс-ревизии - для поддержания надлежащей дисциплины исполнителей.
И вроде как все гармонично выходит...
Какие есть мнения на этот счет?

[Кольцов Олег]

Целью любой проверки (аудита) является мониторинг реального положения дел. Данные мониторинга могут использоваться для совершенно различных, в том числе противоположных целей. То что целью внутренних аудитов является повышение результативности СМК это одна из сказок теоретиков. Изменение системы (повышение ее результативности) это функция высшего руководства на основе анализа системы, а не функция аудиторов.

[Вячеслав Лебединец]

Целью любой проверки (аудита) является мониторинг реального положения дел. Данные мониторинга могут использоваться для совершенно различных, в том числе противоположных целей.

1) Олег, реальное положение дел - слишком расплывчатое определение. Это может быть выполнение какой-то процедуры типа мойки рук, а может - взаимодействие между подразделениями, или собственно алгоритм выполнения какого-то процесса. Т.е. - от простейших операций до установленных в системе алгоритмов гораздо более высокого уровня и степени критичности для качества продукции или еще чего-то.

То что целью внутренних аудитов является повышение результативности СМК это одна из сказок теоретиков.

Нет, это объективная цель аудитов, если только аудиторами не пользуются как бабами ягами для запугивания работников.

Изменение системы (повышение ее результативности) это функция высшего руководства на основе анализа системы, а не функция аудиторов.

А кто говорит обратное? Я просто не приводил всю цепь событий, т.к. думал, что это очевидно и тривиально: аудиторы получают информацию о функционировании системы и находят "слабые" места, где риски наиболее высоки и неприемлемы. На основе этих данных ВР принимает/утверждает решения по КД и ПД - либо не принимает

[Кольцов Олег]

аудиторы получают информацию о функционировании системы и находят "слабые" места, где риски наиболее высоки и неприемлемы. На основе этих данных ВР принимает/утверждает решения по КД и ПД - либо не принимает

Вячеслав! Повторяю, если КД и особенно ПД (риск-менеджмент к аудитам вообще ни одним боком не прислоняется) определяет аудитор, то это не аудитор!

[Вячеслав Лебединец]

аудиторы получают информацию о функционировании системы и находят "слабые" места, где риски наиболее высоки и неприемлемы. На основе этих данных ВР принимает/утверждает решения по КД и ПД - либо не принимает

Вячеслав! Повторяю, если КД и особенно ПД (риск-менеджмент к аудитам вообще ни одним боком не прислоняется) определяет аудитор, то это не аудитор!

Олег, да повторяйте сколько угодно - от этого ваше мнение не становится единственно правильным аж никак.
Любой аудит - это оценка рисков. Если у вас не так, то остается только сожалеть...
Ну а насчет КД и ПД, определяемых аудитором, - так позвольте: это где ж вы такое в моих сообщениях прочитали???

[Кольцов Олег]

Любой аудит - это оценка рисков. Если у вас не так, то остается только сожалеть...

Вячеслав, это не только у меня, но и у тех дураков из ИСО, которые прямо сказали в ИСО 9001 что в него не входит риск-менеджмент и затем принявших серию ИСО 31000. Повторяю, аудит к оценке рисков отношения вообще не имеет.

[Вячеслав Лебединец]

Любой аудит - это оценка рисков. Если у вас не так, то остается только сожалеть...

Вячеслав, это не только у меня, но и у тех дураков из ИСО, которые прямо сказали в ИСО 9001 что в него не входит риск-менеджмент и затем принявших серию ИСО 31000. Повторяю, аудит к оценке рисков отношения вообще не имеет.

Олег, вы либо не понимаете что такое риски, либо не понимаете что такое аудит. Либо и то и другое вместе - это скорее всего.

[Кольцов Олег]

Олег, вы либо не понимаете что такое риски, либо не понимаете что такое аудит. Либо и то и другое вместе - это скорее всего.

Без комментариев.

[Вячеслав Лебединец]

Олег, вы либо не понимаете что такое риски, либо не понимаете что такое аудит. Либо и то и другое вместе - это скорее всего.

Без комментариев.

Ото и правильно. Чем с вашими "комментариями" ( ) - так лучше без них.

[Александр Воробьёв]

Любой аудит - это оценка рисков.

Любое управленческое решение -- это оценка рисков
Любая проверка -- это оценка рисков...
Но риски рискам рознь, как и одна оценка рисков другой оценке рисков

[Вячеслав Лебединец]

Любая проверка -- это оценка рисков...

Вы это Олегу адресуйте - он совсем иного мнения...

[Александр Воробьёв]

Любая проверка -- это оценка рисков...

Вы это Олегу адресуйте - он совсем иного мнения...

Зачем?
Он прав тоже

ИСО, которые прямо сказали в ИСО 9001 что в него не входит риск-менеджмент и затем принявших серию ИСО 31000. Повторяю, аудит к оценке рисков отношения вообще не имеет.

оценка рисков при аудите очень слабое подобие оценки рисков при управлении ими
Риски аудита одни, риски организации гораздо шире, причем на каждом уровне свои

[Вячеслав Лебединец]

оценка рисков при аудите очень слабое подобие оценки рисков при управлении ими

А никто и не говорит об управлении - речь об оценке. Аудиторы выявляют наиболее критичные элементы системы (тем самым - оценив ситуацию), указывают на них, и, если необходимо - участвуют в разработке КД. Хотя это - не обязательно, но я сторонник именно такого подхода. Тгда аудиторы СОПРИЧАСТНЫ к событиям, а не умывают руки сразу после аудита.

Риски аудита одни, риски организации гораздо шире, причем на каждом уровне свои

В каком смысле?

[Аркадий Пак]

Аудит и оценка рисков очень уж разные процессы, я бы не стал их смешивать. Натянуть и объединять в отрезке времени можно разные процессы Например внутренний аудит и часть процессов валидации, но при этом внутренний аудит останется аудитом, а валидация валидацией. Случаи разные, если персонал не заинтерсован, ищет повода не работать, то нужно совершенствовать системы контроля и никуда не деться. Но выгоднее и грамотнее правильно набирать персонал и создать условия в которых человек хочет и может работать. Ну например нет смысла обучать вежливости и доброжелательности тупо набранных продавцов, которые по жизни меланхолики и им трудно улыбаться, контроль тут ничего не даст, также и бессмысленно обучать аккуратности и дисциплинированности неряху и лоботряса. Согласен с Андреем, связан ли инструмент экспресс-проверок с причинами недисциплинированности и халатности ? Вряд-ли, чаще всего встречался с тем, что руководитель видит в исполнителе раба, ведет себя соответственно и создает соответствующую корпоративную культуру. А рабы они не эффективны, безинициативны, в отсутствии указаний будут спать или хихикать над тем, что спрятали или украли незаметно от руководителя. Вот и идут менеджеры по пути кнута и пряника, исключения человеческого фактора, автоматизации и т.д. Пока главный руководитель не поймет, что ему нужна другая культура на предприятии, бессмыслены любые движения исполнителей в сторону TQM, вовлечения, лидерства, кайдзен и т.п.

[Кольцов Олег]

Любое управленческое решение -- это оценка рисков
Любая проверка -- это оценка рисков...
Но риски рискам рознь, как и одна оценка рисков другой оценке рисков

Александр, исходя из термина ИСО 73 "Риск это неопределенность в достижении целей" риски определяются целеуказанием, а целью аудита принципиально никогда не может быть цель управления системой.
Ну а по теме обсуждения кажется уже во второй раз показываю на форуме свою прошлогоднюю работу, представляющую собой национальную адаптацию европейской и международной практики инспектирования: http://quality.ifolder.ru/27292341 .
Правда это не добровольные стандарты СМК, а обязательные стандарты обеспечения безопасности.

[Кольцов Олег]

Ни и раз заговорили о связи аудитов и риск-менеджмента, показываю черновик того, над чем сейчас работаю, может кто что умное подскажет.
http://quality.ifolder.ru/27292659

[Александр Воробьёв]

Любое управленческое решение -- это оценка рисков
Любая проверка -- это оценка рисков...
Но риски рискам рознь, как и одна оценка рисков другой оценке рисков

Александр, исходя из термина ИСО 73 "Риск это неопределенность в достижении целей" риски определяются целеуказанием, а целью аудита принципиально никогда не может быть цель управления системой.

Олег

Аудит несет неопредленость в достижении своих целей
одна из недекларируемых целей аудита управление самим собой...
второй аспект рисков аудита неопределенность выбоки аудита по отношению к генеральной совокупности;
третий -- неопредленность в субъективности оценки соответствия критериям проверки;
четвертый -- потенциальные несоответствия...

И оценка этих рисков по опредлению проводится при управлении аудитом...
Но это слабое подобие оценки рисков организации....

[Кольцов Олег]

Но это слабое подобие оценки рисков организации....

Александр, я против этого не спорю. Вопрос другой - собака крутит хвостом или хвост крутит собакой?
То есть аудит это одно из средств мониторинга системы или аудит это механизм управления системой. Я категорически против второго мнения.

[Андрей Волков]

...
аудит это одно из средств мониторинга системы или аудит это механизм управления системой.

Олег, как Вы относитесь к цыклу PDCA?
Я к тому, что управление без обратной связи как-то не очень удобно. А обратная связь в цепи управления системой и мониторинг системы чуть ли не близнецы-братья.

[Кольцов Олег]

Олег, как Вы относитесь к цыклу PDCA?

Андрей, очень уважительно.

Я к тому, что управление без обратной связи как-то не очень удобно. А обратная связь в цепи управления системой и мониторинг системы чуть ли не близнецы-братья.

А разве я не о том же? Я всего лишь против замены четвертого такта цикла Деминга третьим. Вы же и сами видите что у Деминга А стоит после С и оно отделено от него. Мониторинг (аудит, инспекция и прочий контроль) это не регулятор, а исключительно обратная связь, необходимая для работы этого регулятора, но не заменяющая его.