9.2.2 Program audytów wewnętrznych
W skrócie: audyty mają wynikać z planu, a audytor nie może oceniać własnej pracy.
Czego wymaga norma
Organizacja musi zaplanować, ustanowić, wdrożyć i utrzymywać program audytów — z częstotliwością, metodami, odpowiedzialnościami, wymaganiami dotyczącymi planowania i raportowaniem. Tworząc program, musi brać pod uwagę ważność audytowanych procesów i wyniki poprzednich audytów.
Organizacja musi:
- ustalić kryteria i zakres każdego audytu,
- dobrać audytorów i prowadzić audyty tak, żeby zapewnić obiektywność i bezstronność,
- zapewnić, że wyniki trafiają do właściwego kierownictwa.
Udokumentowane informacje muszą być dowodem realizacji programu i wyników audytów.
W praktyce
- Program zwykle obejmuje cykl trzyletni, zgodny z cyklem certyfikacji, z częstszym audytowaniem obszarów wysokiego ryzyka.
- Bezstronność: administrator nie audytuje zarządzania uprawnieniami, które sam prowadzi. W małej firmie rozwiązaniem bywa audytor zewnętrzny lub wymiana audytorów z inną organizacją.
- Wytyczne do prowadzenia audytów daje ISO 19011.
Co pokazać audytorowi
- program audytów, plany i raporty z audytów,
- dowody kompetencji i niezależności audytorów wewnętrznych,
- powiązanie ustaleń z niezgodnościami i działaniami korygującymi (10.2).