Maturità ISO 19011 · Linee guida per l’audit interno
Un programma di audit interno misurato su ISO 19011, e la traiettoria per professionalizzarlo.
9 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 9 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità ISO 19011 · Linee guida per l’audit interno
9 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi ISO 19011:2018 avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 9 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma un rilievo in una traiettoria.
La competenza degli auditor interni è definita, valutata e mantenuta?
- N1
Nessun criterio di competenza definito. Gli auditor sono designati in base alla disponibilità.
- N2
Una formazione iniziale è stata seguita dalla maggior parte degli auditor, ma nessun criterio scritto né valutazione conferma la loro idoneità.
- N3
Criteri di competenza sono formalizzati per tipo di audit e applicati al momento della designazione degli auditor. Le formazioni sono tracciate.
- N4
Ogni auditor viene valutato periodicamente, anche tramite osservazione sul campo, e ne deriva un piano di sviluppo individuale.
- N5
I criteri di competenza sono rivisti in base all’evoluzione dei referenziali sottoposti ad audit e dei rilievi del programma, con un monitoraggio documentato delle revisioni.
Azione per passare da L2 a L3
Formalizzare una scheda di competenza per tipo di audit (referenziale, formazione, esperienza minima, conoscenza del settore), farla validare dal responsabile di programma e applicarla nella composizione dei team del prossimo piano annuale.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu ISO 19011.
Di cosa parla questo quadro di riferimento
ISO 19011:2018 non fissa requisiti: fornisce linee guida per l’audit dei sistemi di gestione, qualunque sia il referenziale sottoposto ad audit. Copre tre ambiti distinti: i principi dell’audit (integrità, presentazione imparziale, indipendenza, approccio basato sull’evidenza), la gestione di un programma di audit (obiettivi, rischi e opportunità del programma, risorse, monitoraggio, riesame), e la conduzione degli audit, dall’avvio alla chiusura delle azioni. Tratta infine la competenza degli auditor e la sua valutazione.
In pratica, la difficoltà non è condurre un audit, è mantenere un programma. Il piano annuale è costruito a partire dai rischi e dalle priorità dell’organizzazione, o riproposto di anno in anno? Gli auditor interni sono realmente indipendenti dalle attività che sottopongono ad audit, o di fatto si finisce per auditare il proprio stesso perimetro? I rilievi danno luogo ad azioni la cui efficacia viene verificata, o il rapporto chiude l’argomento?
La versione 2018 ha introdotto uno spostamento spesso mal recepito: l’approccio all’audit basato sui rischi. L’auditor non è più lì per scorrere una checklist articolo per articolo, ma per orientare lo sforzo di audit dove le poste in gioco sono reali, tenendo conto del contesto dell’organizzazione. Altra confusione frequente: ISO 19011 riguarda l’audit dei sistemi di gestione. Non sostituisce il quadro dell’audit interno finanziario, e non si applica tale e quale agli organismi di certificazione, che rientrano in ISO/IEC 17021.
Un audit si conclude con uno scostamento o una conformità, su un perimetro dato, a una data data. La diagnosi di maturità pone un’altra domanda: a quale livello di controllo si trova il vostro dispositivo di audit stesso, e quale azione precisa fa passare al livello successivo. Per una federazione o un gruppo cooperativo che sottopone ad audit i propri aderenti o i propri siti, questa lettura per livelli permette anche di confrontare le entità tra loro e di seguire il progresso nel tempo.
In Datamensio, il quadro di riferimento è pronto all’uso e potete adattarlo. L’IA modifica gli ambiti, riformula le domande secondo il vostro vocabolario e affina i livelli, oppure costruisce una declinazione a partire dalla vostra carta di audit e dalle vostre procedure esistenti.
Norma di riferimento: ISO 19011:2018
Gli ambiti valutati
Principi dell’audit
Appropriazione dei sette principi: deontologia, presentazione imparziale, dovuta professionalità, riservatezza, indipendenza, approccio basato sull’evidenza, approccio basato sul rischio.
Definizione del programma di audit
Obiettivi del programma, perimetro coperto, considerazione dei rischi e delle opportunità, priorizzazione dei siti e dei processi, articolazione con gli obblighi normativi e contrattuali.
Risorse e ruoli
Designazione del responsabile di programma, disponibilità effettiva degli auditor, budget e tempo allocati, strumenti e supporti, ricorso ad auditor esterni.
Competenza degli auditor
Criteri di competenza definiti, formazione iniziale e continua, esperienza di audit, valutazione periodica degli auditor, mantenimento e sviluppo delle competenze, conoscenza del settore sottoposto ad audit.
Preparazione e conduzione degli audit
Avvio, riesame documentale preliminare, piano di audit individuale, ripartizione dei lavori in team, conduzione dei colloqui, raccolta e verifica delle informazioni.
Rilievi e rapporto di audit
Qualificazione dei rilievi, tracciabilità delle evidenze, riunione di chiusura, tempistica e contenuto del rapporto, distinzione tra rilievo, opportunità di miglioramento e raccomandazione.
Monitoraggio delle azioni
Assegnazione delle azioni correttive, tempistiche, analisi delle cause, verifica dell’efficacia, chiusura formalizzata, segnalazione delle azioni ricorrenti.
Sorveglianza e riesame del programma
Indicatori di realizzazione e di qualità, monitoraggio della copertura del piano, riesame periodico del programma, riscontro degli auditati.
Miglioramento del dispositivo di audit
Aggiornamento dei metodi e delle griglie, armonizzazione tra auditor, sfruttamento trasversale dei rilievi, confronto nel tempo e tra entità.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
ISO 19011 è certificabile?
No. È un testo di linee guida, senza requisiti cogenti, quindi senza certificazione dell’organizzazione. È tuttavia sistematicamente utilizzata dagli auditor di certificazione per valutare la solidità del vostro audit interno, esso stesso richiesto dalla maggior parte delle norme di sistema di gestione.
Che differenza c’è tra questa diagnosi e un audit interno?
L’audit interno esamina un processo o un sito rispetto a un referenziale e si conclude con dei rilievi. Questa diagnosi riguarda il vostro dispositivo di audit stesso: programma, competenze, rilievi, monitoraggio delle azioni. Colloca ogni ambito su una scala di maturità e indica l’azione che fa progredire.
Quanto tempo richiede la valutazione?
La versione breve si compila in una sessione di lavoro. La versione completa, in modalità collaborativa con il responsabile di programma, gli auditor e i responsabili di processo, si estende generalmente su una o due settimane, con la maggior parte del tempo dedicata alla raccolta degli elementi di evidenza.
Si può adattare il quadro di riferimento alla nostra carta di audit?
Sì. Gli ambiti, le domande e i livelli sono modificabili, e l’IA può costruire una declinazione a partire dalla vostra carta di audit, dalle vostre procedure e dalle vostre griglie esistenti. Il quadro di riferimento resta sotto il vostro controllo.
Si possono confrontare più entità o aderenti?
Sì. Lo stesso quadro di riferimento può essere distribuito su più siti, filiali o cooperative aderenti, con un punteggio per ambito e un benchmark tra entità e rispetto alle campagne precedenti. L’IA raggruppa gli scostamenti convergenti in una roadmap consolidata.
Bisogna essere auditor qualificato per rispondere?
No. Le domande riguardano l’organizzazione del programma e le pratiche osservate, non la tecnica di audit di un referenziale particolare. Un responsabile qualità o conformità può rispondere, e la modalità collaborativa permette di assegnare le domande sulla competenza al responsabile di programma.
Questa diagnosi prepara un audit di certificazione?
Prepara la parte del fascicolo relativa all’audit interno, spesso uno dei punti deboli rilevati in certificazione. Non rilascia alcun certificato: Datamensio misura la maturità e produce il piano d’azione, l’organismo di certificazione convalida.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.