Maturidade ISO 19011 · Diretrizes de auditoria interna
Um programa de auditoria interna medido segundo a ISO 19011, e a trajetória para o profissionalizar.
9 domínios, uma escala de 5 níveis. E a ação que faz passar de um nível para o seguinte.
Os 9 domínios do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 de uma vez.
Maturidade ISO 19011 · Diretrizes de auditoria interna
9 domínios, escala de 5 níveis.
Nordhavn Industries
53 / 100
Medem a sua maturidade com a Datamensio
Um exemplo
Esta situação podia ser a sua.
Vejamos o exemplo de uma empresa: três instalações, três folhas de cálculo, nenhuma resposta comum.
Ninguém sabe consolidar.
Nordhavn Industries, 2 400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta em que ponto está o grupo. Cada instalação responde na sua folha de cálculo, com as suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico ISO 19011:2018 lançado nas três instalações ao mesmo tempo, a partir das notas de entrevista dos responsáveis. O referencial já estava escrito, os 9 domínios e os níveis N1 a N5 também.
Duas despesas evitadas antes de serem assumidas.
Uma pontuação de 53 em 100, um desvio concentrado em três domínios. O assistente de IA detetou que duas ações do plano duplicavam as de outro diagnóstico. O relatório de resultados para a comissão foi pedido numa frase.
O que isto lhes evitou
- 3instalações medidas na mesma base, em vez de três questionários a retrabalhar
- 2ações duplicadas detetadas antes da despesa
- 1relatório de resultados para a comissão, sem retrabalho manual
Estes números são os de um exemplo. Podiam ser os seus.
A norma impõe processos. A Datamensio diz onde está.
01
O referencial já está escrito
Domínios, perguntas e níveis N1 a N5 redigidos. Não parte de uma folha de cálculo em branco.
02
A pontuação sai no próprio dia
Online, por link de autoavaliação ou em entrevista. Domínio a domínio, comparável ao longo do tempo.
03
O desvio transforma-se num plano com custos
Cada passagem de nível tem a sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A progressão demonstra-se
Campanha após campanha, face ao seu objetivo e ao seu histórico. É isso que a sua comissão executiva pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É este mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação numa trajetória.
A competência dos auditores internos está definida, avaliada e mantida?
- N1
Nenhum critério de competência definido. Os auditores são designados segundo a sua disponibilidade.
- N2
Uma formação inicial foi seguida pela maioria dos auditores, mas nenhum critério escrito nem avaliação vem confirmar a sua aptidão.
- N3
Critérios de competência estão formalizados por tipo de auditoria e aplicados na designação dos auditores. As formações são rastreadas.
- N4
Cada auditor é avaliado periodicamente, inclusive por observação no terreno, e daí resulta um plano de desenvolvimento individual.
- N5
Os critérios de competência são revistos segundo a evolução dos referenciais auditados e as constatações do programa, com um acompanhamento documentado das revisões.
Ação para passar de N2 a N3
Formalizar uma ficha de competência por tipo de auditoria (referencial, formação, experiência mínima, conhecimento do setor), fazê-la validar pelo responsável de programa e aplicá-la na constituição das equipas do próximo plano anual.
« Graças à Datamensio, cumprimos os nossos objetivos com muito mais eficácia. Os serviços de inspeção do FEDER e do nosso ministério de tutela apreciaram particularmente esta abordagem, que lhes fornece dados fiáveis. »
Diretora da CCI 94CCI Île-de-France
« Consideramos que é a solução mais adequada para levar o nosso projeto de transformação à escala e medir o impacto de acordo com as nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial combina-se. Associe vários para cobrir a sua atividade, ou peça à IA para escrever o seu.
Faça a sua primeira mediçãoem ISO 19011.
Sobre o que trata este referencial
A ISO 19011:2018 não estabelece requisitos: fornece diretrizes para a auditoria de sistemas de gestão, independentemente do referencial auditado. Cobre três objetos distintos: os princípios da auditoria (integridade, apresentação imparcial, independência, abordagem baseada em evidências), a gestão de um programa de auditoria (objetivos, riscos e oportunidades do programa, recursos, acompanhamento, revisão), e a realização das auditorias, desde o desencadeamento até ao encerramento das ações. Trata ainda da competência dos auditores e da sua avaliação.
Na prática, a dificuldade não está em conduzir uma auditoria, mas em manter um programa. O plano anual é construído a partir dos riscos e das prioridades da organização, ou é apenas repetido de ano para ano? Os auditores internos são realmente independentes das atividades que auditam, ou audita-se de facto o próprio âmbito? As constatações dão origem a ações cuja eficácia é verificada, ou o relatório encerra o assunto?
A versão de 2018 introduziu uma mudança frequentemente mal integrada: a abordagem da auditoria baseada nos riscos. O auditor já não está lá para percorrer uma lista de verificação artigo por artigo, mas para orientar o esforço de auditoria para onde os desafios são reais, tendo em conta o contexto da organização. Outra confusão frequente: a ISO 19011 diz respeito à auditoria de sistemas de gestão. Não substitui o quadro da auditoria interna financeira, e não se aplica tal e qual a organismos de certificação, que dependem da ISO/IEC 17021.
Uma auditoria conclui com um desvio ou uma conformidade, num âmbito determinado, numa data determinada. O diagnóstico de maturidade coloca outra questão: em que nível de controlo se encontra o seu próprio dispositivo de auditoria, e qual a ação precisa que permite passar ao nível seguinte. Para uma federação ou um grupo cooperativo que audita os seus associados ou os seus locais, esta leitura por níveis permite ainda comparar as entidades entre si e acompanhar a progressão ao longo do tempo.
No Datamensio, o referencial está pronto a usar e pode ser adaptado. A IA ajusta os domínios, reformula as perguntas segundo o seu vocabulário e afina os níveis, ou constrói uma variante a partir da sua carta de auditoria e dos seus procedimentos existentes.
Norma de referência: ISO 19011:2018
Os domínios avaliados
Princípios da auditoria
Apropriação dos sete princípios: deontologia, apresentação imparcial, zelo profissional, confidencialidade, independência, abordagem baseada em evidências, abordagem baseada no risco.
Estabelecimento do programa de auditoria
Objetivos do programa, âmbito abrangido, consideração dos riscos e oportunidades, priorização de locais e processos, articulação com as obrigações regulamentares e contratuais.
Recursos e funções
Designação do responsável de programa, disponibilidade efetiva dos auditores, orçamento e tempo atribuídos, ferramentas e suportes, recurso a auditores externos.
Competência dos auditores
Critérios de competência definidos, formação inicial e contínua, experiência de auditoria, avaliação periódica dos auditores, manutenção e desenvolvimento das competências, conhecimento do setor auditado.
Preparação e realização das auditorias
Desencadeamento, revisão documental prévia, plano de auditoria individual, distribuição dos trabalhos em equipa, condução das entrevistas, recolha e verificação das informações.
Constatações e relatório de auditoria
Qualificação das constatações, rastreabilidade das evidências, reunião de encerramento, prazo e conteúdo do relatório, distinção entre constatação, oportunidade de melhoria e recomendação.
Acompanhamento das ações
Atribuição das ações corretivas, prazos, análise das causas, verificação da eficácia, encerramento formalizado, deteção das ações recorrentes.
Vigilância e revisão do programa
Indicadores de realização e de qualidade, acompanhamento da cobertura do plano, revisão periódica do programa, retorno de experiência dos auditados.
Melhoria do dispositivo de auditoria
Atualização dos métodos e das grelhas, harmonização entre auditores, exploração transversal das constatações, comparação ao longo do tempo e entre entidades.
Está disponível uma versão curta do referencial para a auto-avaliação online.
Perguntas frequentes
A ISO 19011 é certificável?
Não. É um texto de diretrizes, sem requisitos vinculativos, logo sem certificação de organização. É, no entanto, sistematicamente mobilizada pelos auditores de certificação para avaliar a solidez da sua auditoria interna, ela própria exigida pela maioria das normas de sistema de gestão.
Qual a diferença entre este diagnóstico e uma auditoria interna?
A auditoria interna examina um processo ou um local face a um referencial e conclui com constatações. Este diagnóstico incide sobre o seu próprio dispositivo de auditoria: programa, competências, constatações, acompanhamento das ações. Situa cada domínio numa escala de maturidade e indica a ação que faz progredir.
Quanto tempo demora a avaliação?
A versão curta preenche-se numa sessão de trabalho. A versão completa, em modo colaborativo com o responsável de programa, os auditores e os responsáveis de processo, estende-se geralmente por uma a duas semanas, indo a maior parte do tempo para a recolha dos elementos de prova.
Pode-se adaptar o referencial à nossa carta de auditoria?
Sim. Os domínios, as perguntas e os níveis são modificáveis, e a IA pode construir uma variante a partir da sua carta de auditoria, dos seus procedimentos e das suas grelhas existentes. O referencial permanece sob o seu controlo.
Pode-se comparar várias entidades ou associados?
Sim. O mesmo referencial pode ser implementado em vários locais, filiais ou cooperativas associadas, com uma pontuação por domínio e um benchmark entre entidades e em relação a campanhas anteriores. A IA agrupa os desvios convergentes num roteiro consolidado.
É preciso ser auditor qualificado para responder?
Não. As perguntas incidem sobre a organização do programa e as práticas observadas, não sobre a técnica de auditoria de um referencial específico. Um responsável de qualidade ou conformidade pode responder, e o modo colaborativo permite atribuir as perguntas de competência ao responsável de programa.
Este diagnóstico prepara uma auditoria de certificação?
Prepara a parte do dossier relativa à auditoria interna, muitas vezes um dos pontos fracos apontados na certificação. Não emite qualquer certificado: a Datamensio mede a maturidade e produz o plano de ação, o organismo certificador valida.
Onde estão hospedados os dados?
Em França, na OVH, com cópia de segurança na Scaleway. Nenhuma transferência fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, incluindo entre soluções europeias.