Pemahaman ISO 19011:2018
Apa itu ISO 19011:2018 , Apa sebenarnya “audit” itu?
Apa sebenarnya “audit” itu?
Organisasi Internasional untuk Standardisasi mendefinisikannya sebagai:
“[proses] yang sistematis, independen dan terdokumentasi untuk memperoleh bukti objektif dan mengevaluasinya secara objektif untuk menentukan sejauh mana kriteria audit terpenuhi.” – ISO, dari ISO 19011:2018 – Pedoman Sistem Manajemen Audit
Itu cara lain untuk mengatakan bahwa seseorang melihat apa yang Anda lakukan, mengumpulkan beberapa bukti, dan membandingkan bukti itu dengan apa yang seharusnya Anda lakukan (dengan kata lain, serangkaian persyaratan yang didokumentasikan dengan jelas).
Dalam kasus ISO, persyaratan ini dikenal sebagai standar. ISO 9001 adalah standar. ISO 14001 adalah standar.
Yang penting, pemahaman audit ini menyiratkan bahwa ada beberapa hal utama yang dipertimbangkan oleh auditor:
Apa yang didokumentasikan oleh perusahaan (misalnya proses internal, kebijakan, dan SOP)
Bukti yang dikumpulkan untuk mendukung bagaimana kebijakan, prosedur, dan SOP ini diterapkan dalam praktik
Persyaratan yang ditentukan oleh standar ISO yang diaudit (misalnya ISO 9001)
Audit yang dilakukan oleh perusahaan untuk menilai dan menganalisis sistem manajemen mereka sendiri dikenal sebagai audit internal. Ada banyak sumber daya untuk memandu perusahaan tentang cara melakukan audit internal, dan yang terpenting adalah standar ISO 19011.
Untuk sebagian besar standar sistem manajemen, audit internal merupakan persyaratan penting. Bahkan standar pedoman seperti ISO 26000 untuk tanggung jawab sosial bergantung pada laporan untuk membuktikan keberhasilan implementasinya.
Dengan demikian, ISO 19011 mendefinisikan seperangkat pedoman; kerangka kerja bagi perusahaan untuk merencanakan, menerapkan, dan meningkatkan program audit mereka, untuk mengaudit penerapan sistem manajemen.
Sejak edisi pertama ISO 19011 diterbitkan pada tahun 2002, banyak standar sistem manajemen baru telah diterbitkan.
Standar-standar ini sering kali memiliki struktur yang sama, termasuk persyaratan, istilah, dan definisi tertentu yang digunakan. Itu berarti ISO 19011 dapat digunakan untuk merancang program audit yang sangat ekonomis, di mana pengetahuan dan proses dapat dibagikan dan diterapkan di berbagai sistem manajemen.
Dengan mempertimbangkan bagaimana mereka dapat mengambil pendekatan yang lebih luas untuk audit dan integrasi sistem manajemen, perusahaan yang menerapkan sistem manajemen ISO dapat menghemat waktu, uang, dan kebingungan saat mempersiapkan dan mengimplementasikan audit internal.
Tujuan dari posting ini adalah untuk memberikan batu loncatan untuk memahami ISO 19011, dan bagaimana memulai dengan audit ISO internal. Dalam posting ini, saya akan membahas:
Apa itu ISO 19011?
7 prinsip audit ISO
Berbagai jenis audit ISO
Elemen kunci dari audit ISO
Apa itu ISO 19011?
ISO 19011 adalah seperangkat pedoman untuk mengaudit sistem manajemen.
Ini bukan seperangkat persyaratan. Anda tidak bisa mendapatkan “bersertifikat ISO 19011”.
Ini seperti meta-standar yang dirancang untuk memberi tahu perusahaan bagaimana mempersiapkan program audit untuk mengaudit sistem manajemen mereka (sistem manajemen mutu, sistem manajemen lingkungan, sistem manajemen risiko, dan lain-lain).
Pada saat penulisan, revisi terbaru, ISO 19011:2018 (Pedoman untuk mengaudit sistem manajemen), diterbitkan pada Juli 2018 sebagai tanggapan atas permintaan panduan tentang audit sistem manajemen gabungan.
ISO 19011 memiliki tiga bagian penting mengenai sistem manajemen audit:
Bagaimana mengelola program audit
Pendekatan untuk mengevaluasi kompetensi auditor
Ada juga fokus besar pada penerapan prinsip-prinsip perbaikan berkelanjutan untuk program audit.
Salah satu prinsip utama dari pendekatan semacam itu adalah memastikan bahwa tujuan program audit selaras dengan tujuan bisnis utama organisasi, dan bahwa kebutuhan dan kepentingan terbaik pelanggan dan pemangku kepentingan lainnya diprioritaskan.
Area yang semakin penting dalam audit sistem manajemen adalah prinsip manajemen risiko.
Apa itu ISO 190011:2018 : Standar Sistem Manajemen (SSM)
Standar sistem manajemen (SSM) mengacu pada struktur bersama yang digunakan sistem manajemen ISO untuk memudahkan organisasi mengintegrasikan beberapa sistem manajemen dengan menggunakan kembali pengetahuan dan langkah-langkah yang diperlukan untuk implementasi.
ANEX L
ANEX L adalah struktur tingkat tinggi (HLS) yang dirancang untuk merampingkan pembuatan, pemeliharaan, dan peningkatan sistem manajemen.
Berdasarkan struktur inti dari sepuluh klausa, Lampiran L dimiliki oleh banyak standar sistem manajemen ISO, seperti ISO 9001:2015, ISO 14001:2015, dan ISO 45001:2018.
Ini menggantikan standar Panduan 83 ISO sebelumnya, yang menyediakan struktur dan format dasar untuk standar sistem manajemen.
TUJUH PRINSIP AUDIT
ISO 19011 mendefinisikan 7 prinsip utama yang membantu memastikan audit adalah alat yang efektif dan andal, mendukung sistem manajemen yang mereka audit dengan memberikan informasi yang dapat ditindaklanjuti yang dapat digunakan organisasi untuk meningkatkan kinerja.
Prinsip-prinsip ini dirancang untuk memungkinkan auditor bekerja secara independen satu sama lain untuk mencapai kesimpulan yang sama dalam keadaan yang sama.
Mereka juga membentuk dasar untuk panduan yang diuraikan dalam tiga elemen kunci dari audit ISO yang muncul kemudian dalam artikel ini (dan dalam ISO 19011, klausul 5 sampai 7).
Integritas: Landasan profesionalisme
Auditor dan manajer program audit harus melakukan pekerjaan mereka secara etis, jujur dan bertanggung jawab, dan menggunakan penilaian terbaik mereka harus:
Melakukan kegiatan audit hanya jika kompeten untuk melakukannya
Lakukan pekerjaan dengan cara yang adil dan tidak memihak
Tetap peka terhadap pengaruh yang diberikan pada penilaian mereka saat melakukan audit
Penyajian yang adil: kewajiban untuk melaporkan secara jujur dan akurat
Semua temuan audit, termasuk bukti yang terdokumentasi, kesimpulan dan laporan tertulis harus mencerminkan secara jujur dan akurat kegiatan audit.
Ini termasuk hambatan, perbedaan pendapat dengan auditor lain, atau kesulitan yang dihadapi selama audit. Semuanya harus didokumentasikan secara memadai.
Tak perlu dikatakan bahwa semua komunikasi, bukan hanya informasi yang didokumentasikan dan dilaporkan, harus jujur, tepat waktu, rasional, jelas, dan lengkap.
Kehati-hatian profesional:
Ketekunan dan pertimbangan dalam mengaudit
Auditor harus melaksanakan kehati-hatian profesional dalam semua tugas yang dilakukan selama audit, sesuai dengan kepercayaan yang diberikan oleh auditee dan pengakuan akan pentingnya tugas yang mereka lakukan.
Salah satu persyaratan terpenting dari prinsip ini adalah bahwa auditor memiliki kemampuan untuk membuat pertimbangan yang masuk akal dalam semua situasi selama audit.
Kerahasiaan: Keamanan informasi
Auditor harus menghormati kerahasiaan semua informasi yang mereka tangani selama audit.
Ini berarti melakukan uji tuntas dalam memastikan semua informasi yang diperoleh selama menjalankan tugasnya sebagai auditor dihormati dan dilindungi secara memadai.
Memastikan keamanan informasi termasuk mengambil tindakan pencegahan khusus jika diperlukan, seperti menangani informasi sensitif atau rahasia.
Independensi: Ketidakberpihakan dan objektivitas audit
Audit, pada dasarnya, harus independen dari aktivitas yang diaudit, sejauh mungkin. Mereka tidak boleh mengganggu aktivitas, juga tidak boleh memiliki bias atau konflik kepentingan.
Jika memungkinkan, audit internal sebaiknya independen dari fungsi yang diaudit.
Kunci dari semua audit adalah mengejar objektivitas melalui proses rasional, untuk memastikan semua temuan dan hasil dari audit hanya didasarkan pada bukti audit.
Organisasi yang lebih kecil mungkin merasa sulit untuk merekrut auditor yang benar-benar independen; karena itu setiap upaya harus dilakukan untuk menghilangkan bias dan mendorong pengejaran objektivitas rasional.
Pendekatan berbasis bukti:
Hasil yang rasional, andal, dan dapat direproduksi
Bukti adalah salah satu pilar audit yang sukses, dan dasar dari hasil yang rasional, andal, dan dapat direproduksi.
Bukti audit harus didasarkan pada sampel informasi yang tersedia, dengan pengakuan fakta bahwa audit dilakukan dalam periode waktu yang terbatas, dengan sumber daya yang terbatas.
Pengumpulan bukti audit didasarkan pada proses formal yang dikenal sebagai sampling audit.
Pengambilan sampel audit biasanya melibatkan langkah-langkah berikut:
Menetapkan tujuan pengambilan sampel yang jelas
Menentukan berapa banyak, dan apa yang akan dijadikan sampel
Memilih metode pengambilan sampel
Menentukan ukuran sampel
Melakukan pengambilan sampel
Mendokumentasikan dan melaporkan semua hasil
Rincian lebih lanjut dari berbagai proses pengambilan sampel audit diperluas dalam lampiran A.6 dari ISO 19011:2018.
Pendekatan berbasis risiko: Mempertimbangkan risiko dan peluang
Manajemen risiko merupakan faktor penting ketika merencanakan, melaksanakan, dan mendokumentasikan audit.
Tujuan dari pendekatan berbasis risiko hanyalah untuk mengarahkan audit secara lebih jelas terhadap hal-hal yang penting bagi klien audit dan pencapaian tujuan audit.
TYPE AUDIT ISO
ISO 19011 adalah standar yang dirancang untuk membantu perusahaan melakukan audit.
Ketika berbicara tentang standar ISO, ada dua jenis audit utama yang berbeda:
Audit internal (pihak pertama)
Audit eksternal (pihak kedua dan pihak ketiga)
ISO 19011 berspesialisasi dalam audit pihak pertama dan kedua, dan dirancang untuk digunakan oleh tim audit dari semua jenis dan ukuran, dari auditor tunggal hingga tim yang lebih besar yang cocok untuk audit perusahaan skala penuh.
Ingatlah bahwa ISO 19011 adalah seperangkat pedoman; itu bukan satu set lengkap persyaratan yang perlu diikuti langkah demi langkah. Panduan yang ditawarkan oleh ISO 19011 harus diadopsi sesuai dengan kebutuhan dan persyaratan khusus dari program audit yang bersangkutan.
ISO 19011 juga dapat digunakan sebagai panduan tambahan untuk audit pihak ketiga, tetapi persyaratan khusus untuk mengaudit sistem manajemen ditetapkan dalam ISO/IEC 17021-1; persyaratan ini untuk digunakan oleh auditor utama bersertifikat atau badan terdaftar saat melaksanakan audit sertifikasi.
Di bawah ini Anda dapat menemukan perincian singkat dari setiap jenis audit.
Pihak pertama
Ini hanya audit internal.
Audit internal dilakukan oleh (atau atas nama) organisasi itu sendiri. Audit ini biasanya dalam konteks menilai kesesuaian, mengevaluasi efektivitas, mengidentifikasi area yang dapat ditingkatkan, atau sebagai persyaratan untuk standar ISO tertentu yang menetapkan bahwa audit internal perlu dilakukan.
Audit pihak pertama juga dapat dilakukan sebagai persiapan untuk audit pihak ketiga; namun, audit pihak pertama tidak akan pernah bisa menghasilkan sertifikasi ISO.
Pihak kedua
Audit eksternal mencakup audit pihak kedua dan ketiga.
Audit pihak kedua dilakukan oleh, atau atas permintaan pihak berkepentingan yang relevan di luar organisasi, seperti pelanggan atau organisasi yang dikontrak atas nama pelanggan.
Misalnya, klien dan vendor memiliki kontrak, dan barang atau jasa dipertukarkan. Biasanya, audit pihak kedua akan lebih formal daripada pihak pertama, karena akan mempengaruhi hubungan dengan pelanggan atau pihak berkepentingan terkait lainnya.
Pihak ketiga
Audit pihak ketiga dilakukan oleh organisasi independen yang tidak memiliki kepentingan pribadi atau konflik kepentingan dalam organisasi yang diaudit, seperti yang memberikan sertifikasi, atau lembaga pemerintah.
Independensi organisasi audit adalah salah satu faktor penentu audit pihak ketiga.
Pelanggan juga dapat meminta audit pihak ketiga, dan ini biasanya untuk memverifikasi bahwa Anda memenuhi beberapa persyaratan khusus.
Hanya audit pihak ketiga yang dapat digunakan untuk mendapatkan sertifikasi ISO. Audit pihak ketiga juga dapat menghasilkan jenis pendaftaran, pengakuan, atau lisensi lainnya.
Sama halnya, kegagalan audit pihak ketiga juga dapat mengakibatkan denda atau kutipan.
TYPE AUDIT ISO 19011:2018
Secara umum, audit ISO akan terdiri dari elemen kunci berikut, atau tahapan:
Manajemen audit
persiapan audit
Proses audit
Mengumpulkan bukti
Evaluasi bukti audit terhadap kriteria audit
Menutup audit
Menindaklanjuti
Kompetensi dan evaluasi auditor
Masing-masing tahapan ini akan melibatkan berbagai sub-tugas dan persyaratan, tergantung pada standar spesifik yang diaudit.
Karena ISO 19011 adalah standar yang memberikan pedoman untuk mengaudit sistem manajemen, ini terstruktur dengan cara yang berhubungan dengan persiapan dan pelaksanaan audit, tetapi juga mencakup bagaimana organisasi dapat mengevaluasi kompetensi dan pemilihan auditor yang sebenarnya.
Perlu dicatat bahwa ISO 19011 tidak dapat “diaudit”; melainkan merupakan standar yang mendefinisikan pedoman bagi organisasi untuk menyusun audit mereka.
Jadi pada dasarnya, ISO 19011 adalah seperangkat pedoman untuk mengaudit sistem manajemen ISO lainnya terhadap standar sistem manajemen masing-masing.
Meskipun demikian, ISO 19011 menawarkan informasi yang sangat berharga tentang cara melakukan audit terhadap standar sistem manajemen ISO apa pun.
Ingatlah bahwa audit menyiratkan perbandingan terhadap serangkaian persyaratan. Untuk audit ISO, kumpulan persyaratan adalah standar apa pun yang diaudit.
Mari kita ambil contoh sistem manajemen mutu. Dalam hal ini, persyaratan akan menjadi standar keluarga ISO 9000; katakanlah, ISO 9001:2015.
Jadi, bagaimana SMM organisasi diaudit dengan persyaratan ISO 9001:2015?
Secara sederhana, auditor harus melihat dua hal:
Bagaimana SMM didokumentasikan
Bagaimana bukti yang dikumpulkan dibandingkan dengan persyaratan ISO 9001:2015
Berdasarkan informasi ini, auditor kemudian akan dapat menentukan kesesuaian dan ketidaksesuaian, dan menawarkan saran kepada auditee tentang bagaimana mereka dapat meningkatkan SMM mereka.
Di bawah ini, saya akan menguraikan tiga elemen inti yang ditetapkan dalam ISO 19011 untuk mendekati audit ISO.
Manajemen audit
Manajemen audit dimulai dengan penetapan program audit. Tujuan dari program audit adalah untuk mengawasi seluruh proses audit, termasuk perencanaan dan ruang lingkup, yang mencakup penentuan sistem manajemen (atau sistem) mana yang akan diaudit, dan persyaratan khusus.
Cakupan penuh dari sistem audit juga akan tergantung pada ukuran auditee (perusahaan yang diaudit), serta sifat dan kompleksitas sistem manajemen yang diaudit.
Selama tahap ini, perencanaan dan persiapan audit dibuat, termasuk peninjauan semua informasi terdokumentasi yang tersedia untuk sistem manajemen yang diaudit, dan penetapan tujuan dan kriteria audit yang jelas.
Pekerjaan yang dilakukan di bawah panji “manajemen audit” berlanjut untuk menginformasikan dan mengarahkan tindakan auditor selama proses audit utama.
Bagian penting dari manajemen audit adalah memastikan seluruh pihak audit telah meninjau secara memadai semua informasi terdokumentasi untuk sistem manajemen yang diaudit.
Proses audit
“Proses audit” mungkin agak kabur, tetapi pada dasarnya berarti segala sesuatu yang benar-benar dilakukan untuk melakukan audit, mulai dari menghubungi pihak yang diaudit untuk menyiapkan atau meminta informasi terdokumentasi, dan diakhiri dengan melakukan rapat penutup dan mendistribusikan laporan audit yang telah diselesaikan. .
Salah satu hal pertama yang harus dilakukan adalah menentukan kelayakan audit.
Bekerja dari tujuan audit yang ditetapkan selama tahap perencanaan manajemen audit, ini pada dasarnya menanyakan “dapatkah kita (auditor) mencapai tujuan audit, berdasarkan waktu, sumber daya, informasi, dan kerjasama dengan auditee?”.
Proses audit juga melibatkan persiapan rencana audit yang lengkap, menyiapkan informasi terdokumentasi tambahan untuk audit (seperti standar referensi dan dokumen untuk dibawa selama pengumpulan bukti di tempat), mempersiapkan dan melaksanakan rapat pembukaan, mengumpulkan bukti audit, mengevaluasi bukti terhadap kriteria audit, dan menyiapkan laporan audit akhir.
Ada banyak hal yang masuk ke dalam proses audit utama; poin di atas hanyalah ringkasan singkat dari langkah-langkah kunci. Proses lengkap, dari awal hingga akhir, diuraikan dalam template ISO 19011:2018 gratis yang muncul kemudian di artikel.
Kompetensi dan evaluasi auditor
Komponen terakhir dari standar ISO 19011 ditujukan untuk memberikan pedoman umum untuk memastikan auditor kompeten untuk melakukan pekerjaan mereka.
Idealnya, kompetensi harus dievaluasi secara berkala dengan menggunakan proses yang mempertimbangkan perilaku dan pengetahuan setiap auditor.
Proses tersebut juga harus mempertimbangkan kebutuhan, tujuan, dan pertimbangan khusus dari program audit yang bersangkutan.
Seperti halnya semua standar, persyaratan, dan pedoman ISO, seluruh proses evaluasi kompetensi auditor harus didokumentasikan secara memadai, untuk menjaga konsistensi, dan memastikan hasil yang adil dan andal.
Proses evaluasi kompetensi auditor memiliki empat langkah utama:
Tentukan tingkat kompetensi yang dibutuhkan untuk pekerjaan itu
Tetapkan beberapa kriteria untuk mengevaluasi kompetensi
Pilih metode untuk mengevaluasi kompetensi
Lakukan evaluasi
Setelah evaluasi, hasilnya akan berkontribusi pada evaluasi kinerja auditor yang berkelanjutan, dan dapat digunakan untuk menginformasikan keputusan berikut:
Memilih tim audit
Menentukan apakah ada kebutuhan untuk peningkatan kompetensi (misalnya lebih banyak pelatihan)
Kompetensi dan evaluasi auditor juga memberikan umpan balik dan mendukung prinsip perbaikan berkelanjutan, yang memungkinkan tim audit untuk mempertahankan dan meningkatkan kompetensi melalui partisipasi berulang dalam audit.
Untuk proses spesifik untuk mengevaluasi auditor dan pemimpin tim audit, lihat klausul 7.3, 7.4, dan 7.5 dari ISO 19011:2018; untuk individu yang bertanggung jawab untuk mengelola program audit (tidak harus auditor itu sendiri), lihat klausul 5.4.2.
menilai kompetensi
Pilih metode untuk mengevaluasi kompetensi
Lakukan evaluasi
Setelah evaluasi, hasilnya akan berkontribusi pada evaluasi kinerja auditor yang berkelanjutan, dan dapat digunakan untuk menginformasikan keputusan berikut:
Memilih tim audit
Menentukan apakah ada kebutuhan untuk peningkatan kompetensi (misalnya lebih banyak pelatihan)
Kompetensi dan evaluasi auditor juga memberikan umpan balik dan mendukung prinsip perbaikan berkelanjutan, memungkinkan tim audit untuk mempertahankan dan meningkatkan kompetensi melalui partisipasi berulang dalam audit.
Untuk proses spesifik untuk mengevaluasi auditor dan pemimpin tim audit, lihat klausul 7.3, 7.4, dan 7.5 dari ISO 19011:2018; untuk individu yang bertanggung jawab untuk mengelola program audit (tidak harus auditor itu sendiri), lihat klausul 5.4.2.
