Лица, назначенные ответственными за руководство программой аудита, должны назначить руководителя аудиторской группы для конкретного аудита.
В случае проведения совместного аудита проверяющие организации до начала аудита должны придти к соглашению по конкретным обязанностям каждой организации, в особенности, в отношении полномочий руководителя группы, назначенного для аудита.
В рамках общих целей программы аудита, конкретный аудит должен основываться на документированных целях, объеме и критериях.
Цели аудита определяют, что должно быть достигнуто аудитом, и могут включать следующее:
а) определение степени соответствия системы менеджмента проверяемой организации или ее частей критериям аудита;
б) оценка способности системы менеджмента обеспечить соответствие законодательным, регламентирующим и контрактным требованиям;
в) оценка результативности системы менеджмента в достижении поставленных целей;
г) определение областей возможного улучшения системы менеджмента.
Цели аудита должны быть определены заказчиком аудита. Объем и критерии аудита должны быть определены совместно заказчиком аудита и руководителем аудиторской группы в соответствии с процедурами по программе аудита. Любые изменения целей, объема и критериев аудита подлежат согласованию этими же сторонами.
В случае проведения комплексного аудита, руководитель аудиторской группы должен обеспечить соответствие целей, объема и критериев аудита характеру комплексного аудита.
Осуществимость аудита должна быть определена с учетом таких факторов, как:
а) достаточность и соответствие информации для планирования аудита;
б) готовность к сотрудничеству со стороны проверяемой организации;
в) наличие времени и соответствующих ресурсов.
Если аудит неосуществим, то по результатам консультаций с проверяемой организацией заказчику аудита должен быть предложен альтернативный вариант.
Если аудит признан осуществимым, должна быть подобрана аудиторская группа, с учетом требуемой компетентности для достижения целей аудита. При наличии только одного аудитора, последний должен выполнять все предусмотренные обязанности руководителя аудиторской группы.
При определении размера и состава аудиторской группы необходимо учитывать следующее:
а) цели, объем и критерии аудита, а также его ориентировочную продолжительность;
б) является ли аудит комплексным или совместным;
в) общую компетентность аудиторской группы, необходимую для достижения целей аудита;
г) законодательные, регламентирующие, контрактные требования и требования органов аккредитации/сертификации, если применимо;
д) необходимость обеспечения независимости аудиторской группы от проверяемой деятельности и исключения конфликта интересов;
е) способность членов аудиторской группы к совместной работе и к эффективному взаимодействию с проверяемой организацией;
ж) язык аудита и понимание социальных и культурных особенностей проверяемой организации, это может быть достигнуто либо собственным опытом аудитора, либо с помощью технического эксперта.
Процесс обеспечения общей компетентности аудиторской группы должен включать следующие шаги:
- выявление знаний и умений, необходимых для достижения целей аудита;
- выбор членов аудиторской группы таким образом, чтобы аудиторская группа обладала всеми необходимыми знаниями и умениями.
Если необходимые знания и умения обеспечиваются аудиторами, входящими в аудиторскую группу, не в полном объеме, то недостающие знания и умения могут быть восполнены включением в группу технических экспертов. Технические эксперты должны работать под руководством аудитора. Аудиторы-стажеры могут быть включены в аудиторскую группу, но должны действовать только под руководством и контролем аудитора.
Как заказчик аудита, так и проверяемая организация могут попросить о замене конкретных членов аудиторской группы на разумных основаниях. Примеры разумных оснований включают ситуации конфликта интересов (например, член аудиторской группы – бывший работник проверяемой организации, или оказывал ей консультационные услуги) и неэтичное поведение в прошлом. Такие основания должны быть доведены до сведения руководителя аудиторской группы и до лиц, ответственных за руководство программой аудита, которые должны разрешить данную ситуацию совместно с заказчиком аудита и проверяемой организацией до принятия решения по замене членов группы.
Первоначальный контакт с проверяемой организацией может быть неофициальным или официальным, но должен устанавливаться лицами, назначенными ответственными за руководство программой аудита, или руководителем аудиторской группы. Цели первоначального контакта:
а) установление каналов связи с представителем проверяемой организации;
б) подтверждение полномочий на проведение аудита;
в) предоставление информации по предполагаемым срокам аудита и составу аудиторской группы;
г) запрос доступа к соответствующим документам, включая отчетные;
д) определение применимых правил техники безопасности на площадке аудита;
е) подготовка мероприятий аудита;
ж) достижение соглашения о присутствии наблюдателей и необходимости в сопровождающих для аудиторской группы.
До проведения аудита на местах должен быть проведен анализ документации проверяемой организации для определения соответствия документированной системы критериям аудита. Документация может включать соответствующие документы системы менеджмента, включая отчетные, и отчеты по предыдущим аудитам. Анализ должен учитывать размер, тип и сложность организации, а также цели и объем аудита. В ряде случаев, данный анализ может быть отложен до начала проведения аудита на местах, если это не нанесет ущерба результативности аудита. В других случаях, может оказаться необходимым предварительное посещение места аудита для получения общего представления об имеющейся информации.
Если документация будет признана неадекватной, то руководитель аудиторской группы должен сообщить об этом заказчику аудита, лицам, назначенным ответственными за руководство программой аудита, и проверяемой организации. Должно быть принято решение, может ли аудит быть продолжен или приостановлен до момента решения всех вопросов по документации.