Sådan følger I op på en SMETA-audit og dokumenterer indsatsen troværdigt

Opfølgning på en SMETA-audit bør håndteres som en proces for afvigelser og korrigerende handlinger – ikke som en administrativ opdatering af auditrapporten. Organisationen bør først afklare omfang og risiko for hver observation, beskytte medarbejderne mod yderligere konsekvenser, fjerne årsagen til problemet og dokumentere, at ændringen reelt er implementeret. En observation kan først lukkes efter en særskilt vurdering af effektiviteten: At en opgave er udført, dokumenterer ikke i sig selv, at problemet ikke opstår igen. En troværdig proces kombinerer derfor årsagsanalyse, entydigt procesejerskab, dokumentation fra den løbende drift og en uafhængig kontrol af resultatet.

Rapporten er begyndelsen på processen

En SMETA-rapport er ikke en liste over dokumenter, der blot skal suppleres. Den er udgangspunktet for en struktureret håndtering af auditobservationer. En umiddelbar korrektion fjerner den konstaterede virkning, eksempelvis ved at rette en fejl i tidsregistreringen eller fremskaffe manglende dokumentation for gennemført undervisning. En korrigerende handling skal derimod reducere årsagen til problemet og risikoen for gentagelse gennem ændringer i planlægning, ansvar, kontrol eller ledelsesmæssigt tilsyn. Et rettet dokument er derfor ikke i sig selv dokumentation for, at den mekanisme, som førte til afvigelsen, er bragt under kontrol.

Inden indsatsen planlægges, skal fakta og problemets afgrænsning bekræftes. Analysen bør vise, hvilken proces, lokation, periode og medarbejdergruppe observationen vedrører, hvor omfattende problemet er, og om det også forekommer uden for den stikprøve, som blev undersøgt under auditten. Auditrapportens ordlyd, klassificeringen af observationen og fristerne i auditdokumentationen er fortsat det formelle udgangspunkt. Reaktionens omfang bør imidlertid fastlægges ved at undersøge alle potentielt berørte lokationer, kontrakter, processer og medarbejdergrupper. Den samme tilgang er relevant, når organisationen skal afklare, hvordan virksomheden forberedes til en andenpartsaudit hos en kritisk leverandør.

En observation vedrørende en enkelt kontrakt bør eksempelvis ikke alene føre til, at dette dokument bliver rettet. Organisationen bør også kontrollere andre kontrakter af samme type samt metoden til udarbejdelse af skabeloner, godkendelse af afvigelser og periodisk gennemgang af personaledokumenter. Én observation kan udløse flere koordinerede handlinger. Det er dog ikke nødvendigt med en særskilt handlingsplan for hver enkelt, hvis en fælles årsag og samme procesejer gør en samlet styring mere hensigtsmæssig.

Fortolkningen af observationen bør godkendes af procesejeren sammen med de ansvarlige for det berørte område. Hvis sagen har væsentlig betydning for medarbejderne, efterlevelsen af krav eller driftskontinuiteten, bør det relevante medlem af ledelsen også involveres. Den auditansvarlige eller auditkoordinatoren kan vedligeholde registret, følge frister og kontrollere, at dokumentationen er sammenhængende, men bør ikke overtage ansvaret for procesændringen. Handlingens ejer skal være en person med mandat til at ændre arbejdets organisering, kontrolprincipper, ressourcer eller samarbejdsbetingelser.

Det er desuden vigtigt at adskille svaret til kunden eller auditplatformen fra organisationens interne forbedringsproces. Det eksterne svar skal adressere den konkrete observation og den fastsatte frist præcist. Den interne analyse kan derimod omfatte en større stikprøve, flere lokationer og yderligere risikobegrænsende foranstaltninger. Omfanget af den interne analyse afgør, om organisationen alene fjerner et enkelt symptom eller reelt reducerer risikoen for, at problemet gentager sig.

Risiko før tidsplan

Prioriteringen efter en SMETA-audit bør baseres på en vurdering af den sociale risiko – ikke på, hvor let det er at indsamle dokumenter. For hver observation bør organisationen vurdere alvoren af den mulige skade, antallet af eksponerede personer, problemets varighed, om konsekvenserne kan genoprettes, og sandsynligheden for fortsat tilsidesættelse af krav. Hvis risikoen fortsat er til stede, eller medarbejdernes rettigheder fortsat krænkes, skal den pågældende praksis eller proces standses, og beskyttende foranstaltninger etableres først. Den fulde årsagsanalyse kan afsluttes senere, men beskyttelsen af mennesker må ikke udsættes af den grund.

Planen bør skelne mellem en omgående indsats, korrektion af det konkrete tilfælde, en korrigerende handling rettet mod årsagen og en systemisk løsning, der omfatter den bredere proces. Hvert niveau har sit eget formål, sin egen frist og sin egen metode til verifikation. Ved mistanke om forkert opgørelse af arbejdstid bør organisationen først standse den fejlbehæftede beregningsmetode, derefter fastlægge antallet af berørte personer og den relevante periode, korrigere opgørelserne og til sidst ændre reglerne for planlægning, godkendelse og kontrol. Beslutningsgrundlaget kan afhængigt af sagen omfatte arbejdstidsregistreringer, lønoplysninger, kontrakter, klager, medarbejdersamtaler og arbejdsmiljødokumentation.

Før reaktionen godkendes, skal det kontrolleres, om den er i overensstemmelse med de krav, der er relevante for observationen, herunder navnlig krav vedrørende ansættelsesforhold, arbejdsmiljø, arbejdstidsregistrering, løn, databeskyttelse og rekrutteringspraksis. Vurderingens omfang afhænger af sagens karakter. En tidsplan aftalt med kunden erstatter ikke gældende forpligtelser og kan ikke begrunde, at en praksis, som indebærer risiko for medarbejderne, fortsættes.

Fristen skal tage højde for kravene i rapporten, platformen, kundeaftalen eller den godkendte handlingsplan samt de nødvendige ressourcer, indbyrdes afhængigheder og tiden til effektivitetskontrol. Hvis der er risiko for, at fristen ikke kan overholdes, bør kunden informeres inden fristens udløb om årsagen til forsinkelsen og de etablerede sikringsforanstaltninger. At vente med at stoppe en risikofyldt praksis, begrænse analysen til én lokation eller angive en dato uden at kontrollere gennemførligheden øger både omkostningerne og reaktionsrisikoen. En tydelig overdragelse af ansvar er her lige så vigtig som i processen for onboarding af en ny kvalitetsingeniør eller ISO-ansvarlig.

En handlingsplan baseret på årsagen

Handlingsplanen bør bygge på en præcis problembeskrivelse og ikke alene på navnet på den kategori, som observationen er placeret i i SMETA-rapporten. Beskrivelsen skal angive det relevante krav, den konstaterede faktiske situation, stedet, omfanget og den objektive dokumentation. Formuleringen „proceduren blev ikke fulgt” forklarer ikke, hvem der handlede forkert, under hvilke betingelser eller med hvilken konsekvens. En anvendelig beskrivelse angiver processen, medarbejdergruppen, perioden eller lokationen samt forskellen mellem den krævede og den faktiske tilstand. Den bør også etablere en målbar baseline, så den senere effektivitetsvurdering kan baseres på en sammenligning af resultater frem for på erklæringer.

Årsagsanalysen må ikke standse ved „menneskelig fejl”. Organisationen bør undersøge arbejdsplanlægning, ansvarsfordeling, informationsflow, ledelsesmæssigt tilsyn, kompetencer, aflønningssystemer, ressourcetilgængelighed og IT-værktøjernes funktion. Analysen bør bygge på dokumenter, observation af processen og samtaler med de personer, der udfører og leder arbejdet. Afhængigt af observationens karakter bør historikken for tilsvarende afvigelser, klager, arbejdsmiljøhændelser, lønfejl eller overskridelser af arbejdstiden også inddrages. Hvis fjernelsen af den identificerede årsag ikke ændrer de forhold, som gjorde problemet muligt, eller ikke forklarer, hvorfor det gentager sig, er det sandsynligvis et symptom og ikke den egentlige årsag, der er identificeret.

Hvis overarbejde regelmæssigt godkendes efter, at det er udført, kan undervisning af lederne forbedre deres kendskab til reglerne. Det løser dog ikke problemet, hvis produktionsplanen fortsat forudsætter en bemanding, der ikke er til rådighed, bonusmål fremmer overskridelser af arbejdstiden, og registreringssystemet ikke advarer om grænseoverskridelser. Den korrigerende handling kan i så fald kræve ændrede principper for bemandingsplanlægning, godkendelsesgrænser og kontrol med undtagelser, eventuelt suppleret med en teknisk ændring. En opdateret procedure og undervisning er kun tilstrækkeligt, hvis analysen dokumenterer en reel mangel i krav eller kompetencer, og processen ikke indeholder andre mekanismer, som fortsat tillader overtrædelsen.

For hver handling bør planen angive en ejer med mandat til at gennemføre den, det forventede resultat, fristen, de nødvendige ressourcer, afhængigheder til andre processer, den forventede dokumentation for gennemførelse og metoden til vurdering af effektiviteten. Dokumentation for gennemførelse kan være en godkendt konfigurationsændring, et kontrolspor, en korrigeret afregning eller resultatet af en dokumentgennemgang. Effektivitetskriteriet bør svare til risikoen og kan eksempelvis omfatte, at der ikke konstateres nye overskridelser i en fastlagt observationsperiode, at undtagelser godkendes rettidigt, eller at den undersøgte stikprøve af opgørelser er korrekt. Handlingens ejer bør ikke alene godkende effektiviteten, hvis det reducerer vurderingens uafhængighed.

Observationer, der omfatter flere processer, lokationer eller årsager, kræver en struktureret metode, som forbinder fakta, analyse, beslutninger og verifikation. En anvendelig struktur er A3 problem solving – sådan udarbejdes ét dokument, der leder teamet frem til løsningen. Metoden skal tilpasses observationens kompleksitet og risiko. En enkel analyse kan være tilstrækkelig ved en isoleret mangel, mens et tilbagevendende eller systemisk problem normalt kræver sammenligning af data, afprøvning af årsagshypoteser og stillingtagen til, om der er behov for organisatoriske eller tekniske ændringer – eller begge dele.

Dokumentationen skal gøre ændringen sporbar

Dokumentationspakken skal gøre det muligt at fastslå, hvad der blev ændret, hvornår og af hvem, hvor bredt ændringen blev implementeret, og hvilken gruppe handlingen omfattede. Et underskrevet dokument bekræfter normalt kun, at dokumentet eksisterer – ikke at løsningen anvendes. Allerede under planlægningen bør organisationen derfor fastlægge de forventede registreringer, deres ejere og de oplysninger, som knytter dem til den konkrete observation: dato for godkendelse og ikrafttræden, versionsnummer, lokation, skiftehold, medarbejdergruppe eller den dokumentmængde, som ændringen omfatter.

Dokumentationen bør vælges, så den svarer til handlingens karakter og gør det muligt at følge implementeringen trin for trin. Ved en ændring, der berører medarbejderne, kan en troværdig pakke omfatte den godkendte regel, dokumentation for kommunikation eller undervisning, en stikprøve af efterfølgende driftsregistreringer og bekræftelse af, at reglerne anvendes i praksis. Hvis processen for godkendelse af overarbejde er ændret, bør ikrafttrædelsesdatoen for de nye regler sammenholdes med de informerede personers omfang, eksempler på anmodninger efter de nye regler og resultatet af en kontrol af anvendelsen på de relevante skiftehold. En deltagerliste dokumenterer ikke i sig selv forståelse af reglerne eller kompetence til at anvende dem.

Stikprøven af registreringer bør vælges ud fra risiko og ikke bekvemmelighed. Den skal omfatte perioden efter implementeringen og – afhængigt af observationen – forskellige skiftehold, lokationer, medarbejderkategorier eller undtagelsessituationer. Hver fil og hvert udtræk skal tydeligt knyttes til den relevante handling, mærkes med dato og version og opbevares efter organisationens regler for styring af dokumenteret information. Repositoriet bør begrænse risikoen for, at en udgået version utilsigtet fremlægges. Tilgangen er også vigtig ved mere omfattende implementeringer, som beskrevet i ISO 22163 i jernbanesektoren: Hvor lang tid tager implementeringen af IRIS, og hvordan forberedes virksomheden til audit?

Inden materiale deles med kunden eller auditoren, bør organisationen afklare, om der er behov for kildedokumentet, eller om et kontrolleret udtræk eller en oversigt er tilstrækkelig. Lønoplysninger eller arbejdstidsregistreringer kan indeholde data, som ligger ud over verifikationens formål. Oplysningerne bør derfor begrænses til det nødvendige minimum, og anonymisering eller pseudonymisering samt en sikker overførselskanal bør anvendes, hvor det er relevant. Beskyttelsesniveauet afhænger af formålet med videregivelsen, dataenes omfang og muligheden for at henføre oplysningerne til en bestemt person. At skjule navnet er ikke altid tilstrækkeligt til at forhindre identifikation.

Pseudodokumentation omfatter tomme formularskabeloner, fotografier uden dato og kontekst, ikke-godkendte dokumenter, deltagerlister uden kontrol af kompetencer samt registreringer, der alene er udarbejdet for at lukke observationen. Materialet bør opstå som en naturlig del af den normale proces og dokumentere, at løsningen faktisk anvendes. En gennemskuelig dokumentationspakke forbinder dokumentet, der fastlægger ændringen, registreringen af implementeringen, en repræsentativ stikprøve af anvendelsen og resultatet af en uafhængig kontrol. Antallet af bilag kan ikke erstatte en sammenhængende dokumentationskæde.

Effektiviteten skal kontrolleres særskilt

Når en opgave afsluttes, betyder det, at den planlagte aktivitet er gennemført: Proceduren er ændret, medarbejderne er undervist, kontrollen er iværksat, eller de manglende registreringer er tilføjet. Det er ikke det samme som at lukke observationen fra SMETA-auditten. Organisationen skal også verificere i den faktiske proces, at handlingen har reduceret den identificerede årsag, og at problemet ikke gentager sig. Statussen „gennemført” beskriver udførelsen af planen, men dokumenterer ikke resultatet.

Effektivitetskriteriet bør fastlægges, når handlingen planlægges. Det skal angive målemetode, princip for stikprøveudtagning, observationsperiode, ansvarlig for kontrollen og betingelserne for at genåbne observationen. Tidspunktet for verifikationen skal passe til processens rytme og risikoens karakter. En for tidlig kontrol kan alene bekræfte, at løsningen formelt er iværksat, mens en for sen kontrol unødigt forlænger eksponeringen for afvigelsen. Hvis hændelsen forekommer sjældent, kan det være vigtigere, at stikprøven dækker de næste relevante cyklusser, skiftehold, afregningsperioder eller undtagelsessituationer, end at der går et bestemt antal dage.

Efter ændring af reglerne for godkendelse af overarbejde er det ikke tilstrækkeligt at bekræfte, at instruktionen er offentliggjort, og undervisningen er gennemført. Verifikationen kan omfatte sammenlignelige stikprøver af registreringer før og efter ændringen, antallet af nye afvigelser i den fastlagte periode, observation af godkendelsesforløbet samt samtaler med medarbejdere og ledere. Resultaterne af samtalerne bør beskrives faktuelt uden at skabe en falsk statistisk præcision. Først når registreringer, observationer, udsagn og indikatorer sammenholdes, kan ændringens robusthed vurderes. Et enkelt dokument bekræfter normalt kun ét trin. Tilsvarende beslutningsdisciplin er nødvendig i en reaktionsplan i kontrolplanen – sådan beskrives handlingerne, når processen overskrider grænserne.

Den person, der udfører kontrollen, bør være så uafhængig af handlingens ejer som praktisk muligt, særligt ved observationer med høj risiko. Det kræver ikke altid en ekstern auditor. Den kontrollerende person må dog ikke nøjes med at acceptere en erklæring fra den implementeringsansvarlige. Vurderingen kan udføres af en kompetent intern auditor, en repræsentant for en anden funktion eller en person udpeget af ledelsen, som er i stand til at kontrollere både dokumentationen og den resterende risiko efter implementeringen.

Hvis det fastlagte kriterium ikke er opfyldt, bør observationen ikke lukkes administrativt eller effektivitetsvurderingen erstattes af endnu et bilag. Årsagen skal analyseres igen, planen justeres, yderligere risikobegrænsende foranstaltninger fastlægges, og en ny kontrolfrist aftales. En opfølgningsaudit eller overvågning af indikatorer bør bekræfte, at det forventede resultat er opnået i processen – ikke blot at aktiviteten er gentaget.

En afslutning, der styrker ledelsessystemet

Afslutningen af auditsvaret bør ikke markere ophøret af ledelsens opfølgning på SMETA-observationerne. Ledelsen har behov for kortfattet information om observationer med høj risiko, forsinkelser, ressourcebarrierer, effektiviteten af gennemførte handlinger og resterende risiko. Rapporteringens hyppighed bør tilpasses risikoniveauet og fremdriften. Forhold, der kræver budgetmæssige, organisatoriske eller personalemæssige beslutninger, bør eskaleres uden at afvente det planlagte ledelsesevalueringsmøde.

Erfaringerne fra auditten bør integreres i ledelsessystemets faste elementer: risikovurdering, styring af HR- og arbejdsmiljøprocesser, programmet for interne audits, principperne for valg af leverandører af arbejdskraft, undervisning og ledelsens evaluering. Beslutningen om central eller lokal styring bør afspejle organisationens struktur. Uanset model er fælles kriterier nødvendige, mens ansvaret for at gennemføre og fastholde ændringen bør placeres så tæt på processen som muligt.

Et register, der omfatter flere produktionssteder, kan anvende centralt fastlagte statusser, frister, eskaleringsprincipper og dokumentationskrav, samtidig med at lokale handlingsejere udpeges inden for HR, arbejdsmiljø og drift. Entydige statusdefinitioner er en forudsætning for troværdig rapportering af andelen af handlinger, der er gennemført rettidigt. Parallelt bør organisationen følge forsinkede, genåbnede og ineffektive handlinger, de hyppigste systemiske årsager og de processer, hvor observationer gentager sig. I større organisationer bør SMETA-registret integreres i den eksisterende arbejdsgang for korrigerende handlinger frem for at blive et særskilt register, der kun vedligeholdes til kundens formål. Det kræver klare principper for informationsflow, som er nærmere beskrevet i materialet om, hvordan organisationen forberedes til digitalisering af kvalitetsarbejdet.

Erfaringerne fra lukning af observationer bør indgå i organisationens løbende forbedringsprogram. Den relevante planlægningsramme er beskrevet i Sådan udarbejdes en kvalitetsforbedringsplan for 3, 6 og 12 måneder. Det endelige resultat er ikke statussen „lukket”, men organisationens evne til at identificere sociale risici, træffe faktabaserede beslutninger og fastholde ændringen efter auditten.