Документация за SMETA преди одит: политики, процедури и записи в единна система

Документацията за SMETA не е набор от политики, подготвени специално за посещението на одитора. Тя трябва да доказва, че правилата за наемане, отчитане на работното време и възнагражденията, безопасност, опазване на околната среда, бизнес етика и контрол на външния персонал действително се прилагат. Одиторът съпоставя документите с първичните записи, наблюденията на място и поверителните интервюта със служители. Несъответствията между тези източници поставят под съмнение надеждността на цялата доказателствена следа.

Затова подготовката трябва да започне с потвърждаване на обхвата на одита и възстановяване на реалния ход на процесите. Следва да се определят отговорностите, да се подредят политиките и процедурите, да се съгласуват данните между отделните системи и да се проведе преглед на готовността. Целта не е да се създаде привидност на съответствие, а организацията да може да обясни своите правила, решения, отклонения и записи чрез конкретни служители, смени и събития.

Документът сам по себе си не е доказателство

SMETA следва да се разглежда като методика за етичен одит на веригата на доставки, а не като сертифицируем стандарт за система за управление. Резултатът от одита не трябва да се представя като сертификат за съответствие. Sedex е платформа за обмен на информация, а не орган, който издава такъв сертификат. Подготовката на обекта трябва да покаже съгласуваност между изискванията на възложителя, декларираните правила, реалните условия на труд и първичните записи.

Първата управленска стъпка е писмено потвърждаване на обхвата с клиента или възложителя на одита. Следва да се уточнят местоположението, видът на одита, дву- или четиристълбовият обхват, основните и спомагателните процеси, групите работещи и очакваният период на записите. Когато попадат в обхвата, трябва да бъдат включени временно наетите лица, подизпълнителите и работещите на смени. Изискванията следва да се проверят спрямо актуалните договорености с одитиращата организация и приложимите документи на методиката SMETA, вместо да се пренасят допускания от одит на друг обект.

Практично е документацията да се организира като доказателствени следи: от правилото, през определената отговорност и извършеното действие, до записа, чрез който може да се възстанови конкретен случай. Това изисква съвместна работа между човешки ресурси, ТРЗ, оперативното управление, длъжностните лица по безопасност и здраве при работа и отговорните за подизпълнителите. Един координатор трябва да следи обхвата, версиите на документите, пълнотата на данните и собствениците на установените пропуски. Подобна логика за структуриране на доказателства е разгледана и в темата Документация по NIS2 и KSC преди проверка: какви политики, регистри и доказателства действително са необходими.

Одиторът съпоставя съдържанието на политиките и процедурите с наблюденията на работните места, интервютата със служители и първичните данни. Политика, която забранява прекомерното работно време, не доказва съответствие, ако отчетите за време, графиците, ведомостите и сведенията на служителите показват друго. По-важна от обема на процедурата е възможността да се проследи избран служител, смяна или период и да се обясни всяко разминаване. Документ, създаден непосредствено преди посещението и неподкрепен от практиката, увеличава риска от разкриване на несъответствия, вместо да го намалява.

Карта на рисковете и отговорностите

Подреждането на документацията трябва да започне с карта на процесите и рисковете, обхващаща наемането, работното време, възнагражденията, безопасността и здравето при работа, околната среда, бизнес етиката, подизпълнителите и — когато са приложими — настаняването и транспорта. Картата трябва да отразява реалните форми на заетост, доставчиците на работна сила, смените, местоположенията и допълнителните обекти въз основа на актуални организационни данни. Едва тогава може да се реши дали контролът на документацията да остане централизиран или са необходими местни собственици на процеси и записи.

За всяка област трябва ясно да се определят собственикът на процеса и собственикът на записа, мястото за съхранение на документацията, необходимото ниво на достъп, периодът на преглед и начинът за одобряване на промените. Отделно решение е необходимо за предоставянето на одитора на достъп до лични досиета и документи за възнаграждения. Достъпът трябва да позволява проверка, като едновременно с това спазва правилата за защита на данните и вътрешните права за достъп.

Най-съществените пропуски възникват на границата между отговорностите. Човешки ресурси поддържа досиетата, ТРЗ изчислява доплащанията, производството променя графика, охраната регистрира влизанията, а външен доставчик изпраща персонал в обекта. Всеки масив може поотделно да изглежда коректен, но съпоставянето им да разкрие несъответстваща практика. Документационен пропуск е налице, когато доказателството липсва или не е достъпно. Несъответстваща практика има, когато надеждни записи, наблюдения или интервюта потвърждават разминаване с приетото правило.

При ограничено време приоритет имат въпросите с най-сериозно въздействие върху хората и съответствието, голям мащаб и висока трудност за възстановяване на данните — не процедурите, които се пишат най-лесно. Ръководството трябва да одобри матрица на отговорностите, необходимите ресурси и реда за ескалация на несъответствията. Координаторът управлява обхвата, сроковете и статуса на пропуските, но не поема отговорностите на човешки ресурси, производството, ЗБУТ или покупките. Значението на това разпределение е представено и в темата ASME NQA-1 — как да се структурират качеството, отговорностите и контролът в проекти за ядрената енергетика.

Политики, които определят рамката

Пакетът от политики трябва да произтича от потвърдения обхват на одита, рисковия профил на обекта, изискванията на клиента и приложимите за дейността нормативни изисквания. Няма един универсален комплект за всички организации. Обикновено са необходими правила за трудовите стандарти, забраната на принудителния и детския труд, недискриминацията и предотвратяването на тормоз, свободата на сдружаване, възнагражденията и работното време, ЗБУТ, околната среда и бизнес етиката. Те могат да бъдат включени в един рамков документ или в отделни тематични политики, ако това съответства на разпределението на отговорностите. Етичният кодекс за доставчици може да допълва тази система, но не замества правилата, действащи вътре в обекта.

Всяка политика трябва да определя ангажимента на ръководството, групите, за които се прилага, ролите, отговорни за изпълнението, достъпните канали за подаване на сигнали, защитата срещу ответни действия, начина за разглеждане на случаите и подхода за комуникиране на съдържанието към работещите. Одобрението от подходящото управленско ниво придава тежест на документа, но не доказва неговото прилагане. Необходими са механизми за изпълнение и доказателства, че адресатите познават правилото, разбират го и могат да се възползват от него. Оценката може да включва обхвата на комуникацията, потвърденото разбиране и навременността на реакциите по сигнали.

Обхватът не може да се ограничава до служителите по трудово правоотношение. Трябва да се определи кои правила се прилагат и за лица по други договорни отношения, временно наети и мигриращи работници, както и за персонала на подизпълнители, присъстващ на територията на обекта. Политиката срещу тормоза няма да бъде ефективна, ако работещият на нощна смяна не познава канала за сигнализиране или не може да го използва на разбираем за него език. Многоезичната комуникация трябва да следва реалната структура на работната сила, а не само официалния език на документацията.

При приемането на групови политики е необходима особена прецизност. Преди внедряването трябва да се потвърди дали посочените роли съществуват в съответното местно дружество, каналите за сигнализиране функционират, сроковете за реакция са изпълними и описаните придобивки и организационни решения действително се прилагат. В противен случай документът създава ангажимент, който противоречи на практиката.

Една политика за отговорна заетост може да замени няколко документа, ако не размива отговорностите и остава свързана с конкретни механизми за изпълнение. Йерархията трябва да е ясна: политиката определя принципа, процедурата описва хода на процеса, инструкцията урежда начина на изпълнение, а формулярът или регистърът съхранява доказателството. Това разграничение е полезно и в подхода, описан в Предварителен одит преди BDS EN ISO 9001 — как обективно да се оцени готовността на организацията без излишни разходи.

Процедури, които управляват практиката

Процедурите трябва да бъдат разработени най-вече за точките, в които решение на ръководител, отклонение от плана или несъответствие в данните може да доведе до нарушение. В областта на персонала те следва да обхващат подбора, проверката на възрастта и правото на работа, сключването и изменението на условията за заетост, потвърждаването на доброволния характер на труда и забраната за недопустими такси. Също толкова ясно трябва да бъдат уредени прекратяването на отношенията и връщането на документи, принадлежащи на работещия.

Не всяка дейност изисква отделна процедура, когато процесите имат общи роли и контролни механизми. Отделен ред обаче е необходим за случаи с различна поверителност, маршрут на одобрение или отговорност. Разделянето на документацията трябва да улеснява вземането на решения и създаването на доказателства, а не механично да повтаря организационната структура.

Особен контрол е необходим върху връзката между числеността на персонала, производствения капацитет и работното време. Процедурата трябва да определя начина за планиране на смените, одобряване на извънредния труд — ръчно или чрез система — регистриране на присъствието и отчитане на доплащанията, отпуските и удръжките. Основният контролен механизъм е съгласуването на данните от системата за достъп, графиците, отчетите за работно време и ведомостите, включително изясняване на разминаванията преди приключване на разчетите.

Ако спешна поръчка налага промяна на плана, отклонението трябва да посочва одобряващото лице, основанието за решението, оценката за съответствие и записа, който остава след изпълнението. Ограниченията, почивките, правилата за изчисление и сроковете трябва да се определят според актуалните изисквания, приложими към формата на заетост и конкретното положение на лицето, а не чрез една стойност, приемана за универсална.

В областта на ЗБУТ процедурите трябва да съответстват на реалните опасности в обекта. Те следва да уреждат оценяването на риска, обученията, избора и предоставянето на лични предпазни средства, докладването и разследването на трудови злополуки, аварийната готовност, първата помощ и пожарната безопасност. Необходим е и контрол върху проверките на оборудването и безопасното изпълнение на дейности с повишен риск според спецификата на работата.

Разрешаването на работа, която изисква специални мерки за безопасност, не може да се основава единствено на инструкция за работното място. Трябва да има собственик на решението, определени условия за започване, критерии за прекратяване и запис за извършената проверка. Подобна логика за контрол върху компетентността и доказателствата е представена в темата ISO 3834 — как да се контролират заваряването, компетентността и записите за качество в производството.

Механизмът за жалби и сигнали изисква определени достъпни канали, правила за поверителност, независимо разглеждане, срокове, защита срещу ответни действия, обратна връзка и начин за приключване на случаите. Кутия за сигнали без регистър за обработката им не е завършено решение. Трябва да е ясно кой приема сигнал срещу пряк ръководител или висшето ръководство и кога случаят се предава на независимо лице или организация. Регистърът следва да позволява оценка на навременността на реакцията, статуса на случая и изпълнението на мерките, без неоправдано разкриване на данните на подателя.

Процедурите за околна среда и бизнес етика трябва да бъдат пропорционални на аспектите и рисковете на дейността. Те могат да обхващат контрола на изискванията, отпадъците, потреблението на ресурси и екологичните събития, както и конфликтите на интереси, подаръците, злоупотребите и сигналите. Вместо документът да описва всеки възможен случай, отклоненията е по-практично да се управляват чрез основание, право за вземане на решение, граници на изключението и изискван запис.

Записи, чрез които фактите могат да бъдат възстановени

Записът има стойност, когато позволява да се възстановят условията на труд на конкретно лице или ходът на дадено събитие: кой, кога, на какво основание и с какъв резултат е извършил съответното действие. Преди одита трябва да се определят референтният източник на данни за всеки процес, правилата за идентифициране на версиите и начинът за коригиране на грешки, без да се заличава първоначалният запис. Също толкова важни са съхранението, достъпността и архивирането. Записът трябва да обхваща правилния обект и оценявания период, а произходът му да може да бъде потвърден.

Личните досиета и регистрите трябва да съответстват на статута на конкретното лице. Те могат да включват основанието за заетост или сътрудничество, потвърждение на условията, данни, необходими за законосъобразното извършване на работа, доказателства за обучения и предоставена информация, промени в условията и прекратяване на отношенията. Най-същественият тест за съответствие обаче остава проследяването на едно лице през целия процес: от графика, през фактическото присъствие и отчитането на времето, разрешенията или разпорежданията за допълнителна работа, до начисляването и потвърждаването на плащането. Системата за човешки ресурси, системата за достъп, документацията на ръководителя и ведомостта трябва да описват една и съща фактическа ситуация.

Ако системата за достъп показва присъствие след края на отчетеното работно време, разминаването не трябва нито автоматично да се приема за извънреден труд, нито да се заличава като техническа грешка. Следва да се установи причината, да се сравнят графикът, записът от работното място, разпорежданията на ръководителя и разчетът на възнаграждението, а след това да се документират обяснението и одобрената корекция.

Извадката за преглед трябва да бъде определена според риска. Тя следва да обхваща различни форми на заетост, смени и отдели, периоди на повишено производство, допълнителен труд и изключения. Размерът ѝ трябва да произтича от мащаба на дейността и установените разминавания, а не от предварително определен фиксиран брой без анализ.

В областта на ЗБУТ доказателствената следа трябва да свързва актуалните оценки на риска с регистрите за обучения, медицински прегледи и правоспособност, проверките на оборудването и защитните средства, предоставянето на лични предпазни средства, аварийните учения, злополуките, коригиращите действия и прегледите на условията на труд. За околната среда и етиката трябва да бъдат подредени приложимите разрешителни и уведомления, резултатите от измерванията, оперативните регистри, инцидентите, жалбите, конфликтите на интереси, сигналите за нарушения и последващите действия — когато тези области са включени в обхвата на одита. Значението на проследимостта на записите е илюстрирано и в темата AQAP 2110 — кои документи и процеси най-често проверяват одиторите в отбранителния сектор?

За агенциите за временна заетост и подизпълнителите трябва да се изгради отделна доказателствена следа. Документацията следва да позволява оценка на тяхната квалификация, договорните условия, списъците на изпратените лица, изискваните регистрации и уведомления, разчетите, осъществявания контрол и реакциите при установени нарушения. Самият търговски договор не доказва, че присъстващите в обекта лица имат правилен статут, получават договорените възнаграждения и придобивки и работят при декларираните условия. Затова собственикът на процеса трябва периодично да съгласува данните на контрагента с присъствието, отчетите за работа, разчетните документи и резултатите от проверките на място.

Преглед на готовността и закриване на пропуските

Прегледът на готовността трябва да следва логиката на реалния одит: анализ на документи, обход на обекта, интервюта с ръководители и служители, извадков преглед на досиета и съгласуване на данни между системите. Контролен списък на политиките не е достатъчен, защото не показва разликата между правилото в процедурата и практиката по време на производствена смяна. В зависимост от компетентността и независимостта на екипа организацията може да проведе пробен одит със собствени ресурси или да възложи независима оценка съгласно подхода, описан като Предварителен одит преди BDS EN ISO 9001 — как обективно да се оцени готовността на организацията без излишни разходи. Прегледът трябва ясно да бъде разграничен от същинския одит.

Всеки установен пропуск трябва да бъде класифициран като:

• липсващ документ или запис;
• неприлагане на прието правило;
• неефективен контрол;
• несъответствие между данните;
• потенциално нарушение, изискващо незабавна реакция.

Класификацията определя собственика на случая и реда за ескалация. Липсата на одобрение на инструкция може да бъде отговорност на собственика на процеса, докато съмнение за неправилно отчитане на работното време изисква незабавно участие на човешки ресурси, ръководството и — според обстоятелствата — правни консултанти. Подобна логика за оценка на риска се използва в Одит на доставчик преди подписване на договор — как да се ограничи рискът за качеството и сроковете.

Планът за действие не може да приключва с добавяне на липсващ формуляр. Той трябва да включва корекция на текущата ситуация, анализ на първопричината, коригиращо действие, срок, отговорно лице, изисквано доказателство за изпълнение и оценка на ефективността. Закриването на пропуска трябва да бъде одобрено от лице с достатъчна компетентност и независимост за оценка на доказателството, а не автоматично от изпълнителя на действието.

Регистърът на готовността трябва да показва пропуските по области и нива на риск, техните собственици, срокове и статус на доказателствата. Не всеки пропуск може да бъде отстранен отговорно преди одита. Нов запис, който не обхваща достатъчен период за потвърждаване на ефективността, все още не е доказателство за устойчива промяна.

Подготовката на служителите и ръководителите означава да им бъдат разяснени целта на одита, правата на участниците, правилата за поверителност и начинът за предоставяне на информация. Заучаването на очаквани отговори подкопава надеждността на интервютата и може да прикрие действителните рискове. Работещите трябва да познават приложимите правила и каналите за сигнализиране, но да отговарят според собствения си опит.

Решението за готовност се взема от ръководството въз основа на регистъра на откритите рискове, съгласуваността на доказателствените следи и способността на собствениците на процеси да обяснят обективно практиката. Ако остава потенциално нарушение, засягащо работещите, липсват надеждни данни или има пропуск, за който е необходим по-дълъг период за потвърждаване на ефективността, въпросът трябва да бъде ескалиран. Когато изискванията на клиента и организационните договорености го позволяват, сериозните неразрешени пропуски могат да наложат промяна на датата на одита.