SMETA dokumentacija prije audita: politike, postupci i zapisi koji moraju činiti usklađen sustav

SMETA dokumentacija nije skup politika pripremljenih za dan dolaska auditora. Ona mora dokazati da se pravila zapošljavanja, evidencije radnog vremena i obračuna plaća, zaštite na radu, zaštite okoliša, poslovne etike te nadzora vanjskog osoblja dosljedno primjenjuju u praksi. Auditor uspoređuje dokumente s izvornim zapisima, zapažanjima tijekom obilaska lokacije i povjerljivim izjavama radnika. Nedosljednost između tih izvora dovodi u pitanje vjerodostojnost cijelog dokaznog traga.

Pripremu stoga treba započeti potvrđivanjem opsega audita i utvrđivanjem kako procesi stvarno funkcioniraju. Zatim je potrebno dodijeliti odgovornosti, urediti politike i postupke, uskladiti podatke između sustava te provesti provjeru spremnosti. Cilj nije stvoriti privid usklađenosti, nego pokazati da organizacija može obrazložiti svoja pravila, odluke, odstupanja i zapise na primjeru konkretnih osoba, smjena i događaja.

Dokument sam po sebi još nije dokaz

SMETA treba promatrati kao metodologiju za etički audit lanca opskrbe, a ne kao certifikacijsku normu sustava upravljanja. Rezultat audita ne smije se predstavljati kao certifikat o sukladnosti. Sedex je platforma za razmjenu informacija, a ne tijelo koje izdaje takav certifikat. Priprema lokacije znači dokazivanje usklađenosti između zahtjeva naručitelja, deklariranih pravila, stvarnih uvjeta rada i izvornih zapisa.

Prvi korak treba biti pisana potvrda opsega s klijentom ili naručiteljem audita. Potrebno je usuglasiti lokaciju, vrstu audita, opseg od dva ili četiri stupa, osnovne i pomoćne procese, skupine radnika te očekivano razdoblje obuhvaćeno zapisima. Ako ulaze u opseg ocjene, treba uključiti privremene radnike, podizvođače i osobe koje rade u smjenama. Zahtjeve treba provjeriti u aktualnim dogovorima s auditorskom organizacijom i odgovarajućim dokumentima metodologije SMETA, umjesto preuzimanja pretpostavki iz audita druge lokacije.

Dokumentaciju je korisno urediti u obliku dokaznih tragova: od pravila, preko dodijeljene odgovornosti i provedene aktivnosti, do zapisa koji omogućuje rekonstrukciju konkretnog slučaja. To zahtijeva suradnju ljudskih resursa, obračuna plaća, operativnih funkcija, zaštite na radu i osoba zaduženih za nadzor podizvođača. Jedan koordinator treba nadzirati opseg, verzije dokumenata, potpunost podataka i vlasnike utvrđenih nedostataka. Slična logika uređivanja dokaza opisana je u temi Dokumentacija NIS2 i KSC prije nadzora: koje politike, registre i dokaze zaista treba imati.

Auditor uspoređuje sadržaj politika i postupaka sa stanjem na radnim mjestima, razgovorima s radnicima i izvornim podacima. Politika koja zabranjuje prekomjerno radno vrijeme ne potvrđuje usklađenost ako evidencije radnog vremena, rasporedi, obračuni plaća i iskazi radnika pokazuju drukčije stanje. Važnija od opsežne forme postupka jest mogućnost praćenja odabrane osobe, smjene ili razdoblja te objašnjenja svake razlike. Dokument izrađen isključivo neposredno prije audita, bez potvrde u praksi, povećava rizik otkrivanja nedosljednosti umjesto da ga smanjuje.

Karta rizika i odgovornosti

Uređivanje dokumentacije treba započeti kartom procesa i rizika koja obuhvaća zapošljavanje, radno vrijeme, plaće, zaštitu zdravlja i sigurnost na radu, okoliš, poslovnu etiku, podizvođače te, ako postoje, smještaj i prijevoz. Karta mora odražavati stvarne oblike angažiranja, pružatelje radne snage, smjene, lokacije i dodatne objekte, utvrđene na temelju aktualnih podataka organizacije. Tek takav pregled omogućuje odluku o tome može li nadzor dokumentacije ostati centraliziran ili je potrebno imenovati lokalne vlasnike.

Za svako područje treba jasno odrediti vlasnika procesa i vlasnika zapisa, mjesto pohrane dokumentacije, potrebnu razinu pristupa, razdoblje obuhvaćeno pregledom te način odobravanja promjena. Posebnu odluku zahtijeva omogućavanje pristupa auditora personalnim dosjeima i dokumentaciji o plaćama. Pristup mora omogućiti provjeru, ali istodobno biti usklađen s pravilima zaštite podataka i internim ovlastima.

Najozbiljniji nedostaci nastaju na mjestima prijenosa odgovornosti. Ljudski resursi vode dosjee, obračun plaća obračunava dodatke, proizvodnja mijenja raspored, zaštitarska služba evidentira ulaske, a vanjska tvrtka upućuje radnike na lokaciju. Svaki skup podataka zasebno može izgledati uredno, iako njihova usporedba otkriva neusklađenu praksu. Dokumentacijski nedostatak znači da dokaz ne postoji ili nije dostupan. Neusklađena praksa postoji kada vjerodostojni zapisi, zapažanja ili razgovori potvrđuju odstupanje od utvrđenog pravila.

Kada je vrijeme ograničeno, prednost treba dati pitanjima s najvećim mogućim posljedicama za ljude i usklađenost, širokim opsegom te velikom teškoćom naknadne rekonstrukcije podataka, a ne postupcima koje je najlakše napisati. Uprava treba odobriti matricu odgovornosti, resurse i način eskalacije nesukladnosti. Koordinator nadzire opseg, rokove i status nedostataka, ali ne preuzima odgovornost ljudskih resursa, proizvodnje, zaštite na radu ili nabave. Važnost takve podjele prikazana je i u temi ASME NQA-1 — kako urediti kvalitetu, odgovornosti i nadzor u projektima za nuklearnu energetiku.

Politike koje postavljaju granice

Skup politika mora proizlaziti iz potvrđenog opsega audita, profila rizika lokacije, zahtjeva klijenta i propisa primjenjivih na djelatnost. Ne postoji jedan skup prikladan za svaku organizaciju. U pravilu su potrebna pravila o standardima rada, zabrani prisilnog i dječjeg rada, nediskriminaciji i sprečavanju uznemiravanja, slobodi udruživanja, plaćama i radnom vremenu, zaštiti na radu, okolišu te poslovnoj etici. Mogu se objediniti u jednom krovnom dokumentu ili rasporediti u zasebne politike ako takva podjela odgovara strukturi odgovornosti. Etički kodeks dobavljača može dopuniti sustav, ali ne zamjenjuje pravila koja vrijede unutar lokacije.

Svaka politika treba definirati obvezu uprave, skupine obuhvaćene pravilom, uloge odgovorne za provedbu, dostupne kanale za prijavu kršenja, zaštitu od odmazde, način rješavanja prijava i komunikaciju sadržaja radnicima. Odobrenje odgovarajuće razine uprave daje dokumentu formalnu težinu, ali ne dokazuje njegovu primjenu. Potrebni su provedbeni mehanizmi i dokazi da radnici poznaju pravilo, razumiju ga i mogu se njime koristiti. Pri ocjeni se mogu pratiti obuhvat komunikacije, potvrđeno razumijevanje i pravodobnost reakcije na prijave.

Osobni opseg ne smije završavati na zaposlenicima s ugovorom o radu. Treba utvrditi koja se pravila odnose na osobe angažirane na drugim ugovornim osnovama, privremene i migrantske radnike te osoblje podizvođača prisutno na lokaciji. Politika sprečavanja uznemiravanja neće biti učinkovita ako radnik u noćnoj smjeni ne poznaje kanal za prijavu ili ga ne može koristiti na jeziku koji razumije. Višejezična komunikacija treba proizlaziti iz stvarne strukture radne snage, a ne iz formalnog jezika dokumentacije.

Poseban oprez potreban je pri preuzimanju politika na razini grupe. Prije njihove primjene treba potvrditi postoje li navedene uloge u lokalnom društvu, funkcioniraju li kanali za prijavu, jesu li rokovi odgovora izvedivi te vrijede li doista opisane pogodnosti i organizacijska rješenja. U suprotnom dokument stvara obvezu koja je u suprotnosti s praksom.

Jedna politika odgovornog zapošljavanja može zamijeniti više dokumenata ako ne prikriva odgovornosti i ostaje povezana s provedbom. Hijerarhija dokumentacije mora biti jasna: politika utvrđuje načelo, postupak opisuje tijek aktivnosti, uputa uređuje način izvođenja, a obrazac ili registar čuva dokaz. Takvo razlikovanje korisno je i u pristupu opisanom u temi Početni audit prije HRN EN ISO 9001 – kako objektivno procijeniti spremnost organizacije bez nepotrebnih troškova.

Postupci koji upravljaju praksom

Postupke treba ponajprije oblikovati za točke u kojima odluka rukovoditelja, odstupanje od plana ili nedosljednost podataka mogu dovesti do kršenja zahtjeva. U području ljudskih resursa trebaju obuhvatiti zapošljavanje, provjeru dobi i prava na rad, sklapanje i promjenu uvjeta angažiranja, potvrđivanje dobrovoljnosti rada te zabranu naplate nedopuštenih naknada. Jednako jasno treba urediti prestanak angažmana i vraćanje dokumenata koji pripadaju radniku.

Za svaku aktivnost nije potreban zaseban postupak ako procesi imaju zajedničke uloge i kontrolne mjere. Međutim, zaseban tijek zahtijevaju predmeti s različitom razinom povjerljivosti, putem odobravanja ili odgovornošću. Podjela dokumentacije treba olakšati donošenje odluka i stvaranje dokaza, a ne formalno preslikavati organizacijsku strukturu.

Poseban nadzor zahtijeva povezanost između broja radnika, proizvodnog kapaciteta i radnog vremena. Postupak treba odrediti način planiranja smjena, odobravanja prekovremenog rada — ručno ili u sustavu — evidentiranja prisutnosti te obračuna dodataka, dopusta i obustava. Temeljni kontrolni mehanizam jest usklađivanje podataka iz sustava kontrole ulazaka, rasporeda, evidencije radnog vremena i obračuna plaća, uz objašnjavanje razlika prije zaključenja obračuna.

Ako hitna narudžba zahtijeva promjenu plana, odstupanje treba sadržavati osobu koja ga odobrava, osnovu odluke, procjenu usklađenosti i zapis nastao nakon provedbe. Ograničenja, odmori, pravila obračuna i rokovi moraju se provjeravati prema aktualnim zahtjevima primjenjivima na oblik angažiranja i okolnosti konkretne osobe, a ne prema jednoj vrijednosti koja se smatra univerzalnom.

U području zaštite na radu postupci moraju odgovarati stvarnim opasnostima na lokaciji. Trebaju uređivati procjenu rizika, osposobljavanje, odabir i izdavanje osobne zaštitne opreme, prijavljivanje i istraživanje nezgoda, pripravnost za izvanredne situacije, prvu pomoć i zaštitu od požara. Potreban je i nadzor pregleda opreme te sigurnog izvođenja posebno rizičnih radova, razmjerno djelatnosti.

Odobravanje rada koji zahtijeva posebne zaštitne mjere ne može se temeljiti isključivo na radnoj uputi. Mora postojati vlasnik odluke, utvrđeni uvjeti početka, kriteriji za obustavljanje rada i zapis provedene kontrole. Sličnu logiku nadzora kompetencija i dokaza prikazuje tema ISO 3834 – kako nadzirati zavarivanje, kompetencije i zapise o kvaliteti u proizvodnji.

Mehanizam za pritužbe zahtijeva definiranje dostupnih kanala, pravila povjerljivosti, neovisnosti obrade, rokova, zaštite od odmazde, povratnih informacija i načina zatvaranja predmeta. Kutija za pritužbe bez evidencije postupanja nije cjelovito rješenje. Treba odrediti tko zaprima prijavu koja se odnosi na nadređenu osobu ili upravu te kada se predmet upućuje neovisnoj osobi ili vanjskom subjektu. Registar treba omogućiti ocjenu pravodobnosti reakcije, statusa predmeta i provedbe radnji bez neopravdanog otkrivanja podataka prijavitelja.

Za područja okoliša i poslovne etike treba uspostaviti postupke razmjerne aspektima djelatnosti. Oni mogu obuhvaćati nadzor zahtjeva, otpada, uporabe resursa i okolišnih događaja, kao i sukobe interesa, darove, zlouporabe i prijave. Odstupanja je korisnije opisati kroz osnovu, ovlast za odlučivanje, granice iznimke i obvezni zapis nego proširivati dokument svakim mogućim slučajem.

Zapisi koji omogućuju rekonstrukciju činjenica

Zapis ima vrijednost kada omogućuje rekonstrukciju uvjeta rada konkretne osobe ili tijeka događaja: tko je, kada, na kojoj osnovi i s kojim rezultatom proveo određenu aktivnost. Prije audita zato treba utvrditi referentni izvor podataka za svaki proces, pravila označavanja verzija i način ispravljanja pogrešaka bez brisanja izvornog unosa. Jednako su važni čuvanje, dostupnost i arhiviranje. Zapis mora obuhvatiti odgovarajuću lokaciju i razdoblje koje se ocjenjuje, a njegovo podrijetlo mora biti provjerljivo.

Personalni dosjei i evidencije trebaju odgovarati statusu konkretne osobe. Mogu obuhvaćati osnovu zaposlenja ili angažmana, potvrdu uvjeta, podatke potrebne za zakonito obavljanje rada, potvrde osposobljavanja i pruženih informacija, promjene uvjeta te završetak angažmana. Najvažniji test usklađenosti ipak ostaje praćenje jedne osobe kroz cijeli proces: od rasporeda, stvarne prisutnosti i evidencije radnog vremena, odobrenja ili naloga za dodatni rad, do obračuna plaće i potvrde isplate. Sustav ljudskih resursa, sustav kontrole ulazaka, dokumentacija nadređene osobe i obračun plaća moraju prikazivati isto činjenično stanje.

Ako sustav kontrole ulazaka pokazuje prisutnost nakon evidentiranog završetka rada, razliku ne treba automatski smatrati prekovremenim radom niti ukloniti kao tehničku pogrešku. Potrebno je utvrditi uzrok, usporediti raspored, zapis s radnog mjesta, naloge nadređene osobe i obračun plaće te dokumentirati objašnjenje i odobreni ispravak.

Uzorak za pregled treba odabrati prema riziku. Treba obuhvatiti različite oblike angažiranja, smjene i odjele, razdoblja povećane proizvodnje, dodatni rad i iznimne slučajeve. Veličina uzorka mora proizlaziti iz opsega poslovanja i utvrđenih odstupanja, a ne iz unaprijed zadanog broja bez analize.

U području zaštite na radu dokazni trag treba povezivati aktualne procjene rizika s evidencijama osposobljavanja, zdravstvenih pregleda i ovlaštenja, pregledima opreme i zaštitnih elemenata, izdavanjem osobne zaštitne opreme, vježbama za izvanredne situacije, nezgodama, korektivnim radnjama i pregledima uvjeta rada. U područjima okoliša i etike treba urediti dozvole i prijave primjenjive na djelatnost, rezultate mjerenja, operativne evidencije, incidente, pritužbe, sukobe interesa, prijave kršenja i naknadne radnje — ako ta područja ulaze u opseg audita. Važnost sljedivosti zapisa prikazana je i u temi AQAP 2110 – koje dokumente i procese auditori najčešće provjeravaju u obrambenom sektoru?

Za agencije za privremeno zapošljavanje i podizvođače treba uspostaviti zaseban dokazni trag. Dokumentacija mora omogućiti ocjenu njihovih kvalifikacija, ugovornih uvjeta, popisa osoba upućenih na rad, potrebnih prijava, obračuna, provedenog nadzora i reakcija na utvrđene nepravilnosti. Sam komercijalni ugovor ne dokazuje da osobe prisutne na lokaciji imaju odgovarajući status, primaju ugovorena prava i rade u deklariranim uvjetima. Vlasnik procesa zato treba periodično usklađivati podatke ugovornog partnera s evidencijom prisutnosti, radnog vremena, obračunskom dokumentacijom i rezultatima provjera na lokaciji.

Provjera spremnosti i zatvaranje nedostataka

Provjera spremnosti treba slijediti logiku stvarnog audita: pregled dokumentacije, obilazak lokacije, razgovore s upravom i radnicima, uzorkovanje dosjea te usklađivanje podataka između sustava. Kontrolni popis politika nije dovoljan jer ne otkriva razliku između pravila opisanog u postupku i prakse u proizvodnoj smjeni. Ovisno o kompetentnosti i neovisnosti tima, organizacija može provesti probni audit vlastitim resursima ili angažirati neovisnu procjenu, u skladu s pristupom opisanim u temi Početni audit prije HRN EN ISO 9001 – kako objektivno procijeniti spremnost organizacije bez nepotrebnih troškova. Provjeru treba jasno odvojiti od stvarnog audita.

Svaki utvrđeni nedostatak treba razvrstati kao:

• nedostatak dokumenta ili zapisa;
• neprovedeno usvojeno pravilo;
• neučinkovit nadzor;
• neusklađenost podataka;
• moguće kršenje koje zahtijeva trenutačnu reakciju.

Klasifikacija određuje vlasnika predmeta i način eskalacije. Neodobrena uputa može pripadati vlasniku procesa, dok sumnja na nepravilan obračun radnog vremena zahtijeva trenutačno uključivanje ljudskih resursa, uprave i — ovisno o okolnostima — pravne podrške. Slična logika procjene rizika primjenjuje se u temi Audit dobavljača prije sklapanja ugovora – kako smanjiti rizik za kvalitetu i rokove.

Plan radnji ne smije završiti izradom nedostajućeg obrasca. Treba obuhvatiti ispravak trenutačnog stanja, analizu temeljnog uzroka, korektivnu radnju, rok, odgovornu osobu, potreban dokaz provedbe i ocjenu učinkovitosti. Zatvaranje nedostatka treba odobriti osoba s kompetencijama i neovisnošću potrebnima za ocjenu dokaza, a ne automatski osoba koja je provela radnju.

Registar spremnosti treba prikazivati nedostatke prema području i riziku, njihove vlasnike, rokove i status dokaza. Ne može se svaki nedostatak odgovorno otkloniti prije audita. Novi zapis koji ne obuhvaća razdoblje dovoljno za potvrdu učinkovitosti još nije dokaz trajnog poboljšanja.

Priprema radnika i rukovoditelja sastoji se u objašnjavanju svrhe audita, prava sudionika, pravila povjerljivosti i načina pružanja informacija. Učenje očekivanih odgovora narušava vjerodostojnost razgovora i može prikriti stvarne rizike. Radnici trebaju poznavati primjenjiva pravila i kanale za prijavu problema, ali odgovarati u skladu s vlastitim iskustvom.

Odluku o spremnosti donosi uprava na temelju registra otvorenih rizika, usklađenosti dokaznih tragova i sposobnosti vlasnika procesa da jasno objasne praksu. Ako i dalje postoji moguće kršenje koje se odnosi na radnike, nedostatak vjerodostojnih podataka ili nedostatak koji zahtijeva dulje razdoblje za potvrdu učinkovitosti, predmet treba eskalirati. Kada to dopuštaju zahtjevi klijenta i organizacijski dogovori, ozbiljni neriješeni nedostaci mogu opravdati promjenu termina audita.