SMETA dokumentacija prieš auditą: politika, procedūros ir įrašai turi sudaryti vientisą sistemą

SMETA dokumentacija nėra vien auditoriui atvykstant parengtas politikos dokumentų rinkinys. Ji turi įrodyti, kad įdarbinimo, darbo laiko ir darbo užmokesčio apskaitos, saugos, aplinkosaugos, etikos bei išorės darbuotojų priežiūros principai realiai taikomi organizacijoje. Auditorius dokumentus lygina su pirminiais įrašais, darbo vietų stebėjimo rezultatais ir konfidencialiais darbuotojų paaiškinimais. Šių šaltinių neatitiktis mažina visos įrodymų grandinės patikimumą.

Todėl pasirengimą reikėtų pradėti nuo audito apimties patvirtinimo ir faktinių procesų atkūrimo. Tuomet būtina paskirstyti atsakomybę, sutvarkyti politiką bei procedūras, suderinti skirtingose sistemose esančius duomenis ir atlikti pasirengimo vertinimą. Tikslas nėra sukurti atitikties regimybę. Organizacija turi gebėti konkrečių darbuotojų, pamainų ir įvykių pavyzdžiais paaiškinti savo taisykles, sprendimus, nukrypimus ir įrašus.

Dokumentas dar nėra įrodymas

SMETA reikėtų vertinti kaip etiškos tiekimo grandinės audito metodiką, o ne kaip sertifikuojamą vadybos sistemos standartą. Audito rezultatas neturėtų būti pristatomas kaip atitikties sertifikatas. Sedex yra informacijos mainų platforma, o ne tokį sertifikatą išduodanti įstaiga. Rengiant veiklos vietą auditui, reikia įrodyti užsakovo reikalavimų, deklaruojamų principų, faktinių darbo sąlygų ir pirminių įrašų tarpusavio nuoseklumą.

Pirmasis sprendimas turėtų būti rašytinis audito apimties suderinimas su klientu arba audito užsakovu. Būtina susitarti dėl veiklos vietos, audito rūšies, dviejų arba keturių ramsčių apimties, pagrindinių ir pagalbinių procesų, darbuotojų grupių bei tikrinamo įrašų laikotarpio. Jei vertinimas juos apima, reikia įtraukti laikinuosius darbuotojus, subrangovus ir pamainomis dirbančius asmenis. Reikalavimai turi būti tikrinami pagal aktualius susitarimus su audito įstaiga ir taikomus SMETA metodikos dokumentus, o ne perkeliant prielaidas iš kitos veiklos vietos audito.

Dokumentaciją verta struktūruoti kaip įrodymų grandines: nuo nustatyto principo, paskirtos atsakomybės ir atlikto veiksmo iki įrašo, pagal kurį galima atkurti konkretų atvejį. Tam būtinas personalo, darbo užmokesčio apskaitos, operacijų, darbuotojų saugos ir sveikatos bei subrangovus prižiūrinčių asmenų bendradarbiavimas. Vienas koordinatorius turėtų kontroliuoti apimtį, dokumentų versijas, duomenų išsamumą ir nustatytų spragų savininkus. Panaši įrodymų sisteminimo logika aptariama temoje NIS2 ir KSC dokumentacija prieš patikrinimą: kokios politikos, registrai ir įrodymai iš tiesų reikalingi.

Auditorius politikos ir procedūrų turinį lygina su darbo vietų stebėjimu, pokalbiais su darbuotojais ir pirminiais duomenimis. Perteklinį darbo laiką draudžianti politika nepatvirtina atitikties, jei darbo laiko apskaita, grafikai, darbo užmokesčio žiniaraščiai ir darbuotojų paaiškinimai rodo kitokią padėtį. Už išsamią procedūros formą svarbiau gebėti atsekti pasirinkto darbuotojo, pamainos ar laikotarpio duomenis ir paaiškinti kiekvieną neatitikimą. Tik prieš auditoriaus vizitą parengtas dokumentas, kurio taikymas praktikoje nepatvirtintas, ne mažina, o didina riziką, kad bus atskleisti prieštaravimai.

Rizikų ir atsakomybės žemėlapis

Dokumentaciją reikėtų pradėti tvarkyti nuo procesų ir rizikų žemėlapio, apimančio įdarbinimą, darbo laiką, darbo užmokestį, darbuotojų saugą ir sveikatą, aplinkosaugą, verslo etiką, subrangovus ir, jei aktualu, apgyvendinimą bei transportą. Žemėlapyje, remiantis aktualiais organizacijos duomenimis, turi atsispindėti faktinės darbo formos, darbo jėgos tiekėjai, pamainos, veiklos vietos ir papildomi objektai. Tik toks vaizdas leidžia nuspręsti, ar dokumentų kontrolė gali likti centralizuota, ar reikia paskirti vietos lygmens savininkus.

Kiekvienai sričiai būtina aiškiai paskirti proceso ir įrašo savininkus, nustatyti dokumentų saugojimo vietą, reikiamą prieigos lygį, vertinamą laikotarpį ir pakeitimų tvirtinimo tvarką. Atskirai turi būti nuspręsta, kaip auditoriui bus suteikiama prieiga prie darbuotojų bylų ir darbo užmokesčio dokumentų. Prieiga turi būti pakankama patikrai atlikti, tačiau kartu atitikti duomenų apsaugos principus ir organizacijoje nustatytus įgaliojimus.

Didžiausios spragos paprastai atsiranda atsakomybės sandūrose. Personalo funkcija tvarko bylas, darbo užmokesčio specialistai apskaičiuoja priedus, gamyba keičia grafiką, apsauga registruoja patekimą, o išorės įmonė siunčia darbuotojus į veiklos vietą. Kiekvienas duomenų rinkinys atskirai gali atrodyti tinkamas, tačiau juos palyginus gali paaiškėti netinkama praktika. Dokumentacijos spraga reiškia, kad įrodymo nėra arba jis neprieinamas. Netinkama praktika nustatoma tada, kai patikimi įrašai, stebėjimai arba pokalbiai patvirtina neatitiktį nustatytam principui.

Kai laiko nedaug, pirmiausia reikia spręsti klausimus, galinčius sukelti didžiausią žalą žmonėms ir atitikčiai, pasižyminčius plačiu mastu arba kurių duomenis vėliau sunku atkurti, o ne rengti lengviausiai parašomas procedūras. Vadovybė turėtų patvirtinti atsakomybės matricą, išteklius ir neatitikčių eskalavimo tvarką. Įgaliotasis asmuo koordinuoja apimtį, terminus ir spragų būklę, tačiau neperima personalo, gamybos, DSS ar pirkimų atsakomybės. Tokio paskirstymo svarba taip pat aptariama temoje ASME NQA-1 – kaip sisteminti kokybę, atsakomybę ir priežiūrą branduolinės energetikos projektuose.

Politika, nustatanti veikimo ribas

Politikos dokumentų rinkinys turi būti sudaromas pagal patvirtintą audito apimtį, veiklos vietos rizikos profilį, kliento reikalavimus ir veiklai taikomus teisės aktus. Vieno visoms organizacijoms tinkamo rinkinio nėra. Paprastai reikia principų, apimančių darbo standartus, priverstinio ir vaikų darbo draudimą, nediskriminavimą ir priekabiavimo prevenciją, asociacijų laisvę, darbo užmokestį ir darbo laiką, DSS, aplinkosaugą bei verslo etiką. Jie gali būti nustatyti viename bendrajame dokumente arba atskirose sričių politikose, jei toks suskirstymas atitinka atsakomybės struktūrą. Tiekėjo etikos kodeksas gali papildyti šią sistemą, tačiau nepakeičia veiklos vietos viduje taikomų principų.

Kiekvienoje politikoje turėtų būti apibrėžti vadovybės įsipareigojimai, asmenų grupės, kurioms ji taikoma, už įgyvendinimą atsakingi vaidmenys, galimi pranešimo apie pažeidimus kanalai, apsauga nuo atsakomųjų veiksmų, atvejų nagrinėjimo tvarka ir informacijos perdavimo darbuotojams būdas. Tinkamo vadovybės lygmens patvirtinimas dokumentui suteikia oficialų statusą, tačiau neįrodo jo įgyvendinimo. Reikalingi vykdymo mechanizmai ir įrodymai, kad darbuotojai taisyklę žino, supranta ir gali ja pasinaudoti. Vertinant galima atsižvelgti į komunikacijos aprėptį, patvirtintą supratimą ir reagavimo į pranešimus savalaikiškumą.

Taikymo asmenims apimtis negali apsiriboti tik pagal darbo sutartis įdarbintais darbuotojais. Būtina nustatyti, kurios taisyklės taikomos civilinių sutarčių pagrindu dirbantiems asmenims, laikiniesiems ir migrantams darbuotojams bei veiklos vietoje esančiam subrangovų personalui. Priekabiavimo prevencijos politika neveiks, jei naktinės pamainos darbuotojas nežinos pranešimo kanalo arba negalės juo pasinaudoti suprantama kalba. Daugiakalbė komunikacija turi būti grindžiama faktine darbuotojų struktūra, o ne formalia dokumentų kalba.

Ypač atidžiai reikia vertinti grupės lygmens politikos dokumentų perėmimą. Prieš juos įgyvendinant būtina patvirtinti, ar nurodyti vaidmenys egzistuoja Lietuvos įmonėje, ar pranešimų kanalai veikia, ar reagavimo terminai realiai įgyvendinami, o aprašytos naudos bei organizacinės priemonės iš tiesų taikomos. Priešingu atveju dokumentas nustatys praktikai prieštaraujantį įsipareigojimą.

Viena atsakingo įdarbinimo politika gali pakeisti kelis dokumentus, jei dėl to neprarandamas atsakomybės aiškumas ir išlieka ryšys su vykdymo mechanizmais. Dokumentų hierarchija turi būti suprantama: politika nustato principą, procedūra aprašo proceso eigą, instrukcija – konkretų atlikimo būdą, o forma arba registras išsaugo įrodymą. Šis skirtumas taip pat svarbus taikant temoje Bandomasis auditas prieš LST EN ISO 9001 – kaip patikimai ir be perteklinių sąnaudų įvertinti organizacijos pasirengimą aprašytą požiūrį.

Praktiką valdančios procedūros

Procedūros pirmiausia turėtų būti rengiamos tiems proceso taškams, kuriuose vadovo sprendimas, nukrypimas nuo plano arba duomenų neatitiktis gali lemti pažeidimą. Personalo valdymo srityje jos turėtų apimti atranką, amžiaus ir teisės dirbti patikrą, darbo sąlygų nustatymą ir keitimą, savanoriško darbo patvirtinimą bei draudimą imti neleistinus mokesčius. Taip pat aiškiai turi būti reglamentuoti darbo santykių ar bendradarbiavimo nutraukimas ir darbuotojui priklausančių dokumentų grąžinimas.

Kiekvienai veiklai nereikia atskiros procedūros, jeigu procesams būdingi bendri vaidmenys ir kontrolės priemonės. Tačiau atskirai turi būti aprašomi atvejai, kurių konfidencialumas, tvirtinimo eiga arba atsakomybė skiriasi. Dokumentų skaidymas turi padėti priimti sprendimus ir išsaugoti įrodymus, o ne vien formaliai atkartoti organizacinę struktūrą.

Ypatingos kontrolės reikia darbuotojų skaičiaus, gamybos pajėgumo ir darbo laiko sąsajai. Procedūroje turi būti nustatyta, kaip planuojamos pamainos, tvirtinami viršvalandžiai – rankiniu būdu arba sistemoje, registruojamas darbo laikas ir apskaičiuojami priedai, atostogos bei išskaitos. Pagrindinis kontrolės mechanizmas yra patekimo kontrolės sistemos duomenų, grafikų, darbo laiko apskaitos ir darbo užmokesčio žiniaraščių sutikrinimas, neatitikimus paaiškinant prieš užbaigiant apskaitinį laikotarpį.

Jei dėl skubaus užsakymo reikia pakeisti planą, nukrypimo įraše turi būti nurodytas sprendimą patvirtinantis asmuo, sprendimo pagrindas, atitikties įvertinimas ir po įgyvendinimo paliktinas įrašas. Ribos, poilsio laikas, apskaičiavimo taisyklės ir terminai turi būti siejami su aktualiais reikalavimais, taikomais konkrečiai darbo formai ir konkretaus asmens situacijai, o ne su viena tariamai universalia verte.

DSS procedūros turi atitikti faktinius veiklos vietos pavojus. Jose turėtų būti reglamentuotas rizikos vertinimas, mokymas, asmeninių apsaugos priemonių parinkimas ir išdavimas, pranešimas apie nelaimingus atsitikimus ir jų tyrimas, avarinė parengtis, pirmoji pagalba bei priešgaisrinė sauga. Atsižvelgiant į veiklą, taip pat būtina kontroliuoti įrangos patikras ir saugų ypač pavojingų darbų atlikimą.

Leidimas pradėti darbą, kuriam būtinos specialios saugos priemonės, negali būti grindžiamas vien darbo vietos instrukcija. Turi būti paskirtas sprendimo savininkas, nustatytos darbo pradžios sąlygos, stabdymo kriterijai ir kontrolės įrašas. Panaši kompetencijų ir įrodymų priežiūros logika pateikiama temoje ISO 3834 – kaip kontroliuoti suvirinimą, kompetenciją ir kokybės įrašus gamyboje.

Skundų nagrinėjimo mechanizme turi būti nustatyti prieinami kanalai, konfidencialumo principai, nepriklausomas nagrinėjimas, terminai, apsauga nuo atsakomųjų veiksmų, grįžtamojo ryšio teikimas ir bylų uždarymo būdas. Dėžutė pranešimams be jų nagrinėjimo registro nėra visavertis sprendimas. Būtina nustatyti, kas priima su tiesioginiu vadovu arba aukščiausiąja vadovybe susijusį pranešimą ir kada jis perduodamas nepriklausomam asmeniui ar subjektui. Registras turi leisti įvertinti reagavimo savalaikiškumą, bylos būklę ir veiksmų įgyvendinimą, nepagrįstai neatskleidžiant pranešėjo duomenų.

Aplinkosaugos ir verslo etikos procedūros turi būti proporcingos veiklos aspektams. Jos gali apimti taikomų reikalavimų, atliekų, išteklių naudojimo ir aplinkosaugos įvykių kontrolę, taip pat interesų konfliktus, dovanas, piktnaudžiavimą ir pranešimus. Nukrypimus verta aprašyti nustatant jų pagrindą, teisę priimti sprendimą, išimties ribas ir privalomą įrašą, užuot dokumente bandžius išvardyti visus galimus atvejus.

Faktus atkuriantys įrašai

Įrašas vertingas tada, kai pagal jį galima atkurti konkretaus asmens darbo sąlygas arba įvykio eigą: kas, kada, kokiu pagrindu ir su kokiu rezultatu atliko konkretų veiksmą. Todėl prieš auditą kiekvienam procesui reikia nustatyti atskaitinių duomenų šaltinį, versijų identifikavimo principus ir klaidų taisymo būdą neištrinant pirminio įrašo. Ne mažiau svarbūs saugojimas, prieinamumas ir archyvavimas. Įrašas turi būti susijęs su vertinama veiklos vieta ir laikotarpiu, o jo kilmę turi būti įmanoma patvirtinti.

Personalo bylos ir registrai turi atitikti konkretaus asmens statusą. Juose gali būti darbo ar bendradarbiavimo pagrindas, sąlygų patvirtinimas, teisėtam darbui reikalingi duomenys, mokymų ir informacijos suteikimo patvirtinimai, sąlygų pakeitimai bei bendradarbiavimo pabaiga. Tačiau svarbiausias atitikties patikrinimas – vieno asmens atsekimas per visą procesą: nuo grafiko, faktinio buvimo ir darbo laiko apskaitos, sutikimų ar nurodymų dirbti papildomai iki darbo užmokesčio apskaičiavimo ir išmokėjimo patvirtinimo. Personalo sistema, patekimo registravimo sistema, vadovo dokumentai ir darbo užmokesčio žiniaraštis turi atspindėti tą pačią faktinę padėtį.

Jei patekimo sistema rodo, kad asmuo buvo veiklos vietoje pasibaigus apskaitytam darbo laikui, toks skirtumas negali būti nei automatiškai laikomas viršvalandžiais, nei pašalinamas kaip techninė klaida. Reikia nustatyti jo priežastį, palyginti grafiką, darbo vietos įrašą, vadovo nurodymus ir darbo užmokesčio apskaičiavimą, o tada dokumentuoti paaiškinimą bei patvirtintą korekciją.

Peržiūros imtis turi būti sudaroma pagal riziką. Ji turėtų apimti skirtingas darbo formas, pamainas ir padalinius, didesnės gamybos laikotarpius, papildomą darbą ir išimtinius atvejus. Imties dydis turi priklausyti nuo veiklos masto bei nustatytų neatitikimų, o ne nuo iš anksto, be analizės pasirinkto pastovaus skaičiaus.

DSS srityje įrodymų grandinė turi susieti aktualius rizikos vertinimus su mokymų, sveikatos patikrų ir kvalifikacijos registrais, įrenginių bei apsaugos priemonių patikromis, asmeninių apsaugos priemonių išdavimu, avarinėmis pratybomis, nelaimingais atsitikimais, korekciniais veiksmais ir darbo sąlygų peržiūromis. Aplinkosaugos ir etikos srityse reikia sutvarkyti veiklai taikomus leidimus bei pranešimus, matavimų rezultatus, veiklos įrašus, incidentus, skundus, interesų konfliktus, pranešimus apie pažeidimus ir tolesnius veiksmus, jeigu šios sritys patenka į audito apimtį. Įrašų atsekamumo svarba taip pat parodyta temoje AQAP 2110 – kokius dokumentus ir procesus dažniausiai tikrina gynybos sektoriaus auditoriai?

Atskira įrodymų grandinė turi būti sukurta laikinojo įdarbinimo agentūroms ir subrangovams. Dokumentacija turi leisti įvertinti jų kvalifikaciją, sutarties sąlygas, dirbti siunčiamų asmenų sąrašus, reikiamus pranešimus, atsiskaitymus, vykdomą priežiūrą ir reakciją į nustatytus trūkumus. Vien komercinė sutartis neįrodo, kad veiklos vietoje esantys asmenys turi tinkamą statusą, gauna sutartas išmokas ir dirba deklaruotomis sąlygomis. Todėl proceso savininkas turėtų periodiškai sutikrinti rangovo duomenis su buvimo vietoje, darbo laiko apskaitos, atsiskaitymo dokumentais ir patikrų vietoje rezultatais.

Pasirengimo vertinimas ir spragų šalinimas

Pasirengimo vertinimas turėtų atkartoti tikrojo audito logiką: dokumentų analizę, veiklos vietos apžiūrą, pokalbius su vadovybe ir darbuotojais, bylų atrankinę patikrą bei skirtingų sistemų duomenų sutikrinimą. Politikos dokumentų kontrolinio sąrašo nepakanka, nes jis neatskleidžia skirtumo tarp procedūroje aprašytos taisyklės ir gamybos pamainoje taikomos praktikos. Atsižvelgdama į komandos kompetenciją ir nepriklausomumą, organizacija gali atlikti bandomąjį auditą savo jėgomis arba užsakyti nepriklausomą vertinimą pagal temoje „Bandomasis auditas prieš LST EN ISO 9001 – kaip patikimai ir be perteklinių sąnaudų įvertinti organizacijos pasirengimą“ aprašytą požiūrį. Pasirengimo vertinimas turi būti aiškiai atskirtas nuo tikrojo audito.

Kiekviena nustatyta spraga turi būti priskirta vienai iš kategorijų:

• trūksta dokumento arba įrašo;
• nustatytas principas neįgyvendintas;
• kontrolė neveiksminga;
• duomenys nesutampa;
• galimas pažeidimas, į kurį būtina reaguoti nedelsiant.

Klasifikacija lemia klausimo savininką ir eskalavimo būdą. Nepatvirtinta instrukcija gali priklausyti proceso savininko kompetencijai, tačiau įtarimas dėl netinkamos darbo laiko apskaitos reikalauja nedelsiant įtraukti personalo funkciją, vadovybę ir, atsižvelgiant į aplinkybes, teisininkus. Panaši rizikos vertinimo logika taikoma temoje Tiekėjo auditas prieš sutarties pasirašymą – kaip sumažinti kokybės ir terminų riziką.

Veiksmų planas negali apsiriboti trūkstamos formos sukūrimu. Jis turi apimti esamos situacijos korekciją, pagrindinės priežasties analizę, korekcinį veiksmą, terminą, atsakingą asmenį, reikiamą įgyvendinimo įrodymą ir rezultatyvumo vertinimą. Spragos uždarymą turi patvirtinti asmuo, turintis pakankamai kompetencijos ir nepriklausomumo įrodymui įvertinti, o ne automatiškai pats veiksmo vykdytojas.

Pasirengimo registre turi būti rodomos spragos pagal sritis ir riziką, jų savininkai, terminai ir įrodymų būklė. Ne visas spragas įmanoma atsakingai pašalinti iki audito. Naujas įrašas, neapimantis laikotarpio, per kurį būtų galima patvirtinti veiksmo rezultatyvumą, dar nėra tvaraus pagerėjimo įrodymas.

Darbuotojų ir vadovų pasirengimas reiškia audito tikslo, dalyvių teisių, konfidencialumo principų ir informacijos teikimo tvarkos paaiškinimą. Mokymas pateikti pageidaujamus atsakymus mažina pokalbių patikimumą ir gali paslėpti realias rizikas. Darbuotojai turi žinoti galiojančias taisykles ir problemų pranešimo kanalus, tačiau atsakyti remdamiesi savo patirtimi.

Sprendimą dėl pasirengimo priima vadovybė, remdamasi atvirų rizikų registru, įrodymų grandinių nuoseklumu ir procesų savininkų gebėjimu dalykiškai paaiškinti taikomą praktiką. Jei išlieka galimas su darbuotojais susijęs pažeidimas, trūksta patikimų duomenų arba spragos rezultatyvumui patvirtinti reikia daugiau laiko, klausimas turi būti eskaluojamas. Jei tai leidžia kliento reikalavimai ir organizaciniai susitarimai, dėl neišspręstų reikšmingų spragų gali būti pagrįsta keisti audito datą.