SMETA-dokumentation før audit: politikker, procedurer og registreringer skal hænge sammen

SMETA-dokumentation er ikke en samling politikker, der udarbejdes til auditorens besøg. Den skal dokumentere, at principperne for ansættelse, registrering af arbejdstid og løn, arbejdsmiljø, miljøbeskyttelse, forretningsetik og styring af eksternt personale anvendes i praksis. Auditor sammenholder dokumenterne med underliggende registreringer, observationer på virksomheden og fortrolige medarbejderinterviews. Uoverensstemmelser mellem disse kilder svækker troværdigheden af hele dokumentationskæden.

Forberedelsen bør derfor begynde med en bekræftelse af auditomfanget og en kortlægning af de processer, der faktisk anvendes. Derefter skal ansvar placeres, politikker og procedurer struktureres, data på tværs af systemer afstemmes, og der skal gennemføres en vurdering af auditparatheden. Formålet er ikke at skabe en facade af efterlevelse, men at kunne forklare virksomhedens principper, beslutninger, afvigelser og registreringer med udgangspunkt i konkrete medarbejdere, skift og hændelser.

Et dokument er ikke i sig selv et bevis

SMETA skal betragtes som en metode til etisk audit af leverandørkæden og ikke som en certificerbar ledelsessystemstandard. Auditresultatet bør derfor ikke omtales som et overensstemmelsescertifikat. Sedex fungerer som platform for informationsudveksling og er ikke et certificeringsorgan, der udsteder et sådant certifikat. Virksomhedens forberedelse består i at dokumentere sammenhængen mellem kundens krav, de fastlagte principper, de faktiske arbejdsforhold og de underliggende registreringer.

Den første beslutning bør være en skriftlig bekræftelse af omfanget med kunden eller den part, der har bestilt auditten. Der skal være klarhed over lokation, audittype, audit med to eller fire søjler, kerne- og støtteprocesser, medarbejdergrupper samt den forventede registreringsperiode. Vikarer, underleverandører og skifteholdsmedarbejdere skal medtages, hvis de er omfattet af vurderingen. Kravene bør kontrolleres mod de aktuelle aftaler med auditvirksomheden og de relevante SMETA-metodedokumenter frem for at overføre forudsætninger fra audit af en anden virksomhed.

Dokumentationen bør organiseres som dokumentationsspor: fra det fastlagte princip over tildelt ansvar og udført aktivitet til en registrering, der gør det muligt at rekonstruere en konkret sag. Det kræver samarbejde mellem HR, løn, drift, arbejdsmiljøfunktionen og de personer, der fører tilsyn med underleverandører. Én koordinator bør styre omfang, dokumentversioner, datakomplethed og ejerskab for identificerede mangler. En tilsvarende tilgang til strukturering af dokumentation beskrives i NIS2- og KSC-dokumentation før kontrol: Hvilke politikker, registre og beviser er reelt nødvendige?.

Auditor sammenholder politikker og procedurer med observationer på arbejdspladserne, medarbejderinterviews og kildedata. En politik, der forbyder uforholdsmæssigt lang arbejdstid, dokumenterer ikke efterlevelse, hvis tidsregistreringer, vagtplaner, lønlister og medarbejdernes udsagn viser noget andet. Muligheden for at følge en udvalgt medarbejder, et skift eller en periode og forklare alle afvigelser er vigtigere end en omfattende procedure. Et dokument, der alene er udarbejdet før besøget og ikke understøttes af praksis, øger risikoen for, at uoverensstemmelser bliver afdækket, frem for at reducere den.

Kortlægning af risici og ansvar

Arbejdet med dokumentationen bør begynde med et proces- og risikokort, der omfatter ansættelse, arbejdstid, løn, arbejdsmiljø, miljø, forretningsetik, underleverandører og — hvor det er relevant — indkvartering og transport. Kortet skal afspejle de faktiske ansættelsesformer, leverandører af arbejdskraft, skift, lokationer og øvrige faciliteter på grundlag af virksomhedens aktuelle data. Først derefter kan virksomheden beslutte, om dokumentstyringen kan varetages centralt, eller om der skal udpeges lokale procesejere.

For hvert område skal der tydeligt udpeges en procesejer og en registreringsejer. Desuden skal opbevaringssted, nødvendigt adgangsniveau, gennemgangsperiode og metode til godkendelse af ændringer fastlægges. Adgang for auditor til personalemapper og løndokumentation kræver en særskilt beslutning. Adgangen skal muliggøre verifikation og samtidig være i overensstemmelse med virksomhedens regler for databeskyttelse og interne adgangsbeføjelser.

De alvorligste mangler opstår ofte i grænsefladerne mellem ansvarsområder. HR vedligeholder personalemapper, lønfunktionen beregner tillæg, produktionen ændrer vagtplanen, vagttjenesten registrerer adgang, og en ekstern virksomhed sender medarbejdere til arbejdsstedet. Hvert datasæt kan isoleret set se korrekt ud, mens en sammenligning afslører en praksis, der ikke stemmer overens med de fastlagte regler. En dokumentationsmangel betyder, at beviset mangler eller ikke er tilgængeligt. En afvigende praksis foreligger derimod, når troværdige registreringer, observationer eller interviews dokumenterer en uoverensstemmelse med det fastlagte princip.

Når tiden er begrænset, bør virksomheden prioritere forhold med størst mulig konsekvens for mennesker og efterlevelse, stor udbredelse og høj vanskelighed ved at rekonstruere data — ikke de procedurer, der er lettest at skrive. Ledelsen bør godkende ansvarsmatricen, ressourcerne og eskalationsvejen for afvigelser. Koordinatoren styrer omfang, tidsfrister og status for mangler, men overtager ikke ansvaret fra HR, produktion, arbejdsmiljø eller indkøb. Betydningen af denne ansvarsfordeling behandles også i ASME NQA-1 — strukturering af kvalitet, ansvar og styring i projekter til kernekraftsektoren.

Politikker fastlægger rammerne

Politikpakken skal tage udgangspunkt i det bekræftede auditomfang, virksomhedens risikoprofil, kundekravene og de regler, der gælder for aktiviteten. Der findes ikke ét dokumentationssæt, som passer til alle organisationer. Normalt er der behov for principper om arbejdsstandarder, forbud mod tvangsarbejde og børnearbejde, ikke-diskrimination og forebyggelse af chikane, foreningsfrihed, løn og arbejdstid, arbejdsmiljø, miljø samt forretningsetik. De kan samles i ét overordnet dokument eller opdeles i fagområdespecifikke politikker, hvis opdelingen svarer til ansvarsstrukturen. En leverandøradfærdskodeks kan supplere strukturen, men kan ikke erstatte de principper, der gælder internt i virksomheden.

Hver politik bør beskrive ledelsens forpligtelse, de omfattede grupper, ansvarlige roller, tilgængelige kanaler til indberetning af overtrædelser, beskyttelse mod repressalier, behandling af sager og kommunikation til medarbejderne. Godkendelse på det relevante ledelsesniveau giver dokumentet autoritet, men dokumenterer ikke implementering. Der skal findes gennemførelsesmekanismer og beviser for, at målgrupperne kender og forstår princippet og reelt kan gøre brug af det. Vurderingen kan blandt andet baseres på kommunikationens rækkevidde, dokumenteret forståelse og rettidigheden i behandlingen af indberetninger.

Personkredsen må ikke begrænses til medarbejdere med en almindelig ansættelseskontrakt. Virksomheden skal afgøre, hvilke regler der gælder for personer med andre kontraktformer, vikarer, migrantarbejdere og underleverandørers personale på virksomhedens område. En politik til forebyggelse af chikane er ikke effektiv, hvis en medarbejder på natholdet ikke kender indberetningskanalen eller ikke kan anvende den på et sprog, vedkommende forstår. Flersproget kommunikation skal baseres på den faktiske medarbejdersammensætning og ikke på dokumentationens formelle sprog.

Koncernpolitikker kræver særlig opmærksomhed. Før de implementeres, skal virksomheden kontrollere, om de beskrevne roller findes i den lokale enhed, om indberetningskanalerne fungerer, om reaktionstiderne er realistiske, og om de beskrevne ydelser og organisatoriske løsninger faktisk gælder. Ellers skaber dokumentet en forpligtelse, som ikke stemmer overens med praksis.

Én politik for ansvarlig beskæftigelse kan erstatte flere dokumenter, hvis den ikke udvisker ansvaret og fortsat er knyttet til den praktiske gennemførelse. Dokumenthierarkiet bør være tydeligt: Politikken fastlægger princippet, proceduren beskriver procesforløbet, instruktionen fastlægger udførelsen, og formularen eller registret fastholder beviset. Denne sondring er også relevant i tilgangen beskrevet i Indledende audit før DS/EN ISO 9001 – en pålidelig vurdering af organisationens parathed uden unødige omkostninger.

Procedurer, der styrer den faktiske praksis

Procedurer bør først og fremmest udformes for de punkter, hvor en ledelsesbeslutning, en afvigelse fra planen eller uoverensstemmende data kan føre til en overtrædelse. På personaleområdet bør de omfatte rekruttering, kontrol af alder og ret til at arbejde, indgåelse og ændring af ansættelsesvilkår, bekræftelse af arbejdets frivillige karakter samt forbud mod ikke-tilladte gebyrer. Afslutning af samarbejdet og tilbagelevering af dokumenter, der tilhører medarbejderen, skal reguleres lige så tydeligt.

Ikke alle aktiviteter kræver en særskilt procedure, hvis processerne har fælles roller og kontrolforanstaltninger. Der er dog behov for separate procesforløb, når fortrolighed, godkendelsesvej eller ansvar er forskellige. Dokumentopdelingen skal understøtte beslutninger og sikre dokumentation — ikke blot afspejle organisationsdiagrammet.

Sammenhængen mellem bemanding, produktionskapacitet og arbejdstid kræver særlig styring. Proceduren bør beskrive planlægning af skift, godkendelse af overarbejde — manuelt eller i et system — registrering af fremmøde samt beregning af tillæg, ferie og fradrag. En central kontrol er afstemning af adgangsdata, vagtplaner, arbejdstidsregistreringer og lønlister samt afklaring af afvigelser, før lønperioden afsluttes.

Hvis en hasteordre kræver en ændring af planen, bør afvigelsen dokumentere, hvem der godkendte den, beslutningsgrundlaget, vurderingen af efterlevelse og den registrering, der blev oprettet efter gennemførelsen. Grænser, hviletid, afregningsprincipper og frister skal vurderes i forhold til de aktuelle krav, den relevante ansættelsesform og den enkelte medarbejders situation — ikke ud fra én værdi, der antages at være universel.

På arbejdsmiljøområdet skal procedurerne svare til virksomhedens faktiske risici. De bør regulere risikovurdering, oplæring, valg og udlevering af personlige værnemidler, anmeldelse og undersøgelse af ulykker, nødberedskab, førstehjælp og brandsikring. Der er også behov for styring af eftersyn af udstyr og sikker udførelse af særligt risikofyldt arbejde i det omfang, det er relevant for aktiviteten.

Godkendelse af arbejde, der kræver særlige sikkerhedsforanstaltninger, kan ikke alene baseres på en arbejdsinstruktion. Beslutningen skal have en ejer, fastlagte betingelser for opstart, stopkriterier og en registrering af kontrollen. En tilsvarende tilgang til styring af kompetencer og dokumentation beskrives i ISO 3834 – styring af svejsning, kompetencer og kvalitetsregistreringer i produktionen.

Klagemekanismen skal definere tilgængelige kanaler, fortrolighed, uafhængig sagsbehandling, tidsfrister, beskyttelse mod repressalier, tilbagemelding og afslutning af sager. En postkasse uden et register over behandlingen er ikke en komplet løsning. Virksomheden skal afgøre, hvem der modtager en klage over en leder eller den øverste ledelse, og hvornår sagen overdrages til en uafhængig person eller ekstern part. Registret bør gøre det muligt at vurdere reaktionstid, sagsstatus og gennemførelse af handlinger uden unødigt at afsløre anmelderens identitet.

Procedurer for miljø og forretningsetik skal stå i rimeligt forhold til virksomhedens aktiviteter og påvirkninger. De kan omfatte styring af krav, affald, ressourceforbrug og miljøhændelser samt interessekonflikter, gaver, uregelmæssigheder og indberetninger. Afvigelser bør beskrives ud fra begrundelse, beslutningskompetence, undtagelsens grænser og den nødvendige registrering frem for at udvide dokumentet med alle tænkelige tilfælde.

Registreringer, der gør fakta sporbare

En registrering har værdi, når den gør det muligt at rekonstruere en konkret medarbejders arbejdsforhold eller et hændelsesforløb: hvem der gjorde hvad, hvornår, på hvilket grundlag og med hvilket resultat. Før auditten skal der derfor fastlægges en autoritativ datakilde for hver proces, regler for versionsidentifikation og en metode til at rette fejl uden at slette det oprindelige indhold. Opbevaring, tilgængelighed og arkivering er lige så vigtige. Registreringen skal vedrøre den korrekte lokation og vurderingsperiode, og dens oprindelse skal kunne bekræftes.

Personalemapper og HR-registre skal svare til den enkelte persons status. De kan omfatte ansættelses- eller samarbejdsgrundlaget, dokumentation for vilkår, nødvendige oplysninger om retten til at arbejde, dokumentation for oplæring og modtaget information, ændringer i vilkårene samt afslutning af samarbejdet. Den vigtigste overensstemmelsestest er dog at følge én person gennem hele processen: fra vagtplan og faktisk tilstedeværelse over tidsregistrering og godkendelser eller pålæg om ekstraarbejde til lønberegning og dokumentation for udbetaling. HR-systemet, adgangsregistreringen, lederens dokumentation og lønlisten skal beskrive den samme faktiske situation.

Hvis adgangssystemet viser tilstedeværelse efter afslutningen på den registrerede arbejdstid, må afvigelsen hverken automatisk klassificeres som overarbejde eller slettes som en teknisk fejl. Årsagen skal undersøges ved at sammenholde vagtplanen, registreringer fra arbejdsstedet, lederens instrukser og lønafregningen. Derefter skal forklaringen og en godkendt korrektion dokumenteres.

Stikprøven til gennemgangen skal udvælges risikobaseret. Den bør omfatte forskellige ansættelsesformer, skift og afdelinger, perioder med høj produktion, ekstraarbejde og undtagelsestilfælde. Stikprøvens størrelse skal afspejle aktivitetens omfang og de identificerede uoverensstemmelser og må ikke baseres på et fast antal uden analyse.

På arbejdsmiljøområdet bør dokumentationssporet forbinde aktuelle risikovurderinger med registre over oplæring, helbredskontroller og kvalifikationer, eftersyn af udstyr og sikkerhedsforanstaltninger, udlevering af værnemidler, beredskabsøvelser, ulykker, korrigerende handlinger og gennemgange af arbejdsforholdene. For miljø og etik skal virksomheden strukturere de tilladelser og indberetninger, der er relevante for aktiviteten, måleresultater, driftsregistreringer, hændelser, klager, interessekonflikter, indberetninger om overtrædelser og opfølgende handlinger — hvis disse områder er omfattet af auditten. Betydningen af sporbarhed illustreres også i AQAP 2110 – hvilke dokumenter og processer kontrollerer auditorer oftest i forsvarssektoren?

Der skal etableres et særskilt dokumentationsspor for vikarbureauer og underleverandører. Dokumentationen bør gøre det muligt at vurdere deres kvalifikationer, kontraktvilkår, lister over udsendte medarbejdere, nødvendige registreringer, afregninger, udført tilsyn og reaktioner på konstaterede uregelmæssigheder. En kommerciel kontrakt dokumenterer ikke i sig selv, at de personer, der arbejder på lokationen, har korrekt status, modtager de aftalte ydelser og arbejder under de deklarerede forhold. Procesejeren bør derfor med faste intervaller afstemme leverandørens data med tilstedeværelse, arbejdstidsregistreringer, afregningsdokumentation og resultater fra kontrol på stedet.

Vurdering af auditparathed og lukning af mangler

Vurderingen af auditparathed bør følge logikken i den egentlige audit: dokumentgennemgang, rundgang på virksomheden, interviews med ledere og medarbejdere, stikprøver i personaledokumentationen og afstemning af data mellem systemer. En tjekliste over politikker er ikke tilstrækkelig, fordi den ikke afdækker forskellen mellem det, der står i proceduren, og den faktiske praksis på produktionsskiftet. Afhængigt af teamets kompetence og uafhængighed kan virksomheden gennemføre en prøveaudit internt eller få foretaget en uafhængig vurdering i overensstemmelse med tilgangen i Indledende audit før DS/EN ISO 9001 – en pålidelig vurdering af organisationens parathed uden unødige omkostninger. Gennemgangen skal klart adskilles fra den egentlige audit.

Hver konstateret mangel bør klassificeres som:

• manglende dokument eller registrering;
• manglende implementering af et vedtaget princip;
• ineffektiv styring;
• uoverensstemmende data;
• mulig overtrædelse, der kræver øjeblikkelig reaktion.

Klassifikationen afgør, hvem der ejer sagen, og hvordan den skal eskaleres. En manglende godkendelse af en instruktion kan håndteres af procesejeren, mens en mistanke om ukorrekt registrering eller afregning af arbejdstid kræver omgående involvering af HR, ledelsen og — afhængigt af omstændighederne — juridisk bistand. En tilsvarende risikobaseret tilgang anvendes i Leverandøraudit før kontraktindgåelse – begrænsning af kvalitets- og leveringsrisici.

Handlingsplanen må ikke stoppe ved udarbejdelsen af en manglende formular. Den skal omfatte korrektion af den aktuelle situation, årsagsanalyse, korrigerende handling, frist, ansvarlig person, nødvendig dokumentation for gennemførelse og vurdering af effektivitet. Lukningen af en mangel bør godkendes af en person med tilstrækkelig kompetence og uafhængighed til at vurdere dokumentationen — ikke automatisk af den person, der gennemførte handlingen.

Parathedsregistret bør vise mangler fordelt på område og risiko samt deres ejere, frister og dokumentationsstatus. Ikke alle mangler kan lukkes forsvarligt før auditten. En ny registrering, som endnu ikke dækker en tilstrækkelig periode til at dokumentere handlingens effektivitet, er ikke i sig selv bevis for en varig forbedring.

Forberedelse af medarbejdere og ledere består i at forklare audittens formål, deltagernes rettigheder, fortrolighedsprincipperne og måden, oplysninger stilles til rådighed på. Træning i forventede svar svækker interviewenes troværdighed og kan skjule reelle risici. Medarbejderne skal kende de gældende regler og kanaler til at indberette problemer, men de skal svare ud fra deres egne erfaringer.

Ledelsen træffer beslutningen om auditparathed på grundlag af registret over åbne risici, sammenhængen i dokumentationssporene og procesejernes evne til sagligt at forklare praksis. Hvis der fortsat er en mulig overtrædelse, som berører medarbejderne, mangler troværdige data, eller en mangel kræver en længere periode for at dokumentere effektivitet, skal sagen eskaleres. Hvis kundekravene og de organisatoriske aftaler tillader det, kan alvorlige uløste mangler begrunde en ændring af auditdatoen.