Sedex SAQ: så samlar ni in data och tar fram svar som stämmer med verksamheten

Sedex SAQ bör inte fyllas i av en enda avdelning utifrån rutiner och tidigare uppgifter. Svaren måste spegla hur den aktuella juridiska enheten eller verksamhetsplatsen faktiskt arbetar och stämma överens med dokumentation, operativa data och medarbetarnas tillämpning. Arbetet bör därför börja med att fastställa omfattning, dataägare och krav på verifierande underlag. Först därefter kan organisationen samla in information, hantera avvikelser mellan olika källor, godkänna svaren och planera hur identifierade brister ska åtgärdas.

SAQ som en bild av hur verksamheten faktiskt fungerar

Sedex SAQ är organisationens självutvärdering – inte ett certifikat eller ett fristående bevis på efterlevnad. Formuläret beskriver hur en viss juridisk enhet eller verksamhetsplats uppger att den arbetar. Mottagaren kan jämföra svaren med dokument, operativa data, samtal med medarbetare och resultat från en social revision. Värdet ligger därför inte i antalet positiva svar, utan i överensstämmelsen mellan uppgifter, verifierande underlag och faktisk tillämpning.

Börja med att bekräfta affärssyftet, vilka som ska ta del av svaren och vilka krav de ställer. Fastställ om omfattningen avser en juridisk enhet, en enskild anläggning eller en grupp verksamhetsplatser. Kontrollera därefter vilken version av frågeformuläret som är aktuell och när den gjordes tillgänglig i systemet. Formuläret och kundernas förväntningar kan förändras. Att kopiera tidigare svar utan en ny bedömning av omfattningen leder därför lätt till motstridiga eller missvisande uppgifter. En utsedd samordnare bör hålla ihop arbetet, men informationen ska komma från respektive processägare.

SAQ är tvärfunktionellt. Frågorna kan omfatta anställningsvillkor, arbetsmiljö, miljöpåverkan och affärsetik. Underlagen behöver därför hämtas från exempelvis HR, arbetsmiljöfunktionen, verksamheten, inköp samt ansvariga för miljö, ekonomi och regelefterlevnad. Kvalitetsfunktionen kan styra arbetsmetoden och kontrollera svarens inbördes konsekvens, men bör inte ersätta processägarna eller själv tolka arbetssätt som ligger utanför dess ansvar.

Uppgifter om personalutbildning kräver att tre olika lägen skiljs åt. Om utbildningen genomförs och styrks av aktuella register finns ett robust underlag för svaret. Om arbetssättet fungerar men registreringen är ofullständig ska det faktiska läget beskrivas och dokumentationen rättas till. Om lösningen inte är införd får den inte ersättas med en policy eller en plan. Då krävs ett ledningsbeslut som anger korrigerande åtgärd, tidsfrist och ansvar. Detta stärker due diligence i leverantörskedjan och förberedelserna inför kundbedömningar, även i det bredare sammanhang som beskrivs i Så förbereder du teamet inför en kundrevision när APQP, PPAP och orsaksanalys krävs.

Omfattning, roller och regler för svaren

Innan frågorna fördelas ska den rapporterande enheten definieras formellt: bolag, anläggning, lager, kontor eller annan verksamhetsplats som omfattas av SAQ-profilen. Omfattningen bör även ange vilka personalkategorier och anställningsformer som ingår. Koncerngemensamma uppgifter kan fungera som stöd, men ersätter inte data från den plats som utvärderas. Fastställ också en gemensam referensperiod för numeriska värden och ett brytdatum för bedömning av aktualiteten hos dokument, utbildningar, riskbedömningar och korrigerande åtgärder.

Ansvaret bör fördelas mellan SAQ-samordnaren, de sakkunniga områdesägarna, granskarna och den person som godkänner publiceringen. Samordnaren ansvarar för att formuläret är fullständigt och konsekvent, men ska inte formulera svaren åt HR, arbetsmiljöfunktionen, inköp eller verksamheten. Samordningen kan ske centralt, medan bekräftelsen av faktisk tillämpning och data bör ligga så nära den utvärderade verksamhetsplatsen som möjligt.

Innan datainsamlingen börjar behöver organisationen fastställa regler för vilka underlag som godtas. Källdokument och transaktionsdata bör väga tyngre än manuella sammanställningar, och den faktiska tillämpningen bör väga tyngre än formuleringar i en policy. Varje undantag ska ha en angiven omfattning och orsak. Uppskattningar ska ha en dokumenterad metod, en ägare och en godkännare. Svaret ”ej tillämpligt” måste motiveras utifrån verksamhetens omfattning. Att dokument eller data saknas är inte ett sådant skäl.

Öppna frågor och motstridiga uppgifter bör föras i ett särskilt register. För varje fråga ska registret ange ansvarig person, tidsfrist, underlag, beslut och beslutsfattare. Därmed undviks att viktiga ställningstaganden endast finns i e-post eller muntliga samtal. Ledningens godkännande är särskilt viktigt när ett svar bekräftar en policy, ett organisatoriskt åtagande, ett väsentligt undantag eller en uppskattning. Hur dessa principer kan överföras till nya processägare kan kopplas till Så utformar du introduktionen för en ny kvalitetsingenjör eller ISO-samordnare.

Kartläggning av data och verifierande underlag

Underlaget till SAQ bör byggas utifrån en frågekarta, inte genom att samla in alla dokument som finns i organisationen. För varje fråga ska ni ange vilken information som efterfrågas, måttenhet, primär källa, dataägare och datum för uppgifternas aktualitet. Underlagsregistret bör koppla frågans identitet till ett preliminärt svar, organisatorisk omfattning, referensperiod, verifieringsdatum och identifierad brist. Det gör informationens ursprung spårbart och minskar behovet av att skriva av samma värden flera gånger.

I kartläggningen ska policyer, rutiner, dokumenterade resultat och observerbar tillämpning hållas isär. En policy bekräftar att en princip har antagits. En rutin beskriver hur arbetet ska utföras. Ett dokumenterat resultat visar att en aktivitet har genomförts. Den observerbara tillämpningen visar om lösningen verkligen fungerar. Ett dokument som anger ett förbud, krav eller åtagande bevisar inte i sig att detta efterlevs. Beroende på frågan kan relevanta underlag vara personal- och lönedata, arbetstidsregister, arbetsmiljöregister, riskbedömningar, utbildningsregister, miljötillstånd och mätresultat, register över klagomål, utredningar och uppföljande åtgärder samt leverantörsinformation.

Definitionerna måste harmoniseras innan data slås samman. ”Antal anställda” kan betyda antalet personer ett visst datum, ett genomsnitt under en period eller antalet heltidsekvivalenter. ”Extern arbetstagare” kan omfatta inhyrd personal, entreprenörers personal eller endast personer som stadigvarande vistas på arbetsplatsen. HR, arbetsmiljöfunktionen och verksamheten kan också klassificera olyckor, klagomål och slutförda utbildningar på olika sätt. Antalet utbildade personer blir otillförlitligt om en avdelning räknar närvaro medan en annan kräver godkänt resultat eller erhållen behörighet. Dokumentera definition, referensdatum och kvalificeringsregel innan uppgifterna tas fram.

Om källorna motsäger varandra bör företräde ges åt den styrda huvudkällan som ligger närmast den aktuella händelsen. Skillnader mellan HR-systemet, lokala listor och manuella sammanställningar ska utredas, inte jämnas ut genom ett genomsnitt. Uppskattade data bör endast användas om formuläret och frågans karaktär medger det. Beräkningsmetod, antaganden och godkännande ska då sparas. Brister bör hanteras som problem där orsak och åtgärd behöver fastställas, enligt den logik som beskrivs i A3 problemlösning – så tar du fram ett dokument som leder teamet fram till en lösning.

Tillräckligt verifierande underlag behöver inte innebära fullständiga kopior av personalakter, lönelistor eller utredningsmaterial. För SAQ ska ni ta fram det som krävs för att styrka svaret och samtidigt säkerställa åtkomstkontroll och anonymisering av personuppgifter och känslig information där identifiering inte behövs. Registret bör visa var underlagen lagras och vilka regler som gäller för bevarande, utan att duplicera källmaterialet. Kontrollera före utlämning att anonymiseringen inte tar bort information som behövs för att bedöma datum, verksamhetsplats, genomförd åtgärd eller resultat.

Kontroll av svarens inbördes konsekvens

Granskningen av SAQ bör omfatta fyra perspektiv: logiken mellan olika svar, värdenas överensstämmelse med källdokumenten, kontinuiteten mellan rapporteringsperioder och överensstämmelsen mellan uppgifterna och den faktiska tillämpningen på verksamhetsplatsen. Det räcker inte att kontrollera att alla fält är ifyllda. Ett svar kan finnas men ändå motsäga en annan del av formuläret, vara inaktuellt eller endast gälla en del av organisationen. Mest kritiska är skillnader som rör omfattning, vilka personalkategorier som ingår och införandestatus, eftersom de påverkar innebörden av flera svar samtidigt.

Verifieringen ska bygga på ett spårbart underlag från varje fält i SAQ till en bestämd källa, dataägare och beräkningsmetod. För numeriska värden ska avstämningen mot källsystemet sparas. För beskrivande svar ska ett dokument, en registrerad uppgift eller en observerad tillämpning anges. Antalet frågor som saknar ägare, källa eller bekräftelse kan användas som en intern indikator på beredskap. Motstridiga uppgifter ska registreras tillsammans med beslut, motivering och godkännare. De ska inte döljas genom att formuleringen ändras utan att grundorsaken utreds.

Konflikter blir ofta synliga först när olika områden jämförs. En policy kan formellt omfatta samtliga medarbetare, medan utbildningsregistren endast visar att en del av personalen har informerats. En klagomålsmekanism kan vara beskriven i en rutin, men medarbetarna kanske inte vet var den finns eller om den kan användas konfidentiellt. Antalet sysselsatta kan avvika från uppgifter om arbetstid, arbetsmiljöutbildning eller olyckor, särskilt om inhyrd personal eller entreprenörers personal har utelämnats. I sådana fall ska rätt omfattning fastställas – inte det mest fördelaktiga värdet väljas.

SAQ kan kontrolleras utan att en fullständig intern revision genomförs, genom en tvärfunktionell granskning och ett begränsat revisionsmässigt stickprov. En person utanför källområdet bör följa utvalda svar från formuläret till underlagen, jämföra data från två oberoende källor och stämma av dem mot ett mindre urval av dokument och medarbetare. Urvalet bör täcka olika anställningsformer, skift, verksamhetsplatser och perioder med förhöjd risk. Granskarens oberoende har praktisk betydelse: processägaren känner processens avsikt men kan förbise avvikelser som blir tydliga för någon utanför området. Samma disciplin i den verifierbara spårbarheten är relevant för området som beskrivs i ISO 22163 inom järnvägssektorn: hur lång tid tar införandet av IRIS och hur förbereder man företaget inför revisionen?.

Det sista steget är en språklig kontroll. Påståenden som ”alla”, ”alltid” och ”på samtliga verksamhetsplatser” är endast motiverade när underlagen täcker hela den angivna omfattningen. Om processen har undantag ska svaret redovisa dem och ange hur de hanteras. En godkänd plan, ett påbörjat införande eller en beställd utbildning får inte beskrivas som en redan fungerande lösning. Skillnaden mellan uppnått läge och planerad åtgärd bevarar trovärdigheten i SAQ och gör det möjligt att verifiera framsteg senare.

Brister, risker och villkorade svar

En brist som identifieras vid SAQ-granskningen behöver klassificeras, eftersom olika typer av brister kräver olika beslut. Skilj mellan:

• saknade data,
• motstridiga dokumenterade uppgifter,
• en formellt beslutad princip som inte har införts,
• en faktisk operativ avvikelse,
• en fråga som kräver juridisk eller avtalsmässig tolkning.

Registret över brister ska ange datum då bristen identifierades, berörda personer, processer eller verksamhetsplatser, ansvarig ägare, tidsfrist och vilket underlag som krävs för att stänga frågan. Om avgörandet beror på tillämplig rätt, anställningsvillkor eller kundåtaganden krävs juridisk eller avtalsmässig rådgivning – inte en internt överenskommen och bekväm tolkning.

Prioriteringen bör utgå från möjlig påverkan på människor, miljö, kravuppfyllelse och organisationens trovärdighet inför kunden. Hur enkelt något är att rätta till kan påverka tidplanen, men bör inte avgöra problemets betydelse. En brist bör stoppa publiceringen av SAQ om den gör det omöjligt att fastställa ett tillförlitligt svar, rör en väsentlig risk eller innebär att uppgiften skulle bli missvisande. I övriga fall kan ledningen acceptera en tidsbegränsad risk, förutsatt att beslutets grund och svarets begränsningar dokumenteras öppet.

Ett ofullständigt läge ska redovisas så som det faktiskt ser ut den dag formuläret godkänns. Planerade eller påbörjade åtgärder ska beskrivas separat med ansvarig person, tidsfrist och metod för effektivitetskontroll. Statusen bör skilja mellan planerad, påbörjad, införd och verifierad. Underlag får inte skapas i efterhand för att fylla luckor i spårbarheten, och svar ska inte enbart grundas på en chefs försäkran om att arbetssättet tillämpas. Avsaknad av verifierande underlag är en fråga som måste hanteras – inte ett redaktionellt problem. Detta följer samma logik som korrigerande åtgärder och är förenligt med temat Så kopplar du samman data från reklamationer, revisioner, SPC och FMEA i en gemensam förbättringslogik.

Ett exempel är ett företag som uppger att klagomålskanalen är tillgänglig för alla som utför arbete. Granskningen bekräftar att det finns en rutin, men visar inte att inhyrd personal har informerats om hur rapportering sker, hur konfidentialiteten hanteras eller vilket skydd som finns mot repressalier. Uppgiften om allmän tillgänglighet bör då inte stå kvar. SAQ-svaret ska korrigeras, den berörda gruppen ska informeras och organisationen bör genom samtal eller ett stickprov kontrollera att mekanismen verkligen är tillgänglig och begriplig. Bristen är inte stängd när informationen publiceras, utan först när åtgärdens effekt har verifierats.

Godkännande och löpande förvaltning av SAQ

Innan SAQ publiceras ska en formell granskning bekräfta att svaren är fullständiga och aktuella, inbördes konsekventa, att undantag har hanterats och att innehållet stämmer med den organisatoriska omfattning och informationsnivå som kunden efterfrågar. Kontrollera även om informationen omfattas av restriktioner som rör informationssäkerhet, personuppgifter eller avtalsåtaganden. Ledningens godkännande får inte reduceras till ett tekniskt medgivande att skicka formuläret. Godkännaren ska känna till väsentliga brister, accepterade risker och kvarstående åtgärder.

Efter publiceringen ska den godkända svarsversionen, registret över använda källor, godkännandedatumet och beräkningsunderlagen för centrala värden bevaras. Dokumentationen bör också innehålla versionsnummer, datum för nästa översyn och en förteckning över öppna åtgärder med status och förväntat underlag för effektivitetskontroll. Denna spårbarhet gör det möjligt att återskapa grunden för uppgifterna vid en revision och minskar risken för att data beräknas enligt andra antaganden vid nästa uppdatering.

Den som ansvarar för förvaltningen av SAQ bör föra ett ändringsregister över förhållanden som påverkar publicerade svar. En periodisk översyn är inte tillräcklig om verksamhetsprofilen, personalstrukturen, verksamhetsplatsen, ett väsentligt kundkrav eller tillståndens omfattning förändras dessförinnan, eller om en allvarlig operativ händelse inträffar. En ny anläggning eller en betydande ökning av andelen inhyrd personal kräver en ny kontroll av dataomfattningen och den angivna tillämpningen, även om ordinarie översynsdatum ännu inte har nåtts.

Brister som identifieras genom SAQ bör integreras i organisationens befintliga processer för ändringshantering, korrigerande åtgärder och ledningens genomgång. Undvik en separat åtgärdslista som endast används för Sedex. Prioriteringen ska vara riskbaserad, och en åtgärd ska stängas först när effekten har verifierats – inte enbart när uppgiften har utförts. En användbar planeringsstruktur beskrivs i Så tar du fram en plan för kvalitetsförbättring på 3, 6 och 12 månader. På så sätt förblir formuläret en styrd redovisning av organisationens aktuella läge, i stället för en historisk ögonblicksbild som bara var giltig när den skickades.