SMETA 2-Pillar en 4-Pillar: kies de auditomvang op basis van risico en klanteisen

Het verschil tussen SMETA 2-Pillar en 4-Pillar zit niet alleen in het aantal vragen of de hoeveelheid documentatie. 2-Pillar richt zich op arbeidsnormen en gezondheid en veiligheid op het werk. 4-Pillar bestrijkt dezelfde onderwerpen en voegt milieupraktijken en bedrijfsethiek toe. Een bredere audit vraagt daarom om meer betrokken processen, gegevenseigenaren en bewijsbronnen. Bevestig de auditomvang vóór de voorbereiding begint: een verkeerde keuze kan ertoe leiden dat de verkeerde gebieden worden beoordeeld of dat tekortkomingen aan het licht komen waarvoor onvoldoende hersteltijd resteert.

Twee auditvarianten, verschillende beslissingen

SMETA is een auditmethodiek voor ethische en sociale prestaties in de toeleveringsketen. Het is geen managementsysteemnorm en ook geen certificering die vergelijkbaar is met een ISO-certificering. De audit beoordeelt de werkwijze en het beschikbare bewijs van een specifieke locatie, waaronder arbeidsomstandigheden, werkorganisatie, technische veiligheidsmaatregelen, operationele registraties en de feitelijke toepassing van vastgestelde regels. Alleen een beleid of procedure kunnen tonen, is niet doorslaggevend voor de uitkomst. Een positieve audituitkomst betekent bovendien niet dat een certificaat wordt afgegeven.

Een bredere audit is niet automatisch de betere keuze. Doorslaggevend zijn de eisen van de klant, de eigenaar van het leveranciersprogramma en de contractuele afspraken. Een klant kan ook bij een locatie met een beperkt milieurisico 4-Pillar verlangen, bijvoorbeeld wanneer voor alle leveranciers dezelfde criteria gelden. Bevestig daarom vóór de voorbereiding welke versie van de methodiek op de auditdatum van toepassing is, welke variant wordt verlangd en hoe de audit via het Sedex-platform moet worden afgehandeld.

Een locatie kan beschikken over goed geordende personeelsdossiers, betrouwbare urenregistraties en aantoonbaar arbotoezicht, maar tegelijk onvoldoende samenhangend bewijs hebben voor afvalstromen, grondstoffengebruik, belangenconflicten of meldingen van misstanden. Als alleen HR en de arbofunctie de voorbereiding uitvoeren, wordt dan slechts een deel van 4-Pillar afgedekt. Uitbreiding van de auditomvang betekent dat aanvullende proceseigenaren moeten worden betrokken en dat de praktijk moet worden getoetst. Twee extra hoofdstukken in een procedure zijn niet voldoende.

Stel ook vast welke locaties en activiteiten worden beoordeeld, hoeveel medewerkers binnen de steekproefpopulatie vallen en welke arbeidsrelaties aanwezig zijn. Neem, waar van toepassing, uitzendwerk en uitbesteding mee. Leid de auditomvang af uit de bestelling, de overeenkomst of het klantenportaal, niet uit interne aannames. Dit is vooral van belang wanneer SMETA als klantaudit wordt ingezet. Meer organisatorische context biedt het artikel Hoe bereidt u uw organisatie voor op een tweedepartijaudit bij een belangrijke leverancier?

Wat beoordeelt SMETA 2-Pillar?

2-Pillar omvat arbeidsnormen en gezondheid en veiligheid op het werk, maar blijft niet beperkt tot het beoordelen van reglementen, procedures en personeelsdossiers. Voor arbeidsvoorwaarden onderzoekt de auditor onder meer of arbeid legaal en vrijwillig wordt verricht, hoe werktijden en beloning zijn geregeld, of gelijke behandeling wordt geborgd, of vrijheid van vereniging wordt gerespecteerd en hoe kinderarbeid en ontoelaatbare disciplinaire praktijken worden voorkomen. De werkelijke organisatie van het werk is bepalend: wie voert welke werkzaamheden uit, op welke juridische of contractuele basis, gedurende welke uren en volgens welke beloningsregels?

Op een Poolse locatie vragen vooral urenregistraties, overwerk, rusttijden, looninhoudingen, verlof, civielrechtelijke overeenkomsten, uitzendwerk en de rechtmatigheid van de arbeid door buitenlandse werknemers om gerichte controle. HR-, salaris- en productiegegevens moeten hetzelfde werkelijke verloop laten zien. Wanneer toegangsregistraties, ploegenschema’s of productiegegevens aantonen dat een medewerker aanwezig was, terwijl deze aanwezigheid niet in de urenregistratie voorkomt, neemt een formeel correct personeelsdocument het risico niet weg. Wijs daarom een eigenaar aan voor de HR- en salarisgegevens en leg vast hoe informatie wordt verkregen van uitzendbureaus en andere partijen die personeel ter beschikking stellen.

De pijler gezondheid en veiligheid omvat zowel de inrichting van het toezicht als de omstandigheden die op de werkplek zichtbaar zijn. De auditor beoordeelt onder meer of risico-inventarisaties actueel en passend zijn, machines doeltreffend zijn beveiligd, persoonlijke beschermingsmiddelen worden gebruikt, vluchtroutes vrij zijn en brandveiligheid, eerste hulp en opleidingen zijn georganiseerd. Ook de opvolging van ongevallen en bijna-ongevallen en de registraties van veiligheidscontroles en storingsherstel kunnen worden onderzocht. Documentatie over effectief toezicht verliest aan geloofwaardigheid wanneer de auditor tijdens de rondgang ziet dat machinebeveiligingen worden omzeild, een nooduitgang is geblokkeerd of voorgeschreven beschermingsmiddelen niet worden gebruikt.

De auditor selecteert steekproeven uit documenten en vergelijkt die met observaties op locatie en verklaringen van werknemers. Gegevens over werktijden, loon, verlof en rust kunnen worden vergeleken met toegangsregistraties, ploegenschema’s en operationele gegevens. Opleidings- en inspectieregistraties kunnen worden getoetst aan de feitelijke werkwijze op de werkplek. Verschillen tussen bronnen vormen een belangrijk risicosignaal, zeker wanneer ze terugkeren of betrekking hebben op uitzendkrachten, buitenlandse werknemers of personen die via een intermediair werken. Leg vóór de audit ook vast onder welke voorwaarden de auditor toegang krijgt tot documenten en werknemers, met passende aandacht voor vertrouwelijkheid en gegevensbescherming.

De voorbereiding op 2-Pillar kan niet uitsluitend aan de kwaliteitsmanager of managementsysteemcoördinator worden toegewezen. Samenwerking is nodig tussen HR, salarisadministratie, de arbofunctie, productie, technische dienst, beveiliging, uitzendbureaus en andere organisaties die arbeidskrachten leveren. Proceseigenaren moeten overeenstemming bereiken over de personeelsstructuur per contractvorm en intermediair, de verantwoordelijkheid voor volledige gegevens en de methode om afwijkingen te onderzoeken. Vergelijkbare coördinatie is nodig wanneer een organisatie beoordeelt hoe het team moet worden voorbereid op een klantaudit met APQP, PPAP en oorzaakanalyse.

Wat voegt SMETA 4-Pillar toe?

4-Pillar breidt de audit uit met twee afzonderlijke gebieden: milieumanagement en bedrijfsethiek. Het gaat niet om enkele extra vragen voor de managementsysteemcoördinator, maar om onderwerpen waarvoor aanvullende proceseigenaren en andere bewijsbronnen nodig zijn. De voorbereiding moet aansluiten op het activiteitenprofiel van de locatie, de klanteisen en de werkelijke verdeling van verantwoordelijkheden. Een mechanische uitbreiding van de documentenlijst voor 2-Pillar volstaat niet.

De milieupijler beoordeelt hoe de locatie toepasselijke eisen identificeert en haar milieueffecten beheerst. Afhankelijk van de activiteiten kan dit betrekking hebben op energie-, water- en ander hulpbronnenverbruik, afvalbeheer, emissies, afvalwater, chemische stoffen en de reactie op lekkages of andere milieu-incidenten. Een logisch vertrekpunt is een register met eisen die voor de locatie gelden, inclusief besluiten, vergunningen, meldingen, metingen en rapportageverplichtingen.

De aanwezigheid van documenten bewijst nog niet dat de beheersing effectief is. De locatie moet kunnen aantonen hoe vergunningsvoorwaarden, termijnen, verantwoordelijkheden, meetresultaten en acties na een afwijking worden bewaakt. De auditor kan voorwaarden uit een besluit vergelijken met afvalregistraties, meetresultaten of verbruiksgegevens en nagaan wie overschrijdingen of ongebruikelijke veranderingen beoordeelt. Een ingevoerd milieumanagementsysteem kan dit toezicht structureren, maar vervangt het bewijs van effectieve toepassing niet.

Ook de pijler bedrijfsethiek gaat verder dan een gedragscode. Deze omvat mechanismen om corruptie, belangenconflicten, fraude en represailles te voorkomen, evenals meldkanalen, onderzoek naar meldingen en bewustzijn onder werknemers. Bewijs voor de werking van deze mechanismen kan bestaan uit de status van meldingen, opleidingen, verklaringen over belangenconflicten en gedocumenteerde onderzoeksactiviteiten, waarbij vertrouwelijkheid behouden blijft. Een meldkanaal dat alleen formeel bestaat, zonder proceseigenaar, criteria voor zaakbehandeling of bescherming van melders, levert zwak bewijs op.

De beoordeling is gebaseerd op de geldende wettelijke eisen en de voorwaarden waaronder de locatie opereert. Daarnaast kunnen klanteisen en de effectiviteit van interne beheersmaatregelen worden meegenomen. Voor 4-Pillar moeten daarom verantwoordelijken voor milieu, inkoop, financiën, verkoop, compliance, meldingen en interne onderzoeken worden betrokken, evenals managers die over conflictsituaties beslissen. Wijs een eigenaar aan voor het register met milieueisen en een eigenaar voor het meldproces. Leg daarbij hun bevoegdheden, vertrouwelijkheidsregels en escalatieprocedure vast.

Waar nemen kosten en risico’s toe?

De voorbereidingsinspanning voor SMETA neemt niet evenredig toe met het aantal pijlers of vragen. De grootste kosten ontstaan wanneer gegevens over afdelingen zijn verspreid, verantwoordelijkheden onduidelijk blijven of de dagelijkse praktijk afwijkt van de procedures. Beoordeel vóór de keuze van de auditor daarom niet alleen de hoeveelheid documentatie, maar ook het aantal betrokken processen en proceseigenaren, de volledigheid en onderlinge consistentie van registraties in steekproeven en de tijd die nodig is om de oorzaken van afwijkingen weg te nemen.

4-Pillar vergroot het aantal afhankelijkheden tussen HR, productie, arbeidsveiligheid, milieu, inkoop, financiën en compliance. Wanneer de volledige voorbereiding bij de kwaliteitsafdeling wordt neergelegd, leidt dit vaak tot vertraging of tot bewijs dat formeel compleet lijkt, maar de werking van de beheersmaatregelen niet aantoont.

Maak bij de gap-analyse onderscheid tussen tekortkomingen die kunnen worden opgelost door verantwoordelijkheden en registraties beter te organiseren, en problemen waarvoor de werkorganisatie of infrastructuur moet worden aangepast. Bijzonder ingrijpend zijn structureel overwerk als gevolg van capaciteitsplanning, inconsistenties in de salarisverwerking, ontoereikende machinebeveiliging, tekortkomingen in de brandveiligheid, onjuist beheer van stoffen en het niet naleven van milieuvoorwaarden. Zulke problemen worden niet opgelost met een extra procedure of een eenmalige training.

Het management moet bepalen welke tekortkomingen vóór de audit moeten worden verholpen vanwege risico’s voor mensen, wettelijke verplichtingen of klanteisen. Voor andere punten kan, als de aard van de eis en het standpunt van de klant dit toelaten, een geloofwaardig actieplan worden opgesteld met een termijn, eigenaar en toegekende middelen.

Een veelvoorkomend probleem is niet een gebrek aan documenten, maar onvoldoende integriteit van auditgegevens. Een locatie kan complete procedures voor werktijden hebben, terwijl de productieplanning en registraties van de lijnstart werkzaamheden aantonen die niet in de urenregistratie staan. Een vergelijkbaar milieusignaal is een verschil tussen de geregistreerde hoeveelheid geproduceerd afval, de aanwezige voorraad en de documenten voor afvoer. De auditor beoordeelt of het werkelijke procesverloop kan worden gereconstrueerd, niet hoe verzorgd een register eruitziet. Voor structureel herstel moeten daarom de gegevensbronnen worden onderzocht, registraties tussen systemen worden afgestemd en de oorzaak van de verschillen worden weggenomen.

Verdeel het voorbereidingsbudget bij voorkeur over de gap-analyse, organisatorische maatregelen, technische aanpassingen, opleidingen, aanvulling van registraties en een reserve voor corrigerende maatregelen na de audit. Er bestaat geen zinvol uniform tarief voor 2-Pillar of 4-Pillar: technische kosten hangen af van de toestand van het gebouw en de processen, terwijl organisatorische kosten worden bepaald door de volwassenheid van de beheersing. Bruikbare indicatoren zijn onder meer het aandeel volledige en onderling consistente registraties in een steekproef, de doorlooptijd van onopgeloste afwijkingen en het aantal processen zonder eenduidige eigenaar. Een vergelijkbare budgetlogica staat beschreven in Wat kost de implementatie van NIS2 en uKSC – hoe stelt u een budget op voor audits, documentatie, opleidingen en beveiligingsmaatregelen zonder kostbare fouten?. Voor SMETA moet deze logica worden toegepast op de werkelijke tekortkomingen rond arbeid, veiligheid, milieu en ethiek op de locatie.

Hoe kiest u de juiste auditomvang en voorbereiding?

Begin met een eenduidige bevestiging van het auditdoel, de ontvanger van de resultaten, de te beoordelen locaties en de keuze voor 2-Pillar of 4-Pillar. Stel ook de toepasselijke versie van de methodiek, aanvullende klanteisen en de regels voor het delen van resultaten vast. Pas daarna kunnen een voorbereidingscoördinator, de eigenaren van de afzonderlijke gebieden en concrete gereedheidscriteria worden aangewezen.

Als de klant 4-Pillar eist, is de interne inschatting dat de milieu- of integriteitsrisico’s beperkt zijn geen geldige reden om de auditomvang te verkleinen. Laat de klant de keuze aan de leverancier, baseer de beslissing dan op het activiteitenprofiel en de feitelijke beheerscapaciteit van de organisatie.

Koppel de eisen vervolgens aan processen, locaties, gegevensbronnen en verantwoordelijke personen. Een matrix kan iedere eis classificeren als voldaan, gedeeltelijk voldaan, niet voldaan of niet van toepassing. De laatste status vraagt om een inhoudelijke onderbouwing. Beperk de gap-analyse niet tot een zelfbeoordelingsformulier. Combineer de beoordeling van documenten en registraties met observaties op locatie en gesprekken met werknemers en proceseigenaren. Zo wordt zichtbaar of slechts één bewijsstuk ontbreekt, of dat sprake is van ineffectieve beheersing of een praktijk die strijdig is met het vastgestelde beleid.

Een proefaudit moet de werkwijze van de feitelijke audit zo realistisch mogelijk nabootsen. Selecteer bijvoorbeeld één werknemer en volg de samenhang tussen de overeenkomst, urenregistratie, planning, loonstrook en betalingsbevestiging. Controleer vervolgens de omstandigheden op diens werkplek. Bij 4-Pillar moet op vergelijkbare wijze een concreet milieuaspect of integriteitsrisico worden gekoppeld aan verantwoordelijkheid, beheersmaatregelen en registraties die de werking aantonen. Overeenstemming tussen documenten, observaties en gesprekken zegt meer dan alleen de volledigheid van procedures.

Prioriteer voorbereidende acties op basis van de ernst van het risico, de oorzaak van het probleem en de uitvoerbaarheid. Iedere actie heeft een termijn, een eigenaar en vooraf bepaald bewijs van uitvoering nodig. Een document dat uitsluitend voor de audit wordt opgesteld, vervangt geen implementatie of registraties uit de toepassingsperiode. De tijd tussen de gap-analyse en de audit moet passen bij het karakter van de verandering: een wijziging in de verantwoordelijkheidsverdeling vraagt iets anders dan het aanpassen van machinebeveiliging, de organisatie van werktijden of het opzetten van milieutoezicht.

De proceseigenaar moet acties en bewijs goedkeuren. Bij onderwerpen met aanzienlijke gevolgen voor risico’s, investeringen of wettelijke verplichtingen moet ook het verantwoordelijke directielid worden betrokken. Het artikel Voorbereiding op een ISO-audit: uw stapsgewijze gids kan als praktisch referentiepunt dienen, maar een SMETA-voorbereiding mag niet als een certificeringstraject voor een managementsysteem worden ingericht.

Vóór de audit moet het team oefenen met het opvragen van gegevens, de toelichting door proceseigenaren, de organisatie van de rondgang en de voorwaarden voor vertrouwelijke gesprekken met werknemers. Het gereedheidscriterium hoort niet te zijn: “de documentatie is compleet”, maar: “de beheersing werkt, de verantwoordelijke kan deze toelichten en registraties en observaties bevestigen dezelfde praktijk”. Als ondersteuning kan het artikel Hoe bereidt u uw organisatie voor op een tweedepartijaudit bij een belangrijke leverancier? worden gebruikt, vooral bij het verdelen van verantwoordelijkheden voor het bezoek en het beschikbaar stellen van bewijs.

Laat de auditomvang aansluiten op eisen en risico’s

2-Pillar is passend wanneer deze variant overeenkomt met de eis van de afnemer en het doel van de beoordeling. Dit betekent niet dat milieuverplichtingen of beginselen van ethisch zakendoen niet langer voor de organisatie gelden. Deze blijven afzonderlijk beheerst vanuit wettelijke verplichtingen, contractuele afspraken en intern beleid. 4-Pillar geeft een breder beeld van het leveranciersrisico, maar vereist daadwerkelijke betrokkenheid van milieu-, inkoop- en financiële processen en van de functies die misstanden en fraude moeten voorkomen.

Vóór opdrachtverlening moet het management de auditvariant, de te beoordelen locatie, de proceseigenaren, het budget voor technische maatregelen, de escalatieregels en de monitoring van acties na de audit goedkeuren. Baseer deze beslissing op drie factoren:

• de eisen van de klant of het leveranciersprogramma,
• het operationele risicoprofiel van de locatie,
• het vermogen van de organisatie om effectieve beheersing aan te tonen.

Als ondersteunend instrument kan Wat is een SWOT-analyse? helpen om de context te ordenen, maar dit vervangt geen risicobeoordeling of beoordeling van bewijs.

Als een locatie voor 4-Pillar kiest terwijl verantwoordelijkheden voor milieuaspecten of corruptierisico’s binnen inkoop nog niet zijn toegewezen, creëert de bredere audit het probleem niet. De audit maakt een bestaande tekortkoming in de beheersing zichtbaar. Het management moet dan bepalen welke tekortkomingen vóór de audit moeten worden opgelost, welke in een herstelplan kunnen worden opgenomen en voor welke punten formele acceptatie van het restrisico nodig is. Koppel deze besluiten aan de managementbeoordeling en bestaande managementsystemen, in plaats van ze onder te brengen in een afzonderlijk register zonder duidelijke eigenaren.

Een SMETA-rapport geeft de naleving en praktijk op een specifieke locatie en op een bepaald moment weer; het is geen certificaat. De waarde ervan wordt bepaald door de kwaliteit van het bewijs, het wegnemen van de oorzaken van afwijkingen en de bestendigheid van verbeteringen. Beoordeel de gereedheid tussen audits bijvoorbeeld aan de hand van het aantal openstaande acties per urgentie en vervaldatum, het percentage acties waarvan de effectiviteit is geverifieerd en terugkerende bevindingen bij opeenvolgende beoordelingen. Het administratief afsluiten van een actie bewijst nog niet dat het risico beheerst is.