SMETA 2-Pillar és 4-Pillar – hogyan válasszuk ki az audit hatókörét a kockázatok és a vevői elvárások alapján?

A SMETA 2-Pillar és 4-Pillar közötti különbség nem pusztán a kérdések számában vagy a dokumentáció terjedelmében rejlik. A 2-Pillar a munkaügyi normákra, valamint a munkahelyi egészségvédelemre és biztonságra összpontosít. A 4-Pillar ugyanezt a hatókört környezetvédelmi gyakorlatokkal és üzleti etikával egészíti ki. A kibővített audit ezért további folyamatok, adatgazdák és bizonyítékforrások bevonását igényli. A hatókört még a felkészülés megkezdése előtt egyértelműen meg kell erősíteni, mert a hibás választás oda vezethet, hogy nem a megfelelő területeket vizsgálják, vagy olyan hiányosságok kerülnek felszínre, amelyek megszüntetésére a szervezetnek már nem marad elegendő ideje.

Kétféle hatókör, eltérő vezetői döntések

A SMETA az ellátási láncban alkalmazott etikai és társadalmi auditmódszertan, nem pedig irányítási rendszerszabvány vagy az ISO-tanúsításhoz hasonló tanúsítás. Az audit egy konkrét telephely gyakorlatait és bizonyítékait értékeli: a foglalkoztatási feltételeket, a munkaszervezést, a műszaki védelmi megoldásokat, az operatív nyilvántartásokat és a meghatározott szabályok tényleges alkalmazását. Egy szabályzat vagy eljárás megléte önmagában nem határozza meg az eredményt, a kedvező auditmegállapítás pedig nem jelent tanúsítványt.

A szélesebb audit nem automatikusan jobb választás. A döntő szempont a vevő, a beszállítói program gazdája, illetve a szerződés követelménye. A vevő alacsony környezeti kockázatú telephelynél is előírhatja a 4-Pillart, ha a teljes beszállítói körre egységes kritériumokat alkalmaz. A felkészülés előtt ezért meg kell erősíteni az audit időpontjában érvényes módszertani verziót, az előírt változatot és az audit Sedex platformon történő kezelésének módját.

Egy telephely rendelkezhet rendezett személyügyi dokumentációval, munkaidő-nyilvántartással és megfelelő munkavédelmi felügyelettel, miközben nincs egységes bizonyítékrendszere a hulladékokról, az erőforrás-felhasználásról, az összeférhetetlenségről vagy a visszaélések bejelentéséről. Ha a felkészülést kizárólag a HR és a munkavédelmi szervezet végzi, a 4-Pillar követelményeinek csak egy részét fogják lefedni. A hatókör bővítéséhez további folyamatgazdákat kell bevonni, és a tényleges működést kell ellenőrizni; nem elegendő két új fejezettel kiegészíteni egy eljárást.

Meg kell határozni az értékelésbe bevont telephelyeket, tevékenységeket, munkavállalói létszámot és foglalkoztatási formákat is, beleértve – ha releváns – a munkaerő-kölcsönzést és az alvállalkozói munkavégzést. A hatókört a megrendelésből, a szerződésből vagy a vevői portálról kell levezetni, nem pedig belső feltételezések alapján kialakítani. Ez különösen fontos, ha a SMETA vevői auditként működik. A tágabb szervezeti összefüggéseket a Hogyan készítsük fel a vállalatot egy kulcsbeszállítónál végzett második fél általi auditra? című anyag mutatja be.

Mit vizsgál a 2-Pillar?

A 2-Pillar hatóköre a munkaügyi normákat, valamint a munkahelyi egészségvédelmet és biztonságot foglalja magában, de nem korlátozódik szabályzatok, eljárások és személyügyi iratok áttekintésére. A foglalkoztatás területén az auditor vizsgálja a munkavégzés jogszerűségét és önkéntességét, a munkaidőt, a bérezést, az egyenlő bánásmódot, az egyesülési szabadságot, a gyermekmunka tilalmát és a meg nem engedett fegyelmezési gyakorlatokat. A tényleges munkaszervezés a meghatározó: ki, milyen jogviszonyban, milyen időbeosztás szerint dolgozik, és milyen szabályok alapján kapja meg a díjazását.

Egy magyarországi telephelyen különös figyelmet igényel a munkaidő-nyilvántartás, a túlóra és a pihenőidő, a munkabérből történő levonások, a szabadságok, a polgári jogi jogviszonyok, a munkaerő-kölcsönzés és a külföldiek jogszerű foglalkoztatása. A HR-, bér- és termelési adatoknak ugyanazt a tényleges munkavégzést kell tükrözniük. Ha a beléptetőrendszer, a műszakbeosztás vagy a termelési teljesítés olyan munkavállalói jelenlétet jelez, amely nem jelenik meg a munkaidő-nyilvántartásban, a HR-dokumentum formai megfelelősége nem szünteti meg a kockázatot. Ezért ki kell jelölni a HR- és béradatok gazdáját, valamint meg kell határozni, hogyan érkeznek be az információk a munkaerő-kölcsönzőktől és más munkaerőt biztosító szervezetektől.

A munkavédelmi pillér a felügyelet szervezetét és a munkahelyeken ténylegesen látható körülményeket egyaránt lefedi. Az értékelés kiterjedhet többek között a munkavédelmi kockázatértékelések aktualitására és megfelelőségére, a gépek védőberendezéseire, az egyéni védőeszközök használatára, a menekülési útvonalak szabadon tartására, a tűzvédelemre, az elsősegélynyújtásra, az oktatásokra, valamint a balesetek és majdnem balesetek kezelésére. Ellenőrizni kell a védelmi rendszerek vizsgálatáról és a hibák megszüntetéséről vezetett feljegyzéseket is. A hatékony felügyeletet bemutató dokumentáció elveszíti hitelességét, ha az auditor az üzembejárás során kiiktatott védőburkolatot, eltorlaszolt kijáratot vagy az előírt védőeszközök mellőzését tapasztalja.

Az auditor dokumentummintákat választ, majd azokat összeveti a telephelyi megfigyelésekkel és a munkavállalói interjúkkal. A munkaidőre, bérekre, szabadságokra és pihenőidőkre vonatkozó adatokat összehasonlíthatja a beléptetési adatokkal, a műszaktervekkel vagy más operatív nyilvántartásokkal; a képzési és felülvizsgálati feljegyzéseket pedig a munkahelyen tapasztalt gyakorlattal. A források közötti eltérés lényeges kockázati jelzés, különösen akkor, ha ismétlődik, vagy kölcsönzött munkavállalókat, külföldieket, illetve közvetítőn keresztül foglalkoztatott személyeket érint. Az audit előtt az auditor dokumentumokhoz és munkavállalókhoz való hozzáférésének szabályait is rendezni kell, figyelembe véve a bizalmas adatkezelést és az adatvédelmet.

A 2-Pillarra történő felkészülés nem rendelhető kizárólag a minőségirányítási megbízotthoz. Ehhez a HR és a bérszámfejtés, a munkavédelem, a termelés, a karbantartás, a biztonsági szolgálat, valamint a munkaerőt biztosító kölcsönzők és más szervezetek együttműködése szükséges. A folyamatgazdáknak egyeztetniük kell a foglalkoztatás szerkezetét a jogviszony és a közvetítő szerint, az adatok teljességéért viselt felelősséget, valamint az eltérések kivizsgálásának módját. Hasonló koordinációra van szükség akkor is, amikor a szervezet azt elemzi, hogyan készítse fel a csapatot a vevői auditra, ha APQP, PPAP és okfeltárás is elvárás.

Mivel egészíti ki az auditot a 4-Pillar?

A 4-Pillar két önálló területtel bővíti az auditot: a környezetirányítással és az üzleti etikával. Ezek nem pusztán a rendszermegbízottnak feltett további kérdések, hanem olyan témakörök, amelyek új folyamatgazdák bevonását és más bizonyítékforrások hozzáférhetővé tételét igénylik. A felkészülést a telephely tevékenységi profiljára, a vevői követelményekre és a felelősségek tényleges megosztására kell alapozni, nem pedig a 2-Pillarnál használt dokumentumlista mechanikus kibővítésére.

A környezetvédelmi pillér azt értékeli, hogyan azonosítja a szervezet a követelményeket, és miként tartja ellenőrzés alatt a telephely környezeti hatásait. A tevékenység jellegétől függően az értékelés kiterjedhet az energia, a víz és más erőforrások felhasználására, a hulladékgazdálkodásra, a kibocsátásokra, a szennyvízre, a vegyi anyagokra, valamint a kiömlésekre és más környezeti eseményekre adott válaszokra. Kiindulópontként az adott telephelyre vonatkozó követelmények nyilvántartása szolgáljon, amely magában foglalja a határozatokat, engedélyeket, bejelentéseket, méréseket és adatszolgáltatási kötelezettségeket.

A dokumentumok megléte önmagában még nem igazolja a megfelelőséget. A telephelynek bizonyítania kell a határozatokban és engedélyekben meghatározott feltételek, a határidők, a felelősségek és a mérési eredmények felügyeletét, továbbá az eltérések észlelése után végrehajtott intézkedéseket. Az auditor összevetheti a hatósági feltételeket a hulladék-nyilvántartásokkal, a mérési eredményekkel vagy a közműfogyasztási adatokkal, és ellenőrizheti, ki elemzi a határérték-túllépéseket vagy a szokatlan változásokat. A bevezetett környezetközpontú irányítási rendszer rendezettebbé teheti ezt a felügyeletet, de nem helyettesíti a rendszer eredményes működését igazoló bizonyítékokat.

Az üzleti etikai pillér sem ér véget egy magatartási kódexnél. Magában foglalja a korrupció, az összeférhetetlenség, a visszaélések és a megtorlás megelőzésére szolgáló mechanizmusokat, továbbá a visszaélés-bejelentési csatornákat, a kivizsgálások lefolytatását és a munkavállalói tudatosságot. A kialakított mechanizmusok működését többek között a bejelentések státuszai, a képzések, az összeférhetetlenségi nyilatkozatok és a dokumentált vizsgálati lépések igazolhatják, a bizalmas kezelés követelményeinek betartása mellett. A kizárólag formálisan létező bejelentési csatorna – kijelölt folyamatgazda, ügyminősítési szabályok és a bejelentők védelme nélkül – gyenge bizonyítéknak minősül.

Az értékelés alapját az adott telephelyen alkalmazandó jogi követelmények és működési feltételek képezik, ugyanakkor az audit figyelembe veheti a vevő elvárásait és a belső mechanizmusok eredményességét is. A 4-Pillarra való felkészülés ezért megköveteli a környezetvédelemért, a beszerzésért, a pénzügyekért, az értékesítésért, a megfelelőségért, a bejelentések és kivizsgálások kezeléséért felelős személyek, valamint a konfliktusos helyzetekben döntő vezetők részvételét. Ki kell jelölni a környezetvédelmi követelményjegyzék és a bejelentési folyamat gazdáját, meg kell határozni hatáskörüket, továbbá a bizalmas kezelés és az eszkaláció szabályait.

Hol növekszik a költség és a kockázat?

A SMETA-felkészülés ráfordítása nem a pillérek vagy kérdések számával arányosan nő. A legnagyobb költség ott jelentkezik, ahol az adatok több szervezeti egység között szétszórtak, a felelősségek nem egyértelműek, és a telephely tényleges gyakorlata eltér az eljárásokban leírtaktól. Az auditor kiválasztása előtt ezért nemcsak a dokumentáció mennyiségét kell felmérni, hanem az érintett folyamatok és folyamatgazdák számát, a mintákban vizsgált feljegyzések teljességét és összhangját, valamint az eltérések okainak megszüntetéséhez szükséges időt is.

A 4-Pillar több függőséget teremt a HR, a termelés, a munkavédelem, a környezetvédelem, a beszerzés, a pénzügy és a megfelelőségi funkció között. Ha a teljes felkészülést a minőségügyi szervezetre bízzák, az rendszerint késedelemhez, vagy formailag teljes, de a mechanizmusok tényleges működését nem igazoló bizonyítékokhoz vezet.

A hiányosságértékelés során külön kell választani azokat a problémákat, amelyek a felelősségek és a feljegyzések rendezésével megszüntethetők, azoktól, amelyek a munkaszervezés vagy az infrastruktúra módosítását igénylik. A legnagyobb ráfordítással járó problémák közé tartozik a kapacitástervezésből eredő rendszeres túlóra, a béradatok következetlensége, a gépek nem megfelelő védelme, a tűzvédelmi hiányosságok, a vegyi anyagok szabálytalan kezelése és a környezetvédelmi határozatok vagy engedélyek feltételeinek be nem tartása. Ezeket nem lehet egy eljárás kiegészítésével vagy egyszeri oktatással megszüntetni.

A vezetőségnek el kell döntenie, mely hiányosságokat szükséges még az audit előtt megszüntetni az embereket érintő kockázatok, a jogi megfelelőség vagy a vevői követelmények miatt, és melyek kezelhetők – ha ezt a követelmény jellege és a vevő álláspontja lehetővé teszi – hiteles intézkedési tervvel, megjelölt határidővel, felelőssel és biztosított finanszírozással.

Gyakori probléma nem a dokumentumok hiánya, hanem az auditadatok integritása. A telephely rendelkezhet teljes munkaidő-szabályozással, miközben a termelési terv és a gyártósor indítási adatai olyan munkavégzést mutatnak, amely nem szerepel a munkaidő-nyilvántartásban. Környezetvédelmi területen hasonló jelzés a keletkezett hulladék nyilvántartása, a raktárkészlet és az átadási dokumentumok közötti eltérés. Az auditor azt értékeli, hogy a folyamat tényleges lefolyása rekonstruálható-e, nem pedig a nyilvántartás esztétikai minőségét. A nemmegfelelőség megszüntetéséhez ezért elemezni kell az adatforrásokat, egyeztetni kell a különböző rendszerek feljegyzéseit, és ki kell iktatni az eltérést létrehozó mechanizmust.

A felkészülési költségvetést célszerű hiányosságértékelésre, szervezeti intézkedésekre, műszaki átalakításokra, képzésekre, a feljegyzések pótlására és az audit utáni helyesbítő intézkedések tartalékára bontani. Nem indokolt egyetlen általános díjjal számolni a 2-Pillar vagy 4-Pillar esetében: a műszaki költség az objektum és a folyamatok állapotától, a szervezeti költség pedig a felügyelet érettségétől függ. Hasznos mutató lehet ugyanakkor a teljes és egymással összhangban álló feljegyzések aránya a mintában, a megoldatlan eltérések nyitvatartási ideje, valamint az egyértelmű folyamatgazda nélküli folyamatok száma. A ráfordítások hasonló logika szerinti felosztását mutatja be a Mennyibe kerül a NIS2 és az uKSC bevezetése – hogyan tervezzük meg az audit, a dokumentáció, a képzések és a védelmi intézkedések költségvetését költséges hibák nélkül? című anyag. A SMETA esetében ezt a telephely tényleges munkaügyi, munkavédelmi, környezetvédelmi és etikai hiányosságaira kell alkalmazni.

Hogyan válasszuk ki a hatókört és tervezzük meg a felkészülést?

A hatókör kiválasztását az audit céljának, az eredmények címzettjének, az értékelt telephelyeknek és a 2-Pillar vagy 4-Pillar változatnak az egyértelmű megerősítésével kell kezdeni. Meg kell határozni az alkalmazandó módszertani verziót, a vevő további követelményeit és az eredmények hozzáférhetővé tételének szabályait is. Csak ezt követően jelölhető ki a felkészülés koordinátora, az egyes területek folyamatgazdái és az auditkészültség kritériumai.

Ha a vevő 4-Pillart ír elő, a szervezet azon meggyőződése, hogy a környezeti vagy etikai kockázatok alacsonyak, nem indokolja a hatókör szűkítését. Ha a vevő a választást a beszállítóra bízza, a döntést a tevékenységi profilra és a felügyelet tényleges képességére kell alapozni.

A követelményeket ezután folyamatokhoz, telephelyekhez, adatforrásokhoz és felelős személyekhez kell rendelni. A megfelelőségi mátrix minden követelményt teljesített, részben teljesített, nem teljesített vagy nem alkalmazható kategóriába sorolhat; az utóbbi státuszhoz tárgyszerű indoklás szükséges. A hiányosságértékelés nem korlátozódhat egy önértékelési kérdőívre. A dokumentumok és feljegyzések áttekintését telephelyi megfigyeléssel, valamint munkavállalói és folyamatgazdai interjúkkal kell összekapcsolni. Így különíthető el egyetlen bizonyíték hiánya a nem eredményes felügyelettől vagy az elfogadott szabályokkal ellentétes gyakorlattól.

A próbaauditnak a tényleges audit menetét kell modelleznie. Egy kiválasztott munkavállaló esetében végig kell követni a szerződés, a munkaidő-nyilvántartás, a beosztás, a bérjegyzék és a kifizetés igazolása közötti összhangot, majd ellenőrizni kell a munkakörülményeket is. A 4-Pillar esetében hasonló módon kell összekapcsolni egy konkrét környezeti tényezőt vagy etikai kockázatot a felelősséggel, a felügyelet módjával és a működést igazoló feljegyzéssel. A dokumentumok, a megfigyelések és az interjúk összhangja pontosabb képet ad, mint az eljárások puszta teljessége.

A felkészülési intézkedéseket a kockázat jelentősége, a probléma oka és a megvalósíthatóság alapján kell meghatározni. Minden intézkedéshez határidőt, felelőst és meghatározott megvalósítási bizonyítékot kell rendelni. A kizárólag az audit kedvéért elkészített dokumentum nem helyettesíti a bevezetést és az alkalmazási időszakból származó feljegyzéseket. A hiányosságértékelés és az audit közötti időnek igazodnia kell a változtatások jellegéhez: a felelősségek átrendezése más ráfordítást igényel, mint a védőberendezések átépítése, a munkaidő-szervezés módosítása vagy a környezetvédelmi felügyelet kialakítása.

Az intézkedéseket és a bizonyítékokat a folyamatgazdának, a jelentős kockázattal, ráfordítással vagy jogi megfelelőséggel összefüggő ügyekben pedig az illetékes vezetőnek is jóvá kell hagynia. Hasznos támpont a Felkészülés az ISO-auditra: lépésről lépésre útmutató, a SMETA-felkészülést azonban nem szabad irányítási rendszer tanúsítási projektjeként kezelni.

Az audit előtt a csapatnak gyakorolnia kell az adatok elérését, a folyamatgazdák válaszadását, a telephelyi látogatás megszervezését és a munkavállalókkal folytatott bizalmas interjúk feltételeinek biztosítását. A készültségi kritérium ne az legyen, hogy „a dokumentáció teljes”, hanem az, hogy „a követelmény működik, a felelős személy képes azt bemutatni, a feljegyzések és a megfigyelések pedig ugyanazt a gyakorlatot igazolják”. Segédanyagként használható a Hogyan készítsük fel a vállalatot egy kulcsbeszállítónál végzett második fél általi auditra? című cikk is, különösen a látogatás lebonyolításáért és a bizonyítékok rendelkezésre bocsátásáért viselt felelősségek meghatározásakor.

A hatókörnek a követelményhez és a kockázathoz kell igazodnia

A 2-Pillar akkor megfelelő választás, ha összhangban áll a megrendelő követelményével és az értékelés céljával. Ez nem jelenti azt, hogy a környezetvédelmi kötelezettségek vagy az etikus üzleti működés elvei többé nem vonatkoznak a szervezetre. Ezek továbbra is külön felügyelet tárgyát képezik a jogi, szerződéses és belső vállalati követelmények alapján. A 4-Pillar ezzel szemben átfogóbb képet ad a beszállítói kockázatokról, de megköveteli a környezetvédelmi, beszerzési, pénzügyi és visszaélés-megelőzési folyamatok tényleges bevonását.

Az audit megrendelése előtt a vezetőségnek jóvá kell hagynia a választott változatot, az értékelt telephelyet, a folyamatgazdákat, a műszaki intézkedések költségkeretét, az eszkaláció szabályait és az audit utáni intézkedések nyomon követésének módját. A döntést három szempont alapján kell meghozni:

• a vevő vagy a beszállítói program követelményei,
• a telephely működési kockázati profilja,
• a szervezet képessége az eredményes felügyelet bizonyítására.

A körülmények rendszerezéséhez segítséget nyújthat a Mi a SWOT-elemzés? című anyag, de nem helyettesíti a kockázatértékelést és a bizonyítékok felülvizsgálatát.

Ha a telephely úgy választja a 4-Pillart, hogy korábban nem jelölte ki a környezeti tényezőkért vagy a beszerzési korrupciós kockázatokért felelős személyeket, a szélesebb audit nem létrehozza a problémát, hanem feltárja a már meglévő felügyeleti hiányosságot. A vezetőségnek ekkor el kell döntenie, mely hiányosságok igényelnek audit előtti intézkedést, melyek kezelhetők helyesbítési tervvel, és melyek esetében szükséges a fennmaradó kockázat formális elfogadása. A döntéseket össze kell kapcsolni a vezetőségi átvizsgálással és a már működő irányítási rendszerekkel, nem pedig egy elkülönített, folyamatgazdák nélküli nyilvántartásban kezelni.

A SMETA-jelentés egy meghatározott helyen és időpontban fennálló megfelelőséget és gyakorlatot mutat be; nem tanúsítvány. Értékét a bizonyítékok minősége, a nemmegfelelőségek okainak megszüntetése és a változások tartóssága határozza meg. Az auditok közötti készültséget célszerű a jelentőség és határidő szerint nyitott intézkedések számával, az eredményesség szempontjából ellenőrzött intézkedések arányával és az egymást követő értékelésekben ismétlődő megállapításokkal mérni. Egy feladat adminisztratív lezárása önmagában még nem igazolja, hogy a kockázatot sikerült ellenőrzés alá vonni.