SMETA 2-Pillar ir 4-Pillar: kaip pasirinkti audito apimtį pagal riziką ir kliento reikalavimus

SMETA 2-Pillar ir 4-Pillar skiriasi ne klausimų skaičiumi ar dokumentų apimtimi. 2-Pillar daugiausia dėmesio skiriama darbo standartams ir darbuotojų saugai bei sveikatai. 4-Pillar apima tą pačią sritį ir papildomai vertina aplinkosaugos praktiką bei verslo etiką. Išplėtus audito apimtį, būtina įtraukti papildomus procesus, duomenų savininkus ir įrodymų šaltinius. Apimtį svarbu patvirtinti prieš pradedant pasirengimą, nes netinkamai pasirinkus variantą gali būti vertinamos ne tos sritys arba nustatytos spragos, kurių organizacija iki audito nebespės pašalinti.

Dvi apimtys – skirtingi valdymo sprendimai

SMETA yra etiškos ir socialiai atsakingos veiklos tiekimo grandinėje audito metodika, o ne vadybos sistemos standartas ar ISO sertifikavimui prilyginamas sertifikavimo procesas. Audito metu vertinama konkrečios veiklos vietos praktika ir ją pagrindžiantys įrodymai: įdarbinimo sąlygos, darbo organizavimas, techninės saugos priemonės, veiklos įrašai ir faktinis nustatytų taisyklių taikymas. Vien politikos ar procedūros turėjimas nenulemia rezultato, o teigiamas audito rezultatas nereiškia, kad išduodamas sertifikatas.

Platesnė audito apimtis savaime nėra geresnis pasirinkimas. Lemiamą reikšmę turi kliento, tiekėjų programos valdytojo arba sutartiniai reikalavimai. Klientas gali reikalauti 4-Pillar net ir iš veiklos vietos, kurios aplinkosauginė rizika yra nedidelė, jeigu visai tiekėjų grupei taiko vienodus kriterijus. Todėl prieš pradedant pasirengimą būtina patvirtinti audito metu galiosiančią metodikos versiją, reikalaujamą variantą ir audito administravimo Sedex platformoje tvarką.

Įmonė gali tinkamai tvarkyti darbuotojų bylas, darbo laiko apskaitą ir darbuotojų saugos bei sveikatos priežiūrą, tačiau neturėti nuoseklių įrodymų apie atliekas, išteklių vartojimą, interesų konfliktus ar pranešimus apie pažeidimus. Jeigu pasirengimą vykdys tik personalo ir darbuotojų saugos bei sveikatos funkcijos, bus aprėpta tik dalis 4-Pillar reikalavimų. Apimties išplėtimas reiškia, kad turi būti įtraukti papildomi procesų savininkai ir patikrintas faktinis veikimas, o ne vien papildyti procedūrą dviem skyriais.

Taip pat reikia nustatyti, kurios veiklos vietos, veiklos rūšys, darbuotojų grupės ir įdarbinimo formos bus vertinamos, įskaitant laikinuosius darbuotojus ir subrangovus, jeigu jie pasitelkiami. Apimtį reikia nustatyti pagal užsakymą, sutartį ar kliento portalą, o ne pagal pačios organizacijos prielaidas. Tai ypač svarbu, kai SMETA atliekamas kaip kliento auditas. Platesnis organizacinis kontekstas aptariamas medžiagoje Kaip parengti įmonę antrosios šalies auditui pas pagrindinį tiekėją?

Ką vertina 2-Pillar

2-Pillar apima darbo standartus ir darbuotojų saugą bei sveikatą, tačiau neapsiriboja vidaus taisyklių, procedūrų ir darbuotojų bylų peržiūra. Darbo santykių srityje auditorius vertina darbo teisėtumą ir savanoriškumą, darbo laiką, darbo užmokestį, vienodą požiūrį, asociacijų laisvę, vaikų darbo draudimą ir neleistinų drausminių priemonių netaikymą. Vertinama faktinė darbo organizavimo praktika: kas atlieka užduotis, kokiu pagrindu dirba, kokiomis valandomis ir pagal kokias taisykles gauna darbo užmokestį.

Lietuvoje veikiančioje įmonėje ypatingo dėmesio paprastai reikia darbo laiko apskaitai, viršvalandžiams ir poilsio laikotarpiams, išskaitoms iš darbo užmokesčio, atostogoms, civilinėms sutartims, laikinajam įdarbinimui ir užsieniečių darbo teisėtumui. Personalo, darbo užmokesčio ir gamybos duomenys turi atspindėti tą pačią faktinę darbo eigą. Jeigu patekimo kontrolės įrašai, pamainos grafikas ar gamybos duomenys rodo darbuotojo buvimą darbe, kurio nėra darbo laiko apskaitoje, formaliai tvarkingas personalo dokumentas rizikos nepašalina. Todėl reikia paskirti personalo ir darbo užmokesčio duomenų savininką bei nustatyti, kaip gaunami duomenys iš laikinojo įdarbinimo įmonių ir kitų personalą teikiančių subjektų.

Darbuotojų saugos ir sveikatos ramstis apima priežiūros organizavimą ir realias darbo vietų sąlygas. Vertinama, be kita ko, profesinės rizikos vertinimų aktualumas ir tinkamumas, mašinų apsaugos, asmeninių apsaugos priemonių naudojimas, evakuacijos kelių praeinamumas, priešgaisrinė sauga, pirmoji pagalba, mokymai ir reagavimas į nelaimingus atsitikimus bei pavojingus incidentus. Taip pat tikrinami apsaugos priemonių kontrolės ir trūkumų šalinimo įrašai. Dokumentai, kuriuose aprašoma veiksminga kontrolė, praranda patikimumą, jeigu apžiūrėdamas gamybines patalpas auditorius nustato apeinamas mašinų apsaugas, užblokuotą išėjimą ar nenaudojamas privalomas apsaugos priemones.

Auditorius atrenka dokumentų imtis ir lygina jas su veiklos vietos stebėjimo rezultatais bei darbuotojų pateikta informacija. Darbo laiko, darbo užmokesčio, atostogų ir poilsio duomenys gali būti lyginami su patekimo įrašais, pamainų planais ar veiklos duomenimis, o mokymų ir patikrų registrai – su faktine praktika darbo vietoje. Šaltinių neatitiktis yra svarbus rizikos signalas, ypač kai ji kartojasi arba yra susijusi su laikinaisiais darbuotojais, užsieniečiais ar per tarpininkus dirbančiais asmenimis. Prieš auditą taip pat reikia nustatyti auditoriaus prieigos prie dokumentų ir darbuotojų taisykles, atsižvelgiant į konfidencialumą ir duomenų apsaugą.

Pasirengimo 2-Pillar auditui negalima pavesti vien kokybės vadovui ar vadybos sistemos koordinatoriui. Būtinas personalo, darbo užmokesčio, darbuotojų saugos ir sveikatos, gamybos, techninės priežiūros, apsaugos tarnybos, laikinojo įdarbinimo įmonių ir kitų darbuotojus siunčiančių subjektų bendradarbiavimas. Procesų savininkai turi suderinti darbuotojų struktūrą pagal bendradarbiavimo pagrindą ir tarpininką, atsakomybę už duomenų išsamumą ir neatitikimų aiškinimo tvarką. Panašaus koordinavimo reikia ir tuomet, kai organizacija analizuoja, kaip parengti komandą kliento auditui, kai taikomi APQP, PPAP ir priežasčių analizės reikalavimai.

Kuo 4-Pillar papildo audito apimtį

4-Pillar auditą papildo dvi atskiros sritys: aplinkosaugos valdymas ir verslo etika. Tai nėra vien papildomi klausimai vadybos sistemos koordinatoriui. Šioms sritims reikia kitų procesų savininkų dalyvavimo ir prieigos prie papildomų įrodymų šaltinių. Pasirengimas turi būti grindžiamas veiklos vietos profiliu, kliento reikalavimais ir faktiniu atsakomybės paskirstymu, o ne mechaniškai papildytu 2-Pillar dokumentų sąrašu.

Aplinkosaugos ramstis apima tai, kaip identifikuojami reikalavimai ir kontroliuojamas veiklos vietos poveikis aplinkai. Priklausomai nuo veiklos pobūdžio gali būti vertinamas energijos, vandens ir kitų išteklių naudojimas, atliekų tvarkymas, išmetamieji teršalai, nuotekos, cheminės medžiagos ir reagavimas į išsiliejimus bei kitus aplinkosauginius incidentus. Atspirties taškas turėtų būti konkrečiai veiklos vietai taikomų reikalavimų registras, apimantis sprendimus, leidimus, pranešimus, matavimus ir ataskaitų teikimo pareigas.

Vien dokumentų turėjimas dar nepatvirtina atitikties. Įmonė turi įrodyti, kad kontroliuoja sprendimų ar leidimų sąlygas, terminus, atsakomybę, matavimų rezultatus ir veiksmus, kurių imamasi nustačius nukrypimą. Auditorius gali palyginti sprendimų sąlygas su atliekų apskaita, matavimų rezultatais ar komunalinių išteklių naudojimo duomenimis ir patikrinti, kas analizuoja viršijimus ar neįprastus pokyčius. Įdiegta aplinkosaugos vadybos sistema gali padėti suvaldyti šiuos procesus, tačiau ji nepakeičia veiksmingo sistemos veikimo įrodymų.

Verslo etikos ramstis taip pat neapsiriboja elgesio kodeksu. Jis apima korupcijos, interesų konfliktų, piktnaudžiavimo ir atsakomųjų veiksmų prevencijos mechanizmus, pranešimų apie pažeidimus kanalus, vidinių tyrimų vykdymą ir darbuotojų informuotumą. Mechanizmų veikimą gali pagrįsti pranešimų būsenos, mokymų įrašai, interesų konfliktų deklaracijos ir dokumentuoti tyrimo veiksmai, pateikiami išlaikant konfidencialumą. Vien formaliai egzistuojantis pranešimų kanalas, neturintis proceso savininko, atvejų klasifikavimo taisyklių ir pranešėjų apsaugos priemonių, yra silpnas įrodymas.

Vertinimo pagrindą sudaro konkrečioje vietoje taikomi teisės aktų reikalavimai ir veiklos vykdymo sąlygos, tačiau auditas taip pat gali apimti kliento lūkesčius ir vidaus mechanizmų veiksmingumą. Todėl rengiantis 4-Pillar auditui turi dalyvauti už aplinkosaugą, pirkimus, finansus, pardavimą, atitiktį, pranešimų administravimą ir vidinius tyrimus atsakingi asmenys, taip pat vadovybė, priimanti sprendimus konfliktinėse situacijose. Būtina paskirti aplinkosaugos reikalavimų registro ir pranešimų proceso savininkus, apibrėžiant jų įgaliojimus, konfidencialumo taisykles ir eskalavimo tvarką.

Kur didėja sąnaudos ir rizika

Pasirengimo SMETA auditui sąnaudos nedidėja proporcingai ramsčių ar klausimų skaičiui. Didžiausios sąnaudos atsiranda ten, kur duomenys išskaidyti tarp padalinių, atsakomybė neaiški, o faktinė praktika neatitinka procedūrų. Todėl prieš pasirenkant auditorių reikia įvertinti ne tik dokumentų kiekį, bet ir procesų bei jų savininkų skaičių, pasirinktų įrašų imčių išsamumą ir tarpusavio suderinamumą bei laiką, reikalingą neatitikimų priežastims pašalinti.

4-Pillar padidina priklausomybių tarp personalo, gamybos, darbuotojų saugos ir sveikatos, aplinkosaugos, pirkimų, finansų ir atitikties funkcijų skaičių. Visą pasirengimą pavedus kokybės padaliniui dažnai vėluojama arba pateikiami formaliai išsamūs įrodymai, kurie nepatvirtina faktinio nustatytų mechanizmų veikimo.

Spragų vertinime reikia atskirti trūkumus, kuriuos galima pašalinti sutvarkius atsakomybę ir įrašus, nuo problemų, kurioms būtina keisti darbo organizavimą ar infrastruktūrą. Daugiausia pastangų reikalauja sistemingi viršvalandžiai, atsirandantys dėl netinkamo gamybos pajėgumų planavimo, darbo užmokesčio neatitikimai, netinkamos mašinų apsaugos, priešgaisrinės saugos trūkumai, netinkamas medžiagų tvarkymas ir aplinkosauginių sprendimų ar leidimų sąlygų nesilaikymas. Tokių problemų nepašalina papildyta procedūra ar vienkartinis mokymas.

Vadovybė turi nuspręsti, kurias spragas būtina pašalinti iki audito dėl rizikos žmonėms, teisinių reikalavimų ar kliento reikalavimų, o kurioms – jei tai leidžia reikalavimo pobūdis ir kliento pozicija – galima taikyti patikimą veiksmų planą, kuriame nustatytas terminas, savininkas ir finansavimas.

Dažna problema yra ne dokumentų trūkumas, o audito duomenų vientisumas. Įmonė gali turėti visas darbo laiko procedūras, nors gamybos grafikas ir linijos paleidimo įrašai rodo darbą, neįtrauktą į darbo laiko apskaitą. Aplinkosaugos srityje analogiškas signalas būtų neatitiktis tarp susidariusių atliekų registro, sandėlyje esančio kiekio ir atliekų perdavimo dokumentų. Auditorius vertina galimybę atkurti faktinę proceso eigą, o ne registro išvaizdą. Todėl neatitikimui pašalinti būtina išanalizuoti duomenų šaltinius, suderinti skirtingų sistemų įrašus ir pašalinti neatitikimus sukeliantį mechanizmą.

Pasirengimo biudžetą verta suskirstyti į spragų vertinimą, organizacinius veiksmus, techninius pakeitimus, mokymus, įrašų papildymą ir rezervą korekciniams veiksmams po audito. Nėra pagrindo taikyti vienodą kainą visiems 2-Pillar ar 4-Pillar projektams: techninės sąnaudos priklauso nuo objekto ir procesų būklės, o organizacinės – nuo priežiūros brandos. Naudingi rodikliai gali būti išsamių ir tarpusavyje suderintų įrašų dalis imtyje, laikas, per kurį nukrypimai lieka neišspręsti, ir procesų be aiškiai paskirto savininko skaičius. Panaši sąnaudų skirstymo logika aprašyta medžiagoje Kiek kainuoja NIS2 ir uKSC įgyvendinimas: kaip sudaryti audito, dokumentų, mokymų ir saugumo priemonių biudžetą išvengiant brangių klaidų. SMETA atveju šią logiką reikia susieti su faktinėmis darbo santykių, darbuotojų saugos ir sveikatos, aplinkosaugos ir etikos spragomis konkrečioje veiklos vietoje.

Kaip pasirinkti apimtį ir suplanuoti pasirengimą

Apimties pasirinkimą reikia pradėti nuo aiškaus audito tikslo, rezultatų gavėjo, vertinamų vietų ir 2-Pillar arba 4-Pillar varianto patvirtinimo. Taip pat būtina nustatyti taikomą metodikos versiją, papildomus kliento reikalavimus ir rezultatų pateikimo bei prieigos taisykles. Tik tada galima paskirti pasirengimo koordinatorių, atskirų sričių savininkus ir pasirengimo kriterijus.

Jeigu klientas reikalauja 4-Pillar, organizacijos nuomonė, kad aplinkosaugos ar etikos rizika yra nedidelė, nėra pagrindas siaurinti audito apimtį. Kai klientas leidžia tiekėjui pasirinkti, sprendimas turi būti grindžiamas veiklos profiliu ir faktiniu organizacijos gebėjimu valdyti atitinkamas sritis.

Tuomet reikalavimus reikia susieti su procesais, veiklos vietomis, duomenų šaltiniais ir atsakingais asmenimis. Matricoje kiekvienas reikalavimas gali būti klasifikuojamas kaip įvykdytas, iš dalies įvykdytas, neįvykdytas arba netaikomas, tačiau pastarasis statusas turi būti objektyviai pagrįstas. Spragų vertinimas negali apsiriboti savęs vertinimo klausimynu. Jis turi apimti dokumentų ir įrašų peržiūrą, veiklos vietos stebėjimą bei pokalbius su darbuotojais ir procesų savininkais. Taip galima atskirti pavienio įrodymo trūkumą nuo neveiksmingos kontrolės ar praktikos, prieštaraujančios nustatytoms taisyklėms.

Bandomoji peržiūra turėtų atkartoti tikrojo audito eigą. Pasirinkto darbuotojo atveju reikia patikrinti sutarties, darbo laiko apskaitos, grafiko, darbo užmokesčio apskaičiavimo ir išmokėjimo patvirtinimo suderinamumą, o tada įvertinti jo darbo vietos sąlygas. 4-Pillar atveju analogiškai reikia susieti konkretų aplinkosaugos aspektą ar etikos riziką su atsakomybe, kontrolės priemonėmis ir jų veikimą patvirtinančiu įrašu. Dokumentų, stebėjimų ir pokalbių nuoseklumas yra svarbesnis už vien procedūrų išsamumą.

Pasirengimo veiksmai turi būti nustatomi pagal rizikos reikšmingumą, problemos priežastį ir įgyvendinamumą. Kiekvienam veiksmui turi būti paskirtas terminas, savininkas ir apibrėžtas įvykdymo įrodymas. Vien auditui parengtas dokumentas nepakeičia įgyvendinimo ir naudojimo laikotarpio įrašų. Laikas tarp spragų vertinimo ir audito turi atitikti pokyčių pobūdį: atsakomybės perskirstymui reikia kitokių išteklių nei apsaugos priemonių rekonstrukcijai, darbo laiko organizavimo pakeitimui ar aplinkosaugos kontrolės sukūrimui.

Veiksmus ir įrodymus turi patvirtinti proceso savininkas, o kai klausimai reikšmingi rizikos, sąnaudų ar teisinių reikalavimų požiūriu – ir atitinkamas vadovybės narys. Naudingu atskaitos tašku gali būti Pasirengimas ISO auditui: nuoseklus praktinis vadovas, tačiau SMETA pasirengimo nereikėtų organizuoti kaip vadybos sistemos sertifikavimo projekto.

Prieš auditą komanda turi išbandyti prieigą prie duomenų, procesų savininkų atsakymus, vizito veiklos vietoje organizavimą ir sąlygas konfidencialiems pokalbiams su darbuotojais. Pasirengimo kriterijus turėtų būti ne „visi dokumentai parengti“, o „reikalavimas praktiškai įgyvendintas, atsakingas asmuo geba jį paaiškinti, o įrašai ir stebėjimas patvirtina tą pačią praktiką“. Papildomai galima remtis medžiaga „Kaip parengti įmonę antrosios šalies auditui pas pagrindinį tiekėją?“, ypač nustatant atsakomybę už vizito eigą ir įrodymų pateikimą.

Apimtis turi atitikti reikalavimą ir rizikos profilį

2-Pillar yra tinkamas pasirinkimas, jeigu atitinka rezultatų gavėjo reikalavimus ir vertinimo tikslą. Tai nereiškia, kad organizacijai nebetaikomi aplinkosaugos įsipareigojimai ar etiško verslo principai. Jie ir toliau turi būti kontroliuojami pagal teisės aktus, sutartinius įsipareigojimus ir organizacijos nustatytas taisykles. 4-Pillar suteikia platesnį tiekėjo rizikos vaizdą, tačiau tam būtina realiai įtraukti aplinkosaugos, pirkimų, finansų ir piktnaudžiavimo prevencijos procesus.

Prieš užsakant auditą vadovybė turėtų patvirtinti variantą, vertinamą veiklos vietą, procesų savininkus, techninių veiksmų biudžetą, eskalavimo taisykles ir veiksmų po audito stebėsenos būdą. Sprendimas turi būti grindžiamas trimis veiksniais:

• kliento arba tiekėjų programos reikalavimais,
• veiklos vietos operacinės rizikos profiliu,
• organizacijos gebėjimu įrodyti veiksmingą kontrolę.

Kaip pagalbinę konteksto analizės priemonę galima naudoti medžiagą Kas yra SWOT analizė?, tačiau ji nepakeičia rizikos vertinimo ar įrodymų peržiūros.

Jeigu veiklos vieta pasirenka 4-Pillar, nors iki šiol nebuvo paskirta atsakomybė už aplinkosaugos aspektus ar korupcijos riziką pirkimuose, platesnis auditas problemos nesukuria – jis atskleidžia jau egzistuojantį kontrolės trūkumą. Tuomet vadovybė turi nuspręsti, kurias spragas būtina pašalinti iki audito, kurioms galima nustatyti korekcinių veiksmų planą, o kurioms reikalingas formalus likutinės rizikos prisiėmimas. Šiuos sprendimus reikia susieti su vadovybine analize ir esamomis vadybos sistemomis, o ne valdyti atskirame registre be paskirtų savininkų.

SMETA ataskaitoje pateikiamas konkrečioje vietoje ir konkrečiu metu nustatytas atitikties bei praktikos vaizdas; tai nėra sertifikatas. Ataskaitos vertę lemia įrodymų kokybė, neatitikčių priežasčių pašalinimas ir pokyčių tvarumas. Pasirengimą tarp auditų verta vertinti pagal atvirų veiksmų skaičių, suskirstytą pagal reikšmingumą ir terminus, veiksmingumo požiūriu patikrintų veiksmų dalį ir pakartotinių nustatymų dažnį vėlesniuose vertinimuose. Formalus užduoties uždarymas dar nepatvirtina, kad rizika suvaldyta.