SMETA 2-Pillar ja 4-Pillar – auditoinnin laajuuden valinta riskien ja asiakkaan vaatimusten perusteella

SMETA 2-Pillar- ja 4-Pillar-auditointien ero ei rajoitu kysymysten määrään tai dokumentaation laajuuteen. 2-Pillar painottuu työelämän käytäntöihin sekä työterveyteen ja -turvallisuuteen. 4-Pillar kattaa saman kokonaisuuden ja laajentaa arvioinnin ympäristökäytäntöihin sekä liiketoimintaetiikkaan. Laajempi auditointi tuo siten mukaan uusia prosesseja, tiedon omistajia ja näyttölähteitä. Laajuus on vahvistettava ennen valmistelujen aloittamista, sillä väärä valinta voi johtaa epäolennaisten alueiden arviointiin tai sellaisten puutteiden paljastumiseen, joita organisaatio ei ehdi korjata.

Kaksi laajuutta, erilaiset päätökset

SMETA on toimitusketjun eettisten ja sosiaalisten käytäntöjen auditointimenetelmä. Se ei ole johtamisjärjestelmästandardi eikä ISO-sertifiointiin rinnastettava sertifiointi. Auditoinnissa arvioidaan tietyn toimipaikan käytäntöjä ja näyttöä, kuten työehtoja, työn organisointia, teknisiä suojauksia, operatiivisia tallenteita ja sovittujen periaatteiden tosiasiallista noudattamista. Pelkkä politiikka tai menettelyohje ei ratkaise tulosta, eikä myönteinen auditointitulos tarkoita sertifikaatin saamista.

Laajempi auditointi ei ole automaattisesti parempi valinta. Ratkaisevia ovat asiakkaan, toimittajaohjelman omistajan tai sopimuksen vaatimukset. Asiakas voi edellyttää 4-Pillar-auditointia myös toimipaikalta, jonka ympäristöriskit ovat vähäisiä, jos koko toimittajaryhmään sovelletaan yhtenäisiä kriteerejä. Ennen valmistelujen aloittamista on siksi vahvistettava auditointiajankohtana sovellettava menetelmäversio, vaadittu laajuus ja auditoinnin käsittelytapa Sedex-alustalla.

Toimipaikan henkilöstöasiakirjat, työaikakirjanpito ja työsuojelun valvonta voivat olla hyvin järjestettyjä, vaikka jätteistä, resurssien kulutuksesta, eturistiriidoista tai väärinkäytösten ilmoittamisesta ei olisi yhtenäistä näyttöä. Jos valmistelusta vastaavat vain HR ja työsuojelu, se kattaa tällöin vain osan 4-Pillar-vaatimuksista. Laajuuden kasvattaminen edellyttää uusien prosessinomistajien osallistamista ja käytännön toimivuuden tarkastamista, ei kahden uuden luvun lisäämistä menettelyohjeeseen.

Samalla on määritettävä arvioinnin piiriin kuuluvat toimipaikat, toimintatyypit, henkilöstömäärä ja työnteon muodot, mukaan lukien vuokratyö ja alihankinta silloin, kun niitä käytetään. Laajuus on luettava tilauksesta, sopimuksesta tai asiakkaan portaalista sen sijaan, että se määriteltäisiin omien oletusten perusteella. Tämä on erityisen tärkeää silloin, kun SMETA toimii asiakasauditointina. Laajempaa organisatorista näkökulmaa käsittelee artikkeli Miten yritys valmistellaan avaintoimittajaan kohdistuvaan toisen osapuolen auditointiin?

Mitä 2-Pillar-auditoinnissa tarkastetaan?

2-Pillar kattaa työelämän käytännöt sekä työterveyden ja -turvallisuuden, mutta arviointi ei rajoitu sääntöjen, menettelyohjeiden ja henkilöstöasiakirjojen läpikäyntiin. Työelämän käytäntöjen osalta auditoija tarkastelee työn laillisuutta ja vapaaehtoisuutta, työaikaa, palkkausta, yhdenvertaista kohtelua, järjestäytymisvapautta, lapsityövoiman kieltoa sekä kiellettyjä kurinpitokäytäntöjä. Olennaista on työn todellinen järjestäminen: kuka tehtäviä tekee, millä perusteella, mihin aikaan ja millä periaatteilla palkka määräytyy.

Puolassa toimivassa laitoksessa erityistä tarkastelua edellyttävät työaikakirjanpito, ylityöt ja lepoajat, palkasta tehtävät vähennykset, lomat, siviilioikeudelliset sopimukset, vuokratyö sekä ulkomaalaisten työnteko-oikeus. HR-, palkka- ja tuotantotietojen pitäisi kuvata samaa työnkulkua. Jos kulunvalvonta, vuorosuunnitelma tai tuotantototeuma osoittaa työntekijän olleen paikalla, mutta työaikakirjanpidossa ei ole vastaavaa merkintää, HR-asiakirjan muodollinen oikeellisuus ei poista riskiä. Organisaation on nimettävä HR- ja palkkatietojen omistaja sekä määritettävä, miten tietoja saadaan henkilöstövuokrausyrityksiltä ja muilta työvoimaa toimittavilta tahoilta.

Työterveys- ja työturvallisuuspilari kattaa sekä valvonnan järjestämisen että työpisteissä havaittavat olosuhteet. Arvioinnin kohteena ovat muun muassa työpaikan riskinarviointien ajantasaisuus ja tarkoituksenmukaisuus, koneiden suojaukset, henkilönsuojainten käyttö, poistumisreittien esteettömyys, paloturvallisuus, ensiapu, koulutukset sekä reagointi tapaturmiin ja läheltä piti -tilanteisiin. Myös suojausten tarkastuksista ja vikojen korjaamisesta laaditut tallenteet on pystyttävä esittämään. Toimivaa valvontaa kuvaava dokumentaatio menettää uskottavuutensa, jos auditoija havaitsee tuotantokierroksella suojalaitteiden ohittamista, tukitun uloskäynnin tai vaadittujen suojainten käyttämättä jättämistä.

Auditoija valitsee asiakirjoista otoksia ja vertaa niitä toimipaikalla tehtyihin havaintoihin sekä työntekijöiden kertomaan. Työaikaa, palkkaa, lomia ja lepoa koskevia tietoja voidaan verrata kulunvalvontaan, vuorosuunnitelmiin tai operatiivisiin tietoihin. Koulutus- ja tarkastusrekistereitä puolestaan verrataan työpisteiden todellisiin käytäntöihin. Tietolähteiden välinen ristiriita on merkittävä riskisignaali etenkin, jos se toistuu tai koskee vuokratyöntekijöitä, ulkomaalaisia tai välittäjän kautta työskenteleviä henkilöitä. Ennen auditointia on myös sovittava auditoijan pääsystä asiakirjoihin ja työntekijöiden luo luottamuksellisuus ja tietosuoja huomioiden.

2-Pillar-valmistelua ei voi osoittaa yksinomaan laatuvastaavalle. Se edellyttää HR:n, palkanlaskennan, työsuojelun, tuotannon, kunnossapidon, turvallisuustoimintojen sekä henkilöstövuokrausyritysten ja muiden työvoimaa toimittavien tahojen yhteistyötä. Prosessinomistajien on sovittava henkilöstörakenteen kuvaamisesta sopimusperusteen ja välittäjän mukaan, tietojen kattavuudesta sekä ristiriitojen selvittämistavasta. Vastaavaa koordinointia tarvitaan myös silloin, kun organisaatio arvioi, miten tiimi valmistellaan asiakasauditointiin, jossa edellytetään APQP:tä, PPAP:tä ja juurisyyanalyysiä.

Mitä 4-Pillar tuo mukaan?

4-Pillar laajentaa auditointia kahdella erillisellä osa-alueella: ympäristöasioiden hallinnalla ja liiketoimintaetiikalla. Kyse ei ole vain järjestelmävastaavalle esitetyistä lisäkysymyksistä, vaan kokonaisuuksista, jotka edellyttävät uusien prosessinomistajien osallistumista ja pääsyä erilaisiin näyttölähteisiin. Valmistelun on perustuttava toimipaikan toimintaprofiiliin, asiakkaan vaatimuksiin ja tosiasialliseen vastuunjakoon, ei 2-Pillar-auditoinnin asiakirjaluettelon mekaaniseen laajentamiseen.

Ympäristöpilarissa arvioidaan, miten toimipaikka tunnistaa vaatimukset ja hallitsee ympäristövaikutuksiaan. Toiminnan luonteesta riippuen arviointi voi koskea energian, veden ja muiden resurssien kulutusta, jätehuoltoa, päästöjä, jätevesiä, kemikaaleja sekä toimintaa vuoto- ja muissa ympäristötilanteissa. Lähtökohtana tulisi olla toimipaikkaa koskevien vaatimusten rekisteri, johon sisältyvät päätökset, luvat, ilmoitukset, mittaukset ja raportointivelvoitteet.

Asiakirjojen olemassaolo ei vielä osoita vaatimustenmukaisuutta. Toimipaikan on pystyttävä osoittamaan päätösehtojen, määräaikojen, vastuiden ja mittaustulosten valvonta sekä poikkeamiin reagoiminen. Auditoija voi verrata päätösten ehtoja jätekirjanpitoon, mittaustuloksiin tai kulutustietoihin ja tarkastaa, kuka analysoi raja-arvojen ylitykset tai epätavalliset muutokset. Käytössä oleva ympäristöjärjestelmä voi selkeyttää valvontaa, mutta se ei korvaa näyttöä järjestelmän vaikuttavasta toiminnasta.

Myöskään liiketoimintaetiikan pilari ei pääty eettiseen ohjeistoon. Siihen kuuluvat korruption, eturistiriitojen, väärinkäytösten ja vastatoimien ehkäisemisen mekanismit sekä ilmoituskanavat, selvitysmenettelyt ja henkilöstön tietoisuus. Mekanismien toiminnasta voivat osoittaa muun muassa ilmoitusten tilat, koulutukset, eturistiriitoja koskevat ilmoitukset ja dokumentoidut selvitystoimet luottamuksellisuus huomioiden. Vain muodollisesti perustettu ilmoituskanava on heikko näyttö, jos prosessilla ei ole omistajaa, tapausten luokitteluperusteita tai ilmoittajien suojelua koskevia menettelyjä.

Arviointi perustuu sovellettaviin oikeudellisiin vaatimuksiin ja toimipaikan toimintaedellytyksiin, mutta auditoinnissa voidaan huomioida myös asiakkaan odotukset ja sisäisten valvontamekanismien vaikuttavuus. 4-Pillar-valmisteluun tarvitaan siksi ympäristöasioista, hankinnasta, taloudesta, myynnistä, vaatimustenmukaisuudesta, ilmoitusten käsittelystä ja selvityksistä vastaavat henkilöt sekä ristiriitatilanteista päättävä johto. Ympäristövaatimusten rekisterille ja ilmoitusprosessille on nimettävä omistajat, joiden toimivaltuudet, luottamuksellisuusperiaatteet ja eskalointikäytännöt määritellään selkeästi.

Missä kustannukset ja riskit kasvavat?

SMETA-valmistelun työmäärä ei kasva suorassa suhteessa pilareiden tai kysymysten määrään. Suurimmat kustannukset syntyvät siellä, missä tiedot ovat hajallaan eri toimintojen välillä, vastuut ovat epäselviä ja toimipaikan käytäntö poikkeaa menettelyohjeista. Ennen auditoijan valintaa on siksi arvioitava dokumentaation lisäksi prosessien ja prosessinomistajien määrä, valittujen otosten tallenteiden kattavuus ja keskinäinen johdonmukaisuus sekä ristiriitojen juurisyiden poistamiseen tarvittava aika.

4-Pillar lisää riippuvuuksia HR:n, tuotannon, työsuojelun, ympäristötoimintojen, hankinnan, talouden ja compliance-toiminnon välillä. Koko valmistelun siirtäminen laatuosastolle johtaa usein viivästyksiin tai sellaisen näytön esittämiseen, joka on muodollisesti kattavaa mutta ei osoita mekanismien toimivuutta.

Puuteanalyysissä on erotettava toisistaan vastuiden ja tallenteiden selkeyttämisellä korjattavat puutteet sekä ongelmat, jotka edellyttävät työn organisoinnin tai infrastruktuurin muuttamista. Vaativimpia ovat tuotantokapasiteetin suunnittelusta johtuvat järjestelmälliset ylityöt, palkkatietojen ristiriidat, koneiden puutteelliset suojaukset, paloturvallisuuspuutteet, kemikaalien virheellinen hallinta sekä ympäristöpäätösten ehtojen noudattamatta jättäminen. Menettelyohjeen täydentäminen tai yksittäinen koulutus ei poista tällaisia ongelmia.

Johdon on päätettävä, mitkä puutteet on poistettava ennen auditointia ihmisiin, lakisääteisiin vaatimuksiin tai asiakkaan vaatimuksiin kohdistuvan riskin vuoksi. Jos vaatimuksen luonne ja asiakkaan kanta sen sallivat, osa puutteista voidaan käsitellä uskottavalla toimenpidesuunnitelmalla, jolla on määräaika, omistaja ja varmistettu rahoitus.

Tyypillinen ongelma ei ole asiakirjojen puuttuminen vaan auditointitiedon eheys. Toimipaikalla voi olla kattavat työaikamenettelyt, vaikka tuotantosuunnitelma ja linjan käynnistystiedot osoittavat työtä, jota työaikakirjanpito ei sisällä. Ympäristöasioissa vastaava signaali on ristiriita syntyneen jätteen kirjanpidon, varastomäärän ja luovutusasiakirjojen välillä. Auditoija arvioi, voidaanko prosessin todellinen kulku jäljittää – ei sitä, miltä rekisteri näyttää. Poikkeaman korjaaminen edellyttää tietolähteiden analysointia, eri järjestelmien tallenteiden yhteensovittamista ja ristiriitoja aiheuttavan mekanismin poistamista.

Valmistelubudjetti kannattaa jakaa puuteanalyysiin, organisatorisiin toimiin, teknisiin muutoksiin, koulutuksiin, tallenteiden täydentämiseen ja auditoinnin jälkeisten korjaavien toimenpiteiden varaukseen. 2-Pillar- tai 4-Pillar-valmistelulle ei ole perusteltua määrittää yhtä vakiohintaa: tekniset kustannukset riippuvat kiinteistön ja prosessien tilasta, organisatoriset kustannukset puolestaan valvonnan kypsyydestä. Hyödyllisiä mittareita ovat esimerkiksi kattavien ja keskenään yhdenmukaisten tallenteiden osuus otoksessa, poikkeamien avoinnaoloaika sekä niiden prosessien määrä, joilla ei ole yksiselitteistä omistajaa. Vastaavaa kustannusten jäsentelyä käsittelee artikkeli Mitä NIS2:n ja uKSC:n käyttöönotto maksaa – miten auditointien, dokumentaation, koulutusten ja suojausten budjetti laaditaan ilman kalliita virheitä. SMETA:ssa samaa logiikkaa on sovellettava toimipaikan todellisiin työelämän käytäntöjen, työturvallisuuden, ympäristöasioiden ja liiketoimintaetiikan puutteisiin.

Miten auditoinnin laajuus ja valmistelu määritetään?

Laajuuden valinta alkaa auditoinnin tarkoituksen, tulosten vastaanottajan, arvioitavien toimipaikkojen sekä 2-Pillar- tai 4-Pillar-vaihtoehdon yksiselitteisestä vahvistamisesta. Lisäksi on määritettävä sovellettava menetelmäversio, asiakkaan lisävaatimukset ja tulosten jakamista koskevat säännöt. Vasta tämän jälkeen voidaan nimetä valmistelun koordinaattori, osa-alueiden omistajat ja valmiuskriteerit.

Jos asiakas edellyttää 4-Pillar-auditointia, organisaation käsitys vähäisistä ympäristö- tai eettisistä riskeistä ei oikeuta laajuuden rajaamiseen. Jos asiakas jättää valinnan toimittajalle, päätöksen tulee perustua toiminnan riskiprofiiliin ja organisaation tosiasialliseen valvontakykyyn.

Vaatimukset kohdistetaan seuraavaksi prosesseihin, toimipaikkoihin, tietolähteisiin ja vastuuhenkilöihin. Matriisissa kukin vaatimus voidaan luokitella täytetyksi, osittain täytetyksi, täyttämättömäksi tai soveltumattomaksi. Soveltumattomuus on perusteltava asiallisesti. Puuteanalyysiä ei saa rajata itsearviointilomakkeeseen, vaan siinä on yhdistettävä asiakirjojen ja tallenteiden tarkastus, toimipaikan havainnointi sekä työntekijöiden ja prosessinomistajien haastattelut. Näin voidaan erottaa yksittäisen näytön puuttuminen tehottomasta valvonnasta tai sovittujen periaatteiden vastaisesta käytännöstä.

Harjoitusauditoinnin tulisi seurata varsinaisen auditoinnin etenemistapaa. Valitun työntekijän osalta tarkastetaan työsopimuksen, työaikakirjanpidon, vuorosuunnitelman, palkkalaskelman ja maksutositteen välinen johdonmukaisuus sekä työpisteen olosuhteet. 4-Pillar-vaihtoehdossa tietty ympäristönäkökohta tai eettinen riski on vastaavasti yhdistettävä vastuuseen, valvontatapaan ja toimivuuden osoittavaan tallenteeseen. Asiakirjojen, havaintojen ja haastattelujen yhtenevyys kertoo valmiudesta enemmän kuin menettelyohjeiden lukumäärä.

Valmistelutoimet priorisoidaan riskin merkittävyyden, ongelman syyn ja toteutettavuuden perusteella. Jokaisella toimenpiteellä on oltava määräaika, omistaja ja määritelty toteutusnäyttö. Pelkästään auditointia varten laadittu asiakirja ei korvaa käyttöönottoa eikä soveltamisajalta syntynyttä näyttöä. Puuteanalyysin ja auditoinnin väliin varattavan ajan on vastattava muutosten luonnetta: vastuunjaon korjaaminen vaatii erilaista panostusta kuin suojausten uudistaminen, työaikajärjestelyjen muuttaminen tai ympäristövalvonnan käyttöönotto.

Prosessinomistajan tulee hyväksyä toimenpiteet ja niiden näyttö. Jos asiaan liittyy merkittävä riski, kustannus tai lakisääteinen vaatimus, hyväksyntään tarvitaan myös toimivaltainen johdon jäsen. Hyödyllisenä vertailukohtana voidaan käyttää artikkelia Valmistautuminen ISO-auditointiin: vaiheittainen opas, mutta SMETA-valmistelua ei pidä johtaa kuin johtamisjärjestelmän sertifiointiprojektia.

Ennen auditointia tiimin on harjoiteltava tietojen hakemista, prosessinomistajien vastauksia, toimipaikkakierroksen järjestämistä ja työntekijöiden luottamuksellisten haastattelujen toteuttamista. Valmiuskriteerin ei tulisi olla ”dokumentaatio on valmis”, vaan ”vaatimus toteutuu käytännössä, vastuuhenkilö osaa selittää sen ja sekä tallenteet että havainnot vahvistavat saman toimintatavan”. Apuna voidaan käyttää myös artikkelia Miten yritys valmistellaan avaintoimittajaan kohdistuvaan toisen osapuolen auditointiin?, erityisesti auditointikäynnin vastuiden ja näytön saatavuuden määrittämisessä.

Laajuuden on vastattava vaatimusta ja riskiä

2-Pillar on oikea vaihtoehto silloin, kun se vastaa tulosten vastaanottajan vaatimusta ja arvioinnin tarkoitusta. Tämä ei tarkoita, etteivät ympäristövelvoitteet tai eettisen liiketoiminnan periaatteet koskisi organisaatiota. Niitä valvotaan edelleen lainsäädännön, sopimusvelvoitteiden ja organisaation omien periaatteiden perusteella. 4-Pillar antaa toimittajan riskeistä laajemman kuvan, mutta edellyttää ympäristö-, hankinta-, talous- ja väärinkäytösten ehkäisyyn liittyvien prosessien todellista osallistumista.

Ennen auditoinnin tilaamista johdon tulisi hyväksyä laajuus, arvioitava toimipaikka, prosessinomistajat, teknisten toimenpiteiden budjetti, eskalointiperiaatteet ja auditoinnin jälkeisten toimien seurantatapa. Päätöksen on perustuttava kolmeen tekijään:

• asiakkaan tai toimittajaohjelman vaatimuksiin,
• toimipaikan operatiiviseen riskiprofiiliin,
• organisaation kykyyn osoittaa valvonnan vaikuttavuus.

Tilanteen jäsentämisessä voidaan käyttää apuna artikkelia Mikä SWOT-analyysi on?, mutta SWOT ei korvaa riskinarviointia eikä näytön tarkastusta.

Jos toimipaikka valitsee 4-Pillar-auditoinnin, vaikka se ei ole aiemmin määrittänyt vastuuta ympäristönäkökohdista tai hankinnan korruptioriskeistä, laajempi auditointi ei aiheuta ongelmaa vaan tuo näkyviin olemassa olevan valvontapuutteen. Johdon on tällöin ratkaistava, mitkä puutteet on korjattava ennen auditointia, mitkä voidaan käsitellä korjaussuunnitelmalla ja missä tapauksissa jäännösriski on hyväksyttävä muodollisesti. Päätökset on kytkettävä johdon katselmukseen ja olemassa oleviin johtamisjärjestelmiin sen sijaan, että niitä ylläpidettäisiin erillisessä rekisterissä ilman nimettyjä omistajia.

SMETA-raportti kuvaa vaatimustenmukaisuutta ja käytäntöjä tietyssä paikassa tiettynä ajankohtana. Se ei ole sertifikaatti. Raportin arvo määräytyy näytön laadun, poikkeamien syiden poistamisen ja muutosten pysyvyyden perusteella. Auditointien välistä valmiutta kannattaa seurata esimerkiksi avoimien toimenpiteiden määrällä vakavuuden ja määräajan mukaan, vaikuttavuudeltaan todennettujen toimien osuudella sekä havaintojen toistuvuudella seuraavissa arvioinneissa. Tehtävän muodollinen sulkeminen ei vielä osoita, että riski on hallinnassa.