Så planerar du åtgärder efter en SMETA-revision och dokumenterar genomförandet trovärdigt

Åtgärder efter en SMETA-revision bör hanteras som en process för avvikelsehantering, inte som en administrativ komplettering av revisionsrapporten. Organisationen behöver först bekräfta omfattningen och risken för varje iakttagelse, därefter skydda arbetstagarna mot fortsatta konsekvenser, undanröja orsaken och dokumentera att förändringen verkligen har införts. För att stänga en iakttagelse krävs en separat effektivitetsbedömning: att en aktivitet är utförd visar inte att problemet inte kommer tillbaka. En trovärdig process förenar därför orsaksanalys, tydligt ansvar, belägg från den löpande verksamheten och en oberoende verifiering av resultatet.

Rapporten är början på processen

En SMETA-rapport är inte en förteckning över dokument som behöver kompletteras, utan utgångspunkten för hanteringen av revisionsiakttagelser. En omedelbar korrigering undanröjer den konstaterade effekten, exempelvis genom att rätta en felaktig arbetstidsregistrering eller komplettera ett saknat utbildningsintyg. En korrigerande åtgärd ska däremot angripa orsaken till problemet och minska risken för upprepning genom att förändra planering, ansvar, kontroll eller formerna för uppföljning. Ett korrigerat dokument är inte i sig ett bevis för att mekanismen bakom avvikelsen har blivit hanterad.

Innan åtgärder planeras behöver organisationen bekräfta fakta och avgränsa problemet. Analysen bör visa vilken process, plats, period och arbetstagargrupp iakttagelsen gäller, hur omfattande problemet är och om det även förekommer utanför det stickprov som granskades under revisionen. Rapportens formulering, klassificeringen av iakttagelsen och tidsfristerna i revisionsunderlaget är fortsatt styrande. Åtgärdernas omfattning behöver dock fastställas genom kontroll av samtliga platser, avtal, processer eller arbetstagargrupper som kan vara berörda. Samma arbetssätt behövs när organisationen fastställer hur företaget ska förberedas inför en andrapartsrevision hos en kritisk leverantör.

En iakttagelse som gäller ett enskilt avtal bör exempelvis inte leda enbart till att just det dokumentet rättas. Organisationen behöver även granska övriga avtal av samma slag, hur mallar tas fram, hur avvikelser godkänns och hur personalakterna kontrolleras återkommande. En iakttagelse kan ge upphov till flera samordnade åtgärder. Varje aktivitet behöver dock inte ha en separat plan om en gemensam grundorsak och samma ansvariga processägare motiverar en samlad hantering.

Tolkningen av iakttagelsen bör godkännas av processägaren tillsammans med de funktioner som ansvarar för det aktuella området. När frågan är väsentlig för arbetstagare, efterlevnad eller verksamhetskontinuitet bör även relevant medlem av ledningen medverka. Ledningssystemansvarig eller revisionssamordnaren kan förvalta registret, bevaka tidsfrister och kontrollera att bevisningen är sammanhängande, men bör inte överta ansvaret för processförändringen. Åtgärdsägaren måste ha mandat att ändra arbetsorganisation, styrning, resurser eller samarbetsvillkor.

Organisationen bör också skilja mellan svaret till kunden eller via plattformen och den interna korrigeringsprocessen. Det externa svaret ska exakt motsvara iakttagelsen och den angivna tidsfristen. Den interna analysen kan omfatta ett bredare stickprov, andra platser och ytterligare skyddsåtgärder. Analysens omfattning avgör om organisationen endast behandlar ett enskilt symtom eller faktiskt minskar risken för att problemet återkommer.

Bedöm risken innan tidsplanen fastställs

Prioriteringen efter en SMETA-revision bör grundas på bedömningen av social risk, inte på hur enkelt det är att samla in dokument. För varje iakttagelse behöver organisationen bedöma den möjliga skadans allvar, antalet exponerade personer, problemets varaktighet, om konsekvenserna går att återställa och sannolikheten för fortsatta överträdelser. Om risken kvarstår eller arbetstagares rättigheter fortfarande åsidosätts ska den berörda rutinen eller processen först stoppas och skyddsåtgärder införas. Den fullständiga orsaksanalysen kan slutföras senare, men skyddet av människor får inte fördröjas i väntan på analysen.

Planen bör skilja mellan en omedelbar skyddsåtgärd, korrigering av det konkreta fallet, en korrigerande åtgärd riktad mot orsaken och en systemåtgärd som omfattar en bredare process. Varje nivå har ett eget syfte, en egen tidsfrist och ett eget sätt att verifieras. Vid misstanke om felaktig arbetstidsredovisning bör organisationen först stoppa det felaktiga beräkningssättet, därefter fastställa hur många personer och vilken period som berörs, korrigera redovisningen och sedan ändra reglerna för planering, godkännande och kontroll. Beslutsunderlaget kan beroende på frågan bestå av arbetstidsregister, lönelistor, avtal, klagomål, intervjuer med arbetstagare och arbetsmiljödokumentation.

Innan åtgärdssvaret godkänns behöver organisationen verifiera att det motsvarar de krav som är relevanta för iakttagelsen, särskilt i frågor om arbetsrätt, arbetsmiljö, arbetstidsregistrering, lön, dataskydd och anställningsvillkor. Bedömningens omfattning beror på ärendets karaktär. En tidsplan som avtalats med kunden ersätter inte rättsliga skyldigheter och motiverar inte att en rutin som medför risk för arbetstagare får fortsätta.

Tidsfristen behöver ta hänsyn till kraven i rapporten, plattformen, kundens instruktioner eller den godkända planen samt till resurser, beroenden och den tid som krävs för effektivitetsbedömningen. Om det finns risk för försening bör kunden informeras före tidsfristens utgång om orsaken och om införda skyddsåtgärder. Att vänta med att stoppa en olämplig rutin, begränsa analysen till en enda plats eller ange ett datum utan att kontrollera genomförbarheten ökar både kostnaden och risken i åtgärdsarbetet. En tydlig överlämning av ansvar är lika viktig här som i processen för introduktion av en ny kvalitetsingenjör eller ISO-samordnare.

En åtgärdsplan som utgår från orsaken

Åtgärdsplanen bör bygga på en exakt problembeskrivning, inte enbart på den kategori som har angetts i SMETA-rapporten. Beskrivningen behöver identifiera relevant krav, konstaterat faktiskt förhållande, plats, omfattning och objektivt belägg. Formuleringen ”rutinen följdes inte” förklarar inte vem som agerade fel, under vilka förutsättningar eller med vilken konsekvens. En användbar problembeskrivning anger process, arbetstagargrupp, period eller plats samt skillnaden mellan krav och faktiskt utfall. Den bör också fastställa ett mätbart utgångsläge. Utan en baslinje kommer den senare effektivitetsbedömningen att bygga på påståenden i stället för jämförbara resultat.

Orsaksanalysen får inte stanna vid att hänvisa till ett mänskligt misstag. Organisationen bör granska arbetsplanering, ansvarsfördelning, informationsflöden, uppföljning, kompetens, ersättningssystem, tillgängliga resurser och IT-stödets funktion. Analysen bör bygga på dokument, observationer av processen och samtal med dem som utför och leder arbetet. Beroende på iakttagelsens karaktär är det också relevant att beakta historiken för liknande avvikelser, klagomål, arbetsmiljöhändelser, lönefel eller överskriden arbetstid. Om den identifierade orsaken kan undanröjas utan att de förutsättningar som möjliggjorde problemet förändras, eller om den inte förklarar varför problemet återkommer, har organisationen sannolikt identifierat ett symtom i stället för grundorsaken.

Om övertid regelbundet godkänns först efter att den har arbetats kan utbildning av chefer förbättra kunskapen om reglerna. Det löser dock inte problemet om produktionsplanen fortfarande förutsätter en bemanning som inte finns tillgänglig, incitamentsmålen uppmuntrar till överskriden arbetstid och tidrapporteringssystemet inte varnar vid överskridanden. Den korrigerande åtgärden kan då behöva omfatta förändrade principer för bemanningsplanering, gränsvärden för godkännande och kontroll av undantag, kompletterat med en teknisk förändring. Uppdatering av en rutin och utbildning är tillräckliga endast om analysen visar att den faktiska orsaken är en brist i kraven eller kompetensen och att processen inte innehåller andra mekanismer som medger överträdelser.

För varje aktivitet bör planen ange en åtgärdsägare med mandat att genomföra förändringen, förväntat resultat, tidsfrist, nödvändiga resurser, beroenden till andra processer, förväntat genomförandebevis och metod för effektivitetsbedömning. Belägg för genomförandet kan exempelvis vara en godkänd konfigurationsändring, ett kontrollprotokoll, en korrigerad avräkning eller resultatet från en dokumentgranskning. Effektivitetskriteriet bör motsvara risken, exempelvis inga nya överskridanden under en fastställd observationsperiod, godkännande av undantag i rätt tid eller överensstämmelse i ett granskat stickprov. Åtgärdsägaren bör inte ensam godkänna åtgärdens effektivitet om detta försvagar bedömningens oberoende.

Iakttagelser som omfattar flera processer, platser eller orsaker kräver en strukturerad metod som förenar fakta, analys, beslut och verifiering. En användbar struktur är A3 Problem Solving – så utformar du en sammanhållen problemlösningsrapport som leder teamet framåt. Metoden bör väljas utifrån iakttagelsens komplexitet och risk. En enkel analys kan räcka för en isolerad brist, medan ett återkommande eller systematiskt problem normalt kräver jämförelse av data, prövning av orsakshypoteser och ett beslut om organisatoriska, tekniska eller kombinerade förändringar.

Bevisningen måste göra förändringen spårbar

Bevispaketet bör göra det möjligt att fastställa vad som ändrades, när och av vem, hur omfattande införandet var och vilken grupp åtgärden gällde. Ett undertecknat dokument visar normalt bara att dokumentet finns, inte att lösningen tillämpas. Redan vid planeringen behöver organisationen därför ange vilka registreringar som förväntas, vem som ansvarar för dem och vilka uppgifter som kopplar dem till den konkreta iakttagelsen: datum för godkännande och ikraftträdande, versionsnummer, plats, arbetsskift, arbetstagargrupp eller den dokumentmängd som omfattas av förändringen.

Beläggen bör väljas utifrån åtgärdens karaktär och göra införandets olika steg spårbara. Vid en förändring som berör arbetstagare kan ett trovärdigt paket omfatta den godkända regleringen, dokumentation av kommunikation eller genomförd utbildning, ett stickprov av efterföljande operativa registreringar och en bekräftelse på att reglerna används i praktiken. Om rutinen för att godkänna övertid har ändrats behöver organisationen koppla de nya reglernas ikraftträdandedatum till vilka personer som informerats, exempel på ansökningar som skapats enligt den nya rutinen och kontrollresultat från relevanta arbetsskift. En närvarolista visar inte i sig att deltagarna har förstått reglerna eller kan tillämpa dem.

Stickprovet ska väljas utifrån risk, inte bekvämlighet. Det bör omfatta perioden efter införandet och, beroende på iakttagelsen, olika skift, platser, personalkategorier eller undantagssituationer. Varje fil och utdrag behöver tydligt kopplas till åtgärden, förses med datum och version samt bevaras enligt reglerna för styrning av dokumenterad information. Dokumentlagringen bör minska risken för att en inaktuell version lämnas in av misstag. Detta arbetssätt är även viktigt vid mer omfattande införanden, vilket illustreras i ISO 22163 inom järnvägssektorn: hur lång tid tar ett IRIS-införande och hur förbereds företaget inför revisionen?

Innan material lämnas till kunden eller revisorn bör organisationen fastställa om originaldokumentet behövs eller om ett kontrollerat utdrag eller en sammanställning är tillräcklig. Lönelistor och arbetstidsregister kan innehålla fler personuppgifter än vad verifieringens syfte kräver. Informationen bör därför begränsas till vad som är nödvändigt, med lämplig anonymisering eller pseudonymisering och en säker överföringskanal. Skyddsnivån beror på syftet med utlämnandet, uppgifternas omfattning och möjligheten att åter koppla informationen till en person. Att enbart dölja ett namn utesluter inte alltid identifiering.

Exempel på skenbevis är tomma formulärmallar, fotografier utan datum och sammanhang, ej godkända dokument, närvarolistor utan kontroll av kompetens och registreringar som skapats enbart för att stänga iakttagelsen. Materialet bör uppstå i den ordinarie processen och visa att lösningen verkligen används. Ett tydligt bevispaket kopplar samman dokumentet som fastställer förändringen, registreringen av införandet, ett representativt stickprov av tillämpningen och resultatet från en oberoende verifiering. Många bilagor ersätter inte en sammanhängande beviskedja.

Effektiviteten måste verifieras separat

Att stänga en aktivitet betyder att den planerade uppgiften har utförts: rutinen har ändrats, medarbetarna har utbildats, en kontroll har startats eller saknade registreringar har kompletterats. Det innebär inte automatiskt att iakttagelsen från SMETA-revisionen kan stängas. Organisationen behöver även verifiera i den faktiska processen att åtgärden har påverkat den identifierade orsaken och att problemet inte har uppstått igen. Statusen ”genomförd” beskriver planens utförande, inte dess resultat.

Effektivitetskriteriet bör fastställas när åtgärden planeras. Det ska ange mätetal, metod för urval av stickprov, observationsperiod, ansvarig för verifieringen och villkor för att åter öppna iakttagelsen. Tidpunkten för verifiering måste motsvara processens cykel och riskens karaktär. En alltför tidig kontroll kan endast bekräfta att lösningen formellt har införts, medan en alltför sen kontroll i onödan kan förlänga exponeringen för avvikelsen. Om händelsen inträffar sällan kan det vara viktigare att granska efterföljande cykler, arbetsskift, löneperioder eller undantagssituationer än att enbart invänta ett visst antal dagar.

Efter en förändring av rutinerna för godkännande av övertid räcker det inte att bekräfta att instruktionen har publicerats och utbildningen genomförts. Verifieringen kan omfatta jämförbara stickprov av registreringar före och efter förändringen, antalet återkommande avvikelser under observationsperioden, observation av godkännandeflödet samt intervjuer med arbetstagare och chefer. Intervjuresultat bör beskrivas sakligt utan att ge sken av statistisk precision. Först när registreringar, observationer, uttalanden och indikatorer bedöms tillsammans går det att värdera förändringens varaktighet. Ett enskilt dokument bekräftar normalt endast ett steg. Motsvarande beslutsdisciplin krävs för en reaktionsplan i en kontrollplan – så beskrivs åtgärder när processen går utanför fastställda gränser.

Den som verifierar resultatet bör vara så oberoende som möjligt från åtgärdsägaren, särskilt vid iakttagelser med hög risk. Det kräver inte alltid en extern revisor. Den som genomför verifieringen får dock inte begränsa sig till att acceptera en försäkran från den genomförandeansvarige. Bedömningen kan utföras av en kompetent internrevisor, en representant för en annan funktion eller en person som ledningen utsett och som kan granska både beläggen och den kvarstående risken efter införandet.

Om det fastställda kriteriet inte är uppfyllt bör iakttagelsen inte stängas administrativt, och en ytterligare bilaga får inte ersätta effektivitetsbedömningen. Organisationen behöver analysera orsaken på nytt, justera planen, fastställa ytterligare riskbegränsande åtgärder och ange ett nytt datum för verifiering. En uppföljningsrevision eller övervakning av indikatorer bör bekräfta att det förväntade resultatet har uppnåtts i processen, inte bara att aktiviteterna har upprepats.

Ett avslut som stärker ledningssystemet

Att revisionssvaret har slutförts bör inte innebära att uppföljningen av SMETA-iakttagelser upphör. Ledningen behöver kortfattad information om iakttagelser med hög risk, förseningar, resursbegränsningar, åtgärdernas effektivitet och kvarstående risk. Rapporteringsfrekvensen bör anpassas till risknivån och genomförandetakten. Frågor som kräver budgetmässiga, organisatoriska eller personalrelaterade beslut bör eskaleras utan att invänta nästa ordinarie ledningens genomgång.

Slutsatserna från revisionen bör integreras i ledningssystemets permanenta delar: riskbedömning, styrning av HR- och arbetsmiljöprocesser, internrevisionsprogram, principer för val av leverantörer av arbetskraft, utbildning och ledningens genomgång. Valet mellan central och lokal styrning bör motsvara organisationens struktur. Oavsett modell krävs gemensamma kriterier, medan ansvaret för att genomföra och upprätthålla förändringen bör ligga så nära processen som möjligt.

Ett register som omfattar flera anläggningar kan ha centralt definierade statusar, tidsfrister, eskaleringsregler och beviskrav, samtidigt som åtgärderna ägs lokalt inom HR, arbetsmiljö och drift. Entydiga statusdefinitioner är en förutsättning för trovärdig rapportering av andelen åtgärder som har genomförts i tid. Parallellt bör organisationen följa försenade, åter öppnade och ineffektiva åtgärder, de vanligaste systemorsakerna samt processer där iakttagelser återkommer. Vid större omfattning bör SMETA-registret integreras med det befintliga flödet för korrigerande åtgärder i stället för att hanteras som ett separat register enbart för kundens behov. Det kräver strukturerade informationsflöden, vilket behandlas mer utförligt i materialet om hur organisationen förbereds för digitalisering av kvalitetsarbetet.

Erfarenheter från hanteringen av iakttagelser bör föras in i ett återkommande förbättringsprogram. Ett relevant planeringsperspektiv presenteras i Så tar du fram en plan för kvalitetsförbättring på 3, 6 och 12 månader. Det slutliga resultatet är inte statusen ”stängd”, utan organisationens förmåga att identifiera sociala risker, fatta faktabaserade beslut och upprätthålla förändringen efter revisionen.