Intern auditors kompetencer efter ISO 19011:2026 – sådan vurderer du teamet og planlægger udviklingen

Vurderingen af en intern auditors kompetencer bør ikke begynde med spørgsmålet om gennemførte kurser, men med kvaliteten af de konklusioner, som organisationen vil basere sine beslutninger på. Hvis auditten skal bekræfte, at processerne reelt er under effektiv styring, skal auditteamet kunne identificere risici, vurdere objektiv evidens og skelne mellem formel overensstemmelse og en proces, der fungerer i praksis. Ellers bliver auditten en formalitet, som skaber orden i dokumentationen, men ikke beskytter mod fejlvurderet parathed, svage korrigerende handlinger eller en falsk oplevelse af kontrol.

For ledelsen, den kvalitetsansvarlige og den driftsansvarlige er dette hverken et rent HR-spørgsmål eller blot et systemkrav. Det er en del af styringen af operationelle risici, ledelsesinformationens pålidelighed og kvaliteten af beslutninger efter audit. Derfor bør vurderingen af teamet og planlægningen af kompetenceudviklingen tage udgangspunkt i processer, risici og auditformål – ikke i kursuskalenderen eller ønsket om formelt at afslutte en implementeringsfase.

En fagligt svag audit kan koste mere end ingen audit

Den største omkostning ved en svag intern audit opstår hverken på auditdagen eller under udarbejdelsen af rapporten. Den viser sig senere, når organisationen træffer beslutninger på baggrund af et billede, der virker pålideligt, men ikke afspejler processens reelle tilstand. Resultatet kan være forkerte prioriteringer, oversete afvigelser, utilstrækkelige korrigerende handlinger og en antagelse om, at processen er under kontrol, selv om den ikke er det i praksis.

Vurdering af auditorkompetencer er derfor ikke en formalitet. Den skal vise, om organisationen har et team, der troværdigt kan vurdere de forhold, som er afgørende for procesresultater, overensstemmelse og kundekrav. Mange virksomheder anvender fortsat indirekte kriterier: kursusdeltagelse, anciennitet, antal gennemførte audits eller korrekt udfyldelse af en tjekliste. Hvert af disse kriterier kan være relevant som supplement, men ingen af dem dokumenterer i sig selv, at auditoren forstår processen, kan identificere risici og kan underbygge sine konklusioner med evidens.

Problemet er særligt tydeligt i organisationer, der er i gang med implementering eller forbereder certificering. Her bliver intern audit ofte behandlet som en projektaktivitet, der skal afsluttes, frem for som et værktøj til at vurdere den faktiske parathed. Teamet bekræfter måske, at dokumentationen er på plads, men opdager ikke svagheder i processtyringen, forskelle mellem lokationer, ineffektive kontrolmekanismer eller mangler i opfyldelsen af krav hos udførende medarbejdere og procesejere. En sådan audit kan se korrekt ud uden at advare om problemer, som først bliver synlige under ekstern audit, ved en kundeklage eller i forbindelse med en driftsforstyrrelse.

Derfor bør vurderingen af auditorkompetencer udformes lige så bevidst som selve auditprogrammet: med udgangspunkt i auditformålet, processernes kompleksitet, risikoprofilen og den forventede kvalitet af konklusionerne. I denne sammenhæng bør både artiklen „Ændringer i auditstandarden – den nye ISO 19011:2026 og dens betydning for organisationer i Polen” og gennemgangen ISO 19011: Retningslinjer for audit af ledelsessystemer læses som referencepunkter for moden styring – ikke blot som samlinger af formelle anvisninger.

Start med risikoprofilen – og fastlæg derefter auditorprofilen

En intern auditors nødvendige kompetencer kan ikke fastlægges uafhængigt af de processer, der skal auditeres. Udgangspunktet bør være organisationens risikoprofil. Et enkelt dokumentflow stiller andre krav end produktion, kritiske indkøb, svejsning, vedligehold eller arbejdsmiljø. Hvis auditformålet er at vurdere processtyringens effektivitet og ikke blot kontrollere registreringernes overensstemmelse, skal auditorprofilen afspejle proceskarakteren, den operationelle variation, konsekvenserne af fejl og betydningen af de beslutninger, som ledelsen vil træffe på baggrund af auditresultaterne.

I praksis kræver det et opgør med én universel uddannelsesmodel. Auditteamet bør sammensættes efter organisationens faktiske behov og ikke ud fra en forventning om, at alle auditorer skal kunne auditere alt. Vurderingen bør mindst omfatte fire dimensioner: kendskab til auditkriterierne, procesforståelse, evnen til at indsamle og vurdere evidens samt auditoradfærd – herunder upartiskhed, disciplineret konklusionsdannelse og modstandsdygtighed over for påvirkning fra procesejeren.

I polske virksomheder er det en udbredt fejl udelukkende at sammensætte teamet af personer, der „kender systemet”. Disse medarbejdere er typisk fortrolige med procedurer, formularer og dokumentationskrav, men kan ikke altid vurdere, om styringen fungerer under reelle driftsforhold. Auditresultatet bekræfter derfor, at registreringer findes, men afdækker ikke svage kontrolpunkter, forskelle mellem skiftehold, afhængighed af enkelte medarbejdere eller risici i indkøb, planlægning og vedligehold af udstyr. I specialiserede miljøer bliver udfordringen endnu tydeligere. Ved svejseproduktion skal auditoren ikke kun forstå systemkriterierne, men også de tekniske krav, kvalitetsregistreringerne og styringslogikken for den særlige proces. Et naturligt referencepunkt er derfor også ISO 3834 – sådan styres svejsning, kompetencer og kvalitetsregistreringer i produktionen.

Ledelsesmæssigt betyder det, at der bør etableres en fælles kompetencematrix for hele teamet og om nødvendigt særskilte profiler for kritiske områder. I organisationer med flere lokationer eller virksomheder, der udvikler systemet mod sektorspecifikke krav, vil auditorprofilen ændre sig i takt med systemets modenhed og den forventede vurderingsdybde. Det samme gælder en procesekspert uden auditoruddannelse: Vedkommende kan bidrage væsentligt som medlem af teamet, men uden auditdisciplin og upartiskhed kan fokus let flytte sig fra undersøgelse af evidens til forsvar af egne løsninger. Udviklingsplanen bør derfor tage udgangspunkt i proceskortet, procesejerne, auditkriterierne og højrisikoområderne. For produktionsvirksomheder illustreres dette også i artiklen Sådan planlægges en roadmap fra DS/EN ISO 9001 til IATF 16949 i en produktionsvirksomhed.

Sådan vurderes teamet uden at skabe en kompetencefiktion

En vurdering af auditteamet giver kun værdi, hvis den undersøger den reelle evne til at formulere relevante konklusioner på grundlag af evidens. De mest misvisende indikatorer er stedfortrædende mål som kursusbevis, lang anciennitet eller et højt antal gennemførte audits. De kan have supplerende værdi, men besvarer ikke spørgsmålet om, hvorvidt auditoren kan skelne mellem tilsyneladende overensstemmelse og effektiv processtyring.

Vurderingen bør derfor ikke begynde med kursuslisten, men med en undersøgelse af, hvordan personen forbereder auditten, udvælger stikprøver, stiller spørgsmål, reagerer på modstridende svar og forsvarer en konklusion med evidens frem for intuition. En gennemgang af erhvervserfaring er utilstrækkelig, hvis den ikke suppleres med observation af en faktisk audit, analyse af tidligere auditregistreringer og en faglig drøftelse af auditorens ræsonnement.

En velfungerende vurdering undersøger ikke kun, om auditoren „fandt en afvigelse”, men også om vedkommende forstår dens operationelle betydning. Der er stor forskel på at påpege en manglende underskrift på en formular og at dokumentere, at utilstrækkelig styring af en ændret procesparameter øger risikoen for reklamationer, driftsstop eller forkerte indkøbsbeslutninger. Praktiske kriterier i en kompetencematrix kan være:

• forberedelse af auditten,
• spørgsmålenes relevans,
• kvaliteten af stikprøveudvælgelsen,
• logikken i auditresultaterne,
• rapportens kvalitet,
• afslutning af auditten med et budskab, som procesejeren kan forstå og handle på.

Interpersonelle kompetencer er særligt vigtige, når de forstås operationelt og ikke som et spørgsmål om fremtoning. En auditor kan kende kravene og alligevel gennemføre samtalen på en måde, der forvrænger billedet af processen: ved for hurtigt at acceptere forklaringer, give efter for ledelsesmæssigt pres, undgå spørgsmål i konfliktfyldte områder eller formulere resultaterne så generelt, at de ikke kan omsættes til handling. Teamvurderingen bør derfor også omfatte modstandsdygtighed over for hierarkisk pres, evidensdisciplin og evnen til at afslutte auditten klart.

For en ny auditor kan et tilstrækkeligt niveau være at gennemføre dele af interviews korrekt og dokumentere evidens pålideligt. En ledende auditor skal kunne mere: skelne mellem symptom og årsag, vurdere risikoens væsentlighed og formulere resultaterne, så de bliver anvendelige for ledelsen. I organisationer, der først er ved at strukturere deres ledelsessystem eller forberede certificering, er det bedre at vurdere den reelle parathed end at foregive fuld modenhed. Denne tilgang illustreres i artiklen Nul-audit før DS/EN ISO 9001 – sådan vurderes organisationens parathed pålideligt uden unødige omkostninger.

Planlæg udviklingen efter kompetencegab – ikke efter kalenderen

En udviklingsplan for interne auditorer giver kun mening, når den bygger på identificerede kompetencegab. Én person kan have behov for en mere struktureret auditmetode: forberedelse, stikprøveudvælgelse, formulering af resultater og afslutning af auditten. En anden kan beherske auditværktøjerne, men have for begrænset forståelse af produktion, indkøb eller vedligehold til at skelne en formel afvigelse fra en operationel risiko. En tredje kan have behov for at styrke årsagsanalyse, rapportering eller gennemførelse af auditsamtaler under pres og uenighed.

Det samme kursus til alle fører som regel kun til flere uddannelsesregistreringer – ikke til bedre auditresultater. Udviklingsplanen bør derfor adskille et fælles grundniveau for hele teamet fra specialiserede forløb for kritiske områder. Det fælles minimum omfatter typisk auditprincipper, vurdering af evidens, konklusionslogik og rapportkvalitet. Derudover bør der etableres særskilte udviklingsforløb for auditorer, der arbejder med områder med høj risiko, såsom arbejdsmiljø, produktion, indkøb, vedligehold og særlige processer.

Her er kendskab til ledelsessystemets krav ikke tilstrækkeligt. Auditoren skal kunne vurdere, om en afvigelse kan påvirke sikkerheden, produktkvaliteten, driftskontinuiteten eller registreringernes overensstemmelse. Organisationen må derfor beslutte, om brede kompetencer skal opbygges i hele teamet, eller om bestemte roller skal specialiseres – og hvor mange personer der reelt har behov for kompetencer på niveau med en ledende auditor.

Mange fejl opstår, når ethvert kompetencegab forsøges lukket med klasseundervisning. En del kompetencer udvikles mere effektivt gennem konkrete audits: som medauditor, ved observation af en erfaren auditor, gennem gennemgang af auditrapporter, analyse af faktiske cases og supervision af de første selvstændige opgaver. Hvis problemet er svag analyse af evidens, vil en workshop baseret på organisationens egne registreringer og auditresultater ofte give større effekt end endnu et oplæg om krav. Hvis auditoren har vanskeligt ved auditsamtalen, er mentoring under en audit mere relevant end yderligere generel undervisning. Udviklingsforløb bør også differentieres i specialområder: En auditor af administrative processer skal ikke udvikles på samme måde som en auditor inden for arbejdsmiljø eller et område som ISO 3834 – styring af svejsning, kompetencer og kvalitetsregistreringer i produktionen.

En god udviklingsplan beskriver ikke kun emne og tidspunkt, men først og fremmest den forventede operationelle effekt. Organisationen bør på forhånd fastlægge, hvilken adfærd der skal ændres, i hvilken audittype ændringen skal kunne ses, og hvordan resultatet skal efterprøves. Målet er ikke deltagelse i kurset, men eksempelvis mere relevante spørgsmål, bedre stikprøveudvælgelse, færre resultater uden ledelsesmæssig værdi, højere rapportkvalitet eller større selvstændighed ved audit af flere lokationer. Standardens retningslinjer er et referencepunkt, men kan ikke erstatte en udviklingsbeslutning baseret på observation af det faktiske arbejde.

Auditprogrammet skal afspejle de reelle kompetencer

Selv en kompetent auditor kan ikke kompensere for grundlæggende fejl i auditprogrammet. Hvis omfanget er for bredt, tidsrammen urealistisk, stikprøverne tilfældige og kritiske processer behandles på samme måde som støtteprocesser, kan resultatet se korrekt ud og samtidig være misvisende for ledelsen. Auditteamet begynder da at arbejde reaktivt: Samtaler afkortes, verificeringen af evidens begrænses, og vurderingen baseres på udsagn frem for processens faktiske funktion.

Auditplanen bør derfor bygges op omkring formål og gennemførelsesevne – ikke blot en årlig kalender. Rutinemæssig overvågning planlægges anderledes end en vurdering af parathed før en væsentlig projektmilepæl, verificering af teknologiske, organisatoriske eller ejermæssige ændringer eller forberedelse til certificering. Det er ikke kun auditteamets niveau, der har betydning, men også adgangen til proceseksperter, sæsonudsving i driften, geografisk spredte lokationer og spørgsmålet om, hvorvidt processen kan vurderes ud fra registreringer eller kræver observation på et bestemt tidspunkt i driftscyklussen.

Den praktiske beslutning handler ikke blot om, hvorvidt alle processer skal auditeres hvert år, men om frekvens og dybde står i forhold til risikoen, processens modenhed og kvaliteten af tidligere resultater. De bedste resultater opnås ofte ved at differentiere auditformerne. En fuld audit er relevant, når sammenhængen mellem hele processtrukturen og styringen skal vurderes. En fokuseret audit er velegnet til at verificere en bestemt ændring, årsagen til reklamationer, områder med gentagne afvigelser eller en proces med forhøjet risiko. En tematisk gennemgang gør det muligt at sammenligne den samme mekanisme på tværs af funktioner eller lokationer – eksempelvis styring af registreringer, leverandørkvalificering eller håndtering af afvigende produkter.

For virksomheder, der forbereder certificering, er det særligt vigtigt ikke at forveksle projektplanen med den faktiske styringsparathed. Her kan den trinvise modenhedslogik i artiklen Sådan forberedes virksomheden til DS/EN ISO 9001-certificering på 90, 180 eller 270 dage – realistiske scenarier være nyttig. Auditprogrammet bør desuden løbende tilpasses på baggrund af den viden, organisationen allerede har: resultater fra tidligere audits, reklamationer, afvigelser, organisatoriske ændringer, procesresultater, arbejdsmiljøhændelser samt beslutninger fra evalueringer og analyser. Hvis ét område vedvarende præsterer svagt, mens en anden proces fungerer stabilt uden væsentlige afvigelser, er identisk auditfrekvens og samme vurderingsdybde ikke velbegrundet.

Hvilke beslutninger bør ledelsen træffe efter vurderingen?

Vurderingen af auditteamets kompetencer skaber først værdi, når den fører til ledelsesmæssige beslutninger og ikke blot til en kursusplan. Ledelsen bør først fastlægge, hvilke processer der kræver auditorer med udvidede kompetencer på grund af risiko, teknologisk kompleksitet, organisatorisk spredning eller betydning for overensstemmelse og driftsresultater. Samtidig skal der skelnes mellem kompetencegab, som organisationen selv kan lukke, og områder, hvor midlertidig ekstern støtte er relevant – eksempelvis ved de første audits i specialiserede områder, ved audit af flere lokationer eller når den interne uafhængighed kun er formel.

Vurderingen bør resultere i en enkel, men entydig model for styring af auditorkompetencer. Organisationen skal udpege en ejer af processen for auditorudvikling, fastsætte minimumskrav til teammedlemmer og ledende auditorer samt definere regler for tildeling, udvidelse og vedligeholdelse af godkendelser. I praksis skal det afgøres, om kompetencematricen indgår i en formel procedure eller anvendes som et operationelt styringsværktøj under den systemansvarlige eller kvalitetslederens ansvar.

Det er lige så vigtigt at fastlægge kriterier for vurdering af auditternes effektivitet efter 6–12 måneder: kvaliteten af resultaterne, konklusionernes relevans, rettidigheden af opfølgende handlinger, gentagelse af afvigelser og resultaternes anvendelighed ved ledelsens evaluering og i operationelle beslutninger. I en organisation, der er ved at implementere et ledelsessystem, bør disse beslutninger kobles til planen for at opnå auditparathed – uden at skabe en kunstig kompetenceprofil alene for at nå certificeringstidspunktet.

Hvis en virksomhed planlægger en intern audit af en produktionsproces efter en større teknologisk ændring, mens teamet kun har generelle auditkompetencer, vil det ofte være mere forsvarligt at kombinere oplæring i processen, deltagelse af en erfaren ledende auditor og en afgrænsning af den første audit til de vigtigste styringsmekanismer. Den samme model kan anvendes i en mindre virksomhed uden en omfattende kvalitetsorganisation, hvis rollerne er tydeligt adskilt, og eksterne kompetencer anvendes bevidst på de områder, hvor det interne team endnu ikke kan levere et pålideligt beslutningsgrundlag.

• hvilke processer der kun bør auditeres med deltagelse af auditorer med specialistkompetencer,
• hvilke kompetencegab der skal lukkes gennem undervisning, mentoring eller praktisk auditarbejde,
• hvornår uafhængig ekstern støtte skal inddrages, og hvordan ansvarsområdet skal afgrænses.

Et veltilrettelagt system for auditorkompetencer styrker ikke kun overensstemmelsen med retningslinjerne for audit. Det forbedrer først og fremmest kvaliteten af ledelsesbeslutninger, forbedringstiltag og risikostyring. Hvis organisationen efter et år gennemfører færre overfladiske audits, differentierer vurderingsdybden bedre og leverer mere anvendelige resultater til ledelsen, er kompetencevurderingen blevet omsat til et reelt element i organisationens styring – ikke blot til endnu en uddannelsesregistrering.