Internrevisorns kompetens enligt ISO 19011:2026 – så bedömer ni teamet och planerar rätt utbildning

Bedömningen av en internrevisors kompetens bör inte börja med frågan om genomförda utbildningar, utan med kvaliteten på de slutsatser som organisationen ska basera sina beslut på. Om revisionen ska bekräfta att processerna verkligen styrs effektivt måste revisionsteamet kunna identifiera risker, värdera revisionsbevis och skilja formell överensstämmelse från hur processen faktiskt fungerar. Annars blir revisionen en administrativ övning som ordnar dokumentationen, men inte skyddar organisationen mot felaktiga bedömningar av beredskap, svaga korrigerande åtgärder eller en falsk känsla av kontroll.

Ur ledningens, kvalitetsansvarigas och den operativa chefens perspektiv är detta varken en ren personalfråga eller enbart ett krav i ledningssystemet. Det handlar om styrning av operativa risker, tillförlitlig ledningsinformation och kvaliteten i de beslut som fattas efter revisionen. Bedömningen av teamet och planeringen av kompetensutvecklingen bör därför utgå från processerna, riskerna och revisionens syfte – inte från utbildningskalendern eller behovet av att formellt avsluta en implementeringsfas.

En innehållsmässigt svag revision kan kosta mer än ingen revision alls

Den största kostnaden för en svag internrevision uppstår sällan på revisionsdagen eller när rapporten skrivs. Den visar sig senare, när organisationen agerar utifrån en bild som förefaller tillförlitlig men inte speglar processens verkliga tillstånd. Följden kan bli felprioriteringar, förbisedda avvikelser, verkningslösa korrigerande åtgärder och en uppfattning om att processen är under kontroll trots att den inte är det i praktiken.

Bedömningen av revisorernas kompetens är därför inte en formalitet. Den ska visa om organisationen har ett team som på ett trovärdigt sätt kan bedöma det som påverkar processresultat, överensstämmelse och kund. Många verksamheter använder fortfarande indirekta mått: deltagande i utbildning, antal tjänsteår, genomförda revisioner eller korrekt ifyllda checklistor. Sådana uppgifter kan vara stödjande, men ingen av dem visar i sig om revisorn förstår processen, kan identifiera risker och grundar sina slutsatser på revisionsbevis.

Problemet blir särskilt tydligt i organisationer som inför ett ledningssystem eller förbereder sig för certifiering. Internrevisionen behandlas då ibland som en projektaktivitet som ska bockas av, i stället för ett verktyg för att bedöma faktisk revisions- och certifieringsberedskap. Teamet kan bekräfta att dokumentationen stämmer, men ändå missa brister i processtyrningen, skillnader mellan verksamhetsställen, ineffektiva kontrollmekanismer eller luckor i hur utförare och processägare tillämpar kraven. En sådan revision kan se korrekt ut utan att varna för problem som först upptäcks vid extern revision, kundreklamation eller en operativ störning.

Kompetensbedömningen behöver därför utformas lika medvetet som revisionsprogrammet: utifrån revisionens mål, processernas komplexitet, riskprofilen och den kvalitet som förväntas i slutsatserna. I detta sammanhang bör både artikeln ”Förändringar i standarden för revision – nya ISO 19011:2026 och dess betydelse för organisationer i Polen” och vägledningen ISO 19011: Vägledning för revision av ledningssystem läsas som referenser för att bygga en mogen styrning, inte bara som samlingar av formella anvisningar.

Börja med riskprofilen – definiera sedan revisorsprofilen

Internrevisorns kompetens kan inte definieras utan hänsyn till de processer som ska granskas. Utgångspunkten bör vara organisationens riskprofil. En enkel dokumenthanteringsprocess ställer andra krav än produktion, kritiska inköp, svetsning, underhåll eller arbetsmiljö. Om revisionens mål är att bedöma om processtyrningen är effektiv – och inte enbart om dokumenterade uppgifter överensstämmer med kraven – måste revisorsprofilen spegla processens karaktär, den operativa variationen, konsekvenserna av fel och den typ av ledningsbeslut som ska baseras på revisionsresultaten.

I praktiken innebär detta att organisationen bör lämna tanken på en enda generell utbildningsmodell. Revisionsteamet ska sättas samman utifrån verksamhetens faktiska behov, inte utifrån antagandet att varje revisor ska kunna granska allt. Bedömningen bör omfatta minst fyra områden: kunskap om revisionskriterierna, processförståelse, förmåga att samla in och värdera revisionsbevis samt ett professionellt förhållningssätt. Det senare omfattar bland annat opartiskhet, disciplin i slutsatsdragningen och förmåga att stå emot otillbörlig påverkan från processägaren.

Ett vanligt misstag är att bygga teamet enbart med personer som ”kan systemet”. Dessa medarbetare är ofta väl förtrogna med rutiner, blanketter och dokumentationskrav, men kan ändå ha svårt att bedöma om styrningen fungerar under verkliga driftsförhållanden. Revisionen bekräftar då att dokumenterade uppgifter finns, men upptäcker inte svagheter i styrningen, skillnader mellan skift, personberoenden eller risker som ligger dolda i inköp, planering och underhåll av utrustning. I specialistmiljöer blir problemet ännu tydligare. Vid svetsande tillverkning behöver revisorn förstå både systemkraven, de tekniska kraven, kvalitetsdokumentationen och styrningen av den särskilda processen. Därför är även ISO 3834 – styrning av svetsning, kompetens och kvalitetsdokumentation i produktionen en relevant referens.

Ur ett ledningsperspektiv innebär detta att organisationen behöver en gemensam kompetensmatris för revisionsteamet och, där det behövs, separata profiler för kritiska områden. I organisationer med flera verksamhetsställen eller med en utveckling mot branschspecifika krav förändras revisorsprofilen i takt med ledningssystemets mognad och omfattningen av den bedömning som förväntas. Samma sak gäller en processexpert utan revisionsutbildning. Personen kan vara mycket värdefull i teamet, men utan revisionsdisciplin och opartiskhet finns en risk att granskningen av revisionsbevis övergår i ett försvar av egna lösningar. Utvecklingsplanen bör därför utgå från processkartan, processägarna, revisionskriterierna och högriskområdena. För tillverkande företag illustreras detta även i artikeln Så planerar ni vägen från SS-EN ISO 9001 till IATF 16949 i ett tillverkande företag.

Så bedömer ni teamet utan att skapa en kompetensfasad

En bedömning av revisionsteamet är meningsfull endast om den avser teamets faktiska förmåga att dra välgrundade slutsatser från revisionsbevis. De mest missvisande indikatorerna är indirekta mått som kursintyg, lång anställningstid eller ett stort antal genomförda revisioner. De kan ge stöd i bedömningen, men besvarar inte frågan om revisorn kan skilja mellan skenbar överensstämmelse och effektiv processtyrning.

Bedömningen bör därför inte börja med en lista över utbildningar. Granska i stället hur personen planerar revisionen, väljer stickprov, formulerar frågor, hanterar motstridiga svar och underbygger en slutsats med revisionsbevis i stället för intuition. En genomgång av yrkeserfarenheten är för begränsad om den inte kombineras med observation under en faktisk revision, analys av tidigare revisionsdokumentation och ett strukturerat samtal om hur slutsatserna har dragits.

En väl utformad bedömning kontrollerar inte bara om revisorn ”hittade en avvikelse”, utan även om personen förstår dess operativa betydelse. Det är skillnad mellan att notera en saknad underskrift på en blankett och att kunna visa att bristande styrning av en ändrad processparameter ökar risken för reklamationer, driftstopp eller felaktiga inköpsbeslut. Praktiska kriterier i en kompetensmatris är vanligtvis:

• förberedelse inför revisionen,
• frågornas relevans,
• kvaliteten på stickprovsurvalet,
• logiken bakom iakttagelser och slutsatser,
• rapportens kvalitet,
• förmågan att avsluta revisionen med ett tydligt och användbart budskap till processägaren.

De mellanmänskliga färdigheterna är särskilt viktiga när de bedöms utifrån praktisk funktion och inte yttre framtoning. En revisor kan känna till kraven men ändå föra samtalet på ett sätt som ger en missvisande bild av processen: acceptera förklaringar för snabbt, ge efter för påtryckningar från chefer, undvika frågor i konfliktfyllda områden eller formulera iakttagelser så allmänt att de inte går att omsätta i åtgärder. Bedömningen bör därför omfatta förmågan att hantera hierarkisk press, hålla fast vid revisionsbevisen och avsluta revisionen tydligt.

För en ny revisor kan en tillräcklig nivå vara att leda en del av intervjun korrekt och dokumentera revisionsbevis på ett tillförlitligt sätt. Av en revisionsledare bör mer krävas: förmåga att skilja symptom från bakomliggande orsaker, bedöma riskens betydelse och formulera resultat som ger ledningen ett användbart beslutsunderlag. Organisationer som håller på att strukturera sitt ledningssystem eller förbereda sig för certifiering bör bedöma faktisk beredskap i stället för att skapa en bild av full mognad. Detta synsätt illustreras i artikeln Nulägesrevision inför SS-EN ISO 9001 – så bedömer ni organisationens beredskap utan onödiga kostnader.

Planera utbildning utifrån kompetensgap – inte kalendern

En utvecklingsplan för internrevisorer skapar värde först när den bygger på identifierade kompetensgap. En person kan behöva stärka revisionsmetodiken: planering, stickprov, formulering av iakttagelser och avslutning av revisionen. En annan kan behärska själva revisionstekniken men ha för svag förståelse för produktion, inköp eller underhåll för att kunna skilja en formell avvikelse från en operativ risk. En tredje kan behöva utveckla orsaksanalys, rapportering eller förmågan att genomföra revisionsintervjuer under press eller vid oenighet.

Samma utbildning för alla leder ofta bara till fler utbildningsregister, utan att kvaliteten på revisionsresultaten förbättras. Utvecklingsplanen bör därför skilja mellan en gemensam grund för hela teamet och specialistspår för kritiska områden. Den gemensamma grunden omfattar vanligtvis revisionsprinciper, värdering av revisionsbevis, logisk slutsatsdragning och rapportkvalitet. Separata utvecklingsinsatser bör övervägas för revisorer inom områden med hög riskbetydelse, exempelvis arbetsmiljö, produktion, inköp, underhåll eller särskilda processer.

I sådana miljöer räcker det inte att känna till kraven i ledningssystemet. Revisorn måste kunna bedöma om en avvikelse kan påverka säkerhet, produktkvalitet, driftskontinuitet eller de dokumenterade uppgifternas tillförlitlighet. Organisationen behöver därför besluta om bred kompetens ska byggas i hela teamet eller om särskilda roller ska specialiseras – och hur många personer som faktiskt behöver kompetens på nivån revisionsledare.

Många fel uppstår när varje kompetensgap ska åtgärdas med klassrumsutbildning. En del färdigheter utvecklas bättre i verkliga revisioner: genom samrevision, observation av en erfaren revisor, granskning av revisionsrapporter, analys av faktiska fall och handledning under de första självständiga uppdragen. Om problemet är svag analys av revisionsbevis ger en workshop med organisationens egna dokument och iakttagelser ofta bättre effekt än ännu en föreläsning om standardkrav. Om revisorn har svårt med intervjuteknik är mentorskap under revisionen ofta mer ändamålsenligt än en generell utbildning. Specialistområden kräver också olika utvecklingsvägar. En revisor för administrativa processer, en arbetsmiljörevisor och en revisor inom frågor som ISO 3834 – styrning av svetsning, kompetens och kvalitetsdokumentation i produktionen – behöver inte samma utbildningsprofil.

En bra utvecklingsplan beskriver inte bara ämne och datum, utan framför allt den förväntade operativa effekten. Organisationen bör i förväg definiera vilket beteende som ska förändras, i vilken typ av revision och hur effekten ska verifieras. Måttet är inte enbart närvaro på utbildningen, utan exempelvis mer relevanta frågor, bättre stickprov, färre iakttagelser utan ledningsmässigt värde, högre rapportkvalitet eller ökad självständighet vid revision av flera verksamhetsställen. Standardens vägledning är en referens, men ersätter inte utvecklingsbeslut som baseras på observation av det faktiska arbetet.

Revisionsprogrammet måste motsvara den faktiska kompetensen

Inte ens en väl förberedd revisor kan kompensera för fel i revisionsprogrammet. Om omfattningen är för bred, tiden orealistisk, stickproven slumpmässiga och kritiska processer behandlas på samma sätt som stödprocesser kan resultatet se korrekt ut men ändå vilseleda ledningen. Revisionsteamet börjar då arbeta reaktivt: intervjuer kortas, verifieringen av revisionsbevis begränsas och bedömningen baseras på uttalanden i stället för på hur processen fungerar.

Revisionsprogrammet bör därför utgå från syfte och genomförandekapacitet, inte från en statisk årskalender. Löpande övervakning planeras på ett annat sätt än en beredskapsbedömning inför en viktig projektfas, verifiering efter tekniska, organisatoriska eller ägarrelaterade förändringar eller förberedelse inför certifiering. Hänsyn behöver tas både till revisionsteamets kompetens, tillgången till processexperter, verksamhetens säsongsvariationer, geografisk spridning och om processen kan bedömas genom dokumenterade uppgifter eller kräver observation vid en bestämd tidpunkt i driftcykeln.

Frågan är i praktiken inte om alla processer ska revideras varje år, utan om frekvens och revisionsdjup står i proportion till risk, processmognad och kvaliteten på tidigare resultat. Bäst effekt nås ofta genom att variera revisionsformen. En fullständig revision är motiverad när samspelet mellan hela processystemet och dess styrning behöver bedömas. En riktad revision passar bättre vid verifiering av en viss förändring, orsaken till reklamationer, återkommande avvikelser eller en process med förhöjd risk. En tematisk granskning gör det möjligt att jämföra samma kontrollmekanism mellan flera funktioner eller verksamhetsställen, till exempel styrning av dokumenterade uppgifter, leverantörskvalificering eller hantering av avvikande produkter.

För organisationer som förbereder sig för certifiering är det särskilt viktigt att inte förväxla projektets tidsplan med faktisk revisionsberedskap. Etappindelningen i artikeln Så förbereder ni verksamheten för SS-EN ISO 9001-certifiering på 90, 180 eller 270 dagar – realistiska scenarier kan vara ett stöd. Revisionsprogrammet bör också regelbundet justeras utifrån det organisationen redan vet: tidigare revisionsresultat, reklamationer, avvikelser, organisatoriska förändringar, processresultat, arbetsmiljöincidenter samt beslut från ledningens genomgång och andra analyser. Om ett område fortsätter att prestera svagt medan en annan process är stabil utan betydande avvikelser finns det normalt inget skäl att behålla exakt samma revisionsfrekvens och granskningsdjup.

Vilka beslut bör ledningen fatta efter bedömningen?

Bedömningen av revisionsteamets kompetens skapar värde först när den leder till ledningsbeslut – inte enbart till en utbildningsplan. Ledningen bör framför allt avgöra vilka processer som kräver revisorer med fördjupad kompetens på grund av risknivå, teknisk komplexitet, organisatorisk spridning eller betydelse för överensstämmelse och operativa resultat. Samtidigt behöver organisationen skilja mellan kompetensgap som kan hanteras internt och sådana som motiverar tillfälligt externt stöd, exempelvis vid de första revisionerna inom specialistområden, vid revision av flera verksamhetsställen eller när intern oberoende ställning endast skulle vara skenbar.

Bedömningen bör mynna ut i en enkel men tydlig modell för styrning av revisorskompetens. Organisationen behöver utse en processägare för revisorernas utveckling, definiera minimikrav för teammedlemmar och revisionsledare samt fastställa hur befogenheter tilldelas, utökas och upprätthålls. I praktiken behöver ledningen besluta om kompetensmatrisen ska ingå i en formell rutin eller användas som ett operativt styrverktyg under ansvar av den kvalitets- eller systemansvariga funktionen.

Det är lika viktigt att fastställa kriterier för att utvärdera revisionernas effektivitet efter 6–12 månader: kvaliteten på iakttagelserna, slutsatsernas relevans, ledtiden för åtgärder efter revisionen, återkommande avvikelser samt resultatens användbarhet för ledningens genomgång och operativa beslut. I en organisation som inför ett ledningssystem behöver dessa beslut kopplas till planen för att uppnå revisionsberedskap, utan att skapa en konstlad kompetensbild inför certifieringsdatumet.

Om ett företag planerar en internrevision av en produktionsprocess efter en större teknisk förändring, men teamet endast har generell revisionskompetens, är det ofta mer ändamålsenligt att kombinera arbetsplatsnära utbildning, medverkan av en erfaren revisionsledare och en avgränsning av den första revisionen till de viktigaste styrmekanismerna. Samma modell kan användas i ett mindre företag utan en omfattande kvalitetsorganisation, förutsatt att rollerna är tydligt åtskilda och att extern kompetens används medvetet när det interna teamet ännu inte kan ge ett tillräckligt tillförlitligt beslutsunderlag.

• vilka processer som endast bör revideras med medverkan av revisorer med specialistkompetens,
• vilka kompetensgap som ska hanteras genom utbildning, mentorskap eller praktisk revisionserfarenhet,
• när oberoende externt stöd ska anlitas och vilket ansvar uppdraget ska omfatta.

Ett väl utformat system för revisorskompetens stärker inte bara överensstämmelsen med vägledningen för revision. Framför allt förbättrar det kvaliteten i ledningsbeslut, förbättringsarbete och riskstyrning. Om organisationen efter ett år ser färre skenrevisioner, bättre anpassning av revisionsdjupet och mer användbara resultat för ledningen, har kompetensbedömningen blivit en verklig del av verksamhetsstyrningen – inte bara ett dokument i utbildningsregistret.