SMETA 2-Pillar и 4-Pillar — как да определите обхвата на одита според риска и изискванията на клиента

Разликата между SMETA 2-Pillar и 4-Pillar не се свежда до броя на въпросите или обема на документацията. Вариантът 2-Pillar е насочен към трудовите стандарти и здравословните и безопасни условия на труд. 4-Pillar обхваща същите области, но добавя екологичните практики и бизнес етиката. Разширяването на одита означава включване на допълнителни процеси, собственици на данни и източници на доказателства. Обхватът трябва да бъде потвърден преди началото на подготовката, защото неправилният избор може да доведе до оценяване на неподходящи области или до установяване на пропуски, за чието отстраняване организацията няма достатъчно време.

Два обхвата, различни управленски решения

SMETA е методология за етичен и социален одит във веригата на доставки, а не стандарт за система за управление или сертификация, сравнима със сертификацията по ISO. Одитът оценява практиките и доказателствата за конкретен обект: условията на труд, организацията на работата, техническите мерки за защита, оперативните записи и реалното прилагане на въведените правила. Наличието на политика или процедура само по себе си не определя резултата, а положителният резултат не означава издаване на сертификат.

По-широкият одит не е автоматично по-добрият избор. Решаващи са изискванията на клиента, собственика на програмата за доставчици или договорните условия. Клиентът може да изисква 4-Pillar дори за обект с ограничен екологичен риск, ако прилага единни критерии към цялата група доставчици. Преди подготовката трябва да бъдат потвърдени приложимата към датата на одита версия на методологията, изискваният вариант и начинът за администриране на одита в платформата Sedex.

Даден обект може да поддържа добре организирани трудови досиета, отчетност на работното време и контрол по ЗБУТ, но да не разполага с последователни доказателства за отпадъците, използването на ресурси, конфликтите на интереси или сигнализирането за нередности. Ако подготовката се води само от човешки ресурси и ЗБУТ, тя ще покрие единствено част от изискванията на 4-Pillar. Разширяването на обхвата изисква участие на допълнителни собственици на процеси и проверка на реалната практика, а не добавяне на две нови глави към съществуваща процедура.

Необходимо е да се определят и обектите, видовете дейности, броят на работниците и формите на заетост, включени в оценката, включително временната заетост и подизпълнението, когато са приложими. Обхватът следва да се извлече от поръчката, договора или клиентския портал, вместо да се определя въз основа на вътрешни допускания. Това е особено важно, когато SMETA изпълнява ролята на клиентски одит. По-широкият организационен контекст е представен в материала Как да подготвите организацията за одит от втора страна при ключов доставчик?

Какво проверява 2-Pillar

Обхватът на 2-Pillar включва трудовите стандарти и здравословните и безопасни условия на труд, но не се ограничава до преглед на вътрешни правила, процедури и трудови досиета. В областта на заетостта одиторът проверява законосъобразността и доброволния характер на труда, работното време, възнагражденията, равното третиране, свободата на сдружаване, забраната на детския труд и недопустимите дисциплинарни практики. От значение е реалната организация на труда: кой изпълнява задачите, на какво основание, в какви часове и по какви правила получава възнаграждение.

За обект в България специално внимание изискват отчетността на работното време, извънредният труд и периодите за почивка, удръжките от възнагражденията, отпуските, различните договорни основания за полагане на труд, временната заетост и законността на работата на чужденци. Данните от човешки ресурси, ведомостите за заплати и производствените записи трябва да показват една и съща фактическа картина. Ако системата за достъп, сменният график или производствените данни показват присъствие на работник, което не е отразено в отчетността на работното време, формалната изрядност на документацията не отстранява риска. Затова трябва да бъде определен собственик на данните за персонала и възнагражденията, както и правила за получаване на информация от предприятията, осигуряващи временна работа, и други доставчици на персонал.

Стълбът ЗБУТ обхваща организацията на контрола и условията, които могат да бъдат наблюдавани на работните места. Проверяват се, наред с другото, актуалността и адекватността на оценките на риска, обезопасяването на машините, използването на лични предпазни средства, свободният достъп до евакуационните маршрути, пожарната безопасност, първата помощ, обученията и реакцията при трудови злополуки и потенциално опасни събития. Проверяват се и записите от контрола на защитните мерки и отстраняването на неизправности. Документация, която описва ефективен контрол, губи достоверност, ако по време на обхода одиторът установи заобикаляне на предпазни устройства, блокиран изход или неизползване на задължителни предпазни средства.

Одиторът избира извадки от документи и ги съпоставя с наблюденията на място и изявленията на работниците. Данните за работното време, възнагражденията, отпуските и почивките могат да бъдат сравнени със записите за достъп, сменните графици или оперативните данни, а регистрите за обучения и проверки — с практиката на работното място. Несъответствието между източниците е съществен сигнал за риск, особено ако се повтаря или засяга временно наети лица, чужденци или работещи чрез посредник. Преди одита трябва да бъдат определени и правилата за достъп на одитора до документацията и работниците, като се отчетат поверителността и защитата на данните.

Подготовката за 2-Pillar не може да бъде възложена единствено на представителя по качеството. Тя изисква взаимодействие между човешки ресурси, работни заплати, ЗБУТ, производство, техническа поддръжка, физическа охрана, предприятията, осигуряващи временна работа, и другите страни, насочващи хора към обекта. Собствениците на процеси трябва да съгласуват структурата на заетостта според договорното основание и посредника, отговорността за пълнотата на данните и начина за изясняване на разминаванията. Подобна координация е необходима и когато организацията разглежда Как да подготвите екипа за клиентски одит, когато се изискват APQP, PPAP и анализ на първопричините.

Какво добавя 4-Pillar

Вариантът 4-Pillar разширява одита с две самостоятелни области: управление на околната среда и бизнес етика. Това не са допълнителни въпроси, отправяни само към представителя на системата, а области, които изискват участие на нови собственици на процеси и достъп до различни източници на доказателства. Подготовката трябва да отчита профила на дейността, изискванията на клиента и реалното разпределение на отговорностите, вместо механично да разширява списъка с документи за 2-Pillar.

Екологичният стълб обхваща начина, по който организацията идентифицира приложимите изисквания и контролира въздействието на обекта върху околната среда. В зависимост от вида дейност оценката може да включва потреблението на енергия, вода и други ресурси, управлението на отпадъците, емисиите, отпадъчните води, химичните вещества и реакцията при разливи и други екологични инциденти. Отправна точка следва да бъде регистърът на изискванията, приложими към конкретния обект, включително решения, разрешителни, уведомления, измервания и задължения за докладване.

Наличието на документи все още не доказва съответствие. Обектът трябва да демонстрира контрол върху условията в решенията и разрешителните, сроковете, отговорностите, резултатите от измерванията и действията при установено отклонение. Одиторът може да съпостави условията в съответния документ с отчетността на отпадъците, резултатите от измерванията или данните за потреблението на ресурси и да провери кой анализира превишенията и необичайните промени. Внедрената система за управление на околната среда може да структурира този контрол, но не замества доказателствата за неговото ефективно функциониране.

Стълбът на бизнес етиката също не приключва с кодекса за поведение. Той включва механизми за предотвратяване на корупция, конфликти на интереси, злоупотреби и ответни действия, както и канали за подаване на сигнали, провеждане на вътрешни проверки и осведоменост на служителите. Действието на тези механизми може да бъде доказано чрез статуса на сигналите, обученията, декларациите за конфликт на интереси и документираните действия по проверките, представени при спазване на поверителността. Канал за сигнали, който съществува само формално, без собственик на процеса, правила за класифициране на случаите и защита на подателите, представлява слабо доказателство.

Основата на оценката са приложимите нормативни изисквания и условията за извършване на дейността в конкретния обект, но одитът може да отчита и очакванията на клиента и ефективността на вътрешните механизми. Затова подготовката за 4-Pillar изисква участие на отговорните лица за околна среда, снабдяване, финанси, продажби, съответствие, обработване на сигнали и вътрешни проверки, както и на ръководството, което решава конфликтни ситуации. Трябва да бъдат определени собственик на регистъра на екологичните изисквания и собственик на процеса за подаване и разглеждане на сигнали, заедно с техните правомощия, правилата за поверителност и реда за ескалация.

Къде нарастват разходите и рискът

Необходимите усилия за подготовка за SMETA не нарастват пропорционално на броя на стълбовете или въпросите. Най-съществени разходи възникват, когато данните са разпределени между различни звена, отговорността е неясна, а практиката в обекта се различава от процедурите. Преди избора на одитор трябва да се оцени не само обемът на документацията, но и броят на процесите и техните собственици, пълнотата и съгласуваността на записите в избраните извадки и времето за отстраняване на причините за несъответствията.

4-Pillar увеличава броя на зависимостите между човешки ресурси, производство, ЗБУТ, околна среда, снабдяване, финанси и функцията по съответствие. Възлагането на цялата подготовка на отдела по качество обикновено води до забавяне или до представяне на формално пълни доказателства, които не потвърждават реалното функциониране на въведените механизми.

Оценката на пропуските трябва да разграничава липсите, които могат да бъдат отстранени чрез изясняване на отговорностите и записите, от проблемите, изискващи промяна в организацията на труда или инфраструктурата. Най-сложни са системният извънреден труд, породен от планирането на производствения капацитет, несъответствията във възнагражденията, неподходящото обезопасяване на машините, пропуските в пожарната безопасност, неправилното управление на вещества и неспазването на условията в екологичните решения и разрешителни. Такива проблеми не се решават с добавяне на процедура или еднократно обучение.

Ръководството следва да реши кои пропуски трябва да бъдат отстранени преди одита поради риска за хората, нормативното съответствие или изискванията на клиента и кои — ако характерът на изискването и позицията на клиента го позволяват — могат да бъдат включени в надежден план за действие със срок, отговорник и осигурено финансиране.

Типичният проблем не е липсата на документи, а целостта и съгласуваността на одитните данни. Обектът може да разполага с пълен комплект процедури за работното време, докато производственият график и записът за пускане на линията показват работа, която не е отчетена. В екологичната област аналогичен сигнал е разминаването между регистъра на образуваните отпадъци, наличностите на площадката и документацията за предаването им. Одиторът оценява дали реалното протичане на процеса може да бъде проследено, а не дали регистърът изглежда добре. Отстраняването на несъответствието изисква анализ на източниците на данни, съгласуване на записите между системите и премахване на механизма, който поражда разминаванията.

Бюджетът за подготовка е целесъобразно да бъде разделен на оценка на пропуските, организационни действия, технически подобрения, обучения, допълване на записите и резерв за коригиращи действия след одита. Няма основание да се приема единна цена за 2-Pillar или 4-Pillar: техническите разходи зависят от състоянието на обекта и процесите, а организационните — от зрелостта на контрола. Практични показатели са делът на пълните и взаимно съгласувани записи в извадката, времето, през което отклоненията остават нерешени, и броят на процесите без еднозначно определен собственик. Подобна логика за разпределяне на разходите е описана в материала Колко струва внедряването на NIS2 и uKSC — как да изградите бюджет за одит, документация, обучения и мерки за защита без скъпоструващи грешки. При SMETA тази логика трябва да се приложи към реалните пропуски в трудовите отношения, ЗБУТ, екологичните практики и бизнес етиката на обекта.

Как да определите обхвата и подготовката

Определянето на обхвата трябва да започне с еднозначно потвърждение на целта на одита, получателя на резултатите, оценяваните обекти и варианта 2-Pillar или 4-Pillar. Необходимо е да се установят и приложимата версия на методологията, допълнителните изисквания на клиента и правилата за предоставяне на резултатите. Едва след това могат да бъдат определени координаторът на подготовката, собствениците на отделните области и критериите за готовност.

Ако клиентът изисква 4-Pillar, вътрешната преценка, че екологичните или етичните рискове са ниски, не е основание за ограничаване на обхвата. Когато клиентът оставя избора на доставчика, решението следва да отчита профила на дейността и действителния капацитет на организацията за контрол.

След това изискванията трябва да бъдат свързани с процесите, обектите, източниците на данни и отговорните лица. Матрицата може да класифицира всяко изискване като изпълнено, частично изпълнено, неизпълнено или неприложимо, като последният статус изисква обективна обосновка. Оценката на пропуските не бива да се ограничава до формуляр за самооценка. Тя трябва да съчетава преглед на документи и записи с наблюдение на място и разговори с работниците и собствениците на процеси. Така може да се разграничи липсата на отделно доказателство от неефективния контрол или практика, противоречаща на приетите правила.

Пробният преглед трябва да възпроизвежда логиката на същинския одит. За избран работник следва да се проследи съгласуваността между договора, отчетността на работното време, графика, ведомостта и доказателството за плащане, след което да се проверят условията на неговото работно място. При 4-Pillar по аналогичен начин конкретен екологичен аспект или етичен риск трябва да бъде свързан с отговорността, начина на контрол и записа, доказващ изпълнението. Съответствието между документите, наблюденията и разговорите е по-показателно от самата пълнота на процедурите.

Подготвителните действия трябва да се приоритизират според значимостта на риска, причината за проблема и практическата изпълнимост. Всяко действие следва да има срок, собственик и определено доказателство за изпълнение. Документ, създаден единствено за одита, не замества внедряването или записите от периода на реално прилагане. Времето между оценката на пропуските и одита трябва да съответства на характера на промените: корекцията на отговорностите изисква различен ресурс от преустройството на защитни съоръжения, промяната в организацията на работното време или въвеждането на екологичен контрол.

Действията и доказателствата трябва да бъдат одобрени от собственика на процеса, а по въпроси със съществено отражение върху риска, ресурсите или нормативното съответствие — и от съответния член на ръководството. Полезна отправна точка е Подготовка за ISO одит: ръководство стъпка по стъпка, но подготовката за SMETA не трябва да се управлява като проект за сертификация на система за управление.

Преди одита екипът трябва да упражни достъпа до данните, отговорите на собствениците на процеси, организацията на посещението в обекта и условията за провеждане на поверителни разговори с работниците. Критерият за готовност не бива да бъде „документацията е пълна“, а „изискването се прилага, отговорното лице може да обясни начина на контрол, а записите и наблюдението потвърждават една и съща практика“. Като помощен материал може да се използва „Как да подготвите организацията за одит от втора страна при ключов доставчик?“, особено при определяне на отговорностите за протичането на посещението и предоставянето на доказателства.

Обхватът трябва да съответства на изискването и риска

Вариантът 2-Pillar е подходящ, когато отговаря на изискването на получателя и целта на оценката. Това не означава, че екологичните задължения или принципите за етично водене на бизнеса престават да се прилагат към организацията. Те остават предмет на отделен контрол, произтичащ от нормативните изисквания, договорните ангажименти и вътрешните правила. 4-Pillar дава по-широка картина на риска при доставчика, но изисква реално участие на процесите по околна среда, снабдяване, финанси и противодействие на злоупотребите.

Преди възлагането на одита ръководството трябва да одобри варианта, оценявания обект, собствениците на процеси, бюджета за технически действия, правилата за ескалация и начина за проследяване на действията след одита. Решението следва да се основава на три предпоставки:

• изискванията на клиента или програмата за управление на доставчиците,
• профила на оперативния риск на обекта,
• способността на организацията да докаже ефективен контрол.

Като помощен инструмент за структуриране на контекста може да се използва Какво представлява SWOT анализът?, но той не замества оценката на риска или прегледа на доказателствата.

Ако обектът избере 4-Pillar, въпреки че до момента не е определил отговорност за екологичните аспекти или риска от корупция в снабдяването, по-широкият одит не създава проблема, а разкрива съществуващ пропуск в контрола. Тогава ръководството трябва да реши кои пропуски изискват действия преди одита, кои могат да бъдат включени в план за коригиращи действия и за кои е необходимо формално приемане на остатъчния риск. Решенията трябва да бъдат свързани с прегледа от ръководството и съществуващите системи за управление, вместо да се поддържат в отделен регистър без определени собственици.

Докладът от SMETA представя съответствието и практиката на определено място и в определен момент; той не е сертификат. Стойността му зависи от качеството на доказателствата, отстраняването на причините за несъответствията и устойчивостта на промените. Готовността между одитите е целесъобразно да се оценява чрез броя на отворените действия според тяхната значимост и срок, дела на действията с проверена ефективност и повторяемостта на констатациите при следващи оценки. Формалното приключване на задача все още не доказва, че рискът е овладян.