SMETA 2-Pillar i 4-Pillar — jak dobrać zakres audytu do ryzyka i wymagań klienta

Różnica między SMETA 2-Pillar a 4-Pillar nie sprowadza się do liczby pytań ani objętości dokumentacji. Wariant 2-Pillar koncentruje się na standardach pracy oraz bezpieczeństwie i higienie pracy. Wariant 4-Pillar obejmuje ten sam zakres, a dodatkowo praktyki środowiskowe i etykę biznesową. Rozszerzenie audytu oznacza zatem włączenie kolejnych procesów, właścicieli danych i źródeł dowodów. Zakres należy potwierdzić przed rozpoczęciem przygotowań, ponieważ błędny wybór prowadzi do oceny niewłaściwych obszarów albo ujawnienia luk, których organizacja nie zdąży usunąć.

Dwa zakresy, różne decyzje

SMETA jest metodyką audytu etycznego i społecznego w łańcuchu dostaw, a nie normą systemu zarządzania ani certyfikacją porównywalną z certyfikacją ISO. Audyt służy ocenie praktyk i dowodów dotyczących konkretnego zakładu: warunków zatrudnienia, organizacji pracy, zabezpieczeń technicznych, zapisów operacyjnych oraz rzeczywistego stosowania przyjętych zasad. Samo posiadanie polityki lub procedury nie przesądza o wyniku, a pozytywny rezultat nie oznacza uzyskania certyfikatu.

Szerszy audyt nie jest automatycznie lepszym wyborem. Rozstrzygające pozostają wymagania klienta, właściciela programu dostawców lub postanowienia umowne. Klient może wymagać 4-Pillar również od zakładu o niewielkim ryzyku środowiskowym, jeżeli stosuje jednolite kryteria wobec całej grupy dostawców. Przed rozpoczęciem przygotowań trzeba więc potwierdzić obowiązującą w terminie audytu wersję metodyki, wymagany wariant oraz sposób obsługi audytu na platformie Sedex.

Zakład może mieć uporządkowane akta pracownicze, ewidencję czasu pracy i nadzór BHP, a jednocześnie nie dysponować spójnymi dowodami dotyczącymi odpadów, zużycia zasobów, konfliktów interesów lub zgłaszania nieprawidłowości. Przygotowanie prowadzone wyłącznie przez kadry i służbę BHP obejmie wówczas tylko część wymagań 4-Pillar. Rozszerzenie zakresu wymaga włączenia kolejnych właścicieli procesów oraz sprawdzenia praktyki, a nie dopisania dwóch rozdziałów do procedury.

Trzeba również ustalić lokalizacje, rodzaje działalności, liczbę pracowników i formy zatrudnienia objęte oceną, w tym pracę tymczasową i podwykonawstwo, jeżeli występują. Zakres należy odczytać z zamówienia, umowy albo portalu klienta, zamiast określać go na podstawie własnych założeń. Ma to szczególne znaczenie, gdy SMETA pełni funkcję audytu klientowskiego. Szerszy kontekst organizacyjny przedstawia materiał Jak przygotować firmę do audytu drugiej strony u kluczowego dostawcy?

Co sprawdza 2-Pillar

Zakres 2-Pillar obejmuje standardy pracy oraz bezpieczeństwo i higienę pracy, lecz nie ogranicza się do przeglądu regulaminów, procedur i akt osobowych. W obszarze zatrudnienia audytor bada legalność i dobrowolność pracy, czas pracy, wynagrodzenia, równe traktowanie, swobodę zrzeszania się, zakaz pracy dzieci oraz niedopuszczalnych praktyk dyscyplinarnych. Znaczenie ma rzeczywista organizacja pracy: kto wykonuje zadania, na jakiej podstawie, w jakich godzinach i według jakich zasad otrzymuje wynagrodzenie.

W polskim zakładzie szczególnego sprawdzenia wymagają ewidencja czasu pracy, nadgodziny i okresy odpoczynku, potrącenia z wynagrodzeń, urlopy, umowy cywilnoprawne, zatrudnienie tymczasowe oraz legalność pracy cudzoziemców. Dane kadrowe, płacowe i produkcyjne powinny przedstawiać ten sam przebieg pracy. Jeżeli rejestr wejść, harmonogram zmiany albo wykonanie produkcji wskazują obecność pracownika, której nie odzwierciedla ewidencja czasu pracy, formalna poprawność dokumentu kadrowego nie usuwa ryzyka. Należy zatem wskazać właściciela danych kadrowo-płacowych i ustalić zasady pozyskiwania informacji od agencji pracy oraz innych podmiotów zapewniających personel.

Filar BHP obejmuje organizację nadzoru i warunki widoczne na stanowiskach. Ocenie podlegają między innymi aktualność i adekwatność ocen ryzyka zawodowego, zabezpieczenia maszyn, stosowanie środków ochrony, drożność dróg ewakuacyjnych, ochrona przeciwpożarowa, pierwsza pomoc, szkolenia oraz reagowanie na wypadki i zdarzenia potencjalnie wypadkowe. Sprawdzenia wymagają także zapisy kontroli zabezpieczeń i usuwania usterek. Dokumentacja opisująca sprawny nadzór traci wiarygodność, jeżeli podczas przejścia przez halę audytor stwierdzi obchodzenie osłon, zablokowane wyjście lub niestosowanie wymaganych ochron.

Audytor dobiera próbki dokumentów i zestawia je z obserwacją zakładu oraz wypowiedziami pracowników. Może porównywać dane dotyczące czasu pracy, wynagrodzeń, urlopów i odpoczynku z zapisami dostępu, planami zmian lub danymi operacyjnymi, a rejestry szkoleń i przeglądów — z praktyką na stanowisku. Rozbieżność między źródłami stanowi istotny sygnał ryzyka, zwłaszcza gdy się powtarza albo dotyczy pracowników tymczasowych, cudzoziemców lub osób wykonujących pracę przez pośrednika. Przed audytem trzeba również ustalić zasady dostępu audytora do dokumentacji i pracowników, z uwzględnieniem poufności oraz ochrony danych.

Przygotowania do 2-Pillar nie można przypisać wyłącznie pełnomocnikowi jakości. Wymagają one współpracy kadr i płac, służby BHP, produkcji, utrzymania ruchu, ochrony oraz agencji i innych podmiotów kierujących ludzi do pracy. Właściciele procesów powinni uzgodnić strukturę zatrudnienia według podstawy współpracy i pośrednika, odpowiedzialność za kompletność danych oraz sposób wyjaśniania rozbieżności. Podobna koordynacja jest potrzebna, gdy organizacja analizuje, Jak przygotować zespół do audytu klienta, gdy wymagane są APQP, PPAP i analiza przyczyn.

Co dodaje 4-Pillar

Wariant 4-Pillar rozszerza audyt o dwa odrębne obszary: zarządzanie środowiskowe i etykę biznesową. Nie są to dodatkowe pytania kierowane wyłącznie do pełnomocnika systemu, lecz zakresy wymagające udziału kolejnych właścicieli procesów i dostępu do innych źródeł dowodów. Przygotowanie powinno wynikać z profilu działalności zakładu, wymagań klienta oraz rzeczywistego podziału odpowiedzialności, a nie z mechanicznego rozszerzenia listy dokumentów stosowanej przy 2-Pillar.

Filar środowiskowy obejmuje sposób identyfikowania wymagań i nadzorowania wpływu zakładu na środowisko. Zależnie od rodzaju działalności ocena może dotyczyć zużycia energii, wody i innych zasobów, gospodarowania odpadami, emisji, ścieków, substancji chemicznych oraz reagowania na wycieki i inne zdarzenia środowiskowe. Punktem wyjścia powinien być rejestr wymagań właściwych dla danej lokalizacji, obejmujący decyzje, pozwolenia, zgłoszenia, pomiary i obowiązki sprawozdawcze.

Posiadanie dokumentów nie potwierdza jeszcze zgodności. Zakład musi wykazać nadzór nad warunkami decyzji, terminami, odpowiedzialnością, wynikami pomiarów oraz działaniami podejmowanymi po stwierdzeniu odchylenia. Audytor może zestawić warunki decyzji z ewidencją odpadów, wynikami pomiarów albo danymi o zużyciu mediów i sprawdzić, kto analizuje przekroczenia lub nietypowe zmiany. Wdrożony system zarządzania środowiskowego może porządkować ten nadzór, lecz nie zastępuje dowodów jego skutecznego działania.

Filar etyki biznesowej również nie kończy się na kodeksie postępowania. Obejmuje mechanizmy zapobiegania korupcji, konfliktom interesów, nadużyciom i działaniom odwetowym, a także kanały zgłaszania nieprawidłowości, prowadzenie postępowań wyjaśniających oraz świadomość pracowników. O działaniu przyjętych mechanizmów świadczą między innymi statusy zgłoszeń, szkolenia, deklaracje konfliktu interesów i udokumentowane czynności wyjaśniające, przedstawiane z zachowaniem poufności. Kanał zgłoszeń istniejący wyłącznie formalnie, bez właściciela procesu, zasad kwalifikacji spraw i ochrony zgłaszających, pozostaje słabym dowodem.

Podstawą oceny są obowiązujące wymagania prawne i warunki prowadzenia działalności w danej lokalizacji, jednak audyt może uwzględniać również oczekiwania klienta oraz skuteczność mechanizmów wewnętrznych. Przygotowanie 4-Pillar wymaga zatem udziału osób odpowiedzialnych za ochronę środowiska, zakupy, finanse, sprzedaż, zgodność, obsługę zgłoszeń i postępowań wyjaśniających oraz kierownictwa rozstrzygającego sytuacje konfliktowe. Konieczne jest wskazanie właściciela rejestru wymagań środowiskowych i właściciela procesu zgłoszeń, wraz z określeniem ich uprawnień, zasad poufności i trybu eskalacji.

Gdzie rosną koszt i ryzyko

Nakład przygotowania do SMETA nie rośnie proporcjonalnie do liczby filarów ani pytań. Największe koszty powstają tam, gdzie dane są rozproszone między działami, odpowiedzialność pozostaje niejednoznaczna, a praktyka zakładu odbiega od procedur. Przed wyborem audytora należy więc oszacować nie tylko zakres dokumentacji, lecz także liczbę procesów i ich właścicieli, kompletność i spójność zapisów w wybranych próbach oraz czas potrzebny na usunięcie przyczyn rozbieżności.

Wariant 4-Pillar zwiększa liczbę zależności między kadrami, produkcją, BHP, ochroną środowiska, zakupami, finansami i funkcją zgodności. Powierzenie całego przygotowania działowi jakości zwykle prowadzi do opóźnień albo przedstawienia dowodów formalnie kompletnych, lecz niepotwierdzających działania przyjętych mechanizmów.

Ocena luk powinna rozdzielać braki możliwe do usunięcia przez uporządkowanie odpowiedzialności i zapisów od problemów wymagających zmiany organizacji pracy lub infrastruktury. Najbardziej wymagające są systemowe nadgodziny wynikające z planowania zdolności produkcyjnych, niespójności płacowe, niewłaściwe zabezpieczenia maszyn, braki w ochronie przeciwpożarowej, nieprawidłowa gospodarka substancjami oraz niedotrzymywanie warunków decyzji środowiskowych. Takich problemów nie usuwa dopisanie procedury ani jednorazowe szkolenie.

Zarząd powinien zdecydować, które luki trzeba usunąć przed audytem ze względu na ryzyko dla ludzi, zgodności prawnej lub wymagań klienta, a które — jeżeli charakter wymagania i stanowisko klienta na to pozwalają — można objąć wiarygodnym planem działań z terminem, właścicielem i zapewnionym finansowaniem.

Typowy problem dotyczy nie braku dokumentów, lecz integralności danych audytowych. Zakład może mieć komplet procedur dotyczących czasu pracy, podczas gdy harmonogram produkcji i zapis uruchomienia linii wskazują pracę nieuwzględnioną w ewidencji. W obszarze środowiskowym analogicznym sygnałem jest rozbieżność między rejestrem wytworzonego odpadu, stanem magazynowym i dokumentacją jego przekazania. Audytor ocenia możliwość odtworzenia rzeczywistego przebiegu procesu, a nie estetykę rejestru. Usunięcie niezgodności wymaga więc analizy źródeł danych, uzgodnienia zapisów między systemami i wyeliminowania mechanizmu powodującego rozbieżności.

Budżet przygotowania warto podzielić na ocenę luk, działania organizacyjne, dostosowanie techniczne, szkolenia, uzupełnienie zapisów oraz rezerwę na działania korygujące po audycie. Nie ma podstaw do przyjmowania jednej stawki dla 2-Pillar lub 4-Pillar: koszt techniczny zależy od stanu obiektu i procesów, a koszt organizacyjny — od dojrzałości nadzoru. Przydatne są natomiast takie mierniki jak udział kompletnych i wzajemnie zgodnych zapisów w próbie, czas pozostawania odchyleń bez rozwiązania oraz liczba procesów bez jednoznacznego właściciela. Podobną logikę podziału nakładów opisuje materiał Ile kosztuje wdrożenie NIS2 i uKSC – jak zbudować budżet audytu, dokumentacji, szkoleń i zabezpieczeń bez kosztownych pomyłek. W przypadku SMETA należy ją odnieść do rzeczywistych luk pracowniczych, BHP, środowiskowych i etycznych zakładu.

Jak dobrać zakres i przygotowanie

Dobór zakresu należy rozpocząć od jednoznacznego potwierdzenia celu audytu, odbiorcy wyników, ocenianych lokalizacji oraz wariantu 2-Pillar albo 4-Pillar. Trzeba również ustalić obowiązującą wersję metodyki, dodatkowe wymagania klienta i zasady udostępniania wyników. Dopiero wtedy można wyznaczyć koordynatora przygotowań, właścicieli poszczególnych obszarów i kryteria gotowości.

Jeżeli klient wymaga 4-Pillar, przekonanie organizacji, że ryzyka środowiskowe lub etyczne są niewielkie, nie uzasadnia ograniczenia zakresu. Gdy klient pozostawia wybór dostawcy, decyzja powinna wynikać z profilu działalności i rzeczywistych zdolności nadzorczych.

Wymagania należy następnie przypisać do procesów, lokalizacji, źródeł danych i osób odpowiedzialnych. Macierz może klasyfikować każde wymaganie jako spełnione, częściowo spełnione, niespełnione albo nieadekwatne, przy czym ostatni status wymaga rzeczowego uzasadnienia. Ocena luk nie może ograniczać się do formularza samooceny. Powinna łączyć przegląd dokumentów i zapisów z obserwacją zakładu oraz rozmowami z pracownikami i właścicielami procesów. Pozwala to odróżnić brak pojedynczego dowodu od nieskutecznego nadzoru lub praktyki sprzecznej z przyjętymi zasadami.

Przegląd próbny powinien odtwarzać tok właściwego audytu. Dla wybranego pracownika należy prześledzić spójność umowy, ewidencji czasu pracy, harmonogramu, listy płac i potwierdzenia wypłaty, a następnie sprawdzić warunki na jego stanowisku. W wariancie 4-Pillar analogicznie trzeba powiązać konkretny aspekt środowiskowy lub ryzyko etyczne z odpowiedzialnością, sposobem nadzoru i zapisem potwierdzającym działanie. Zgodność dokumentów, obserwacji i rozmów jest bardziej miarodajna niż sama kompletność procedur.

Działania przygotowawcze należy ustalać według znaczenia ryzyka, przyczyny problemu i wykonalności. Każde działanie powinno mieć termin, właściciela oraz określony dowód realizacji. Dokument utworzony wyłącznie na potrzeby audytu nie zastępuje wdrożenia ani zapisów z okresu stosowania. Czas między oceną luk a audytem musi odpowiadać charakterowi zmian: korekta przypisania odpowiedzialności wymaga innego nakładu niż przebudowa zabezpieczeń, zmiana organizacji czasu pracy czy uruchomienie nadzoru środowiskowego.

Działania i dowody powinien zatwierdzać właściciel procesu, a w sprawach istotnych dla ryzyka, nakładów lub zgodności prawnej — także właściwy członek kierownictwa. Przydatnym punktem odniesienia pozostaje Przygotowanie do audytu ISO: Twój przewodnik krok po kroku, jednak przygotowań do SMETA nie należy prowadzić jak projektu certyfikacji systemu zarządzania.

Przed audytem zespół powinien przećwiczyć dostęp do danych, odpowiedzi właścicieli procesów, organizację wizyty w zakładzie oraz warunki prowadzenia poufnych rozmów z pracownikami. Kryterium gotowości nie powinno brzmieć „dokumentacja jest kompletna”, lecz „wymaganie działa, odpowiedzialna osoba potrafi je wyjaśnić, a zapis i obserwacja potwierdzają tę samą praktykę”. Pomocniczo można wykorzystać materiał Jak przygotować firmę do audytu drugiej strony u kluczowego dostawcy?, zwłaszcza przy ustalaniu odpowiedzialności za przebieg wizyty i udostępnianie dowodów.

Zakres ma odpowiadać wymaganiu i ryzyku

Wariant 2-Pillar jest właściwy, jeżeli odpowiada wymaganiu odbiorcy i celowi oceny. Nie oznacza to, że obowiązki środowiskowe ani zasady etycznego prowadzenia działalności przestają dotyczyć organizacji. Pozostają one przedmiotem odrębnego nadzoru wynikającego z prawa, zobowiązań umownych i przyjętych zasad. Z kolei 4-Pillar daje szerszy obraz ryzyka dostawcy, ale wymaga rzeczywistego włączenia procesów środowiskowych, zakupowych, finansowych i związanych z przeciwdziałaniem nadużyciom.

Przed zleceniem audytu zarząd powinien zatwierdzić wariant, ocenianą lokalizację, właścicieli procesów, budżet działań technicznych, zasady eskalacji oraz sposób monitorowania działań poaudytowych. Decyzja powinna wynikać z trzech przesłanek:

• wymagań klienta lub programu dostawców,
• profilu ryzyka operacyjnego zakładu,
• zdolności organizacji do wykazania skutecznego nadzoru.

Pomocniczym narzędziem porządkującym uwarunkowania może być Czym jest analiza SWOT?, lecz nie zastąpi ono oceny ryzyka ani przeglądu dowodów.

Jeżeli zakład wybiera 4-Pillar, choć dotychczas nie przypisał odpowiedzialności za aspekty środowiskowe albo ryzyko korupcyjne w zakupach, szerszy audyt nie tworzy problemu, lecz ujawnia istniejący brak nadzoru. Zarząd powinien wówczas rozstrzygnąć, które luki wymagają działań przed audytem, które można objąć planem naprawczym, a dla których konieczna jest formalna akceptacja ryzyka pozostałego. Ustalenia należy powiązać z przeglądem zarządzania i istniejącymi systemami zarządzania, zamiast prowadzić je w odrębnym rejestrze pozbawionym właścicieli.

Raport SMETA przedstawia zgodność i praktykę w określonym miejscu i czasie; nie jest certyfikatem. O jego wartości przesądzają jakość dowodów, usunięcie przyczyn niezgodności i trwałość zmian. Gotowość między audytami warto oceniać na podstawie liczby otwartych działań według znaczenia i terminu, odsetka działań zweryfikowanych pod kątem skuteczności oraz powtarzalności ustaleń w kolejnych ocenach. Formalne zamknięcie zadania nie potwierdza jeszcze, że ryzyko zostało opanowane.