SMETA 2-Pillar ja 4-Pillar – kuidas valida auditi ulatus riski ja kliendi nõuete järgi

SMETA 2-Pillar ja 4-Pillar erinevus ei seisne küsimuste arvus ega dokumentatsiooni mahus. 2-Pillar keskendub tööstandarditele ning töötervishoiule ja tööohutusele. 4-Pillar hõlmab sama ulatust, lisades keskkonnapraktikad ja ärieetika. Laiem audit tähendab seega rohkem protsesse, andmeomanikke ja tõendusallikaid. Ulatus tuleb kinnitada enne ettevalmistuste alustamist, sest vale valik võib viia ebaõigete valdkondade hindamiseni või tuua esile puudused, mida organisatsioon ei jõua enne auditit kõrvaldada.

Kaks ulatust, erinevad juhtimisotsused

SMETA on tarneahela eetilise ja sotsiaalse auditeerimise metoodika, mitte juhtimissüsteemi standard ega ISO sertifitseerimisega võrreldav sertifitseerimisskeem. Auditiga hinnatakse konkreetse tegevuskoha praktikaid ja tõendeid: töötingimusi, töökorraldust, tehnilisi kaitsemeetmeid, tegevusandmeid ning kehtestatud põhimõtete tegelikku rakendamist. Poliitika või protseduuri olemasolu üksi ei määra auditi tulemust ning positiivne tulemus ei tähenda sertifikaadi saamist.

Laiem audit ei ole automaatselt parem valik. Määravad on kliendi või tarnijaprogrammi omaniku nõuded ja lepingutingimused. Klient võib nõuda 4-Pillar auditit ka väikese keskkonnariskiga tegevuskohalt, kui kogu tarnijarühmale rakendatakse ühtseid kriteeriume. Enne ettevalmistuste alustamist tuleb kinnitada auditi ajal kehtiv metoodika versioon, nõutav variant ja auditi haldamise kord Sedexi platvormil.

Tegevuskohal võivad olla korrastatud töötajate toimikud, tööaja arvestus ja tööohutuse järelevalve, kuid puududa võivad ühtsed tõendid jäätmete, ressursikasutuse, huvide konfliktide või rikkumistest teatamise kohta. Kui ettevalmistust juhivad üksnes personaliosakond ja tööohutuse eest vastutajad, kaetakse ainult osa 4-Pillar nõuetest. Ulatuse laiendamine eeldab täiendavate protsessiomanike kaasamist ja tegeliku praktika kontrollimist, mitte kahe peatüki lisamist protseduurile.

Samuti tuleb kindlaks määrata hinnatavad tegevuskohad, tegevusliigid, töötajate arv ja töösuhte vormid, sealhulgas renditöö ja alltöövõtt, kui neid kasutatakse. Ulatus tuleb tuletada tellimusest, lepingust või kliendiportaalist, mitte organisatsiooni enda eeldustest. See on eriti oluline siis, kui SMETA toimib kliendiauditina. Laiemat organisatsioonilist konteksti käsitleb materjal Kuidas valmistada ettevõte ette võtmetarnija teise osapoole auditiks?

Mida hinnatakse 2-Pillar auditis

2-Pillar hõlmab tööstandardeid ning töötervishoidu ja tööohutust, kuid ei piirdu sisekorraeeskirjade, protseduuride ja töötajate toimikute ülevaatamisega. Töösuhete valdkonnas hinnatakse töö seaduslikkust ja vabatahtlikkust, tööaega, töötasu, võrdset kohtlemist, ühinemisvabadust, lapstööjõu keeldu ning lubamatute distsiplinaarvõtete vältimist. Oluline on tegelik töökorraldus: kes tööd teeb, millisel alusel, millistel aegadel ja milliste reeglite järgi talle tasu makstakse.

Eesti tegevuskohas tuleb erilise tähelepanuga kontrollida tööaja arvestust, ületunnitööd ja puhkeaegu, töötasust tehtavaid kinnipidamisi, puhkusi, võlaõiguslike lepingute alusel töötamist, renditööjõu kasutamist ning välismaalaste töötamise seaduslikkust. Personali-, palga- ja tootmisandmed peavad kirjeldama sama tegelikku töökorraldust. Kui läbipääsusüsteem, vahetuse graafik või tootmisandmed näitavad töötaja kohalolekut, mida tööaja arvestus ei kajasta, ei kõrvalda personalidokumendi vormiline korrektsus riski. Seetõttu tuleb määrata personali- ja palgaandmete omanik ning kokku leppida, kuidas saadakse andmeid tööjõurendiettevõtetelt ja teistelt personali pakkuvatelt osapooltelt.

Töötervishoiu ja tööohutuse sammas hõlmab nii järelevalve korraldust kui ka töökohal nähtavaid tingimusi. Hinnatakse muu hulgas töökeskkonna riskianalüüside ajakohasust ja asjakohasust, masinate kaitseseadiseid, isikukaitsevahendite kasutamist, evakuatsiooniteede läbitavust, tuleohutust, esmaabi, koolitusi ning reageerimist tööõnnetustele ja ohuolukordadele. Kontrollitakse ka kaitseseadiste ülevaatuste ja puuduste kõrvaldamise andmeid. Tõhusat järelevalvet kirjeldav dokumentatsioon kaotab usaldusväärsuse, kui audiitor näeb tootmisalal kaitseseadiste eiramist, blokeeritud väljapääsu või nõutavate kaitsevahendite mittekasutamist.

Audiitor valib dokumentidest valimid ning võrdleb neid tegevuskoha vaatluste ja töötajate ütlustega. Tööaja, töötasu, puhkuse ja puhkeaegade andmeid võidakse võrrelda läbipääsulogide, vahetusplaanide või operatiivandmetega ning koolitus- ja ülevaatusregistreid tegeliku praktikaga töökohal. Allikatevaheline lahknevus on oluline riskisignaal, eriti kui see kordub või puudutab renditöötajaid, välismaalasi või vahendaja kaudu töötavaid isikuid. Enne auditit tuleb kindlaks määrata ka audiitori juurdepääs dokumentidele ja töötajatele, arvestades konfidentsiaalsust ja andmekaitset.

2-Pillar ettevalmistust ei saa jätta üksnes kvaliteedijuhi või juhtimissüsteemi esindaja ülesandeks. Vajalik on personali, palgaarvestuse, töötervishoiu ja tööohutuse, tootmise, hoolduse, turvateenistuse ning tööjõu vahendajate koostöö. Protsessiomanikud peavad ühiselt kinnitama töötajate struktuuri lepingu liigi ja vahendaja järgi, vastutuse andmete täielikkuse eest ning lahknevuste selgitamise korra. Sarnast koordineerimist vajatakse ka siis, kui organisatsioon analüüsib, kuidas valmistada meeskond ette kliendiauditiks, kus nõutakse APQP-d, PPAP-d ja algpõhjuse analüüsi.

Mida lisab 4-Pillar

4-Pillar laiendab auditit kahe eraldiseisva valdkonna võrra: keskkonnajuhtimine ja ärieetika. Need ei ole pelgalt täiendavad küsimused juhtimissüsteemi esindajale, vaid valdkonnad, mis nõuavad uute protsessiomanike osalemist ja juurdepääsu teistele tõendusallikatele. Ettevalmistus peab lähtuma tegevuskoha profiilist, kliendi nõuetest ja tegelikust vastutuse jaotusest, mitte 2-Pillar dokumendiloendi mehaanilisest laiendamisest.

Keskkonnasammas käsitleb seda, kuidas organisatsioon tuvastab kohaldatavaid nõudeid ja juhib tegevuskoha keskkonnamõju. Olenevalt tegevuse laadist võib hindamine hõlmata energia, vee ja muude ressursside kasutust, jäätmekäitlust, heidet, reovett, kemikaale ning reageerimist leketele ja teistele keskkonnajuhtumitele. Lähtepunktiks peaks olema konkreetse tegevuskoha nõuete register, mis hõlmab asjakohaseid otsuseid, lubasid, registreeringuid, mõõtmisi ja aruandluskohustusi.

Dokumentide olemasolu ei tõenda veel vastavust. Tegevuskoht peab suutma näidata kontrolli otsuste või lubade tingimuste, tähtaegade, vastutuse, mõõtetulemuste ja kõrvalekallete järel rakendatud meetmete üle. Audiitor võib võrrelda loa tingimusi jäätmearvestuse, mõõtetulemuste või kommunaalteenuste tarbimisandmetega ning kontrollida, kes analüüsib piirväärtuste ületamist või ebatavalisi muutusi. Rakendatud keskkonnajuhtimissüsteem võib järelevalvet korrastada, kuid ei asenda tõendeid selle tulemusliku toimimise kohta.

Ärieetika sammas ei piirdu samuti tegevusjuhendiga. See hõlmab korruptsiooni, huvide konflikti, väärkäitumise ja kättemaksu vältimise mehhanisme, rikkumistest teatamise kanaleid, juhtumite uurimist ning töötajate teadlikkust. Mehhanismide tegelikku toimimist võivad tõendada muu hulgas teadete staatused, koolitused, huvide konflikti deklaratsioonid ja dokumenteeritud uurimistoimingud, mida esitatakse konfidentsiaalsust säilitades. Teavituskanal, millel puuduvad protsessiomanik, juhtumite liigitamise põhimõtted ja teavitajate kaitse, on nõrk tõend isegi siis, kui see on vormiliselt loodud.

Hindamise aluseks on tegevuskohas kohaldatavad õigusnõuded ja tegutsemistingimused, kuid audit võib arvestada ka kliendi ootusi ning sisekontrollimehhanismide tulemuslikkust. Seetõttu tuleb 4-Pillar ettevalmistusse kaasata keskkonna, ostude, finantside, müügi, vastavuse, teadete menetlemise ja sisejuurdluste eest vastutavad isikud ning juhtkond, kes lahendab konfliktsituatsioone. Määrata tuleb keskkonnanõuete registri omanik ja teavitusprotsessi omanik koos nende volituste, konfidentsiaalsusreeglite ja eskalatsioonikorraga.

Kus kasvavad kulud ja riskid

SMETA ettevalmistuse maht ei kasva samas proportsioonis sammaste või küsimuste arvuga. Suurimad kulud tekivad seal, kus andmed on eri osakondade vahel killustunud, vastutus on ebaselge ja tegelik praktika erineb protseduurides kirjeldatust. Enne audiitori valimist tuleb hinnata lisaks dokumentide mahule ka protsesside ja protsessiomanike arvu, valimisse võetavate andmete täielikkust ja kooskõla ning lahknevuste algpõhjuste kõrvaldamiseks vajalikku aega.

4-Pillar suurendab personali, tootmise, tööohutuse, keskkonna, ostude, finantside ja vastavusfunktsiooni vaheliste seoste arvu. Kogu ettevalmistuse jätmine kvaliteediosakonnale põhjustab tavaliselt viivitusi või selliste tõendite esitamist, mis on vormiliselt täielikud, kuid ei tõenda rakendatud mehhanismide toimimist.

Puuduste hindamisel tuleb eristada vastutuse ja dokumenteerimise korrastamisega lahendatavaid probleeme puudustest, mis nõuavad töökorralduse või taristu muutmist. Kõige keerukamad on tootmisvõimsuse planeerimisest tingitud süsteemsed ületunnid, palgaandmete vastuolud, ebapiisavad masinakaitsmed, tuleohutuspuudused, kemikaalide nõuetele mittevastav käitlemine ning keskkonnalubade või otsuste tingimuste eiramine. Neid probleeme ei kõrvalda protseduuri täiendamine ega ühekordne koolitus.

Juhtkond peab otsustama, millised puudused tuleb enne auditit kõrvaldada inimeste ohutuse, õigusnõuete või kliendinõuete tõttu ning millised võib — kui nõude laad ja kliendi seisukoht seda võimaldavad — katta usaldusväärse tegevuskavaga, millel on tähtaeg, vastutaja ja kinnitatud rahastus.

Tüüpiline probleem ei ole dokumentide puudumine, vaid auditiandmete terviklus. Tegevuskohal võivad olla täielikud tööaja protseduurid, samal ajal kui tootmisplaan ja liini käivitusandmed osutavad tööle, mida tööaja arvestuses ei kajastata. Keskkonnavaldkonnas on samaväärne ohusignaal lahknevus tekkinud jäätmete registri, laoseisu ja jäätmete üleandmise dokumentide vahel. Audiitor hindab tegeliku protsessikäigu taastatavust, mitte registri välimust. Mittevastavuse kõrvaldamine eeldab seetõttu andmeallikate analüüsi, eri süsteemides olevate kirjete kooskõlastamist ja lahknevusi põhjustava mehhanismi kõrvaldamist.

Ettevalmistuse eelarve tasub jaotada puuduste hindamiseks, organisatsioonilisteks meetmeteks, tehnilisteks muudatusteks, koolitusteks, tõendusandmete täiendamiseks ja auditijärgsete parandusmeetmete reserviks. 2-Pillar või 4-Pillar jaoks ei ole põhjendatud eeldada ühtset hinda: tehniline kulu sõltub objekti ja protsesside seisundist ning organisatsiooniline kulu juhtimise küpsusest. Kasulikud mõõdikud on näiteks täielike ja omavahel kooskõlaliste kirjete osakaal valimis, lahendamata kõrvalekallete keskmine vanus ning selge omanikuta protsesside arv. Sarnast kulude jaotamise loogikat käsitleb materjal Kui palju maksab NIS2 ja uKSC rakendamine – kuidas koostada auditi, dokumentatsiooni, koolituste ja turvameetmete eelarve kulukaid vigu vältides. SMETA puhul tuleb see siduda tegevuskoha tegelike töö-, tööohutus-, keskkonna- ja eetikariskidega.

Kuidas valida ulatus ja korraldada ettevalmistus

Ulatuse valik algab auditi eesmärgi, tulemuste saaja, hinnatavate tegevuskohtade ja 2-Pillar või 4-Pillar variandi ühesest kinnitamisest. Samuti tuleb kindlaks teha kohaldatav metoodika versioon, kliendi lisanõuded ja tulemuste jagamise reeglid. Alles seejärel saab määrata ettevalmistuse koordinaatori, valdkondade omanikud ja valmisolekukriteeriumid.

Kui klient nõuab 4-Pillar auditit, ei anna organisatsiooni hinnang madalale keskkonna- või eetikariskile alust auditi ulatust piirata. Kui klient jätab valiku tarnijale, peab otsus lähtuma tegevusprofiilist ja organisatsiooni tegelikust kontrollivõimest.

Seejärel tuleb nõuded siduda protsesside, tegevuskohtade, andmeallikate ja vastutajatega. Maatriksis võib iga nõude liigitada täidetuks, osaliselt täidetuks, täitmata või mittekohaldatavaks; viimane staatus peab olema sisuliselt põhjendatud. Puuduste hindamine ei tohi piirduda enesehindamise küsimustikuga. See peab ühendama dokumentide ja kirjete ülevaatuse, tegevuskoha vaatluse ning vestlused töötajate ja protsessiomanikega. Nii saab eristada üksiku tõendi puudumist mittetoimivast järelevalvest või kehtestatud reeglitega vastuolus olevast praktikast.

Prooviaudit peaks jäljendama tegeliku auditi kulgu. Valitud töötaja puhul tuleb jälgida lepingu, tööaja arvestuse, graafiku, palgalehe ja maksekinnituse kooskõla ning seejärel kontrollida tema töökoha tingimusi. 4-Pillar variandi puhul tuleb samamoodi siduda konkreetne keskkonnaaspekt või eetikarisk vastutuse, kontrollimeetodi ja toimimist tõendava kirjega. Dokumentide, vaatluste ja intervjuude kooskõla annab valmisolekust parema pildi kui protseduuride täielikkus.

Ettevalmistavad meetmed tuleb järjestada riski olulisuse, probleemi algpõhjuse ja teostatavuse järgi. Igal meetmel peab olema tähtaeg, omanik ja määratletud tõend selle rakendamise kohta. Ainult auditi tarbeks loodud dokument ei asenda rakendamist ega kasutusperioodi jooksul tekkinud tõendusandmeid. Puuduste hindamise ja auditi vahele jääv aeg peab vastama muudatuste laadile: vastutuse täpsustamine nõuab teistsugust ajakulu kui kaitseseadiste ümberehitamine, tööaja korralduse muutmine või keskkonnajärelevalve käivitamine.

Meetmed ja tõendid peab kinnitama protsessiomanik ning olulise riski, kulu või õigusnõuete puhul ka asjaomane juhtkonna liige. Kasulikuks lähtekohaks on ISO auditiks valmistumine: samm-sammuline juhend, kuid SMETA ettevalmistust ei tohi juhtida nagu juhtimissüsteemi sertifitseerimisprojekti.

Enne auditit peab meeskond läbi harjutama andmetele juurdepääsu, protsessiomanike vastused, tegevuskoha külastuse korralduse ja töötajatega konfidentsiaalsete vestluste tingimused. Valmisolekukriteerium ei peaks olema „dokumentatsioon on täielik“, vaid „nõue toimib, vastutaja oskab seda selgitada ning kirje ja vaatlus kinnitavad sama praktikat“. Abimaterjalina võib kasutada artiklit Kuidas valmistada ettevõte ette võtmetarnija teise osapoole auditiks?, eriti auditi läbiviimise ja tõendite esitamise vastutuse määramisel.

Auditi ulatus peab vastama nõudele ja riskile

2-Pillar on sobiv, kui see vastab tulemuse saaja nõudele ja hindamise eesmärgile. See ei tähenda, et keskkonnakohustused või eetilise äritegevuse põhimõtted organisatsioonile enam ei kohaldu. Nende üle tuleb jätkuvalt teha eraldi järelevalvet, mis tuleneb õigusaktidest, lepingulistest kohustustest ja organisatsiooni enda põhimõtetest. 4-Pillar annab tarnija riskidest laiema ülevaate, kuid eeldab keskkonna-, ostu-, finants- ja väärkäitumise ennetamise protsesside tegelikku kaasamist.

Enne auditi tellimist peab juhtkond kinnitama variandi, hinnatava tegevuskoha, protsessiomanikud, tehniliste meetmete eelarve, eskalatsioonireeglid ja auditijärgsete tegevuste seirekorra. Otsus peab põhinema kolmel teguril:

• kliendi või tarnijaprogrammi nõuetel,
• tegevuskoha operatiivriskide profiilil,
• organisatsiooni võimel tõendada tulemuslikku järelevalvet.

Olukorra struktureerimiseks võib kasutada materjali Mis on SWOT-analüüs?, kuid see ei asenda riskihindamist ega tõendite ülevaatust.

Kui tegevuskoht valib 4-Pillar auditi, kuigi keskkonnaaspektide või ostuprotsessi korruptsiooniriski eest ei ole seni vastutajat määratud, ei tekita laiem audit probleemi, vaid toob esile olemasoleva kontrollipuuduse. Juhtkond peab otsustama, millised puudused kõrvaldatakse enne auditit, millised kaetakse parandusplaaniga ja milliste puhul on vajalik jääkriski ametlik aktsepteerimine. Otsused tuleb siduda juhtkonnapoolse ülevaatuse ja olemasolevate juhtimissüsteemidega, mitte jätta eraldiseisvasse registrisse, millel puuduvad omanikud.

SMETA aruanne kirjeldab vastavust ja praktikat konkreetses kohas ning konkreetsel ajahetkel; see ei ole sertifikaat. Selle väärtuse määravad tõendite kvaliteet, mittevastavuste algpõhjuste kõrvaldamine ja muudatuste püsivus. Audititevahelist valmisolekut tasub hinnata tähtsuse ja tähtaja järgi avatud meetmete arvu, tulemuslikkuse suhtes kontrollitud meetmete osakaalu ning korduvate leidude põhjal. Ülesande vormiline sulgemine ei tõenda veel, et risk on kontrolli alla saadud.