SMETA 2-Pillar och 4-Pillar – välj revisionsomfattning utifrån risk och kundkrav

Skillnaden mellan SMETA 2-Pillar och 4-Pillar handlar inte bara om antalet frågor eller dokumentationens omfattning. 2-Pillar fokuserar på arbetsvillkor samt arbetsmiljö. 4-Pillar omfattar samma områden och kompletterar dem med miljöpraxis och affärsetik. En utökad revision innebär därför att fler processer, informationsägare och beviskällor berörs. Omfattningen måste bekräftas innan förberedelserna börjar. Ett felaktigt val kan annars leda till att fel områden granskas eller att brister upptäcks så sent att verksamheten inte hinner åtgärda dem.

Två omfattningar som kräver olika beslut

SMETA är en metodik för etiska och sociala revisioner i leveranskedjan. Det är varken en ledningssystemstandard eller en certifiering jämförbar med ISO-certifiering. Revisionen bedömer arbetssätt och verifierbara underlag vid en specifik anläggning, bland annat anställningsvillkor, arbetsorganisation, tekniska skydd, operativa register och den faktiska tillämpningen av fastställda regler. Att en policy eller rutin finns är inte i sig avgörande för resultatet, och ett positivt revisionsresultat innebär inte att verksamheten erhåller ett certifikat.

En bredare revision är inte automatiskt ett bättre val. Avgörande är kundens krav, reglerna från den som äger leverantörsprogrammet och tillämpliga avtalsvillkor. En kund kan kräva 4-Pillar även för en anläggning med begränsad miljörisk, exempelvis om samma kriterier används för hela leverantörsbasen. Innan förberedelserna börjar behöver verksamheten därför bekräfta vilken version av metodiken som gäller vid revisionstillfället, vilken variant som krävs och hur revisionen ska hanteras på Sedex-plattformen.

En anläggning kan ha välordnade personalakter, arbetstidsregister och arbetsmiljörutiner men samtidigt sakna sammanhängande bevis för avfallshantering, resursförbrukning, intressekonflikter eller visselblåsning. Om förberedelserna enbart drivs av HR och arbetsmiljöfunktionen täcks då endast en del av kraven i 4-Pillar. Att utöka omfattningen kräver att ytterligare processägare involveras och att den faktiska tillämpningen verifieras. Det räcker inte att lägga till två avsnitt i en rutin.

Det är också nödvändigt att fastställa vilka anläggningar, verksamheter, antal arbetstagare och anställningsformer som ska omfattas, inklusive inhyrd personal och underleverantörer där sådana förekommer. Omfattningen ska hämtas från beställningen, avtalet eller kundportalen och inte bygga på verksamhetens egna antaganden. Detta är särskilt viktigt när SMETA genomförs som en kundrevision. Ett bredare organisatoriskt perspektiv finns i materialet Så förbereder du verksamheten för en andrapartsrevision hos en kritisk leverantör.

Vad granskas i 2-Pillar?

2-Pillar omfattar arbetsvillkor och arbetsmiljö, men granskningen stannar inte vid personalhandböcker, rutiner och personalakter. Inom arbetsvillkor granskar revisorn bland annat om arbetet är lagligt och frivilligt, arbetstid, lön, likabehandling, föreningsfrihet, förbud mot barnarbete och otillåtna disciplinära metoder. Det är den faktiska arbetsorganisationen som är avgörande: vem som utför arbetet, på vilken grund, under vilka tider och enligt vilka principer ersättningen betalas.

Vid en svensk anläggning behöver särskild uppmärksamhet riktas mot arbetstidsregistrering, övertid och viloperioder, löneavdrag, ledighet, olika avtals- och uppdragsformer, inhyrd personal samt rätten för utländska arbetstagare att arbeta. HR-, löne- och produktionsdata bör beskriva samma faktiska arbetsförlopp. Om passersystemet, skiftschemat eller produktionsutfallet visar att en person har arbetat vid en tidpunkt som saknas i arbetstidsregistret elimineras inte risken av att personaldokumentet formellt ser korrekt ut. Verksamheten behöver därför utse en ägare för HR- och lönedata samt fastställa hur information ska inhämtas från bemanningsföretag och andra aktörer som tillhandahåller personal.

Arbetsmiljöpelaren omfattar både hur styrningen är organiserad och de förhållanden som kan observeras på arbetsplatserna. Bedömningen kan bland annat omfatta om riskbedömningar är aktuella och ändamålsenliga, maskinskydd, användning av personlig skyddsutrustning, fria utrymningsvägar, brandskydd, första hjälpen, utbildning samt hantering av olyckor och tillbud. Även register över skyddskontroller och åtgärdade fel behöver verifieras. Dokumentation som beskriver en fungerande styrning förlorar i trovärdighet om revisorn under rundvandringen ser att skydd har kringgåtts, en nödutgång är blockerad eller föreskriven skyddsutrustning inte används.

Revisorn väljer dokumentstickprov och jämför dem med observationer i verksamheten och uppgifter från arbetstagare. Information om arbetstid, lön, ledighet och vila kan jämföras med passageloggar, skiftplaner eller operativa data. Utbildnings- och underhållsregister kan i sin tur stämmas av mot arbetssättet på arbetsplatsen. Avvikelser mellan källorna är en viktig risksignal, särskilt när de återkommer eller berör inhyrd personal, utländska arbetstagare eller personer som arbetar genom en mellanhand. Före revisionen behöver organisationen även fastställa formerna för revisorns tillgång till dokumentation och personal, med hänsyn till sekretess och dataskydd.

Förberedelserna för 2-Pillar kan inte läggas enbart på kvalitetsansvarig. De kräver samverkan mellan HR och lön, arbetsmiljöfunktionen, produktion, underhåll, säkerhetsfunktion samt bemanningsföretag och andra aktörer som tillhandahåller arbetskraft. Processägarna bör enas om hur personalstyrkan ska beskrivas utifrån avtalsform och eventuell mellanhand, vem som ansvarar för fullständiga data och hur avvikelser ska utredas. Motsvarande samordning krävs när organisationen analyserar hur teamet ska förberedas inför en kundrevision med krav på APQP, PPAP och orsaksanalys.

Vad tillkommer i 4-Pillar?

4-Pillar utökar revisionen med två separata områden: miljöstyrning och affärsetik. Det handlar inte om några extra frågor som enbart riktas till ledningssystemansvarig. Områdena kräver deltagande från ytterligare processägare och tillgång till andra typer av bevis. Förberedelserna bör utgå från anläggningens verksamhetsprofil, kundkraven och den faktiska ansvarsfördelningen, inte från en mekanisk utökning av dokumentlistan för 2-Pillar.

Miljöpelaren omfattar hur anläggningen identifierar tillämpliga krav och styr sin miljöpåverkan. Beroende på verksamhetens art kan bedömningen omfatta förbrukning av energi, vatten och andra resurser, avfallshantering, utsläpp, avloppsvatten, kemiska ämnen samt beredskap för spill och andra miljöincidenter. Utgångspunkten bör vara ett register över krav som är relevanta för den aktuella platsen, inklusive beslut, tillstånd, anmälningar, mätningar och rapporteringsskyldigheter.

Att dokumenten finns visar ännu inte att kraven uppfylls. Anläggningen behöver kunna visa hur villkor i beslut och tillstånd, tidsfrister, ansvar, mätresultat och åtgärder vid avvikelser styrs. Revisorn kan jämföra villkoren med avfallsregister, mätresultat eller uppgifter om medieförbrukning och kontrollera vem som analyserar överskridanden eller onormala förändringar. Ett infört miljöledningssystem kan ge struktur åt styrningen men ersätter inte bevis för att den fungerar i praktiken.

Affärsetik omfattar på motsvarande sätt mer än en uppförandekod. Området innefattar mekanismer för att förebygga korruption, intressekonflikter, oegentligheter och repressalier, liksom kanaler för rapportering av missförhållanden, interna utredningar och personalens medvetenhet. Bevis för att mekanismerna fungerar kan bland annat vara ärendestatus, utbildningsregister, intressekonfliktsdeklarationer och dokumenterade utredningsåtgärder, presenterade med bibehållen sekretess. En rapporteringskanal som endast finns formellt men saknar processägare, regler för klassificering av ärenden och skydd för rapporterande personer är ett svagt bevis.

Bedömningen utgår från tillämpliga rättsliga krav och villkoren för verksamheten på den aktuella platsen. Revisionen kan dock även beakta kundens förväntningar och hur effektiva de interna mekanismerna är. Förberedelserna för 4-Pillar kräver därför deltagande från ansvariga för miljö, inköp, ekonomi, försäljning, regelefterlevnad, rapporteringskanaler och interna utredningar samt från ledningen som avgör konfliktsituationer. En ägare behöver utses både för registret över miljökrav och för visselblåsarprocessen, med tydliga befogenheter, sekretessregler och eskaleringsvägar.

Var ökar kostnaden och risken?

Arbetsinsatsen inför SMETA ökar inte proportionellt med antalet pelare eller frågor. De största kostnaderna uppstår där data är utspridda mellan funktioner, ansvaret är otydligt och den faktiska verksamheten avviker från rutinerna. Innan en revisionsleverantör väljs bör organisationen därför inte bara uppskatta dokumentationsmängden, utan även bedöma antalet berörda processer och processägare, om stickprovsunderlagen är fullständiga och samstämmiga samt hur lång tid som krävs för att undanröja orsakerna till avvikelser.

4-Pillar ökar beroendena mellan HR, produktion, arbetsmiljö, miljö, inköp, ekonomi och regelefterlevnad. Om kvalitetsfunktionen ensam får ansvaret för hela förberedelsen leder det ofta till förseningar eller till att underlagen är formellt kompletta men inte visar att de fastställda mekanismerna faktiskt fungerar.

En gapanalys bör skilja mellan brister som kan åtgärdas genom tydligare ansvar och bättre register samt problem som kräver förändringar i arbetsorganisation eller infrastruktur. Särskilt krävande är systematisk övertid som orsakas av kapacitetsplaneringen, avvikelser i lönedata, otillräckliga maskinskydd, brister i brandskyddet, felaktig kemikaliehantering och underlåtenhet att följa villkor i miljöbeslut eller tillstånd. Sådana problem löses inte genom att skriva en ny rutin eller genomföra en engångsutbildning.

Ledningen bör besluta vilka brister som måste åtgärdas före revisionen med hänsyn till risker för människor, rättsliga krav eller kundkrav. De brister som, beroende på kravets karaktär och kundens ställningstagande, kan hanteras genom en trovärdig åtgärdsplan ska få en tidsfrist, en namngiven ägare och säkerställd finansiering.

Ett vanligt problem är inte att dokument saknas utan att revisionsdata brister i integritet. Anläggningen kan exempelvis ha fullständiga arbetstidsrutiner samtidigt som produktionsplanen och registrerade linjestarter visar arbete som inte finns i arbetstidsregistret. På miljöområdet är en motsvarande signal att uppgifterna om genererat avfall inte stämmer överens med lagerstatus och transportdokumentation. Revisorn bedömer om det verkliga processförloppet går att rekonstruera, inte hur välformaterat registret är. För att åtgärda avvikelsen krävs därför analys av datakällorna, avstämning mellan systemen och eliminering av den mekanism som orsakar skillnaderna.

Budgeten för förberedelserna bör delas upp i gapanalys, organisatoriska åtgärder, tekniska anpassningar, utbildning, komplettering av register samt en reserv för korrigerande åtgärder efter revisionen. Det finns ingen grund för att använda ett enda standardpris för 2-Pillar eller 4-Pillar. De tekniska kostnaderna beror på anläggningens och processernas skick, medan de organisatoriska kostnaderna beror på styrningens mognad. Användbara nyckeltal kan däremot vara andelen fullständiga och sinsemellan överensstämmande underlag i ett stickprov, tiden som avvikelser förblir olösta och antalet processer utan tydlig ägare. En liknande logik för kostnadsfördelning beskrivs i materialet Vad kostar införandet av NIS2 och uKSC – så bygger du en budget för revision, dokumentation, utbildning och skyddsåtgärder utan kostsamma misstag. För SMETA ska modellen tillämpas på anläggningens faktiska brister inom arbetsvillkor, arbetsmiljö, miljö och etik.

Så väljer och förbereder du rätt omfattning

Börja med att entydigt bekräfta revisionens syfte, mottagaren av resultatet, vilka anläggningar som ska bedömas samt om 2-Pillar eller 4-Pillar gäller. Fastställ även tillämplig version av metodiken, eventuella ytterligare kundkrav och reglerna för delning av resultat. Först därefter kan en samordnare, ansvariga områdesägare och kriterier för revisionsberedskap utses.

Om kunden kräver 4-Pillar är organisationens egen bedömning att miljö- eller etikrisken är låg inte ett tillräckligt skäl för att begränsa omfattningen. Om kunden låter leverantören välja bör beslutet i stället baseras på verksamhetens profil och den faktiska förmågan att styra och följa upp riskerna.

Kraven ska därefter kopplas till processer, anläggningar, datakällor och ansvariga personer. En matris kan klassificera varje krav som uppfyllt, delvis uppfyllt, inte uppfyllt eller inte tillämpligt. Det sista alternativet kräver en sakligt underbyggd motivering. Gapanalysen får inte begränsas till ett självutvärderingsformulär. Den bör kombinera granskning av dokument och register med observationer på plats samt intervjuer med arbetstagare och processägare. På så sätt går det att skilja ett enstaka saknat bevis från bristande styrning eller ett arbetssätt som strider mot fastställda regler.

En provrevision bör efterlikna den faktiska revisionens arbetssätt. För en utvald arbetstagare bör verksamheten följa sambandet mellan avtal, arbetstidsregister, schema, lönespecifikation och betalningsbevis och därefter kontrollera förhållandena på personens arbetsplats. I 4-Pillar bör ett specifikt miljöområde eller en konkret etisk risk på motsvarande sätt kopplas till ansvar, styrmetod och register som visar att kontrollen fungerar. Överensstämmelsen mellan dokument, observationer och intervjuer är mer relevant än enbart fullständiga rutiner.

Förberedande åtgärder bör prioriteras utifrån riskens betydelse, problemets grundorsak och genomförbarheten. Varje åtgärd ska ha en tidsfrist, en ägare och ett definierat genomförandebevis. Ett dokument som tas fram enbart inför revisionen ersätter varken införande eller register från en faktisk tillämpningsperiod. Tiden mellan gapanalysen och revisionen måste motsvara förändringarnas karaktär. Att förtydliga ett ansvar kräver en annan insats än att bygga om maskinskydd, förändra arbetstidsorganisationen eller etablera miljöstyrning.

Åtgärder och bevis bör godkännas av berörd processägare. Frågor som har väsentlig betydelse för risk, kostnad eller rättsliga krav bör även godkännas av ansvarig person i ledningen. Materialet Förberedelser inför ISO-revision – en stegvis vägledning kan användas som referens, men förberedelserna inför SMETA ska inte drivas som ett certifieringsprojekt för ett ledningssystem.

Före revisionen bör teamet öva på att ta fram data, låta processägarna redogöra för sina områden, planera rundvandringen och säkerställa förutsättningar för konfidentiella samtal med arbetstagare. Beredskapskriteriet bör inte vara ”dokumentationen är komplett” utan ”kravet fungerar i praktiken, ansvarig person kan förklara hur och register samt observationer visar samma verklighet”. Materialet Så förbereder du verksamheten för en andrapartsrevision hos en kritisk leverantör kan också användas för att tydliggöra ansvar under besöket och formerna för att tillhandahålla bevis.

Omfattningen ska motsvara både krav och risk

2-Pillar är rätt alternativ när det motsvarar mottagarens krav och syftet med bedömningen. Det innebär inte att verksamhetens miljöskyldigheter eller principer för etiskt företagande upphör att gälla. De behöver fortfarande styras utifrån lagkrav, avtalsåtaganden och organisationens egna regler. 4-Pillar ger i sin tur en bredare bild av leverantörsrisken men förutsätter att miljö-, inköps- och ekonomiprocesser samt arbetet mot oegentligheter faktiskt inkluderas.

Innan revisionen beställs bör ledningen godkänna vald variant, bedömd anläggning, processägare, budget för tekniska åtgärder, eskaleringsregler och uppföljningen efter revisionen. Beslutet bör baseras på tre faktorer:

• kundens eller leverantörsprogrammets krav,
• anläggningens operativa riskprofil,
• organisationens förmåga att visa att styrningen fungerar.

Vad är en SWOT-analys? kan användas som ett kompletterande verktyg för att strukturera förutsättningarna, men ersätter varken riskbedömning eller granskning av bevis.

Om en anläggning väljer 4-Pillar trots att ansvar ännu inte har fördelats för miljöaspekter eller korruptionsrisker i inköpsprocessen skapar den bredare revisionen inte problemet. Den synliggör en redan befintlig styrningsbrist. Ledningen behöver då avgöra vilka brister som ska åtgärdas före revisionen, vilka som kan hanteras genom en korrigerande åtgärdsplan och vilka som kräver ett formellt accepterande av kvarstående risk. Besluten bör kopplas till ledningens genomgång och befintliga ledningssystem, inte hanteras i ett separat register utan utsedda ägare.

En SMETA-rapport beskriver överensstämmelse och arbetssätt på en viss plats vid en viss tidpunkt. Den är inte ett certifikat. Rapportens värde avgörs av kvaliteten på bevisen, om orsakerna till avvikelser undanröjs och om förändringarna består. Beredskapen mellan revisionerna kan följas genom antalet öppna åtgärder per allvarlighetsgrad och tidsfrist, andelen åtgärder vars effekt har verifierats samt återkommande iakttagelser i efterföljande bedömningar. Att en åtgärd har stängts administrativt visar inte i sig att risken är under kontroll.