SMETA 2-Pillar og 4-Pillar – vælg auditomfang ud fra risiko og kundekrav

Forskellen mellem SMETA 2-Pillar og 4-Pillar handler ikke blot om antallet af spørgsmål eller dokumentationens omfang. 2-Pillar fokuserer på arbejdsstandarder samt arbejdsmiljø, mens 4-Pillar omfatter det samme grundlag og derudover miljøpraksis og forretningsetik. Et udvidet auditomfang betyder derfor, at flere processer, procesejere, dataansvarlige og evidenskilder skal inddrages. Omfanget bør bekræftes, inden forberedelserne går i gang. Et forkert valg kan medføre, at de forkerte områder bliver vurderet, eller at organisationen for sent opdager mangler, som ikke kan nå at blive afhjulpet.

To auditomfang kræver forskellige beslutninger

SMETA er en auditmetode til vurdering af etiske og sociale forhold i leverandørkæden. Det er ikke en ledelsessystemstandard og heller ikke en certificering, der kan sidestilles med ISO-certificering. Auditten vurderer praksis og evidens på en konkret lokation, herunder ansættelsesforhold, arbejdstilrettelæggelse, tekniske sikkerhedsforanstaltninger, driftsregistreringer og den faktiske efterlevelse af fastlagte principper. En politik eller procedure er ikke i sig selv afgørende for resultatet, og et positivt auditresultat indebærer ikke, at virksomheden modtager et certifikat.

Et bredere auditomfang er ikke automatisk det bedste valg. Kundens krav, leverandørprogrammets regler og de kontraktlige bestemmelser er afgørende. En kunde kan eksempelvis kræve 4-Pillar af en lokation med begrænset miljørisiko, hvis samme kriterier anvendes på tværs af hele leverandørgruppen. Inden forberedelserne begynder, bør virksomheden derfor bekræfte den version af auditmetoden, der gælder på audittidspunktet, det krævede omfang og den praktiske håndtering af auditten på Sedex-platformen.

En lokation kan have velordnede personalemapper, arbejdstidsregistrering og arbejdsmiljøstyring, men samtidig mangle sammenhængende evidens for affald, ressourceforbrug, interessekonflikter eller indberetning af uregelmæssigheder. Hvis forberedelserne alene drives af HR og arbejdsmiljøfunktionen, dækkes kun en del af kravene i 4-Pillar. Et udvidet omfang kræver involvering af flere procesejere og kontrol af den faktiske praksis – ikke blot to ekstra kapitler i en procedure.

Det skal også afklares, hvilke lokationer og aktiviteter, hvor mange medarbejdere og hvilke ansættelsesformer vurderingen omfatter. Det gælder også vikararbejde og underleverandører, hvor det er relevant. Omfanget bør udledes af ordren, kontrakten eller kundeportalen og ikke fastlægges ud fra virksomhedens egne antagelser. Det er særligt vigtigt, når SMETA anvendes som kundeaudit. En bredere organisatorisk sammenhæng beskrives i materialet Sådan forbereder du virksomheden til en andenpartsaudit hos en nøgleleverandør.

Hvad omfatter 2-Pillar?

2-Pillar omfatter arbejdsstandarder og arbejdsmiljø, men vurderingen er ikke begrænset til personalepolitikker, procedurer og personalemapper. På beskæftigelsesområdet undersøger auditor blandt andet, om arbejdet er lovligt og frivilligt, samt arbejdstid, løn, ligebehandling, organisationsfrihed, forbud mod børnearbejde og uacceptable disciplinære metoder. Den faktiske arbejdstilrettelæggelse er central: Hvem udfører arbejdet, på hvilket grundlag, hvornår og efter hvilke principper bliver personen aflønnet?

På en polsk lokation kræver arbejdstidsregistrering, overarbejde og hvileperioder, lønfradrag, ferie, civilretlige kontrakter, vikaransættelser og udenlandske medarbejderes lovlige beskæftigelse særlig opmærksomhed. HR-, løn- og produktionsdata bør beskrive det samme faktiske arbejdsforløb. Hvis adgangsregistrering, vagtplaner eller produktionsdata viser en medarbejders tilstedeværelse, som ikke fremgår af arbejdstidsregistreringen, fjerner et formelt korrekt HR-dokument ikke risikoen. Der bør derfor udpeges en ansvarlig for HR- og løndata samt fastlægges regler for indhentning af oplysninger fra vikarbureauer og andre leverandører af arbejdskraft.

Arbejdsmiljøsøjlen omfatter både organiseringen af tilsynet og de forhold, der kan observeres på arbejdspladsen. Vurderingen kan blandt andet omfatte, om arbejdspladsvurderinger og risikovurderinger er aktuelle og dækkende, maskinsikring, brug af personlige værnemidler, frie flugtveje, brandsikring, førstehjælp, uddannelse og håndtering af arbejdsulykker og nærved-hændelser. Registreringer af kontrol med sikkerhedsforanstaltninger og afhjælpning af fejl skal også kunne dokumenteres. Beskriver dokumentationen et effektivt tilsyn, mister den troværdighed, hvis auditor under rundgangen konstaterer omgåede maskinafskærmninger, blokerede udgange eller manglende brug af påkrævede værnemidler.

Auditor udvælger stikprøver af dokumentationen og sammenholder dem med observationer på lokationen og medarbejdernes udsagn. Data om arbejdstid, løn, ferie og hvile kan eksempelvis blive sammenlignet med adgangsregistreringer, vagtplaner eller driftsdata. Uddannelses- og inspektionsregistre kan tilsvarende blive holdt op mod praksis ved arbejdsstationen. Uoverensstemmelser mellem datakilder er et væsentligt risikosignal, især når de gentager sig eller vedrører vikarer, udenlandske medarbejdere eller personer, der arbejder gennem en mellemmand. Inden auditten bør virksomheden også fastlægge rammerne for auditors adgang til dokumentation og medarbejdere under hensyntagen til fortrolighed og databeskyttelse.

Forberedelsen til 2-Pillar kan ikke alene placeres hos den kvalitetsansvarlige. Den kræver samarbejde mellem HR og løn, arbejdsmiljøfunktionen, produktion, vedligehold, sikringsfunktioner samt bureauer og andre virksomheder, der stiller arbejdskraft til rådighed. Procesejerne bør afstemme medarbejderstrukturen efter kontraktgrundlag og mellemmand, ansvaret for fuldstændige data og metoden til at undersøge uoverensstemmelser. En tilsvarende koordinering er nødvendig, når organisationen overvejer, hvordan teamet forberedes til en kundeaudit med krav om APQP, PPAP og årsagsanalyse.

Hvad tilføjer 4-Pillar?

4-Pillar udvider auditten med to selvstændige områder: miljøledelse og forretningsetik. Det er ikke blot ekstra spørgsmål til den systemansvarlige. Områderne kræver deltagelse fra yderligere procesejere og adgang til andre typer evidens. Forberedelserne bør afspejle lokationens aktivitetsprofil, kundens krav og den faktiske ansvarsfordeling – ikke være en mekanisk udvidelse af dokumentlisten fra 2-Pillar.

Miljøsøjlen omfatter den måde, virksomheden identificerer krav og styrer lokationens miljøpåvirkning på. Afhængigt af aktiviteterne kan vurderingen vedrøre forbrug af energi, vand og andre ressourcer, affaldshåndtering, emissioner, spildevand, kemiske stoffer samt beredskab ved spild og andre miljøhændelser. Udgangspunktet bør være et register over de krav, der gælder for lokationen, herunder afgørelser, tilladelser, anmeldelser, målinger og rapporteringsforpligtelser.

Dokumenternes blotte eksistens dokumenterer ikke efterlevelse. Lokationen skal kunne påvise styring af vilkår i afgørelser, frister, ansvar, måleresultater og handlinger efter konstaterede afvigelser. Auditor kan sammenholde vilkårene i en afgørelse med affaldsregistreringer, måleresultater eller forbrugsdata og kontrollere, hvem der analyserer overskridelser eller usædvanlige ændringer. Et implementeret miljøledelsessystem kan skabe struktur omkring denne styring, men erstatter ikke evidens for, at den fungerer effektivt.

Søjlen for forretningsetik er heller ikke opfyldt med et adfærdskodeks alene. Den omfatter mekanismer til forebyggelse af korruption, interessekonflikter, misbrug og repressalier samt kanaler til indberetning af uregelmæssigheder, gennemførelse af undersøgelser og medarbejdernes kendskab til ordningerne. At mekanismerne fungerer, kan blandt andet dokumenteres gennem status på indberetninger, uddannelse, erklæringer om interessekonflikter og dokumenterede undersøgelser, som fremlægges under hensyntagen til fortrolighed. En whistleblowerkanal, der kun eksisterer formelt og mangler procesejer, regler for sagsklassifikation og beskyttelse af indberettere, udgør svag evidens.

Vurderingen tager udgangspunkt i de gældende lovkrav og driftsvilkår for den konkrete lokation, men auditten kan også omfatte kundens forventninger og effektiviteten af virksomhedens interne mekanismer. Forberedelsen til 4-Pillar kræver derfor deltagelse fra ansvarlige for miljø, indkøb, økonomi, salg, compliance, håndtering af indberetninger og undersøgelser samt ledelsen, der træffer afgørelse i konfliktsituationer. Der skal udpeges en ejer af registret over miljøkrav og en ejer af indberetningsprocessen med klart definerede beføjelser, fortrolighedsregler og eskalationsveje.

Hvor stiger omkostningerne og risikoen?

Ressourceforbruget ved forberedelse til SMETA vokser ikke proportionalt med antallet af søjler eller spørgsmål. De største omkostninger opstår, når data er spredt mellem afdelinger, ansvaret er uklart, og praksis afviger fra procedurerne. Inden auditor vælges, bør virksomheden derfor ikke kun vurdere dokumentationsmængden, men også antallet af berørte processer og procesejere, stikprøvernes fuldstændighed og indbyrdes sammenhæng samt den nødvendige tid til at fjerne årsagerne til uoverensstemmelser.

4-Pillar øger antallet af afhængigheder mellem HR, produktion, arbejdsmiljø, miljø, indkøb, økonomi og compliance. Hvis hele forberedelsen overlades til kvalitetsafdelingen, fører det ofte til forsinkelser eller til evidens, der er formelt komplet, men ikke dokumenterer, at mekanismerne fungerer i praksis.

Gap-analysen bør skelne mellem mangler, der kan afhjælpes ved at tydeliggøre ansvar og registreringer, og problemer, der kræver ændringer i arbejdstilrettelæggelsen eller infrastrukturen. Blandt de mest krævende forhold er systematisk overarbejde som følge af kapacitetsplanlægningen, uoverensstemmelser i løndata, utilstrækkelig maskinsikring, mangler i brandsikringen, uhensigtsmæssig kemikaliehåndtering og manglende overholdelse af vilkår i miljøafgørelser. Sådanne problemer løses ikke ved at tilføje en procedure eller gennemføre en enkeltstående uddannelse.

Ledelsen bør beslutte, hvilke mangler der skal afhjælpes inden auditten på grund af risikoen for mennesker, retlig efterlevelse eller kundekrav, og hvilke der – hvis kravets karakter og kundens holdning tillader det – kan håndteres gennem en troværdig handlingsplan med frist, ejer og sikret finansiering.

Et typisk problem er ikke manglen på dokumenter, men integriteten af auditdata. En lokation kan have komplette procedurer for arbejdstid, mens produktionsplanen og registreringen af linjestart viser arbejde, som ikke fremgår af arbejdstidsregistreringen. På miljøområdet kan et tilsvarende signal være en uoverensstemmelse mellem registreret affaldsmængde, lagerbeholdning og dokumentationen for overdragelse. Auditor vurderer, om det faktiske procesforløb kan rekonstrueres – ikke hvor præsentabelt registret ser ud. Afhjælpning kræver derfor analyse af datakilderne, afstemning af registreringer mellem systemer og fjernelse af den mekanisme, der skaber uoverensstemmelserne.

Budgettet for forberedelserne kan med fordel opdeles i gap-analyse, organisatoriske tiltag, tekniske tilpasninger, uddannelse, komplettering af registreringer og en reserve til korrigerende handlinger efter auditten. Der er ikke grundlag for at anvende én standardsats for henholdsvis 2-Pillar og 4-Pillar. De tekniske omkostninger afhænger af bygningens og processernes tilstand, mens de organisatoriske omkostninger afhænger af styringens modenhed. Relevante nøgletal kan være andelen af fuldstændige og indbyrdes konsistente registreringer i stikprøven, den tid afvigelser forbliver uløste, og antallet af processer uden en entydig ejer. En tilsvarende tilgang til omkostningsfordeling beskrives i materialet Hvad koster implementering af NIS2 og uKSC – sådan budgetteres audit, dokumentation, uddannelse og sikkerhedsforanstaltninger uden dyre fejl. For SMETA bør logikken anvendes på lokationens faktiske mangler inden for arbejdsforhold, arbejdsmiljø, miljø og etik.

Sådan vælges omfang og forberedelsesniveau

Valget af auditomfang bør begynde med en entydig bekræftelse af audittens formål, modtageren af resultaterne, de omfattede lokationer og valget mellem 2-Pillar og 4-Pillar. Den gældende version af auditmetoden, kundens supplerende krav og reglerne for deling af resultater bør også afklares. Først derefter kan virksomheden udpege en auditkoordinator, ejere af de enkelte områder og kriterier for auditparathed.

Hvis kunden kræver 4-Pillar, kan organisationens egen vurdering af, at miljømæssige eller etiske risici er begrænsede, ikke begrunde et mindre omfang. Hvis kunden overlader valget til leverandøren, bør beslutningen baseres på aktivitetsprofilen og virksomhedens reelle styringsevne.

Kravene bør derefter knyttes til processer, lokationer, datakilder og ansvarlige personer. En matrix kan klassificere hvert krav som opfyldt, delvist opfyldt, ikke opfyldt eller ikke relevant. Sidstnævnte status kræver en saglig begrundelse. Gap-analysen må ikke begrænses til et selvevalueringsskema. Den bør kombinere gennemgang af dokumenter og registreringer med observationer på lokationen og samtaler med medarbejdere og procesejere. Dermed bliver det muligt at skelne mellem manglende enkeltstående evidens, ineffektiv styring og praksis, der strider mod de fastlagte principper.

En prøveaudit bør følge samme logik som den egentlige audit. For en udvalgt medarbejder bør virksomheden kontrollere sammenhængen mellem kontrakt, arbejdstidsregistrering, vagtplan, lønseddel og dokumentation for betaling og derefter verificere forholdene ved personens arbejdsstation. Ved 4-Pillar bør et konkret miljøaspekt eller en etisk risiko på tilsvarende måde forbindes med ansvar, styringsmetode og registreringer, der dokumenterer den faktiske praksis. Overensstemmelse mellem dokumenter, observationer og interviews er mere sigende end komplette procedurer alene.

Forberedende handlinger bør prioriteres efter risikoens betydning, problemets årsag og den praktiske gennemførlighed. Hver handling bør have en frist, en ejer og en defineret dokumentation for gennemførelse. Et dokument, der alene er udarbejdet til auditten, erstatter hverken implementering eller registreringer fra en periode med faktisk anvendelse. Tidsrummet mellem gap-analysen og auditten skal passe til ændringernes karakter: En justering af ansvarsfordelingen kræver andre ressourcer end ombygning af sikkerhedsforanstaltninger, ændring af arbejdstidsorganisationen eller etablering af miljøstyring.

Handlinger og evidens bør godkendes af procesejeren og – når forholdet er væsentligt for risiko, ressourceforbrug eller retlig efterlevelse – også af det relevante ledelsesmedlem. Forberedelse til ISO-audit: en trinvis vejledning kan anvendes som reference, men forberedelsen til SMETA bør ikke drives som et projekt for certificering af et ledelsessystem.

Inden auditten bør teamet afprøve adgang til data, procesejernes svar, tilrettelæggelsen af besøget og rammerne for fortrolige medarbejderinterviews. Kriteriet for parathed bør ikke være, at »dokumentationen er komplet«, men at »kravet fungerer i praksis, den ansvarlige kan forklare det, og registreringer og observationer bekræfter den samme arbejdsgang«. Materialet Sådan forbereder du virksomheden til en andenpartsaudit hos en nøgleleverandør kan desuden bruges ved fastlæggelsen af ansvar for besøgets gennemførelse og fremlæggelsen af evidens.

Omfanget skal afspejle både krav og risiko

2-Pillar er det rigtige valg, når omfanget svarer til modtagerens krav og vurderingens formål. Det betyder ikke, at miljøforpligtelser eller principper for etisk forretningsførelse ophører med at gælde. De skal fortsat styres særskilt på grundlag af lovgivning, kontraktlige forpligtelser og virksomhedens egne principper. 4-Pillar giver et bredere billede af leverandørrisikoen, men kræver reel involvering af miljø-, indkøbs- og økonomiprocesserne samt de funktioner, der forebygger og håndterer misbrug.

Før auditten bestilles, bør ledelsen godkende auditvarianten, den vurderede lokation, procesejerne, budgettet til tekniske tiltag, eskalationsreglerne og metoden til opfølgning efter auditten. Beslutningen bør bygge på tre forhold:

• kundens eller leverandørprogrammets krav,
• lokationens operationelle risikoprofil,
• organisationens evne til at dokumentere effektiv styring.

Hvad er en SWOT-analyse? kan anvendes som et supplerende værktøj til at strukturere rammebetingelserne, men erstatter hverken risikovurderingen eller gennemgangen af evidens.

Hvis en lokation vælger 4-Pillar uden tidligere at have placeret ansvaret for miljøaspekter eller korruptionsrisici i indkøbsprocessen, skaber det bredere auditomfang ikke problemet – det synliggør en eksisterende styringsmangel. Ledelsen bør derefter beslutte, hvilke mangler der kræver handling inden auditten, hvilke der kan omfattes af en korrigerende handlingsplan, og hvilke der kræver formel accept af restrisikoen. Beslutningerne bør kobles til ledelsens evaluering og de eksisterende ledelsessystemer frem for at blive placeret i et separat register uden tydelige ejere.

En SMETA-rapport beskriver efterlevelse og praksis på et bestemt sted og tidspunkt; den er ikke et certifikat. Rapportens værdi afhænger af evidensens kvalitet, om årsagerne til afvigelser bliver fjernet, og om ændringerne fastholdes. Paratheden mellem audits kan eksempelvis følges gennem antallet af åbne handlinger fordelt efter væsentlighed og frist, andelen af handlinger, hvis effektivitet er verificeret, og gentagelsen af samme fund ved senere vurderinger. En formelt afsluttet opgave dokumenterer ikke i sig selv, at risikoen er bragt under kontrol.