SMETA-documentatie vóór de audit: beleid, procedures en registraties als één samenhangend systeem

SMETA-documentatie is geen verzameling beleidsstukken die uitsluitend voor het bezoek van de auditor wordt opgesteld. Zij moet aantonen dat afspraken over arbeidsvoorwaarden, registratie van werktijden, beloning, veiligheid, milieu, bedrijfsethiek en toezicht op extern personeel aantoonbaar in de praktijk worden toegepast. De auditor vergelijkt documenten met bronregistraties, waarnemingen op locatie en vertrouwelijke verklaringen van medewerkers. Tegenstrijdigheden tussen deze bronnen ondermijnen de betrouwbaarheid van de volledige bewijsvoering.

De voorbereiding begint daarom met het bevestigen van de auditomvang en het in kaart brengen van de processen zoals die daadwerkelijk worden uitgevoerd. Daarna moeten verantwoordelijkheden worden toegewezen, beleid en procedures worden geordend, gegevens uit verschillende systemen op elkaar worden afgestemd en moet een gereedheidsbeoordeling plaatsvinden. Het doel is niet om een papieren façade van conformiteit te creëren, maar om aan de hand van concrete medewerkers, diensten en gebeurtenissen te kunnen uitleggen welke afspraken gelden, welke besluiten zijn genomen, welke afwijkingen zich hebben voorgedaan en welke registraties daarvan beschikbaar zijn.

Een document is nog geen bewijs

SMETA moet worden beschouwd als een auditmethodiek voor ethisch verantwoord ketenbeheer, niet als een certificeerbare managementsysteemnorm. Het auditresultaat mag daarom niet als conformiteitscertificaat worden gepresenteerd. Sedex is een platform voor informatie-uitwisseling en geen instelling die een dergelijk certificaat afgeeft. Bij de voorbereiding moet de locatie aantonen dat de eisen van de opdrachtgever, het vastgestelde beleid, de feitelijke arbeidsomstandigheden en de bronregistraties met elkaar overeenstemmen.

De eerste stap is een schriftelijke bevestiging van de auditomvang door de klant of auditopdrachtgever. Daarbij moeten de locatie, het audittype, een twee- of vierpijleraudit, de primaire en ondersteunende processen, de betrokken groepen medewerkers en de te beoordelen registratieperiode worden afgestemd. Uitzendkrachten, medewerkers van onderaannemers en personeel in ploegendienst moeten worden meegenomen wanneer zij binnen de auditomvang vallen. Verifieer de eisen aan de hand van de actuele afspraken met de auditorganisatie en de toepasselijke SMETA-methodiek. Neem aannames uit een audit bij een andere locatie niet zonder meer over.

Het is zinvol de documentatie als bewijsroutes in te richten: van de beleidsregel, via toegewezen verantwoordelijkheid en uitgevoerde handeling, tot de registratie waarmee een concreet geval kan worden gereconstrueerd. Dit vraagt om samenwerking tussen HR, salarisadministratie, operations, arbodeskundigen en de verantwoordelijken voor onderaannemers. Eén coördinator moet de auditomvang, documentversies, volledigheid van gegevens en eigenaren van vastgestelde tekortkomingen bewaken. Een vergelijkbare aanpak voor het structureren van bewijs wordt beschreven in NIS2- en KSC-documentatie vóór een controle: welke beleidsstukken, registers en bewijzen zijn werkelijk nodig?.

De auditor toetst beleid en procedures aan waarnemingen op de werkplek, gesprekken met medewerkers en brongegevens. Een beleidsregel tegen buitensporige werktijden toont geen conformiteit aan wanneer tijdregistraties, roosters, loonadministratie en verklaringen van medewerkers een ander beeld geven. Belangrijker dan een uitgebreide procedure is dat een geselecteerde medewerker, dienst of periode volledig kan worden gevolgd en dat iedere afwijking kan worden verklaard. Een document dat uitsluitend vlak vóór het auditbezoek is opgesteld en niet door de praktijk wordt ondersteund, vergroot het risico dat inconsistenties aan het licht komen.

Risico- en verantwoordelijkheidsmatrix

Begin het ordenen van de documentatie met een proces- en risicomatrix voor werving en tewerkstelling, werktijden, beloning, gezond en veilig werken, milieu, bedrijfsethiek, onderaannemers en — indien van toepassing — huisvesting en vervoer. De matrix moet zijn gebaseerd op actuele organisatiegegevens en de werkelijke contractvormen, arbeidsbemiddelaars, ploegendiensten, locaties en nevenfaciliteiten weerspiegelen. Pas op basis van dit overzicht kan worden bepaald of documentbeheer centraal kan blijven of dat lokale proceseigenaren nodig zijn.

Voor ieder onderwerp moeten de proceseigenaar en registratie-eigenaar, de opslaglocatie, het vereiste toegangsniveau, de beoordelingsperiode en de wijze van goedkeuring van wijzigingen ondubbelzinnig zijn vastgelegd. Ook moet vooraf worden besloten hoe auditors toegang krijgen tot personeelsdossiers en salarisdocumenten. De toegang moet voldoende zijn voor verificatie en tegelijkertijd passen binnen de regels voor gegevensbescherming en de interne bevoegdheden.

De zwaarste tekortkomingen ontstaan vaak op de raakvlakken tussen verantwoordelijkheden. HR beheert de dossiers, de salarisadministratie verwerkt toeslagen, productie wijzigt het rooster, beveiliging registreert de toegang en een externe partij stelt personeel ter beschikking. Iedere afzonderlijke gegevensverzameling kan correct lijken, terwijl een onderlinge vergelijking een afwijkende praktijk zichtbaar maakt. Een documentatietekort betekent dat bewijs ontbreekt of niet toegankelijk is. Van een afwijkende praktijk is sprake wanneer betrouwbare registraties, waarnemingen of gesprekken aantonen dat de uitvoering afwijkt van het vastgestelde beleid.

Bij beperkte voorbereidingstijd krijgen onderwerpen prioriteit op basis van de mogelijke gevolgen voor mensen en conformiteit, de schaal van het risico en de moeilijkheid om gegevens te reconstrueren. Niet de procedures die het eenvoudigst kunnen worden geschreven, horen als eerste te worden aangepakt. Het management moet de verantwoordelijkheidsmatrix, benodigde middelen en escalatieroute voor afwijkingen goedkeuren. De coördinator bewaakt de omvang, planning en status van tekortkomingen, maar neemt de verantwoordelijkheid van HR, productie, de arbofunctie of inkoop niet over. Het belang van deze taakverdeling wordt ook toegelicht in ASME NQA-1 — kwaliteit, verantwoordelijkheid en toezicht structureren in projecten voor de nucleaire energiesector.

Beleid dat duidelijke grenzen stelt

Het beleidspakket moet voortkomen uit de bevestigde auditomvang, het risicoprofiel van de locatie, klanteisen en de voorschriften die op de activiteiten van toepassing zijn. Er bestaat geen universele set documenten voor iedere organisatie. Doorgaans zijn uitgangspunten nodig voor arbeidsnormen, het verbod op dwangarbeid en kinderarbeid, non-discriminatie en het tegengaan van intimidatie, vrijheid van vereniging, beloning en werktijden, gezond en veilig werken, milieu en bedrijfsethiek. Deze onderwerpen kunnen in één kaderdocument of in afzonderlijke beleidsstukken worden opgenomen, zolang de indeling aansluit op de verantwoordelijkheidsstructuur. Een gedragscode voor leveranciers kan dit geheel aanvullen, maar vervangt het interne beleid van de locatie niet.

Ieder beleidsdocument moet het commitment van het management, de betrokken doelgroepen, de verantwoordelijke rollen, beschikbare meldkanalen, bescherming tegen represailles, de wijze van behandeling en de communicatie aan medewerkers beschrijven. Goedkeuring door het bevoegde managementniveau geeft het document formele status, maar bewijst nog niet dat het is ingevoerd. Daarvoor zijn uitvoeringsmechanismen en bewijs nodig waaruit blijkt dat de doelgroep de regels kent, begrijpt en daadwerkelijk kan gebruiken. Indicatoren kunnen onder meer het bereik van de communicatie, bevestigd begrip en de tijdigheid van reacties op meldingen omvatten.

De personele reikwijdte mag niet beperkt blijven tot medewerkers met een arbeidsovereenkomst. Bepaal welke regels ook gelden voor andere contractvormen, uitzendkrachten, arbeidsmigranten en personeel van onderaannemers dat op de locatie werkt. Een anti-intimidatiebeleid is niet effectief wanneer een medewerker in de nachtdienst het meldkanaal niet kent of dit niet in een begrijpelijke taal kan gebruiken. Meertalige communicatie moet aansluiten op de werkelijke personeelsopbouw, niet uitsluitend op de formele taal van de documentatie.

Wees bijzonder zorgvuldig bij het overnemen van groepsbeleid. Controleer vóór invoering of de genoemde rollen binnen de lokale onderneming bestaan, de meldkanalen functioneren, reactietermijnen haalbaar zijn en de beschreven voorzieningen en organisatorische oplossingen daadwerkelijk gelden. Anders creëert het document verplichtingen die niet aansluiten op de praktijk.

Eén beleid voor verantwoord werkgeverschap kan meerdere documenten vervangen, mits verantwoordelijkheden zichtbaar blijven en de koppeling met de uitvoering behouden blijft. De documenthiërarchie moet helder zijn: beleid bepaalt het uitgangspunt, een procedure beschrijft het procesverloop, een instructie legt de uitvoeringswijze vast en een formulier of register borgt het bewijs. Dit onderscheid is ook bruikbaar bij de aanpak in Nulmeting vóór NEN-EN-ISO 9001 – de gereedheid van de organisatie betrouwbaar beoordelen zonder onnodige kosten.

Procedures die de praktijk beheersen

Ontwerp procedures in de eerste plaats voor de momenten waarop een beslissing van een leidinggevende, een afwijking van de planning of inconsistente gegevens tot een overtreding kunnen leiden. Voor personeelsprocessen gaat het onder meer om werving, controle van leeftijd en arbeidsrechtelijke status, het aangaan en wijzigen van arbeidsvoorwaarden, bevestiging van vrijwillige arbeid en het verbod op ongeoorloofde vergoedingen. Ook de beëindiging van de samenwerking en teruggave van documenten die aan de medewerker toebehoren moeten duidelijk zijn geregeld.

Niet iedere handeling vraagt om een afzonderlijke procedure wanneer processen dezelfde rollen en beheersmaatregelen hebben. Zaken met een andere vertrouwelijkheid, goedkeuringsroute of verantwoordelijkheid vereisen doorgaans wel een afzonderlijk procesverloop. De documentstructuur moet besluitvorming en bewijsregistratie ondersteunen, niet uitsluitend de organisatiestructuur formeel weerspiegelen.

De samenhang tussen personeelsbezetting, productiecapaciteit en werktijden vraagt om specifiek toezicht. De procedure moet beschrijven hoe diensten worden gepland, overwerk handmatig of in het systeem wordt goedgekeurd, aanwezigheid wordt geregistreerd en toeslagen, verlof en inhoudingen worden verwerkt. Een essentiële beheersmaatregel is de aansluiting tussen toegangsgegevens, roosters, urenregistratie en loonadministratie. Verschillen moeten vóór afsluiting van de salarisverwerking worden onderzocht en verklaard.

Wanneer een spoedorder een wijziging van de planning vereist, moet de afwijking vermelden wie deze heeft goedgekeurd, wat de grondslag van het besluit was, hoe de conformiteit is beoordeeld en welke registratie na uitvoering achterblijft. Grenzen, rusttijden, afrekenregels en termijnen moeten worden getoetst aan de actuele eisen voor de betreffende contractvorm en de situatie van de individuele medewerker. Gebruik hiervoor geen enkele waarde alsof die universeel van toepassing is.

Procedures voor gezond en veilig werken moeten aansluiten op de feitelijke gevaren van de locatie. Zij moeten onder meer betrekking hebben op risicobeoordeling, opleiding, selectie en verstrekking van persoonlijke beschermingsmiddelen, melding en onderzoek van ongevallen, noodvoorbereiding, eerste hulp en brandveiligheid. Afhankelijk van de activiteiten is ook toezicht nodig op inspecties van arbeidsmiddelen en op de veilige uitvoering van werkzaamheden met verhoogd risico.

Werkzaamheden waarvoor bijzondere veiligheidsmaatregelen nodig zijn, mogen niet uitsluitend op basis van een werkinstructie worden vrijgegeven. Er moet een eigenaar van het besluit zijn, met vastgelegde startvoorwaarden, stopcriteria en een controlebewijs. Een vergelijkbare aanpak voor competentiebeheer en bewijsvoering wordt beschreven in ISO 3834 – laswerkzaamheden, competenties en kwaliteitsregistraties in de productie beheersen.

Een klachten- en meldmechanisme vereist toegankelijke kanalen, waarborgen voor vertrouwelijkheid, onafhankelijke behandeling, termijnen, bescherming tegen represailles, terugkoppeling en een vastgelegde wijze van afsluiting. Een meldbox zonder behandelingsregister is geen volledige oplossing. Bepaal wie een melding over een leidinggevende of het management behandelt en wanneer deze naar een onafhankelijke persoon of partij wordt geëscaleerd. Het register moet inzicht geven in de tijdigheid van reacties, de status van de zaak en de uitvoering van maatregelen, zonder de gegevens van de melder onnodig bekend te maken.

Procedures voor milieu en bedrijfsethiek moeten evenredig zijn aan de relevante aspecten van de bedrijfsvoering. Zij kunnen betrekking hebben op toepasselijke eisen, afval, verbruik van hulpbronnen en milieu-incidenten, maar ook op belangenconflicten, geschenken, fraude en meldingen van misstanden. Beschrijf afwijkingen bij voorkeur aan de hand van de aanleiding, beslissingsbevoegdheid, grenzen van de uitzondering en vereiste registratie. Het is niet nodig om voor ieder denkbaar geval een afzonderlijke bepaling op te nemen.

Registraties waarmee feiten kunnen worden gereconstrueerd

Een registratie heeft waarde wanneer daarmee de arbeidsomstandigheden van een concrete medewerker of het verloop van een gebeurtenis kan worden gereconstrueerd: wie heeft wat, wanneer, op welke grondslag en met welk resultaat uitgevoerd? Bepaal vóór de audit voor ieder proces welke bron als referentie geldt, hoe versies herkenbaar zijn en hoe fouten worden gecorrigeerd zonder de oorspronkelijke invoer uit te wissen. Ook bewaartermijnen, toegankelijkheid en archivering zijn van belang. De registratie moet betrekking hebben op de juiste locatie en beoordelingsperiode en de herkomst ervan moet verifieerbaar zijn.

Personeelsdossiers en HR-registers moeten passen bij de status van de betreffende persoon. Zij kunnen de grondslag voor tewerkstelling of samenwerking, bevestiging van voorwaarden, gegevens voor rechtmatige arbeid, bewijs van opleiding en informatieverstrekking, wijzigingen in voorwaarden en beëindiging van de samenwerking omvatten. De belangrijkste toets blijft echter het volledig volgen van één medewerker: van rooster en feitelijke aanwezigheid, via urenregistratie en goedkeuring of opdracht voor extra werk, tot de loonberekening en bevestiging van betaling. Het HR-systeem, toegangsregistratiesysteem, de administratie van de leidinggevende en de loonstaat moeten dezelfde feitelijke situatie beschrijven.

Wanneer de toegangsregistratie aanwezigheid toont na het einde van de geregistreerde werktijd, mag dit verschil niet automatisch als overwerk worden beschouwd, maar ook niet als technische fout worden verwijderd. Onderzoek de oorzaak, vergelijk het rooster, de werkplekregistratie, instructies van de leidinggevende en de loonverwerking, en documenteer vervolgens de verklaring en de goedgekeurde correctie.

Selecteer de auditsteekproef op basis van risico. Neem verschillende contractvormen, ploegendiensten en afdelingen op, evenals piekproductieperioden, extra werkzaamheden en uitzonderingssituaties. De omvang van de steekproef moet voortkomen uit de schaal van de activiteiten en geconstateerde inconsistenties, niet uit een vast aantal zonder voorafgaande analyse.

Voor gezond en veilig werken moet de bewijsroute actuele risicobeoordelingen verbinden met registraties van opleidingen, medische onderzoeken en bevoegdheden, inspecties van arbeidsmiddelen en beveiligingen, uitgifte van persoonlijke beschermingsmiddelen, noodoefeningen, ongevallen, corrigerende maatregelen en beoordelingen van arbeidsomstandigheden. Voor milieu en ethiek moeten — indien deze onderwerpen binnen de auditomvang vallen — de voor de activiteiten relevante vergunningen en meldingen, meetresultaten, operationele registraties, incidenten, klachten, belangenconflicten, meldingen van misstanden en opvolgmaatregelen worden geordend. Het belang van traceerbare registraties wordt ook geïllustreerd in AQAP 2110 – welke documenten en processen beoordelen auditors het vaakst in de defensiesector?

Voor uitzendorganisaties en onderaannemers is een afzonderlijke bewijsroute nodig. De documentatie moet beoordeling mogelijk maken van hun kwalificaties, contractvoorwaarden, lijsten van ingezette medewerkers, vereiste meldingen, afrekeningen, uitgevoerd toezicht en reacties op vastgestelde tekortkomingen. Een commerciële overeenkomst alleen bewijst niet dat de aanwezige personen de juiste status hebben, de overeengekomen vergoedingen ontvangen en onder de gedeclareerde omstandigheden werken. De proceseigenaar moet daarom periodiek de gegevens van de contractpartij aansluiten op aanwezigheid, urenregistraties, afrekeningsdocumenten en resultaten van controles op locatie.

Gereedheidsbeoordeling en sluiting van tekortkomingen

De gereedheidsbeoordeling moet de werkwijze van de daadwerkelijke audit nabootsen: documentonderzoek, rondgang op locatie, gesprekken met management en medewerkers, steekproeven uit dossiers en aansluiting van gegevens tussen systemen. Een checklist met beleidsdocumenten is onvoldoende, omdat deze het verschil tussen een beschreven procedure en de praktijk tijdens een productiedienst niet zichtbaar maakt. Afhankelijk van de competentie en onafhankelijkheid van het team kan de organisatie zelf een proefaudit uitvoeren of een onafhankelijke beoordeling laten uitvoeren, volgens de aanpak die wordt beschreven in Nulmeting vóór NEN-EN-ISO 9001 – de gereedheid van de organisatie betrouwbaar beoordelen zonder onnodige kosten. Maak duidelijk onderscheid tussen deze beoordeling en de formele audit.

Classificeer iedere vastgestelde tekortkoming als:

• ontbrekend document of ontbrekende registratie;
• niet-geïmplementeerde beleidsregel;
• niet-effectieve beheersing;
• inconsistente gegevens;
• mogelijke overtreding die onmiddellijk ingrijpen vereist.

De classificatie bepaalt wie eigenaar van de zaak is en welke escalatieroute geldt. Een ontbrekende goedkeuring van een instructie kan bij de proceseigenaar worden belegd. Een vermoeden van onjuiste verwerking van werktijden vereist daarentegen onmiddellijke betrokkenheid van HR, het management en — afhankelijk van de omstandigheden — juridische ondersteuning. Een vergelijkbare risicobenadering wordt toegepast in Leveranciersaudit vóór contractondertekening – risico’s voor kwaliteit en leverbetrouwbaarheid beperken.

Een actieplan mag niet eindigen bij het toevoegen van een ontbrekend formulier. Het moet de correctie van de actuele situatie, analyse van de grondoorzaak, corrigerende maatregel, termijn, verantwoordelijke persoon, vereist uitvoeringsbewijs en beoordeling van de effectiviteit omvatten. De afsluiting van een tekortkoming moet worden goedgekeurd door iemand met voldoende competentie en onafhankelijkheid om het bewijs te beoordelen, en niet automatisch door degene die de maatregel heeft uitgevoerd.

Het gereedheidsregister moet tekortkomingen per onderwerp en risiconiveau, de eigenaren, termijnen en status van het bewijs tonen. Niet iedere tekortkoming kan vóór de audit verantwoord worden opgelost. Een nieuwe registratie die nog geen periode bestrijkt waarover de effectiviteit kan worden aangetoond, is nog geen bewijs van duurzame verbetering.

De voorbereiding van medewerkers en leidinggevenden bestaat uit uitleg over het doel van de audit, de rechten van deelnemers, vertrouwelijkheid en de wijze waarop informatie beschikbaar wordt gesteld. Het aanleren van gewenste antwoorden ondermijnt de betrouwbaarheid van gesprekken en kan werkelijke risico’s verhullen. Medewerkers moeten het toepasselijke beleid en de meldkanalen kennen, maar vanuit hun eigen ervaring kunnen antwoorden.

Het management neemt het gereedheidsbesluit op basis van het register met openstaande risico’s, de samenhang van de bewijsroutes en het vermogen van proceseigenaren om de praktijk feitelijk toe te lichten. Wanneer een mogelijke overtreding ten aanzien van medewerkers, een gebrek aan betrouwbare gegevens of een tekortkoming waarvoor een langere effectiviteitsbeoordeling nodig is blijft bestaan, moet de kwestie worden geëscaleerd. Als klanteisen en organisatorische afspraken dit toelaten, kunnen ernstige onopgeloste tekortkomingen aanleiding zijn om de auditdatum te wijzigen.