SMETA-dokumentation inför revision: policyer, rutiner och underlag som måste bilda en sammanhängande helhet

SMETA-dokumentation är inte en samling policyer som tas fram inför revisorns besök. Den ska visa att principerna för anställning, registrering av arbetstid och löneberäkning, arbetsmiljö, miljö, affärsetik och kontroll av extern personal tillämpas i praktiken. Revisorn jämför dokumentationen med källdata, observationer på anläggningen och konfidentiella intervjuer med arbetstagare. Bristande överensstämmelse mellan dessa källor undergräver trovärdigheten i hela beviskedjan.

Förberedelserna bör därför börja med att revisionsomfattningen bekräftas och de faktiska processerna kartläggs. Därefter behöver ansvar fördelas, policyer och rutiner struktureras, uppgifter mellan olika system stämmas av och en beredskapsgranskning genomföras. Syftet är inte att skapa en fasad av efterlevnad, utan att visa att verksamheten kan förklara sina regler, beslut, avvikelser och registreringar med utgångspunkt i konkreta personer, skift och händelser.

Ett dokument är inte i sig ett revisionsbevis

SMETA ska betraktas som en metodik för etisk revision i leverantörskedjan, inte som en certifieringsbar ledningssystemstandard. Revisionsresultatet ska inte presenteras som ett certifikat om överensstämmelse. Sedex är en plattform för informationsutbyte, inte ett organ som utfärdar ett sådant certifikat. Verksamhetens uppgift är att visa samstämmighet mellan uppdragsgivarens krav, deklarerade principer, faktiska arbetsförhållanden och underliggande källdata.

Det första beslutet bör vara att skriftligen bekräfta omfattningen med kunden eller revisionsbeställaren. Överenskommelsen behöver omfatta plats, revisionstyp, två- eller fyrpelaromfattning, huvud- och stödprocesser, berörda arbetstagargrupper samt den period som underlagen ska täcka. Inhyrd personal, underleverantörer och skiftarbetande personal ska inkluderas när de omfattas av bedömningen. Kraven bör verifieras mot aktuella överenskommelser med revisionsorganet och relevanta SMETA-dokument, i stället för att antaganden från en annan anläggnings revision återanvänds.

Dokumentationen bör organiseras som beviskedjor: från den fastställda principen, via tilldelat ansvar och genomförd aktivitet, till en registrering som gör det möjligt att återskapa ett konkret fall. Det kräver samarbete mellan HR, lön, drift, arbetsmiljöfunktion och ansvariga för underleverantörer. En samordnare bör hålla ihop omfattning, dokumentversioner, datakomplettering och ansvariga för identifierade brister. Samma logik för att strukturera bevis beskrivs i NIS2- och KSC-dokumentation inför tillsyn: vilka policyer, register och bevis behöver verkligen finnas?.

Revisorn jämför policyer och rutiner med observationer på arbetsplatserna, arbetstagarintervjuer och källdata. En policy som förbjuder oskäligt lång arbetstid visar inte efterlevnad om tidsregistrering, scheman, lönelistor och arbetstagarnas uppgifter visar något annat. Viktigare än en omfattande rutinbeskrivning är möjligheten att följa en utvald person, ett skift eller en period och förklara varje avvikelse. Ett dokument som upprättats enbart inför besöket, utan stöd i den faktiska tillämpningen, ökar risken för att inkonsekvenser upptäcks i stället för att minska den.

Karta över risker och ansvar

Arbetet med dokumentationen bör börja med en process- och riskkarta som omfattar anställning, arbetstid, löner, arbetsmiljö, miljö, affärsetik, underleverantörer samt – där det är relevant – boende och transporter. Kartan ska återspegla de faktiska anställningsformerna, bemanningsleverantörerna, skiften, platserna och eventuella sidoanläggningarna utifrån organisationens aktuella uppgifter. Först då går det att avgöra om dokumentstyrningen kan vara centraliserad eller om lokala ansvariga behöver utses.

För varje område behöver processägare och informationsägare anges tydligt, liksom dokumentationens lagringsplats, nödvändig åtkomstnivå, granskningsperiod och metod för att godkänna ändringar. Ett separat beslut krävs om hur revisorn ska få tillgång till personalakter och löneunderlag. Åtkomsten ska möjliggöra verifiering samtidigt som regler för dataskydd och interna behörigheter respekteras.

De allvarligaste bristerna uppstår ofta i gränssnittet mellan olika ansvarsområden. HR förvaltar personalakterna, lönefunktionen beräknar tillägg, produktionen ändrar schemat, säkerhetspersonalen registrerar inpassering och ett externt företag skickar personal till anläggningen. Varje datamängd kan se korrekt ut isolerat, medan en jämförelse visar en avvikande faktisk tillämpning. En dokumentationsbrist innebär att ett bevis saknas eller inte är tillgängligt. En avvikande tillämpning föreligger däremot när tillförlitliga registreringar, observationer eller intervjuer visar att den fastställda principen inte följs.

När tiden är begränsad ska prioritet ges åt frågor som kan få störst konsekvenser för människor och efterlevnad, berör många och där data är svåra att återskapa – inte åt de rutiner som är enklast att skriva. Ledningen bör fastställa ansvarsmatris, resurser och eskaleringsväg för avvikelser. Samordnaren håller ihop omfattning, tidsplan och status för bristerna, men övertar inte HR:s, produktionens, arbetsmiljöfunktionens eller inköps ansvar. Betydelsen av denna ansvarsfördelning behandlas även i ASME NQA-1 – struktur för kvalitet, ansvar och styrning i kärnenergiprojekt.

Policyer som sätter ramarna

Policypaketet ska utgå från den bekräftade revisionsomfattningen, anläggningens riskprofil, kundens krav och de regler som gäller för verksamheten. Det finns ingen enda uppsättning som passar alla organisationer. Normalt behövs principer för arbetsvillkor, förbud mot tvångsarbete och barnarbete, likabehandling och förebyggande av trakasserier, föreningsfrihet, löner och arbetstid, arbetsmiljö, miljö samt affärsetik. De kan samlas i ett övergripande dokument eller delas upp i områdesspecifika policyer om indelningen motsvarar ansvarsfördelningen. En uppförandekod för leverantörer kan komplettera strukturen men ersätter inte de regler som gäller inom den egna verksamheten.

Varje policy bör ange ledningens åtagande, vilka grupper som omfattas, ansvariga roller, tillgängliga rapporteringskanaler, skydd mot repressalier, hur ärenden hanteras och hur innehållet kommuniceras till arbetstagarna. Godkännande på rätt ledningsnivå ger dokumentet mandat men visar inte att det är infört. Det krävs genomförandemekanismer och bevis för att mottagarna känner till, förstår och kan använda principerna. Bedömningen kan exempelvis omfatta kommunikationens räckvidd, verifierad förståelse och svarstider för inkomna rapporter.

Omfattningen får inte begränsas till direktanställda. Organisationen behöver avgöra vilka principer som även gäller uppdragstagare, inhyrda och migrerande arbetstagare samt underleverantörers personal på anläggningen. En policy mot trakasserier är inte verksam om en nattarbetare inte känner till rapporteringskanalen eller inte kan använda den på ett språk som personen förstår. Flerspråkig kommunikation ska utgå från den faktiska personalsammansättningen, inte från dokumentationens formella språk.

Särskild försiktighet krävs när koncernpolicyer införs. Innan de antas måste organisationen kontrollera om de angivna rollerna finns i det svenska bolaget, om rapporteringskanalerna fungerar, om svarstiderna är genomförbara och om de beskrivna förmånerna och organisatoriska lösningarna faktiskt gäller. Annars skapar dokumentet ett åtagande som inte överensstämmer med praktiken.

En sammanhållen policy för ansvarsfulla arbetsvillkor kan ersätta flera separata dokument, förutsatt att ansvaret förblir tydligt och policyn är kopplad till genomförandet. Dokumenthierarkin bör vara lätt att förstå: policyn fastställer principen, rutinen beskriver arbetsflödet, instruktionen anger hur uppgiften ska utföras och formuläret eller registret bevarar beviset. Samma åtskillnad är användbar i det arbetssätt som beskrivs i Nulägesrevision inför SS-EN ISO 9001 – en tillförlitlig bedömning av organisationens beredskap utan onödiga kostnader.

Rutiner som styr det faktiska arbetssättet

Rutiner bör framför allt utformas för de punkter där ett chefsbeslut, en avvikelse från planen eller inkonsekventa uppgifter kan leda till överträdelser. Inom personalområdet bör de omfatta rekrytering, kontroll av ålder och rätt att arbeta, ingående och ändring av anställningsvillkor, bekräftelse av att arbetet är frivilligt samt förbud mot otillåtna rekryteringsavgifter. Avslut av anställning eller uppdrag och återlämnande av handlingar som tillhör arbetstagaren behöver regleras lika tydligt.

Varje aktivitet kräver inte en separat rutin om processerna delar roller och kontrollåtgärder. Separata arbetsflöden behövs däremot för ärenden med olika krav på konfidentialitet, godkännande eller ansvar. Dokumentstrukturen ska underlätta beslut och säkra spårbara bevis, inte enbart avbilda organisationsstrukturen.

Sambandet mellan bemanning, produktionskapacitet och arbetstid kräver särskild styrning. Rutinen bör ange hur skift planeras, övertid godkänns – manuellt eller i ett system – närvaro registreras samt tillägg, ledighet och avdrag hanteras. En grundläggande kontroll är att stämma av uppgifter från inpasseringssystem, scheman, arbetstidsregistrering och lönesystem samt att förklara avvikelser innan lönekörningen avslutas.

Om en brådskande order kräver att planen ändras ska avvikelsen dokumentera vem som godkände beslutet, grunden för beslutet, bedömningen av efterlevnad och vilket underlag som sparades efter genomförandet. Gränser, viloperioder, beräkningsregler och tidsfrister ska bedömas mot aktuella krav för personens anställnings- eller uppdragsform och individuella situation – inte mot ett enda generellt värde.

Arbetsmiljörutinerna ska motsvara anläggningens verkliga risker. De bör reglera riskbedömningar, utbildning, val och tillhandahållande av personlig skyddsutrustning, rapportering och utredning av olyckor, beredskap, första hjälpen och brandskydd. Det behövs också kontroll av utrustningsbesiktningar och säkert utförande av särskilt riskfyllda arbeten, anpassat till verksamheten.

Tillstånd att utföra arbete som kräver särskilda skyddsåtgärder får inte enbart baseras på en arbetsinstruktion. Det måste finnas en ansvarig beslutsfattare, fastställda startvillkor, kriterier för att avbryta arbetet och dokumenterade kontroller. Samma logik för styrning av kompetens och bevis beskrivs i ISO 3834 – styrning av svetsning, kompetens och kvalitetsdokumentation i produktionen.

Klagomålsmekanismen behöver definiera tillgängliga kanaler, konfidentialitet, oberoende handläggning, tidsfrister, skydd mot repressalier, återkoppling och hur ärenden avslutas. En brevlåda utan handläggningsregister är inte en komplett lösning. Det måste vara tydligt vem som tar emot en anmälan som gäller en chef eller ledningen och när ärendet överförs till en oberoende person eller part. Registret bör göra det möjligt att bedöma svarstider, ärendestatus och genomförda åtgärder utan omotiverad exponering av anmälarens uppgifter.

Miljöområdet och affärsetiken ska ha rutiner som står i proportion till verksamhetens aspekter. De kan omfatta styrning av tillämpliga krav, avfall, resursanvändning och miljöincidenter samt intressekonflikter, gåvor, oegentligheter och rapportering. Avvikelser bör beskrivas genom beslutsskäl, beslutsbehörighet, undantagets gränser och nödvändig registrering, i stället för att dokumentet byggs ut för varje tänkbart fall.

Registreringar som gör fakta spårbara

En registrering har värde när den gör det möjligt att återskapa en viss persons arbetsvillkor eller ett händelseförlopp: vem som gjorde vad, när, på vilken grund och med vilket resultat. Inför revisionen behöver organisationen därför fastställa referensdatakällan för varje process, regler för versionsidentifiering och hur fel korrigeras utan att den ursprungliga uppgiften raderas. Lagring, tillgänglighet och arkivering är lika viktiga. Underlaget måste avse rätt anläggning och granskningsperiod, och dess ursprung ska kunna verifieras.

Personalakter och HR-register ska motsvara personens faktiska status. De kan omfatta grund för anställning eller uppdrag, bekräftade villkor, uppgifter som krävs för lagligt arbete, dokumentation av utbildning och information, villkorsändringar samt avslut av relationen. Det viktigaste testet är ändå att följa en person genom hela processen: från schema, faktisk närvaro och arbetstidsregistrering, via godkännande eller beordrande av extraarbete, till löneberäkning och bekräftad utbetalning. HR-systemet, inpasseringsloggen, chefens dokumentation och lönelistan måste beskriva samma faktiska förhållanden.

Om inpasseringssystemet visar närvaro efter den registrerade arbetstidens slut ska avvikelsen varken automatiskt klassificeras som övertid eller avfärdas som ett tekniskt fel. Orsaken behöver utredas genom jämförelse med schema, arbetsplatsregistrering, arbetsledarens instruktioner och löneunderlag. Förklaringen och en godkänd korrigering ska därefter dokumenteras.

Urvalet för granskning ska vara riskbaserat. Det bör omfatta olika anställningsformer, skift och avdelningar, perioder med hög produktion, extraarbete och undantagsfall. Urvalets storlek ska bygga på verksamhetens omfattning och identifierade avvikelser, inte på ett fast antal utan föregående analys.

Inom arbetsmiljöområdet ska beviskedjan koppla aktuella riskbedömningar till register över utbildning, medicinska kontroller och behörigheter, kontroller av utrustning och skydd, tillhandahållande av skyddsutrustning, beredskapsövningar, olyckor, korrigerande åtgärder och uppföljningar av arbetsförhållanden. För miljö och affärsetik ska verksamheten strukturera relevanta tillstånd och anmälningar, mätresultat, driftjournaler, incidenter, klagomål, intressekonflikter, rapporterade överträdelser och uppföljningsåtgärder – om dessa områden ingår i revisionen. Betydelsen av spårbara registreringar illustreras också i AQAP 2110 – vilka dokument och processer granskar revisorer oftast inom försvarssektorn?

En separat beviskedja behöver byggas för bemanningsföretag och underleverantörer. Dokumentationen ska möjliggöra bedömning av deras kvalificering, avtalsvillkor, förteckningar över utstationerad eller inhyrd personal, obligatoriska anmälningar, avräkningar, genomförd kontroll och hantering av identifierade brister. Ett kommersiellt avtal visar inte i sig att personer på anläggningen har rätt status, får överenskomna ersättningar och arbetar under deklarerade villkor. Processägaren bör därför regelbundet stämma av leverantörens uppgifter mot närvaro, arbetstidsregistrering, ekonomiska underlag och resultat från kontroller på plats.

Beredskapsgranskning och hantering av brister

Beredskapsgranskningen bör efterlikna den ordinarie revisionens logik: dokumentgranskning, rundvandring på anläggningen, intervjuer med ledning och arbetstagare, stickprov i personalakter samt avstämning av uppgifter mellan system. En checklista över policyer räcker inte, eftersom den inte visar skillnaden mellan vad rutinen föreskriver och vad som faktiskt sker under ett produktionsskift. Beroende på teamets kompetens och oberoende kan organisationen genomföra en provrevision internt eller beställa en oberoende bedömning enligt arbetssättet i Nulägesrevision inför SS-EN ISO 9001 – en tillförlitlig bedömning av organisationens beredskap utan onödiga kostnader. Beredskapsgranskningen ska tydligt hållas åtskild från den ordinarie revisionen.

Varje identifierad brist bör klassificeras som:

• saknat dokument eller underlag;
• bristande införande av en fastställd princip;
• ineffektiv styrning eller kontroll;
• avvikelse mellan datakällor;
• potentiell överträdelse som kräver omedelbar åtgärd.

Klassificeringen avgör vem som äger frågan och hur den ska eskaleras. Ett ej godkänt arbetsdokument kan hanteras av processägaren, medan misstänkt felaktig hantering av arbetstid kräver omedelbar medverkan från HR, ledningen och – beroende på omständigheterna – juridisk rådgivning. En liknande riskbedömningslogik används i Leverantörsrevision före avtal – minska riskerna för kvalitet och leveransförmåga.

Åtgärdsplanen får inte stanna vid att ett formulär som saknas läggs till. Den bör omfatta rättelse av det aktuella förhållandet, rotorsaksanalys, korrigerande åtgärd, tidsfrist, ansvarig person, nödvändigt genomförandebevis och effektivitetsbedömning. Stängning av bristen bör godkännas av en person med tillräcklig kompetens och oberoende för att bedöma beviset, inte automatiskt av den som genomförde åtgärden.

Beredskapsregistret bör visa brister per område och risknivå, ansvariga, tidsfrister och status för bevisningen. Alla brister kan inte hanteras ansvarsfullt före revisionen. Ett nytt underlag som ännu inte täcker en tillräcklig period för att visa åtgärdens effektivitet är inte bevis för en varaktig förbättring.

Förberedelser av arbetstagare och chefer handlar om att förklara revisionens syfte, deltagarnas rättigheter, sekretessprinciperna och hur information ska göras tillgänglig. Att träna in förväntade svar undergräver intervjuernas trovärdighet och kan dölja verkliga risker. Arbetstagarna ska känna till gällande principer och kanaler för att rapportera problem, men svara utifrån sina egna erfarenheter.

Ledningen fattar beslut om revisionsberedskap utifrån registret över öppna risker, beviskedjornas samstämmighet och processägarnas förmåga att sakligt förklara verksamhetens faktiska arbetssätt. Om det finns en möjlig överträdelse som berör arbetstagare, otillförlitliga data eller en brist som kräver längre tid för att verifiera åtgärdens effektivitet ska frågan eskaleras. Om kundkraven och de organisatoriska överenskommelserna medger det kan allvarliga olösta brister motivera att revisionstidpunkten ändras.