Audit definitie: wat een audit is en wat hij bewijst

De korte definitie

Een audit is een gestructureerde, onafhankelijke vergelijking tussen een vastgelegde set criteria en het bewijs van wat er werkelijk gebeurt.

Dat is het hele ding. Criteria, bewijs, conclusie. Al het andere, de openingsbijeenkomst, de steekproef, het bevindingenregister, de eindpresentatie, bestaat om die drie onderdelen bij elkaar te houden.

In het dagelijks gebruik sneuvelt er meestal minstens een van de drie:

• Criteria. Een norm, een wettelijke eis, een procedure, een contract, een beleidsstuk. Iets dat vooraf is vastgelegd en waartegen de situatie gemeten kan worden.
• Bewijs. Registraties, waarnemingen, interviews, systeemdata. Geen indrukken, en niet wat iemand zich herinnert van een besluit van drie jaar geleden.
• Onafhankelijkheid. Degene die auditeert is niet degene die het werk bezit. Interne auditoren mogen collega's zijn, alleen niet de collega's van wie het eigen werk onder de loep ligt.

Haal er een van de drie weg en je houdt nog steeds iets nuttigs over. Je hebt alleen geen audit meer.

Audit, inspectie, assessment, directiebeoordeling

Deze woorden worden door elkaar gebruikt, en dat kost tijd, want ze beantwoorden verschillende vragen.

Inspectie

Een inspectie kijkt naar een fysieke toestand op een moment. Zit de afscherming erop, is de oogdouche op datum, staat de opslag gescheiden zoals het hoort. De vraag is: klopt dit ding op dit moment?

Audit

Een audit kijkt naar een systeem over een periode. Hij neemt een steekproef uit de output van een proces om te beoordelen of dat proces werkt. De vraag is: kun je hierop vertrouwen, volgende maand weer, ook als degene die dit normaal doet met vakantie is?

Assessment

Een assessment meet volwassenheid of risico tegen een model, meestal zonder het geslaagd of niet geslaagd van een audit. Gap analyses horen hier thuis.

Directiebeoordeling

De directiebeoordeling is het beslismoment: de leiding kijkt naar de resultaten, inclusief auditresultaten, en commit tijd en middelen. Het is geen audit van zichzelf, hoe vaak het ook zo behandeld wordt.

Het onderscheid doet het meeste pijn wanneer een inspectiebevinding voor het hele verhaal wordt aangezien. Een ontbrekend label is een feit. Waarom het labelproces dat niet heeft opgepikt, is de auditvraag, en dat is de vraag die iets verandert.

De soorten die je in de praktijk tegenkomt

• Eerste partij, oftewel interne audits. Je auditeert jezelf. Verplicht in vrijwel elke managementsysteemnorm, en van de drie het meest onderschat.
• Tweede partij audits. Een klant auditeert jou, of jij auditeert een leverancier of aannemer.
• Derde partij audits. Een geaccrediteerde certificerende instelling toetst je tegen een norm.
• Toezicht. Formeel geen audit, al voelt het van binnenuit precies zo. In Nederland komt het toezicht op arbeidsveiligheid en op bedrijven met gevaarlijke stoffen van onder meer de Nederlandse Arbeidsinspectie en, regionaal, DCMR. Hun bevindingen leggen meestal dezelfde zwakke plekken bloot die je interne audits eerder hadden moeten vinden.

Voor de bredere begrippenkaart eromheen staan onze artikelen over de compliance definitie en de EHS definitie klaar, met het vocabulaire waar audits binnen vallen.

Wat een echte audit scheidt van een afvinkoefening

Een checklist van vier pagina's, twee uur in de agenda, een rondje over een grote installatie. Iedereen in dit vak kent die versie, en die levert een handtekening op in plaats van kennis.

Het verschil zit niet in inspanning. Het zit in traceerbaarheid.

Een echte audit laat een spoor achter dat je achterstevoren kunt lopen: deze conclusie rust op dat bewijs, dat is getoetst aan dit criterium, en het heeft deze actie opgeleverd, met een eigenaar en een afsluitdatum. Een afvinkoefening laat een vinkje achter, en een vinkje zegt vrijwel niets over de werkelijkheid.

Praktische kenmerken van een audit die standhoudt

1. Criteria per vraag benoemd. Niet "orde en netheid", maar het artikel, de procedure of het vergunningvoorschrift waar de vraag uit voortkomt.
2. Scope vastgelegd voor de dag zelf. Wat valt erbinnen, wat erbuiten, welke installaties, welke periode, welke ploegen.
3. Bewijs vastgelegd op het moment van waarnemen. Foto, meterstand, documentverwijzing, naam van de geinterviewde. Ter plekke vastgelegd, niet gereconstrueerd op vrijdagmiddag.
4. Bevindingen geclassificeerd, en eerlijk geclassificeerd. Scheid het ernstige van het administratieve, want een lijst waarop alles belangrijk is, is een lijst waar niemand mee kan werken.
5. Elke bevinding krijgt een corrigerende actie met een eigenaar. Hier lopen de meeste auditprogramma's stil vast. De bevinding wordt opgeschreven, de actie wordt aan een team toegewezen in plaats van aan een persoon, en er sluit niets.
6. Effectiviteit later getoetst. Heeft de actie daadwerkelijk veranderd wat hij moest veranderen? Een actie afsluiten is niet hetzelfde als de oorzaak wegnemen.
7. Trends gelezen over audits heen. Een bevinding is een incident. Dezelfde bevinding in vier audits is een ontwerpprobleem in je systeem.

Stap vijf en stap zeven zijn precies waar audits ophouden een kostenpost te zijn en beginnen managementinformatie te worden.

Wat er werkelijk getoetst wordt

Formeel toetst een audit conformiteit aan criteria. In de praktijk, zeker in het toezicht dat wij bij bedrijven met gevaarlijke stoffen langs zien komen, wordt iets anders getoetst: is je managementsysteem een levend systeem of een archiefkast?

Kun je laten zien dat je op je risico's hebt gepland, hebt gedaan wat je hebt opgeschreven, hebt gemeten of het werkte, en hebt bijgestuurd waar dat niet zo was? Dat is geen documentatievraag. Dat is een vraag over bestuurbaarheid, en die wordt steeds vaker gesteld.

Generieke safety management software doet de eerste helft van die cyclus meestal prima en laat de check en act helft verspreid achter over mail, Excel en losse tools. Waar dat misgaat bij bedrijven met zware risico's, beschreven we in waarom generieke safety management software tekortschiet voor Seveso-III bedrijven.

Waar je begint

Voelt je auditprogramma als een verplicht nummer, begin dan niet met het herontwerpen van het programma. Begin met het uittrekken van de bevindingen uit je laatste vier audits en stel twee vragen: hoeveel staan er nog open, en hoeveel zijn dezelfde bevinding in andere kleren.

Het antwoord vertelt je meestal precies wat je audits nu waard zijn, en waar de eerste reparatie hoort. Wil je zien hoe een specifiek audittype in de praktijk wordt opgebouwd, dan loopt de HACCP checklist voor interne audits die logica door op voedselveiligheid.

Capptions bouwt inspectie en auditsoftware met eigen formulieren, workflows en opvolging van corrigerende acties, zodat het spoor van bevinding naar afgesloten actie op een plek blijft. Software maakt een organisatie niet compliant en neemt het oordeel niet over. Dat doen mensen. Wil je kijken hoe de audit en actiekant eruitziet op jullie eigen processen, dan lopen we het graag een keer door met jullie eigen documenten erbij.