Wat is auditing? Een praktische gids voor veiligheidsteams

Auditing, in één zin

Auditing is controleren of wat je hebt opgeschreven ook is wat je daadwerkelijk doet.

Dat is het. Je hebt procedures, werkinstructies, vergunningen, een managementsysteem. Auditing is de terugkerende, onderbouwde check of de werkelijkheid op de werkvloer nog klopt met die documenten, en of die documenten nog kloppen met de werkelijkheid. Beide richtingen. De meeste mensen denken alleen aan de eerste.

Eén audit is een gebeurtenis. Auditing is de discipline: een cyclus die zich herhaalt, bewijs oplevert en corrigerende maatregelen terugvoert in het systeem. Wil je de anatomie van één audit, dan hebben we dat apart beschreven in wat is een audit. Dit stuk gaat over de praktijk.

Auditing is geen inspectie, en geen assessment

Deze drie woorden lopen in het dagelijkse gesprek door elkaar, en in de eindbespreking praat men er vervolgens langs elkaar heen. Kort:

• Inspectie kijkt naar een ding. Een ladder, een afsluiter, een oogdouche, een lopende werkvergunning. Is dit item, nu, in de staat waarin het hoort te zijn?
• Auditing kijkt naar een systeem. Niet "is deze oogdouche op datum", maar "werkt het proces dat oogdouches op datum houdt echt, en kun je dat laten zien".
• Assessment scoort je tegen een doel. Een gap analyse tegen een norm, een vragenlijst, een volwassenheidsmodel. Het zegt iets over afstand, niet over conformiteit.

Dat onderscheid is niet academisch. Een bevinding op inspectieniveau en een bevinding op systeemniveau vragen totaal verschillende corrigerende maatregelen. Een oogdouche die een paar weken over datum is, is een fix van vijf minuten. Een oogdouche die wekenlang over datum was zonder dat iemand het zag, is een systeembevinding, en met een nieuwe fles sluit je die niet.

De vier onderdelen van elke auditcyclus

Welke norm je ook pakt, de mechaniek is hetzelfde:

1. Scope en criteria. Waartegen audit je? Een artikel, een procedure, een element van je VBS. Vage criteria leveren vage bevindingen op, en vage bevindingen overleven geen discussie.
2. Bewijs. Registraties, waarnemingen, interviews. Bewijs is wat een audit onderscheidt van een mening.
3. Bevindingen. Conform, non-conform, observatie. Elk verankerd aan een criterium en aan een stuk bewijs.
4. Corrigerende maatregel. Eigenaar, deadline, verificatie. Een bevinding zonder afgeronde actie is een bevinding die je volgende cyclus terugziet.

De rest, het auditplan, de openingsbespreking, het rapportformat, is steigerwerk om die vier heen.

Waar auditing in de praktijk stukloopt

Niet in de theorie. In de uitvoering, en altijd op dezelfde drie plekken.

De checklist is langer dan de tijd die je ervoor gaf. Vier pagina's checklist en twee uur om een grote installatie te lopen. Dat kan niet, en iedereen weet dat het niet kan. Wat er dan gebeurt: de lijst wordt uitgeprint, in hoog tempo gelopen en achteraf op papier afgevinkt. Je hebt niets geaudit. Je hebt een document geproduceerd dat zegt dat je het hebt gedaan.

De route is ontworpen door het document, niet door de installatie. Als je checklist de onderwerpen door elkaar gooit in de volgorde waarin de norm ze noemt, loopt de auditor dezelfde installatie vier keer, of hij loopt hem helemaal niet. Zet de vragen in de volgorde waarin een mens zich fysiek over de locatie verplaatst.

De kennis loopt de deur uit. De techneut die drie jaar geleden een constructie mondeling heeft uitgelegd aan een inspecteur, is met pensioen. Niemand heeft opgeschreven wat er is afgesproken en waarom. Dan komt hetzelfde onderwerp terug, deze keer als schriftelijke bevinding, en er ligt niets in het dossier om het gesprek mee te voeren. Dit is de stille, en dat is de dure.

Er is een vierde, wat ongemakkelijker. Niet elke schriftelijke bevinding is juist. Als een toezichthouder, DCMR of de Nederlandse Arbeidsinspectie, iets opschrijft, is het de moeite waard om te kijken wat de juridische basis er precies onder is. Onze ervaring is dat die basis er niet altijd is, en dat het gesprek beter loopt als het over feiten gaat en niet over interpretatie. Dat werkt alleen als je eigen dossier op orde is. Waarmee je weer bij bewijs uitkomt.

Wat je concreet zou doen

In de volgorde waarin wij het zouden aanpakken:

• Snijd in de checklist. Minder vragen, betere vragen. Een vraag die je in het veld eerlijk kunt beantwoorden is meer waard dan een vraag die op de parkeerplaats wordt afgevinkt.
• Sorteer op looproute, niet op artikelnummer. Het artikel koppel je er achteraf aan.
• Leg bewijs vast op het moment van waarnemen. Een foto, een locatie, een tijdstip, daar ter plekke. Niet 's avonds gereconstrueerd.
• Schrijf bevindingen tegen een benoemd criterium. "Onvoldoende aantoonbaar dat X" is een bevinding waarover je kunt praten. "Het is het niet" is dat niet.
• Geef elke actie een eigenaar en een verificatiestap, en behandel "geverifieerd" als een andere status dan "gedaan".
• Voer wijzigingen terug. Blijkt uit een audit een wijziging aan de installatie of de procedure die nooit bovenstrooms is verwerkt, dan is dat een MOC, geen auditnotitie.
• Audit je audits. Kijk één keer per jaar naar je eigen bevindingen. Als negentig procent huishoudelijk is, zijn je criteria te oppervlakkig.

Auditing buiten veiligheid

Dezelfde mechaniek draait buiten EHS. Leveranciersaudits, ESG-rapportage, vettingregimes per sector. Rapporteer je over duurzaamheid, dan is de ESG score die je publiceert niet beter verdedigbaar dan het bewijsspoor eronder. In de scheepvaart is TMSA vetting in feite een van buitenaf opgelegde auditcyclus met een scorelaag erbovenop. Ander vocabulaire, dezelfde vier onderdelen.

Waar software helpt, en waar niet

Software is goed in het saaie, structurele deel: elke keer hetzelfde formulier, bewijs vastgelegd op het punt van waarnemen, acties met eigenaren en datums die niet in een mailbox verdwijnen, een doorzoekbare historie zodat de kennis niet met de persoon meeloopt.

Het maakt je niet compliant. Het bepaalt niet of een bevinding terecht is, en het neemt geen eigenaarschap over je managementsysteem: je veiligheidsbeheerssysteem blijft van jou. Kloppen je criteria niet, dan levert digitaliseren je vooral sneller de verkeerde bevindingen op. En bij hoge drempelinrichtingen stopt generieke tooling meestal precies waar het interessant wordt, waarover we schreven in waarom generieke safety management software tekortschiet voor Seveso III bedrijven.

Een korte, eerlijke volgende stap

Pak je meest recente auditrapport erbij. Loop de bevindingen langs en stel twee vragen: kan ik elke bevinding op de feiten verdedigen, en is elke corrigerende maatregel echt geverifieerd. Is het antwoord op één van beide nee, dan heb je je startpunt, en daar hoef je niets voor aan te schaffen.

Wil je zien hoe de inspectie- en actiekant in de praktijk werkt, dan lopen we er graag met je doorheen. Zonder opsmuk, gewoon het systeem zoals het nu is.