6. Дії при аудиті

6.1 Загальні положення
Цей параграф містить керівні вказівки з планування та проведення аудиту як частини програми аудиту. Рис. 2 дає загальне уявлення про основні діях при аудиті. Ступінь застосовності положень даного параграфа залежить від обсягу та складності конкретного аудиту та передбачуваного призначення висновків аудиту.

Примітка. Пунктирна лінія показує, що будь-які наступні аудити зазвичай не розглядаються як частина аудиту.

Рис. 2 - Огляд основних дій при аудиті

6.2 Початок аудиту

6.2.1 Призначення керівника групи
Особи, призначені відповідальними за керівництво програмою аудиту, повинні призначити керівника аудиторської групи для конкретного аудиту.
У разі проведення спільного аудиту перевіряючі організації до початку аудиту повинні прийти до угоди по конкретних обов'язків кожної організації, особливо, щодо повноважень керівника групи, призначеного для аудиту.

6.2.2 Визначення цілей, обсягу та критеріїв аудиту
В рамках загальних цілей програми аудиту, конкретний аудит має грунтуватися на документованих цілях, обсязі та критеріях.
Цілі аудиту визначають, що повинно бути досягнуто аудитом, і можуть включати наступне:
а) визначення ступеня відповідності системи менеджменту перевіряється організації або її частин критеріям аудиту;
б) оцінка здатності системи менеджменту забезпечити відповідність законодавчим, регламентує і контрактним вимогам;
в) оцінка результативності системи менеджменту в досягненні поставлених цілей;
г) визначення областей можливого поліпшення системи менеджменту.
Обсяг аудиту описує масштаб та межі аудиту, такі як фізичне розташування, організаційні одиниці, діяльність і процеси, що підлягають перевірці, а також період часу, необхідний для перевірки.
Критерії аудиту використовуються як орієнтир при визначенні відповідності та можуть включати застосовні політики, процедури, стандарти, закони та вимоги, у тому числі вимоги системи менеджменту, контрактні вимоги або кодекси промислового / ділового сектора.
Цілі аудиту повинні бути визначені замовником аудиту. Обсяг і критерії аудиту повинні бути визначені спільно замовником аудиту і керівником аудиторської групи відповідно до процедур за програмою аудиту. Будь-які зміни цілей, обсягу та критеріїв аудиту підлягають узгодженню цими ж сторонами.
У разі проведення комплексного аудиту, керівник аудиторської групи повинен забезпечити відповідність цілей, обсягу та критеріїв аудиту характеру комплексного аудиту.

6.2.3 Визначення здійсненності аудиту
Здійсненність аудиту повинна бути визначена з урахуванням таких факторів, як:
а) достатність і відповідність інформації для планування аудиту;
б) готовність до співпраці з боку об'єкта аудиту;
в) наявність часу і відповідних ресурсів.
Якщо аудит нездійсненний, то за результатами консультацій з аудиту замовнику аудиту повинен бути запропонований альтернативний варіант.
6.2.4 Підбір аудиторської групи
Якщо аудит визнаний здійсненним, повинна бути підібрана аудиторська група, з урахуванням необхідної компетентності для досягнення цілей аудиту. При наявності тільки одного аудитора, останній повинен виконувати всі передбачені обов'язки керівника аудиторської групи. Глава 7 містить керівні вказівки за визначенням необхідної компетентності і описує процес оцінки аудиторів.
При визначенні розміру та складу аудиторської групи необхідно враховувати наступне:
а) цілі, об'єм і критерії аудиту, а також його орієнтовну тривалість;
б) чи є аудит комплексним або спільним;
в) загальну компетентність аудиторської групи, необхідну для досягнення цілей аудиту;
г) законодавчі, регулятивні, контрактні вимоги і вимоги органів акредитації / сертифікації , якщо застосовано;
д) необхідність забезпечення незалежності аудиторської групи від перевіреній діяльності і виключення конфлікту інтересів;
е) здатність членів групи до спільної роботи і до ефективної взаємодії з аудиту;
ж) мова аудиту і розуміння соціальних і культурних особливостей об'єкта аудиту, це може бути досягнуто або власним досвідом аудитора, або з допомогою технічного експерта.
Процес забезпечення загальної компетентності групи з аудиту повинен включати наступні кроки:
- Виявлення знань і умінь, необхідних для досягнення цілей аудиту;
- Вибір членів аудиторської групи таким чином, щоб аудиторська група володіла усіма необхідними знаннями й уміннями.
Якщо необхідні знання та вміння забезпечуються аудиторами, що входять в аудиторську групу, не в повному обсязі, то відсутні знання і вміння можуть бути заповнені включенням до групи технічних експертів. Технічні експерти повинні працювати під керівництвом аудитора.
Аудитори-стажисти можуть бути включені в аудиторську групу, але повинні діяти тільки під керівництвом і контролем аудитора.
Як замовник аудиту, так і об'єкт аудиту можуть попросити про заміну конкретних членів аудиторської групи на розумних підставах, наслідки із принципів проведення аудиту, описаних в п. 4. Приклади розумних підстав включають ситуації конфлікту інтересів (наприклад, член аудиторської групи - колишній працівник аудиту, або надавав їй консультаційні послуги) та неетичну поведінку в минулому. Такі причини повинні бути доведені до відома керівника аудиторської групи і до осіб, відповідальних за керівництво програмою аудиту, які повинні вирішити дану ситуацію спільно із замовником аудиту та аудиту до прийняття рішення по заміні членів групи.

6.2.5 Встановлення початкового контакту з об'єктом аудиту
Початковий контакт з об'єктом аудиту може бути неофіційними чи офіційною, але повинен встановлюватися особами, призначеними відповідальними за керівництво програмою аудиту, або керівником аудиторської групи. Цілі початкового контакту:
а) встановлення каналів зв'язку з представником організації, що перевіряється;
б) підтвердження повноважень на проведення аудиту;
в) надання інформації по передбачуваних термінів аудиту та складу аудиторської групи;
г) запит доступу до відповідних документів, включаючи звітні;
д) визначення застосовних правил техніки безпеки на майданчику аудиту;
е) підготовка заходів аудиту;
ж) досягнення угоди про присутність спостерігачів і необхідності в супроводжуючих для аудиторської групи.

6.3 Проведення аналізу документів
До проведення аудиту на місцях повинен бути проведений аналіз документації об'єкта аудиту для визначення відповідності документованої системи критеріям аудиту. Документація може включати відповідні документи системи менеджменту, включаючи звітні, і звіти з попереднім аудитам. Аналіз повинен враховувати розмір, тип і складність організації, а також цілі та обсяг аудиту. У ряді випадків, даний аналіз може бути відкладений до початку проведення аудиту на місцях, якщо це не завдасть шкоди результативності аудиту. В інших випадках, може виявитися необхідним попереднє відвідування місця аудиту для отримання загального уявлення про наявної інформації.
Якщо документація буде визнана неадекватною, то керівник аудиторської групи повинен повідомити про це замовника аудиту, особам, призначеним відповідальними за керівництво програмою аудиту, та об'єкта аудиту. Повинно бути прийнято рішення, чи може аудит бути продовжений або припинений до моменту вирішення всіх питань по документації.
6.4 Підготовка до проведення аудиту на місцях

6.4.1 Підготовка плану аудиту
Керівник аудиторської групи повинен підготувати план аудиту як основу угоди між аудиторською групою, аудиту і замовником аудиту. План повинен полегшити складання графіка та координації дій по аудиту.
Ступінь подробиці плану аудиту повинна відображати обсяг і складність аудиту. Так, подробиці можуть бути різними для початкового і подальшого аудиту, а також для внутрішнього і зовнішнього аудиту. План аудиту має бути достатньо гнучким, щоб допускати зміни, наприклад, зміна обсягу аудиту, яке може бути необхідним у міру виконання аудиту на місцях.
План аудиту повинен включати наступне:
а) цілі аудиту;
б) критерії аудиту та будь-які довідкові документи;
в) обсяг аудиту, включаючи ідентифікацію організаційних і функціональних одиниць і процесів, що підлягають перевірці;
г) дату і місце, де повинні здійснюватися дії з аудиту на місцях;
д) очікуваний час і тривалість дій щодо аудиту на місцях, включаючи наради з керівництвом об'єкта аудиту і наради аудиторської групи;
е) ролі та обов'язки членів аудиторської групи і супроводжуючих осіб;
ж) виділення відповідних ресурсів для критичних областей аудиту.
Якщо застосовано, план аудиту також повинен включати наступне:
з) ідентифікація представника об'єкта аудиту при аудиті;
и) робоча мова аудиту та мову звітних документів, якщо він відрізняється від мови аудитора та / або аудиту;
к) розділи звіту з аудиту;
л) технічне забезпечення (поїздки, обладнання на місцях і т.д.);
м) питання конфіденційності;
н) будь-які наступні аудити.
План має бути проаналізований і прийнятий замовником аудиту і представлений об'єкта аудиту до початку проведення аудиту на місцях.
Будь-які заперечення з боку об'єкта аудиту повинні бути дозволені спільно керівником аудиторської групи, аудиту і замовником аудиту. Любой пересмотренный план аудита должен быть согласован вовлеченными сторонами до продолжения аудита.

6.4.2 Розподіл обов'язків в аудиторській групі
Керівник аудиторської групи, шляхом консультацій з аудиторською групою, має встановити відповідальність кожного члена групи за перевірку конкретних процесів, функцій, майданчиків, областей або дій. Такі призначення повинні враховувати необхідність забезпечення незалежності, компетентність і ефективність використання аудитором ресурсів, а також різні ролі й обов'язки аудиторів, аудиторів-стажистів, і технічних експертів. У процесі аудиту для досягнення його цілей у розподіл обов'язків можуть бути внесені зміни.

6.4.3 Підготовка робочих документів
Члени аудиторської групи повинні проаналізувати відповідну інформацію, що відноситься до розподілу обов'язків при проведенні аудиту, і підготувати робочі документи, необхідні як контрольний матеріал і для реєстрації результатів аудиту. Такі робочі документи можуть включати:
а) контрольні переліки (чек-листи) і плани вибірки для аудиту; і
б) форми для реєстрації інформації, такої як додаткові свідчення, дані аудиту і протоколи нарад.
Використання чек-листів та форм не повинно обмежувати обсяг дій з аудиту, який може змінюватися в залежності від інформації, зібраної в процесі аудиту.
Робочі документи, зокрема протоколи за результатами їх використання, повинні зберігатися принаймні до закінчення аудиту. Зберігання документів після закінчення аудиту описано в п.п. 6.7. Такі документи, що містять конфіденційну або запатентовану інформацію, повинні зберігатися протягом усього часу членами аудиторської групи з дотриманням відповідних вимог безпеки.
6.5 Проведення аудиту на місцях

6.5.1 Проведення вступного наради
Вступне нарада має проводитися за участю керівництва об'єкта аудиту або, якщо необхідно, осіб, відповідальних за функції або процеси, що підлягають перевірці. Цілі наради:
а) підтвердження плану аудиту;
б) короткий виклад дій з аудиту;
в) підтвердження каналів зв'язку; і
г) забезпечення можливості для об'єкта аудиту задати запитання.
<! - / * Font Definitions * / @ font-face {font-family: Tahoma; panose-1: 2 11 6 4 3 5 4 4 2 4; mso-font-charset: 204; mso-generic-font-family : swiss; mso-font-pitch: variable; mso-font-signature: 1627421319 -2147483648 8 0 66 047 0;} / * Style Definitions * / p.MsoNormal, li.MsoNormal, div.MsoNormal {mso-style-parent: »"; margin-top: 0cm; margin-right: 0cm; margin-bottom: 6.0pt; margin-left: 0cm; mso-pagination: widow-orphan; tab-stops: 14.2pt; font-size: 10.0pt; font-family: »Times New Roman"; mso-fareast-font-family: »Times New Roman"; mso-fareast-language: EN-US;} @ page Section1 {size: 612.0pt 792.0pt; margin: 2.0cm 42.5pt 2.0cm 3.0cm; mso-header-margin: 36.0pt; mso-footer-margin: 36.0pt; mso-paper-source: 0;} div.Section1 {page: Section1;} ->

6.5.2 Зв'язок у процесі проведення аудиту
Залежно від обсягу і складності аудиту може виникнути необхідність в офіційних заходах для забезпечення зв'язку між аудиторською групою та аудиту в процесі проведення аудиту.
Аудиторська група повинна періодично радитися для обміну інформацією, оцінки ходу аудиту та, при необхідності, перерозподілу обов'язків між аудиторами.
В процесі проведення аудиту керівник аудиторської групи повинен періодично доводити до відома об'єкта аудиту та замовника аудиту інформацію про хід аудиту та будь-які проблеми, якщо це доречно. Свідоцтва, зібрані при аудиті, які припускають негайний і значний ризик (наприклад, безпека, довкілля або якість), повинні бути негайно доведені до відома об'єкта аудиту і, якщо необхідно, замовника аудиту. Будь-яка проблема з питання, що не входить в обсяг аудиту, повинна бути відзначена і доведена до відома керівника аудиторської групи для можливого інформування замовника аудиту та об'єкта аудиту.
Якщо наявне свідоцтво аудиту вказує на те, що цілі аудиту недосяжні, то керівник аудиторської групи повинен повідомити причини замовнику аудиту та об'єкта аудиту для визначення подальших дій. Ці дії можуть включати повторне підтвердження або зміну плану аудиту, або зміна цілей або обсягу аудиту, або припинення аудиту.
Будь необхідність зміни обсягу аудиту, яка може стати очевидною по мірі виконання аудиту на місцях, повинна бути проаналізована і затверджена замовником аудиту і, якщо необхідно, об'єктом аудиту.

6.5.3 Ролі та обов'язки супроводжуючих і спостерігачів
Супроводжуючі і спостерігачі можуть супроводжувати аудиторську групу, але вони не є її членами. Вони не повинні впливати або втручатися в проведення аудиту.
Якщо супроводжуючі були призначені об'єктом аудиту, то вони повинні допомагати аудиторської групи і діяти на прохання керівника аудиторської групи. У їх обов'язки може входити наступне:
а) встановлення контактів і часу для опитування;
б) організація відвідувань конкретних місць на майданчику або в організації;
в) забезпечення ознайомлення та дотримання членами аудиторської групи правил, які стосуються техніки безпеки на місцях і охоронних процедур;
г) виступ в якості свідка за дорученням організації, що перевіряється;
д) роз'яснення чи допомогу в зборі інформації.

6.5.4 Збір і перевірка інформації
В процессе проведения аудита, информация, относящаяся к целям, объему и критериям аудита, включая информацию по взаимодействию функций, видов деятельности и процессов, должна собираться методом соответствующей выборки и должна быть проверяема. Только проверяемая информация может стать свидетельством аудита. Свидетельства аудита должны регистрироваться.
Свидетельства аудита основываются на выборке из имеющейся информации. Поэтому, при проведении аудита присутствует элемент неопределенности, и лица, подготавливающие заключение по результатам аудита, должны осознавать это.
Рис. 3 дает общее представление о процессе, начиная со сбора информации и заканчивая составлением заключения по результатам аудита.

Методы сбора информации включают:
- опрос;
- наблюдение за деятельностью;
- анализ документации.
<!– /* Font Definitions */ @font-face {font-family:Tahoma; panose-1:2 11 6 4 3 5 4 4 2 4; mso-font-charset:204; mso-generic-font-family:swiss; mso-font-pitch:variable; mso-font-signature:1627421319 -2147483648 8 0 66047 0;} /* Style Definitions */ p.MsoNormal, li.MsoNormal, div.MsoNormal {mso-style-parent:»"; margin-top:0cm; margin-right:0cm; margin-bottom:6.0pt; margin-left:0cm; mso-pagination:widow-orphan; tab-stops:14.2pt; font-size:10.0pt; font-family:»Times New Roman»; mso-fareast-font-family:»Times New Roman»; mso-fareast-language:EN-US;} @page Section1 {size:612.0pt 792.0pt; margin:2.0cm 42.5pt 2.0cm 3.0cm; mso-header-margin:36.0pt; mso-footer-margin:36.0pt; mso-paper-source:0;} div.Section1 {page:Section1;} –>

< ![endif]–>

6.5.5 Формирование наблюдений аудита
Свидетельства аудита должны быть оценены с точки зрения критериев аудита для формирования наблюдений аудита. Наблюдения аудита могут указывать либо на соответствие, либо на несоответствие критериям аудита. Если это было определено целями аудита, наблюдения аудита могут указывать на возможности для улучшения.
При необходимости, аудиторская группа должна собираться для анализа наблюдений аудита на соответствующих стадиях в процессе аудита.
Соответствия критериям аудита должны быть обобщены и соотнесены с подразделениями, функциями и процессами, которые прошли аудит. Если это предусмотрено планом аудита, то отдельные наблюдения аудита о соответствии и подтверждающие его свидетельства также должны регистрироваться.
Несоответствия и подтверждающие их свидетельства аудита должны регистрироваться. Несоответствия могут быть классифицированы. Они должны быть проанализированы совместно с представителем проверяемой организации для получения подтверждения того, что свидетельства аудита верны и несоответствия понятны. Должно быть сделано все возможное для преодоления любых разногласий относительно свидетельств и/или наблюдений аудита, нерешенные вопросы должны быть зарегистрированы.

6.5.6 Подготовка заключений по результатам аудита
До заключительного совещания аудиторская группа должна собраться, чтобы:
а) проанализировать наблюдения аудита и любую другую соответствующую информацию, собранную в процессе аудита, с точки зрения целей аудита;
б) согласовать заключения по результатам аудита, с учетом элемента неопределенности, свойственного процессу аудита;
в) подготовить рекомендации, если это предусмотрено целями аудита;
г) обсудить последующий аудит, если это было включено в план аудита.
<!– /* Font Definitions */ @font-face {font-family:Tahoma; panose-1:2 11 6 4 3 5 4 4 2 4; mso-font-charset:204; mso-generic-font-family:swiss; mso-font-pitch:variable; mso-font-signature:1627421319 -2147483648 8 0 66047 0;} /* Style Definitions */ p.MsoNormal, li.MsoNormal, div.MsoNormal {mso-style-parent:»"; margin-top:0cm; margin-right:0cm; margin-bottom:6.0pt; margin-left:0cm; mso-pagination:widow-orphan; tab-stops:14.2pt; font-size:10.0pt; font-family:»Times New Roman»; mso-fareast-font-family:»Times New Roman»; mso-fareast-language:EN-US;} @page Section1 {size:612.0pt 792.0pt; margin:2.0cm 42.5pt 2.0cm 3.0cm; mso-header-margin:36.0pt; mso-footer-margin:36.0pt; mso-paper-source:0;} div.Section1 {page:Section1;} –>

< ![endif]–>

6.5.7 Проведение заключительного совещания
В ходе заключительного совещания под председательством руководителя аудиторской группы должны быть представлены наблюдения аудита и заключения по результатам аудита таким образом, чтобы они были понятны и признаны проверяемой организацией, а также, если применимо, согласованы сроки представления проверяемой организацией плана корректирующих и предупреждающих действий. Участниками заключительного совещания должны быть представители проверяемой организации, а также могут быть заказчик аудита и другие стороны. В случае возникновения в процессе аудита ситуаций, которые могут отразиться на надежности заключений по результатам аудита, руководитель аудиторской группы должен сообщить об этом проверяемой организации.
Во многих случаях, например, при проведении внутреннего аудита в малой организации, заключительное совещание может состоять только из доведения до сведения наблюдений аудита и заключения по результатам аудита.
В других случаях, совещание должно быть официальным с ведением протокола и списка присутствующих.
Любые разногласия в отношении наблюдений аудита и/или заключений по результатам аудита между аудиторской группой и проверяемой организацией должны быть обсуждены и, если возможно, разрешены. В противном случае все мнения должны быть зарегистрированы.
Если это предусмотрено целями аудита, должны быть представлены рекомендации по улучшению. При этом следует подчеркнуть, что рекомендации не являются обязательными.

6.6 Подготовка, утверждение и рассылка отчета по аудиту

6.6.1 Подготовка отчета по аудиту
Руководитель аудиторской группы должен нести ответственность за подготовку и содержание отчета по аудиту.
Отчет по аудиту должен предоставлять полные, точные, четкие и достаточные записи по аудиту, и должен включать или содержать ссылки на следующее:
а) цели аудита;
б) объем аудита, в частности, идентификацию проверенных организационных и функциональных единиц или процессов и охваченный период времени;
в) идентификацию заказчика аудита;
г) идентификацию руководителя и членов аудиторской группы;
д) даты и места, где проводился аудит на местах;
е) критерии аудита;
ж) наблюдения аудита;
з) заключения по результатам аудита.
Отчет по аудиту должен также включать или содержать ссылки на следующее, если применимо:
и) план аудита;
к) перечень представителей проверяемой организации;
л) краткое изложение процесса аудита, включая элемент неопределенности и/или проблемы, которые могут отразиться на надежности заключения по результатам аудита;
м) подтверждение, что цели аудита достигнуты в объеме аудита в соответствии с планом аудита;
н) любые неохваченные области, входящие в объем аудита;
о) любые неразрешенные разногласия между аудиторской группой и проверяемой организацией;
п) рекомендации по улучшению, если это предусмотрено целями аудита;
р) при необходимости, согласованные планы последующих аудитов;
с) заявление о конфиденциальном характере содержания;
т) лист рассылки отчета по аудиту.
6.6.2 Утверждение и рассылка отчета по аудиту
Отчет по аудиту должен быть выпущен в согласованные сроки. Если это невозможно, то причины задержки должны быть доведены до сведения заказчика аудита, и должна быть согласована новая дата выпуска.
Отчет по аудиту должен быть датирован, проанализирован и утвержден в соответствии с процедурами по программе аудита.
Далее утвержденный отчет по аудиту подлежит рассылке получателям, определенным заказчиком аудита.
Отчет по аудиту является собственностью заказчика аудита. Члены аудиторской группы, и все получатели отчета должны учитывать и обеспечивать конфиденциальность содержания отчета.

6.7 Завершение аудита
Аудит считается завершенным, если все действия, установленные планом аудита, выполнены, и утвержденный отчет по аудиту разослан.
Относящиеся к аудиту документы должны быть сохранены или уничтожены по соглашению между участвующими сторонами и в соответствии с процедурами по программе аудита и применимыми законодательными, регламентирующими и контрактными требованиями.
Если это не требуется законодательством, аудиторская группа и лица, ответственные за руководство программой аудита, не должны разглашать содержание документов, любую другую информацию, полученную в ходе аудита, или содержание отчета по аудиту любой другой стороне без определенного одобрения заказчика аудита и, если применимо, без одобрения проверяемой организации. Если требуется раскрыть содержание документа по аудиту, то заказчик аудита и проверяемая организация должны быть уведомлены об этом как можно скорее.

6.8 Проведение последующего аудита
В заключении по результатам аудита может быть указано на необходимость корректирующих, предупреждающих действий или действий по улучшению, если применимо. Такие действия обычно разрабатываются и проводятся проверяемой организацией в течение согласованного срока и не рассматриваются как часть аудита. Проверяемая организация должна информировать заказчика аудита о статусе таких действий.
Выполнение и результативность корректирующего действия должны проверяться. Эта проверка может быть частью очередного аудита.
В программе аудита может быть определено проведение последующего аудита членами аудиторской группы, имеющими ценный опыт. В таких случаях следует обратить внимание на обеспечение независимости при очередном аудите.