内部監査の目的に沿った所見への対応とは

内部監査における不適合

「ISO9001:2015品質マネジメントシステム-要求事項」に適合する品質マネジメントシステムを導入している組織の内部監査員として、皆さんは監査にかなりの時間と労力を費やされていることと思います。いつ監査を行うかというスケジュール設定から、監査割り当ての計画、実際の監査の実施、そして監査所見を監査不適合報告書や概要報告書として作成することまで、それは大変な作業となるかもしれません。

そして、重要なのは、あなたが報告した不適合に対して、組織が「遅滞なく，適切な修正を行い，是正処置をとる take necessary correction and corrective actions without undue (過度の) delay (遅滞)」(9.2.2 e) ことでしょう。しかし、実際、これはどのような意味なのでしょう？

修正と是正処置の問題はひとまず置いておくとして、例えば、遅滞が「undue (過度)」になるのはいつでしょうか？誰が決めるのでしょうか？

組織の内部監査を担当する者にとって、こうした疑問は直に厄介な問題となる可能性があります。何はさておき、これは品質マネジメントシステムの「健全性」を示す重要な指標とみなされているため、認証審査のたびに精査されるトピックのひとつです。おそらく、このせいで眠れなくなる人もいるでしょう。

一般的に、是正処置にはしばしば30日、60日、あるいは90日という期限 ー これは後で明らかになるとおり誤りではありますが ー が割り当てられています。監査の不適合に対する是正処置計画の回答は、「承認」のために30日以内に提出され、その後、処置の終結には残りの30日から60日をかかる場合があります。

このような時間枠はごく一般的なものですが、私は、これは内部マネジメントシステム監査の目的にとってはまったく不適切だと考えています。国際規格の要求事項の多く (教育訓練、校正、内部監査、マネジメントレビューなど) と同様、「利害関係者」のニーズを考慮せずに、単に期限に基づいて活動を行うことは、有効でない可能性があります。

それを『リスク』と呼ぶこともできます。

• 顧客とその満足度に対するリスク
• 規制の順守と法的責任に対するリスク
• 運用パフォーマンスとコストに対するリスク
• サプライヤーとの関係に対するリスク
• 要員に対するリスク

なぜ30日、60日、90日なのか？

このような是正処置の期限は、もともとは主に、(サプライヤー監査で) 是正処置が必要な場合に顧客がサプライヤーに期待する期限から来ています。これは、不適合製品が検出された後だったかもしれないし、あるいは1か月後に次の納品がある前だったかもしれません。

第三者認証審査を行う適合性評価機関 (CABs) の出現により、同様のフォローアップが認証組織のモデルとなりましたが、これは多くの場合、大手調達組織の契約の「規則」から引き出されたもののようです。

ISO認証取得組織による対応は、通常30日以内に是正処置計画を提出し、レビューを受けるというものです。この後、処置の完了が続き、計画された処置の有効性の裏付けとなる証拠が90日以内に提供されます。

多くの場合、「一律」の要求事項で、不適合が報告する情報はほとんど考慮されず、主に「重大」か、「軽微」かという格付けを頼りに、処置のタイミングを決めています。

これらの時間制限の性質は、明らかに外部監査に由来するものであり、したがって、内部監査への対応として使用するにはほぼ不適切です。なぜなら、内部監査が有効であるためは「リスク」のリストを考慮する必要があるからです。

終わりを思い描くことから始める

スティーブン・R・コヴィー (Stephen R. Covey) の著書『7つの習慣 - 人格主義の回復』には、「終わりを思い描くことから始める」という勧めがあります。

9.2の要求事項を見直すと、内部監査の目的は「情報を提供すること」であり、これが監査員が念頭に置くべき「目的」であることがわかります。監査の結果、経営陣が問題の修正や原因のさらなる究明など、何かをする必要があるというメッセージが出た場合、経営陣の対応は私たち、内部監査員が提供する情報によって決定されるのです。

例えば、監査員が、記述 (文書化) されたとおりに行われていないプロセスを観察したと報告することは珍しくありません。それは正確かもしれませんが、もうひとつの重要な情報が欠けているため、行動を起こすにはこの所見は不完全です。

プロセスの結果への影響を見る

計画され、定義されたプロセスに従わない場合、次の2つの結果が考えられます。

• アウトプットは意図した通りである (プロセスは有効である)
• アウトプットが意図した通りでない (プロセスは有効でない)

明らかに、監査員の仕事は、「プロセスに従わない」ことが上記のうちどちらにつながるかを報告することです。各部分が一体となって、次のことが推進されます。

• a) 修正 - 結果が計画通りであれば、実践を反映するように、定義された計画プロセス (手順) を修正することができる
• b) 結果が有効でない場合は、是正処置 (根本原因) を特定する必要がある

時間的な側面を考慮すると、定義されたプロセスを修正する場合には、単純に文書の編集が必要になることを経営陣は認識するでしょう。すでに必要な結果を得ているのですから、他に何もする必要はなく、おそらく24時間以内に完了します。

是正処置が必要な場合、監査中に可能な限り有効でないという情報を提供する (または、どの程度有効でないのかを調査するために、さらなる監査を推奨する) ことは監査員の責任です。

これには、定量的な結果と定性的な結果の両方を評価することも含まれることがあります。つまり、「どれだけの数」と「どれほど悪いのか」を判断する必要があるということです。この追加情報は、内部監査員にとっては難題かもしれませんが、経営陣が「過度の遅滞なく」行動する方法を決定する際に理解する必要があるため、極めて重要です。

まとめ

まとめると、内部監査は経営陣が関与して計画されなければならず、品質マネジメントシステムのプロセスのパフォーマンスに焦点を当てるべきだということです。

監査員は、文書への順守だけに重点を置くべきではなく、経営陣が理解できるような表現で、所見の重要性を報告することこそが、是正や改善のための処置を迅速に行うことを促すのです。