Welkom Kwaliteitskring Twente Inleiding Risk Based Auditing

Presentatie over: "Welkom Kwaliteitskring Twente Inleiding Risk Based Auditing"— Transcript van de presentatie:

1 Welkom Kwaliteitskring Twente Inleiding Risk Based Auditing
In de praktijk Rob de Leur Namens ORBEDO

2 Programma op Hoofdlijnen
Theoretisch kader Interne audits (ISO19011) Risicomanagement (ISO31000) Enquête resultaten Risk Based Auditing – de praktijk – Workshop – zelf ervaren -

3 Theoretisch kader ISO19011 - 2011 (I)
ISO19011 is dé internationale norm voor het auditen van managementsystemen. De meest opvallende wijzigingen Nu van toepassing is op het auditen van alle typen managementsystemen, zoals die voor arbomanagement, voedselveiligheid en informatiebeveiliging Meer nadruk op het auditprogramma (betere aansluiting van auditing op de risico’s en prioriteiten van de organisatie en het vergroten van de betrokkenheid van de top) Focus van audits op die activiteiten en onderdelen van de organisatie waar risico's spelen Nieuw als methode: auditen op afstand (‘remote auditing') Meer aandacht voor het vertrouwelijkheid - het correct omgaan met gevoelige of vertrouwelijke informatie bij de uitvoering van audits (nieuw principe)

4 Theoretisch kader ISO19011 - 2011 (II)

5 Theoretisch kader Risicomanagement (I)

6 Theoretisch kader Risicomanagement (II)

7 Theoretisch kader Risicomanagement (III)

8 Enquête resultaten (I)
Anonieme enquête onder 50 gecertificeerde organisaties (management en interne auditoren) Is er in de organisatie draagvlak voor de interne audit? Management 80% ja 12% redelijk 8% te weinig Interne auditoren 32% ja 24% redelijk 44 % te weinig Zijn de interne auditoren ‘up to the job’? Zijn de interne audits voldoende gericht op risico’s? Management 12% ja 24% redelijk 64 % te weinig Interne auditoren 8 % ja 32 % redelijk 60 % te weinig 4. Is er voldoende tijd om een interne audit goed voor te bereiden? Management 62% ja 22% redelijk 16 % te weinig Interne auditoren 6 % ja 36 % redelijk 58 % te weinig 5. Wordt er tijdens de interviews voldoende doorgevraagd? Management 18% ja 28 % redelijk 54 % te weinig Interne auditoren 66 % ja 17 % redelijk 17 % te weinig 6. Geeft het resultaat van een interne audit voldoende mogelijkheden om echt te verbeteren? Management 16% ja 38 % redelijk 46 % te weinig Interne auditoren 21 % ja 26 % redelijk 53 % te weinig

9 Enquête resultaten (II)
Losse opmerkingen gegeven bij enquête 'Het moet van ISO en daarom doen we het, maar het kost wel tijd'. Onvoldoende draagvlak om van interne audits een effectief managementtool te maken. De interne audit is het kindje van de kwaliteitsmanager Het houden van een interne audit vele malen moeilijker is dan het houden van een externe audit. Kwaliteitsmanagers willen vaak meer interne audits houden, dan strikt noodzakelijk is. De leiding daarentegen vindt al snel dat er te vaak beslag gelegd wordt op kostbare tijd en is daarom geneigd het aantal te houden interne audits te minimaliseren. Te vaak gaan auditoren onvoorbereid een interne audit ingaan (idem: externe auditoren) Zolang er geen voldoende ervaring is, wordt een interne audit zowel door de auditor als de auditee ervaren als een examen. Rapportages te vaak gericht op correctief niveau, terwijl hiermee de interne audit a.h.w. verkocht kan worden (managementinformatie)

10 Risk Based Auditing De praktijk

11 Samenhang componenten
Maatregelen Oorzaken Gebeurtenis Gevolgen Maatregelen Duidelijke afspraken maken Veiligheidsprocedures opstellen en uitvoeren Evaluatie uitvoeren & aanbeve-lingen laten doen Teveel bezoekers tegelijk toelaten Te weinig veiligheids-voorzie-ningen getroffen Negeren van eerder gesignaleerde incidenten Ontstaan van incidenten Claims van slachtoffers Imagoschade Beleggingsplan Voorzieningen treffen Verzekeren Verbeteringen kenbaar maken. Juiste communicatie Geen adequate hulpver-lening kunnen bieden tijdens evenement

12 Gebeurtenis (afwijking)
Basisprincipes Gebeurtenis (afwijking) (proces) Oorzaak (risico’s) Gevolgen Auditing Risk Based Identificatie Classificatie identificatie Risico Impact Risicogebieden Proces A-B-C-D (Imago,veiligheid, juridisch…) Proces A Contract Prijslijst Test Hoog Proces A Proces B Gemiddeld Proces C Laag Proces D Proces E ORBEDO ©

13 Integratie Risicomanagement & Interne audit
Audit planning Proces risicoprofielen toekennen Audit voorbereiding Latente procesrisico’s vaststellen Audit uitvoering procesrisico’s vaststellen Audit rapportage Procesrisico’s wegen

14 Procesrisicoprofielen (I)
Welke processen kunnen in potentie de organisatie de meeste schade toebrengen? Processen identificeren Scope Soort Niveau Methode kiezen Wegingsfactoren

15 Proces risicoprofielen (II)
Proces identificeren Scope Organisatiebreed Organisatorische eenheid Produkt ……….. Soort Management, ondersteunend en primair Klantgerelateerd …………….. Niveau Hoofdproces Subproces Werkinstructie ……………

16 Proces risicoprofielen (III)
Methode kiezen Risicogebieden Grofmazig Stabiel Succesfactoren Verfijnder Afhankelijk van niveau vrij stabiel Doelstellingen Toegesneden Aan verandering onderhevig Risico-analyse Detail Methode bepaalt deelnemers

17 Proces risicoprofielen (IV)
Methoden met voorbeelden Risicogebieden Imago Veiligheid Juridisch Succesfactoren Beschikbaarheid Betrouwbaarheid Kennis Actuele prijslijst Doelstellingen 20 % meer personeel 10% minder uitval 2 nieuwe produkten Risico-analyse Impact analyse Dreigingen analyse

18 Proces Risicoprofielen (IV)
Wegingsfactoren voorbeelden Imago (risicogebied) Hoog: kans op landelijke negatieve publiciteit Gemiddeld: Kans op regionale negatieve publiciteit Laag: Kans op lokale negatieve publiciteit 10 % minder uitval (doelstelling) Hoog: Heeft grote impact op de realisatie Gemiddeld: Heeft invloed op de realisatie Laag: Heeft nauwelijks invloed op de realisatie Betrouwbaarheid (succesfactoren) Hoog: Bepaalt in grote mate de succesfactor Gemiddeld: Bepaalt in enige mate de succesfactor Laag: Bepaalt nauwelijks de succesfactor Impact analyse (risico-analyse) Hoog: De impact is zeer groot Gemiddeld: De impact is aanzienlijk Laag: De impact is laag

19 Proces Risicoprofielen (V)
Beleid maken t.a.v. risicoprofilering Bv. Vanaf 3 * H bij score: Hoog risicovol Tot 4 * L bij score: Laag risicovol Resultaat Geïdentificeerde en gesorteerde processen Ondersteunende processen: Aanname personeel Functioneringsgesprekken Archivering ………………… 2. Processen voorzien van risicoprofiel Hoog risicovolle processen Gemiddeld risicovolle processen Laag risicovolle processen ………………..

20 AO / Risico identificatie
Inhuur Werving & Selectie Auditscope Risico identificatie Personeel toewijzing Materiaal Financiën Kwaliteit van…... Offerte Ontwerp Testen Oplevering Kwaliteit Beschikbaarheid

21 Rapportage Geconstateerde gebeurtenis
Achterliggende oorzaken (processen) Gevolgen Risico’s concreet benoemen Risiconiveau aangeven (optioneel) Van correctief naar corrigerend Van gegevens naar managementinformatie

22 Succesfactoren Draagvlak en betrokkenheid vanuit leiding
Gekwalificeerde interne auditoren AO ingericht o.b.v. risicomanagement Voldoende tijd voor de voorbereiding Adequate communicatie Adequate opvolging

23 Zelf ervaren Groepen vormen Processen classificeren
Risico identificatie Plenaire recapitulatie