Mastering ISO Auditing Practice: A Practical Guide for Internal Auditor

Acabo de publicar o meu mais recente ebook na Amazon:

"Mastering ISO Auditing Practice: A Practical Guide for Internal Auditors".

Começo o livro com "Who is this book for?" cá vai a resposta:

"Our goal is to target a specific audience: individuals who have recently completed a course for management system internal auditors but are now encountering challenges when applying their knowledge in real-world situations, despite having a good understanding of the theory. This book is intended for internal auditors who aspire to progress and gain recognition in their field. It is not intended for those who view audits as a mere obligation, but rather for those who strive to establish themselves as auditors and deliver reliable conclusions.

 

It is important to note that this book does not aim to comprehensively cover every aspect of internal audits. You received that during your course. Instead, we have prepared the content based on our firsthand experiences in the field. We have identified pain points that often challenge less experienced auditors during their management system internal audits.

Within these pages, you will find a focused exploration of areas that tend to perplex auditors, even after they have completed the theoretical aspects of their internal audit training. Although the theoretical foundation is critical, real-world applications can sometimes be a puzzle of their own. This book serves as a supplement, bridging the gap between theory and practice, helping you bridge the divide between what you have learned and what you will encounter in the field."

Para chatear auditores da treta

Ainda me lembro da primeira vez que num projecto em que era o consultor que apoiou a implementação do sistema da qualidade segundo a ISO 9001:2015 ter apanhado esta não-conformidade, com surpresa, durante a auditoria de concessão.

Ainda no ano passado, durante uma auditoria interna num outro projecto, o auditor escolhido resolveu brindar-nos com a mesma não-conformidade.

Tenho de mandar a esses auditores o link para o site da Comissão Técnica 176 da ISO que lida com as interpretações.

Pergunta:

"Is it mandatory for the organization to maintain or retain documented information as evidence of communication to outside suppliers of their requirements for control and monitoring of those requirements to be applied by the organization? (8.4.3)"

Contexto que suporta a pergunta:

"It has been common for certification bodies to require that the organization retain documented evidence that it has made such a communication, not only accepting verbal communication."

Interpretação:

"No"

Racional para a interpretação:

"Clause 8.4.3 (Information for external providers) does not include any requirement to maintain or retain documented information."

Como ouvi uma consultora dizer: "Os auditores reúnem-se num retiro e aprendem estas cenas ditas por um qualquer guru. Eles têm de parecer gurus, não há não-conformidades, inventam-se."

ISO/TC 176/SC 2 Listing of Approved Interpretations against ISO 9001:2015

"algum apodrecimento do negócio das auditorias de certificação" (parte I)

O amigo @Peliteiro é um experiente auditor que serve de meu confidente e, a quem conto as peripécias que encontro nas auditorias de certificação a que as empresas minhas clientes, como consultor, são sujeitas. Só no espaço de um mês, por exemplo, tive duas situações bem bizarras e que serão sintomas de algum apodrecimento do negócio das auditorias de certificação.

Caso 1. Empresa certificada ia ter a sua primeira auditoria de acompanhamento. Empresa pede-me apoio para realizar auditoria interna. Descubro que a empresa desde a auditoria de certificação não fez nada, rigorosamente nada. No espaço de um mês fazemos o possível e o impossível para responder às não-conformidades da auditoria interna e, preparar a empresa para minimizar as não conformidade na auditoria de acompanhamento. Depois da auditoria de acompanhamento o tempo passou, e a empresa não me disse nada sobre o apoio na resposta ao relatório da auditoria de acompanhamento... o auditor da empresa de certificação (multinacional por sinal) virou ... consultor da empresa. É legal? Não! É ético? Não!

Caso 2. Empresa certificada há mais de 5 anos. PME séria e organizada, desde sempre recorre a empresa de certificação estrangeira por causa do tipo de clientes que tem. Contaram-me, escandalizados, que auditor@ passou o dia com o telefone ligado e a responder a chamadas para fechar negócios de compra e venda em nome da sua empresa. Como o que vende pode ser matéria-prima para os clientes da empresa auditada, resolve pedir-lhes uma lista de clientes e de contactos. E ainda pediu-lhes que escrevessem um e-mail de apresentação e o enviassem. É ético? Não!

Continua.

Formação Auditorias Internas

Durante o próximo mês de Maio vou animar um curso para auditores internos em colaboração com o Centro Tecnológico do Calçado em São João da Madeira.

Interessados podem participar.

Medição e risco (ISO 9001:2015) (parte II)

Parte I.
.
Como se mina a abordagem preconizada na parte I?
.
Fácil.

• Usar processos da treta. Fácil, basta confundir departamentos com processos;
• Usar indicadores da treta;
• Usar metas da treta;
• Usar frequências de cálculo dos indicadores absurdas. Semestrais ou anuais, por exemplo. 

Colhemos o que semeamos!

Uma empresa elabora o seu Programa Anual de Auditorias Internas ao seu sistema de gestão da qualidade.
.
O que é um programa de auditorias?
.
"Conjunto de uma ou mais auditorias planeadas para um dado período de tempo e com um fim específico." (segundo a definição 3.11 da NP EN ISO 190011:2003)
.
Por que precisamos de um programa de auditorias?
.
Não podemos fazer tudo de uma vez, não podemos ir a todas em simultâneo, queremos saber muitas coisas, queremos assegurar que vamos a todos os locais e tratamos todos os temas que interessam, queremos respeitar os constrangimentos que existem, queremos planear no tempo, queremos distribuir o esforço e não sobrecarregar os auditores internos. A abrangência de uma auditoria é inversamente proporcional à profundidade dessa mesma auditoria.
.
Assim, olha-se para o modelo da empresa, com base na abordagem por processos e, procura-se distribuir auditorias a cada processo, ou a conjuntos de processos, ao longo do tempo:

A abordagem mais comum pode ser explicada desta forma:

E assim se constroem a larga maioria dos programas de auditorias internas, relacionando âmbito de cada auditoria com tempo e equipa auditora.
.
E não falta mais nada?
.
.
.
.
Qual o objectivo de cada uma das auditorias?
.
.
.
Parte-se do princípio de que o objectivo de cada uma das auditorias é o mesmo...
.
.
.
.
Uma réplica das auditorias de 3ª parte, ou seja, verificar a conformidade.
.
O objectivo de uma auditoria responde à pergunta: Qual o propósito de uma auditoria?
.
No final de uma auditoria: a que respostas deverá uma equipa auditora poder responder?
.
Julgo que esta é a pergunta menos feita por quem programa um conjunto de auditoria internas. Programam-se auditorias internas por que a norma assim o exige, por que os auditores externos vão pedir evidências. Agora o que é que a empresa espera de cada uma dessas auditorias... nem se coloca... nem passa pela mente dos programadores... é para verificar a conformidade.
.
Por exemplo: uma auditoria ao processo que trata as reclamações dos clientes, terá como objectivo, por defeito:
.
Objectivo da auditoria: Avaliar o grau de cumprimento do procedimento de tratamento de reclamações.
.
Ou seja, no final da auditoria, a equipa auditora vai poder responder à pergunta "Somos Honestos?"
.
E todos os anos as auditorias que fazem parte dos programas de auditorias internas, fazem a mesma pergunta:
.
"SOMOS HONESTOS?"
.
Será que para uma empresa com um sistema da qualidade com mais de 3 anos essa é a pergunta adequada? A pergunta que faz com que a auditoria traga valor acrescentado?
.
A empresa pode estar a cumprir os procedimentos religiosamente e, no entanto, estar a afundar-se... de que vale uma empresa-Titanic honesta?
.
E se o objectivo da auditoria fosse:
.
Objectivo da auditoria: Avaliar o grau de cumprimento do procedimento de tratamento de reclamações, para poder responder às questões:

• perdemos clientes por causa do tratamento das reclamações?
• cumprimos o nosso objectivo de tempo de resposta às reclamações?
• as reclamações geram acções de melhoria a sério?
• estamos a reduzir a frequência de ocorrência de reclamações?

Ou seja, no final da auditoria a equipa auditora deve estar em condições de responder às questões:

• Somos honestos?
• E isso está-nos a ser útil?

Esta abordagem implica que, quem elabora o programa das auditorias internas, olhe para cada auditoria não como uma réplica mas como uma auditoria única, com um objectivo único, para responder a questões únicas.

.

Se o programador das auditorias internas não as tratar como únicas...

.

.

.

.

não vai ser o auditor interno a tratá-las como únicas.

.

Por isso, colhemos o que semeamos!

.

Todos os modelos estão errados, alguns são úteis

"Que modelo de qualidade defende então para um hospital (ou outro estabelecimento de saúde)?"

.

Como aprendi com Deming: Todos os modelos estão errados, alguns são úteis.

.

Tirando o modelo EFQM, que padece de uma falha embebida no seu ADN pois considera tudo importante, qualquer modelo da qualidade que conheço pode funcionar.

.

E porquê modelo da qualidade? Porque não falar em modelo de gestão?

.

IMHO o problema da maioria dos modelos reside na sua implementação: o papel dos consultores e o papel da gestão de topo.

.

Há anos fui contratado por uma organização para realizar auditorias aos sistemas da qualidade de 8 ou 9 instituições ligadas à saúde.

.

Na totalidade delas encontrei sistemas que estavam, no essencial, conformes com o referencial.

.

Na quase totalidade delas encontrei sistemas que eram um reflexo da 1ª geração de sistemas de garantia da qualidade:

• procedimentos e mais procedimentos;
• alguns objectivos, poucos e pueris;
• mais de metade das pessoas estavam à margem do sistema;
• a gestão de topo estava à margem do sistema;

Apesar de conformes com o referencial dei comigo a pensar... que desperdício. Que valor acrescentado é que isto trouxe à vida da organização? Nenhum!

.

No entanto, um dia encontrei um sistema diferente... um centro de saúde que me satisfez como auditor e, sobretudo, como contribuinte.

.

.

.

.

Um sistema que tinha como objectivos os objectivos do negócio!!! Uauu que original. Por que o fizeram assim e não da mesma forma que as outras instituições?

.

Estas organizações implementaram os seus sistemas da qualidade ao abrigo de um certo programa, com um orçamento que previa o recurso a consultores para apoiar as organizações a implementarem os seus sistemas da qualidade.

.

Aconteceu que este centro de saúde entrou tarde demais no programa e, por isso, quando entrou, já não havia verba para pagar aos consultores. Assim, o director agarrou o projecto em mãos e, como não tinha o apoio de consultores, olhou para o referencial e em vez de respostas normalizadas e genéricas da treta, fez a transposição para a sua realidade.

.

O referencial falava em objectivos da qualidade.

.

Nas outras organizações, com o auxílio de consultores, encontrei objectivos como "Obter a certificação..." ou "Não ter não-conformidades documentais..."

.

Neste centro de saúde, o director e a sua equipa, não fizeram a distinção entre qualidade e gestão. O referencial falava em objectivos da qualidade, o que é que eles pensaram:

.

"- Quais são os objectivos mais importantes para o Centro?

- Os números que temos de enviar periodicamente para a Administração Regional de Saúde...

- Então esses vão ser os nossos objectivos da qualidade..."

.

Ao final do dia, sentei-me no carro e antes de accionar a ignição, abraçado ao volante, mergulhei numa espécie de mini-depressão... o melhor sistema, o mais eficaz, o mais próximo de ajudar a gestão da organização a servir a comunidade e as outras partes interessadas era o que não tinha tido o apoio de consultores...

.

Não quero impor barreiras à entrada de consultores, seriam mais uma treta como os CAPs para formadores, mas é como diz o amigo boticário:

.

"O problema é que qualquer é consultor, faz um cursinho ao Domingo e já está (sinais dos tempos...)"

.

A maior parte das empresas de consultoria ao lidar com um produto maduro, como a implementação de sistemas de qualidade tendo como referencial a ISO 9001, usa como proposta de valor o preço mais baixo para o serviço. Assim, tem de recorrer a mão-de-obra barata, recém-licenciados que seguem uns guiões padronizados, com templates em que é só mudar o logotipo e o nome da organização... em vez de apostarem na eficácia apostam na eficiência.

.

Qualquer modelo que ajude uma organização a concentrar-se na sua razão de ser e a reflectir sobre o seu desempenho é bem vindo. Desde que não se apliquem receitas (lembro-me de um consultor que se chamava a si próprio taxista documental, a sério, ele via-se como um transportador de documentos de uma empresa para outra (BTW, uma vez, ao auditar o sistema da qualidade de um centro de hemodiálise encontrei num dos procedimentos a palavra "carcaça"... um resquício de um copy-paste mal feito... matadouro ou centro de hemodiálise é quase a mesma coisa) pois usava sempre os mesmos), as famosas chapas e, acima de tudo, desde que a gestão de topo esteja envolvida no projecto.

Bandeira ou algo mais?

O que se pretende com a certificação do sistema de gestão da qualidade de uma organização? Uma bandeira ou algo mais?

.

De vez em quando encontro empresas certificadas com objectivos da qualidade que não passam de treta, são genéricos, infantis e nada têm a ver com o negócio.

.

"2. Auditing quality objectives
Auditors need to verify that the organization’s overall quality objectives have been defined, that they reflect the quality policy, are substantially coherent, aligned and compatible with the overall business objectives, including customer expectations. (Moi ici: Treta, quantas vezes deparo com empresas certificadas e com objectivos da qualidade da treta, objectivos sem qualquer relação com o negócio) If this is not the case, the auditors should further evaluate Top Management commitment to quality. (Moi ici: LOL)
The fulfilment of quality objectives needs to be measurable and documented.
There is no specified way of identifying or documenting quality objectives, as these may appear through business plans, management review outputs, annual budgets, etc. It is up to the auditors to satisfy themselves that the objectives are adequately documented.
The auditors should obtain evidence of the way the quality objectives are suitably cascaded throughout the organization’s structure and processes, linking the general strategic objectives to management objectives and down to specific operational activities. (Moi ici:LOL, brincamos. Até parece que muitos auditores de terceira parte não conhecem estas linhas de orientação)
It is recommended that the documented quality objectives should be examined at the
documentation review stage of the audit.
Before the end of the audit, the auditors have to satisfy themselves that the quality objectives are realistic and relevant, and that the organization has assigned to responsible personnel the resources needed to meet their objectives. Evidence of this should be obtained at all levels of the organization.
Quality objectives are not static and need to be updated in the light of the current business climate and the quest for continual improvement. Auditors should verify that the overall performance of the organization reflects the aims of the quality policy and reasonably meets the quality objectives.
Auditors should keep in mind that the fulfilment of objectives can be measured in a quantitative or qualitative manner. They should also remember that there is a clear link between the dynamic aspects of revising the quality policy and the quality objectives and the commitment of the organization to continual improvement."

.

Trecho retirado de "ISO 9001 Auditing Practices Group Guidance on: Auditing Quality Policy, Quality Objectives and Management Review"

Formação de auditores que começa pelo fim

Na semana passada, ao final de um dia de trabalho em Abrantes, encontrei-me com uma pessoa com quem fiz um trabalho há 4/5 anos no Fundão.

.

A conversa começou mais ou menos assim: "Lembro-me muito bem do trabalho que fizemos e, sobretudo, daquela particularidade de começarmos o trabalho pelo fim!" disse-me.

.

Moi ici: Eu gosto de começar um trabalho pelo fim, reconheço a diferença e sei que empurrar é diferente de puxar, daí a importância das viagens mentais ao futuro. Elas criam um ponto localizado de onde puxamos a realidade actual até lá chegarmos. É delicioso perceber como a argumentação de Ortega y Gasset coloca o futuro como uma causa que influencia o presente e baralha a percepção comum da relação unívoca causa-efeito, do passado para o presente e do presente para o futuro.

.

Pois bem, na sequência do convite de uma empresa para a realização de uma acção de formação intra-empresa em Outubro, para auditores internos a sistemas integrados de gestão da qualidade e ambiente, está a despertar em mim uma alteração ao meu programa de formação... o acrescentar de um módulo inicial que, em simultâneo, concilia a formação de adultos à la Malcolm Knowles com a regra de começar pelo fim...

.

E que tal começar uma formação de futuros auditores internos com a distribuição de um relatório de uma auditoria? E começar a formação pela autópsia do relatório? E se o relatório tiver incluídas falhas, descortiná-las e identificá-las.

.

E quando os formandos tiverem apreendido o que é um relatório, qual o seu conteúdo, quando tiverem apalpado um e sentirem que já sabem, o que é que vão ter de produzir... Vou colocar a questão: "Qual é o produto de uma auditoria?"

.

O senso comum preguiçoso dirá, um relatório...

.

Talvez alguém tenha dúvidas e coloque um pau na engrenagem... talvez o grupo chegue à conclusão, nem que seja com facilitação, que um relatório não é o produto de uma auditoria, ou não deve ser. Um relatório é um instrumento, não é o fim.

.

O produto de uma auditoria é reflexão construtiva e frutuosa sobre o sistema que o relatório pode gerar.

O produto de uma auditoria são acções de melhoria concretas com calendários de implementação e verificação da eficácia que o relatório pode gerar.

O produto de uma auditoria é a melhoria do sistema de gestão.

.

Então, vou distribuir em anexo ao relatório, propostas de resposta, dos responsáveis auditados, relativamente a não-conformidades maiores e menores.

.

E se algumas dessas respostas forem bons exemplos e outras péssimos exemplos?

Poderei ilustrar cada um dos quadrantes... pedindo-lhes que imaginem as consequências das respostas e das acções.

.

E quando os formandos perceberem qual é o verdadeiro produto de uma auditoria, e quando estiverem cientes e convencidos de que o objectivo da formação é ajudá-los a criar bons relatórios que levem a acções de melhoria...

.

Tãnã!!!

.

E, como tenho uma relação de consultoria com a empresa que já vai quase em 15 anos, porque conheço vários dos responsáveis de processos...

.

Vou convidar dois dos formandos, se não houver voluntários, para...

.

.

.

.

.

.

.

.

.

.

Assim, à queima-roupa, realizarem uma auditoria...

.

.

.

.

.

Então, vamos, de mãos nos bolsos, realizar uma auditoria...

.

.

.

.

.

O responsável do processo estará já "industriado" por mim para:

1. Protestar porque ninguém o avisou...
2. Protestar porque não reconhecem autoridade aos auditados...
3. Plantar não-conformidades que os auditados não vão apanhar de certeza

Os auditores e acompanhantes vão perceber na pele a importância do planeamento da agenda (por causa de 1)).

.

Os auditores e acompanhantes vão perceber na pele a importância do programa assinado pelo Mr Burns lá do sítio, para lhes dar autoridade (por causa de 2)).

.

Os auditores e acompanhantes vão perceber na pele a importância da preparação de uma auditoria: checklist; lista de evidências a recolher; situações a observar; distribuição de tarefas na eqauipa (por causa de 3)).

.

Julgo que, com este módulo inicial, os formandos ficarão no ponto de rebuçado para o início de uma formação que comece pelo Programar as auditorias, e depois evolua para:

• Preparar uma auditoria;
• Realizar uma auditoria;
• Relatar uma auditoria;
• Seguir uma auditoria;
• Reflectir sobre o programa concluído.

Vai ser divertido, ainda por cima.

.

É também sobre isto que se reflecte quando se corre entre campos com o cheiro da bosta no ar.

Auditorias internas que acrescentam valor (parte XI)

Elementos da última sessão aqui.

Auditorias internas que acrescentam valor (parte X)

Acetatos relativos à fase de relato de uma auditoria podem ser encontrados aqui.

.

Reflexão sobre o tipo de relatório e o seu conteúdo também é sistematizada.

Auditorias internas que acrescentam valor (parte IX)

Acetatos e elementos distribuídos aqui.

Auditorias internas que acrescentam valor (parte VII)

Acetatos e instrução sobre a redacção de listas de verificação aqui.

Auditorias internas que acrescentam valor (parte VI)

Acetatos relativos à sexta sessão podem ser encontrados aqui.

Comunicação, comunicação, comunicação

A cola que mantém uma organização e concentra, sintoniza e alinha recursos, atenções e motivações.

.

"Align Employees with the Corporate Strategy":

.

"Virtually everyone is aware that they are operating in a different environment. More important than measuring employee recognition of change, companies should be trying to understand whether employees are aligned with the new organizational strategy. Chances are that they are not.
.
Research by CEB's HR consulting and workforce survey division, CLC Genesee, recently discovered that productivity of the employees that both experienced change and expect more change to come decreased by 66%. Simply put, almost two-thirds of all employees are 33% as productive as they can be because they don't understand what they are now asked to do."

.

ADENDA: E que tal realizar uma auditoria interna ao sistema de gestão com este objectivo:

.

Auditorias internas que acrescentam valor (parte V)

Acetatos podem ser encontrados aqui.

Auditorias internas que acrescentam valor (parte IV)

Acetatos da 4ª sessão podem ser encontrados aqui.

Auditorias internas que acrescentam valor (parte III)

Acetatos da sessão III podem ser consultados aqui.

Prepare to be dazzled (parte III)

"Quando uma organização nasce, normalmente tal acontece em torno de uma ideia clara sobre quem são os seus clientes e sobre qual é a sua vantagem competitiva, estamos neste caso, perante organizações jovens, plenas de vitalidade, direccionadas para o exterior, para os seus clientes, e para o fornecimento de valor para esses clientes. Normalmente, à medida que o tempo passa, e como consequência do sucesso, primeiro, e da vontade de crescer, depois, o sistema esbelto e simples transforma-se num organismo cada vez mais elaborado, mais complexo, com mais excepções, alterações e mais alterações, e ainda mais alterações, todas elas movidas por “boas razões” que transformam o sistema num todo feio, lento, desajeitado, pastoso, ineficiente, desmoralizador e desumanizante. Aquilo a que alguns chamam “wicked messes” e que tornam infelizes todos os intervenientes. E onde se acaba a servir o sistema em vez de ter o sistema ao nosso serviço.
.
A implementação ou a reformulação de um sistema de gestão é um esforço para eliminar este monstro gelatinoso que a entropia gerou ao longo dos anos, e procurar novamente uma clareza e agilidade que verdadeiramente sirva os clientes. A implementação ou a reformulação de um sistema de gestão permite que uma organização se concentre no fundamental para conseguir realizar ou maximizar o seu potencial. Se o objectivo é a maximização do potencial da organização, propomos que se comece o empreendimento por esclarecer qual é o negócio da organização, qual o âmbito de actuação, de forma a identificar as fronteiras de actuação e evitar sub optimizações, o enquistamento nos produtos e serviços actuais, tal como foi referido por Levitte no seu clássico “A miopia do marketing”. O que importa é ter antes como referência as necessidades dos clientes. Uma organização é, acima de tudo, um empreendimento, mais ou menos temporário, destinado a criar valor para os seus clientes, a Missão deve mostrar de forma clara, o que fazemos para criar valor para o cliente, ou seja, responder à questão “Qual é o nosso negócio?”, “Qual é o propósito que justifica a existência da organização?”"

.

Trecho retirado de "Balanced Scorecard - Concentrar uma Organização no que é Necessário"

.

Quantos sistemas de gestão da qualidade, de organizações certificadas, são criados e implementados com esta preocupação, com esta obsessão?

.

Ver a partir do minuto 3:48 até ao minuto 5:31:

.

Muitos, demasiados, sistemas de gestão são montados dando resposta à norma ISO 9001 como se ela fosse um caderno de encargos. Depois, as auditorias de conformidade aproximam-se muito do analista que identifica os componentes da mistura de Sagan no filme acima e, que se esquece, que o mais importante não é a presença pura e simples dos componentes mas a forma como esses componentes se interligam.

.

Assim, muitos, demasiados, sistemas de gestão são máquinas de resposta a requisitos, são misturas de componentes, amálgamas que nunca chegam a constituir um sistema, um ser vivo que tem no seu ADN uma ordem de concentração no que é essencial.

.

Continua.

Auditorias internas que acrescentam valor (parte II)

Acetatos e reflexões relativos à sessão 2 podem ser encontrados aqui.

.

O filme de Carl Sagan "A beleza não está na presença dos elementos, mas sim na forma como esses elementos se ligam entre si" pode ver visto aqui a partir do minuto 3:48