Każdego audytora obowiązuje wiedza o kulturze danej organizacji, ryzyku i przepisach obowiązujących w branży. Liczy się też umiejętność oceny procesów.
Wytyczne dotyczące audytowania systemów zarządzania zawarte są w normie ISO 19011. Określają one podstawowe zasady etyki audytu, zarządzania audytami, przygotowania działań audytowych oraz realizacji audytu i raportowania.
— Zastosowanie tych wszystkich zasad powinno dawać dobrą podstawę do profesjonalnej realizacji umowy dotyczącej certyfikacji systemu zarządzania satysfakcjonującej obie strony umowy. Natomiast audytowanie, ograniczone do sprawdzeniach działań i rezultatach procesów — twierdzi Antoni Kleniewski, audytor wiodący SGS Polska.
Identyfikacja SZJ
Audytor powinien skupić się na obserwacji przebiegu i realizacji procesów. Do jego obowiązków należy sprawdzenie, czy rezultaty owych procesów służą realizacji misji, polityki i celów przedsiębiorstwa, czy wdrożone są pomiary i monitorowanie procesów biznesu, czy firma spełnia wymagania wszystkich zainteresowanych stron, czyli klientów, właścicieli, pracowników i społeczeństwa oraz — oczywiście — czy spełnione są wymagania normy, zarówno w zakresie dokumentacji, jak i funkcjonowania sytemu zarządzania.
— Przedsiębiorca może oczekiwać, że w wyniku procesu audytu certyfikacyjnego uzyska rzetelny, obiektywny obraz funkcjonowania SZJ i jego procesów wraz z oceną możliwości osiągania celów strategicznych firmy, ocenę stopnia spełnienia wymagań normy i ustanowionych własnych wymagań a także przydatny raport identyfikujący problemy, obszary ryzyka, możliwości doskonalenia efektywności systemu i jego procesów — wylicza Antoni Kleniewski.
Audytor powinien także jasno określić ewentualne niezgodności w odniesieniu do wymagań normy, ugruntować zakresy przydzielonych odpowiedzialności oraz ocenić, czy firma posiada wystarczające środki na funkcjonowanie systemu.
Odpowiednie kompetencje
Jak twierdzi Antoni Kleniewski, realizacja audytu powinna być dostosowana do ważności procesów i znanej historii ich przebiegu. Działania audytora nie powinny prowadzić do oceny osób, a jedynie do obiektywnej oceny procesów. Audytor, aby przeprowadzić właściwie audyt, powinien poznać dokumentację danego SZJ, uzupełnić podstawową wiedzę zarówno o kulturze firmy jak i ryzyku branżowym, a także poznać wymagane przepisy prawne regulujące działalność firmy.
— Sam certyfikat jest tylko dokumentem potwierdzającym spełnianie podstawowych wymagań zapisanych w normie. Dlatego organizacje powinny płacić za tzw. wartość dodaną, która jest możliwa do uzyskania pod warunkiem posiadania przez audytorów odpowiedniej wiedzy, doświadczenia i umiejętności branżowych oraz odpowiedniej osobowości. Tego nie można mieć za darmo — jednostka, która chce mieć takich ludzi, musi inwestować w ich rozwój — twierdzi Henryk Warkocz, wiceprezes RW TÜV Polska
— Audyt nie jest przydatny przedsiębiorcy, jeżeli raport końcowy ogranicza się do kwestionariuszowych odpowiedzi „tak” lub „nie”. Jeżeli po wyjeździe audytora pozostaje bez odpowiedzi pytanie: co teraz mamy zrobić, aby spełnić wymagania, organizacja powinna w przyszłości pomyśleć o innym audytorze. W sprzeczności z kanonami i etyką audytora stoi także sugerowanie sposobu rozwiązania problemu i wdrożenia ulepszenia „pod oczekiwania” audytora — dodaje Antoni Kleniewski.