Voor veel processen en andere zaken in de bedrijfsvoering bestaan normenkaders. Denk bv. aan ISO 9001 (kwaliteitsmanagement) en ISO 27001 (informatiebeveiliging in het algemeen). Zo’n normenkader beschrijft wat je moet doen om een bepaald thema goed te beheersen.
Wil je of moet je voldoen aan een bepaald normenkader, dan schakel je een onafhankelijke partij in om te beoordelen of alles conform dat normenkader is beheerst: een auditor. Als alles perfect op orde is gaat dat meestal heel soepel. Maar als dat misschien nog niet zo is, wat kun je dan verwachten van een auditor? Dat hangt ervan af: de ene auditor is de andere niet.
Een auditor zal in de regel bij alle onderdelen van de betreffende norm vragen stellen zoals:
Op basis van geleverde documentatie en interviews met belanghebbenden, zal de auditor zich een oordeel vormen over elk onderdeel.
Natuurlijk zal de auditor exact beschrijven welke documenten die heeft gekregen en met wie die heeft gesproken. Ook zal die per onderdeel van de norm aangeven in hoeverre daaraan wordt voldaan. Daarbij maakt die gebruik van specifieke richtlijnen om een goede audit uit te voeren. De auditor heeft gerichte trainingen gevolgd en een tijdje meegelopen met ervaren collega-auditors om het vak te leren. Daarmee moet betrouwbaarheid, zuiverheid en reproduceerbaarheid worden geborgd.
Helaas is de praktijk weerbarstig. Problemen die kunnen optreden zijn onder meer:
Het begint bij de selectie van een auditor. Ga alleen in zee met een auditor die bekend is met de branche van je organisatie en die daar eerder audits heeft uitgevoerd.
Probeer de attitude van de auditor te achterhalen. Is het een “klassieke” auditor die vooral zoekt naar de gaten in jouw invulling van de norm, of is het iemand die zijn best doet om bewijs te vinden dat je voldoet, ook als je zelf niet goed weet hoe je dat kan aantonen.
Van een auditor mag je verwachten dat die niet alleen meldt wat niet voldoet, maar daarbij ook aangeeft wat je moet doen om op niveau te komen. Hoe je dat doet, moet je zelf weten. Sta niet toe dat de auditor op jouw stoel gaat zitten.
Een auditor is ook maar een mens met zijn/haar eigen achtergrond, voorkeuren en interpretaties. Die kun je allemaal ter discussie stellen. Is een conclusie voor jou niet duidelijk genoeg gemotiveerd, confronteer de auditor dan met zijn eigen wapens. Stel dus vragen zoals: “waar staat in de norm dat het zo en zo moet?”, “waaruit blijkt dat xxx niet werkt conform de norm?”, “als ik je bewijsmateriaal yyy toon, verandert dat dan je oordeel?”. Kortom, daag de auditor uit om onbevooroordeeld en zuiver zijn werk te doen.
Als een audit enkel frustratie en irritatie oplevert, vraag je dan twee dingen af:
Realiseer je dat de bril waarmee jij zelf de wereld bekijkt ook gekleurd is. Je bent immers ook maar een mens. Niettemin, je kunt altijd beslissen om een audit te stoppen en/of een andere auditor te zoeken.
Een audit uitvoeren is een vak. Dat vraagt om vakkennis en ervaring. Een audit ondergaan is ook een vak. Dan helpt het als je iemand erbij hebt die ervaring heeft met de uitvoering of begeleiding van audits en waar nodig tegengas kan geven.
Een audit hoeft geen pijnlijke exercitie te zijn. Een goede voorbereiding is (veel meer dan) het halve werk.