Аудит ISO 31000:2018 (ГОСТ Р ИСО 31000-2019) - Менеджмент риска. Принципы и руководство

Существуют разные подходы к систематизации аудитов систем менеджмента. Чаще всего выделяются следующие виды аудитов ISO 31000:

• Внутренний аудит ISO 31000. Суть внутреннего аудита заключается в том, что организация проверяет систему менеджмента риска сама или с привлечением внешних экспертов, которые проводят аудит от имени организации. Внутренний аудит ISO 31000 проводится для того, чтобы оценить качество внедренной в компании системы менеджмента, например, перед прохождением аудита со стороны заказчика или сертификационного аудита. Для того, чтобы обеспечить независимость аудита и объективность полученных результатов, следует по возможности назначать аудиторами тех сотрудников, чья деятельность не связана с проверяемыми областями системы менеджмента. Внутренние аудиты также называют аудитами первой стороны.
• Внешний аудит ISO 31000. Внешний аудит системы менеджмента риска отличается от внутреннего тем, что его проводит сторонняя компания. Он может проводиться компанией или лицом, заинтересованном в деятельности проверяемой организации. Например, компанией-заказчиком товаров или услуг. Такой аудит называют аудитом второй стороны. Также внешний аудит может проводить полностью независимая от проверяемой компании организация, например, орган по сертификации. Как правило, такие аудиты используются для подтверждения соотвтетсвия системы управления рисками требованиям стандарта ISO 31000. Их принято называть сертификационными аудитами.
• Сертификационный аудит ISO 31000. Сертификационный аудит - это вид внешнего аудита, при котором система менеджмента предприятия оценивается на соответствие требованиям стандарта ISO 31000:2018 (ГОСТ Р ИСО 31000-2019) и готовность к сертификации по нему. Сертификационный аудит СМК - это аудит третьей стороны, он проводится независимыми компаниями - органами по сертификации систем менеджмента. Как правило, процесс сертификационного аудита разделяют на два основных этапа. На первом этапе проверяется готовность предприятия к прохождению сертификации, выявляются несоответствия и даются рекомендации по их устранению. На втором этапе проводится проверка внедренной на предприятии системы менеджмента риска в действии и, если не выявлено несоответствий, выдается сертификат соответствия ISO 31000.
• Инспекционный аудит ISO 31000. Инспекционный аудит или инспекционный контроль сертифицированной системы управления рисками проводится органами по сертификации в отношении организаций, которые уже получили сертификат ISO 31000:2018 (ГОСТ Р ИСО 31000-2019). Инспекционный контроль нужен для подтверждения того, что система менеджмента риска сертифицированной компании продолжает соответствовать требованиям стандарта ISO 31000. Такой аудит проводится регулярно - не реже одного раза в год. Это позволяет сертифицированным компаниям совершенствовать внедренную систему управления рисками с учетом изменений, а также устранять появившиеся с момента сертификации отклонения от требований стандарта.

Помимо приведенных выше, существуют другие способы классифицировать аудиты по стандарту ISO 31000. В зависимости от того, какую из заинтересованных сторон представляют аудиторы, выделяют аудиты:

• первой стороны или внутренние аудиты - когда организация проводит аудит ISO 31000 сама или с привлечением внешних специалистов, действующих от ее имени;
• второй стороны или аудиты поставщика - в этом случае заинтересованная организация проверяет поставщика или потенциального поставщика, чтобы выяснить, соответствует ли он ее требованиям;
• третьей стороны - аудит проводится независимой организацией, например, органом по сертификации.

В зависимости от объекта проверки выделяют аудиты:

• горизонтальные - когда аудиторы проверяют один процесс от его начала и до конца и только потом переходят к следующему процессу;
• вертикальные - когда при обнаружении в ходе проверки процесса связи с другим процессом, аудитора переключаются на него;
• аудиты в прямом направлении - когда процесс проверяется последовательно от его начала и до итогового результата;
• аудиты в обратном направлении - когда процесс проверяется от результата к началу процесса.

По своей сути аудит ISO 31000 представляет собой исследование того, как функционирует система менеджмента риска организации. Как и другие виды исследовательской деятельности, аудит проводится по определенным методам, с помощью которых объекты аудита проверяются на соответствие критериям аудита. В данном случае в качестве критериев используются требования стандарта ISO 31000:2018 (ГОСТ Р ИСО 31000-2019).