Vzdialené a hybridné audity podľa normy ISO 19011:2026

V predchádzajúcom článku som vzdialené a hybridné audity označila za oblasť, kde sa dá v audite veľa získať aj veľa pokaziť. Tentoraz prakticky. Čo je možné spoľahlivo overiť na diaľku cez zdieľanú obrazovku, čo si vyžaduje osobnú prítomnosť na mieste, a ako tieto dve úrovne overenia skombinovať tak, aby výsledok obstál pred audítorom.

Čo sa v norme naozaj zmenilo

Vo vydaní 2018 bolo vzdialené auditovanie okrajová možnosť, teda niečo, čo použijete, keď overenie na mieste nie je možné. Nové vydanie s tým narába inak. Vzdialené a hybridné audity sú zahrnuté do celého životného cyklu auditu, od plánovania programu cez prípravu až po zber dôkazov a závery. Norma sa pritom opiera o technickú špecifikáciu ISO/IEC TS 17012:2024, ktorá dáva konkrétnejší návod na to, ako vzdialený audit pripraviť a viesť.

Pre prax to znamená jeden posun. Rozhodnutie, či časť auditu urobíte na diaľku, prestáva byť núdzové riešenie a stáva sa vedomou voľbou, ktorú robíte podľa rizika a podľa toho, aký dôkaz vlastne potrebujete vidieť.

Čo sa dá overiť na diaľku a čo na mieste

Na diaľku ide spoľahlivo všetko, čo má podobu informácie. Dokumentácia a záznamy, politiky, zápisy z porád, registre rizík, plány školení. Rozhovory s ľuďmi o tom, ako proces funguje, kto za čo zodpovedá a ako reagujú na nezhody. Náhľad do informačných systémov cez zdieľanie obrazovky, napríklad do ERP, helpdesku alebo softvéru na riadenie kvality, kde sa dá naživo prejsť, ako sa eviduje reklamácia alebo ako sa schvaľuje dodávateľ. Aj prehľad ukazovateľov a ich vyhodnotenie.

Na miesto patrí to, čo treba vidieť na vlastné oči a často aj cítiť. Fyzická prevádzka a výroba, sklad, manipulácia s materiálom, stav a údržba zariadení, dodržiavanie pravidiel v teréne. Sem patrí aj to, čo sa ťažšie uchopuje: atmosféra na pracovisku, či ľudia robia veci tak, ako sú definované, alebo len tak, podľa seba. To ani skúsený audítor z obrazovky nevyčíta.

Hybridný audit je presne tá kombinácia. Dokumentačnú časť a časť rozhovorov spravíte na diaľku, ideálne ešte pred návštevou, a na miesto si necháte to, čo si vyžaduje fyzickú prítomnosť. Často to znamená kratší a sústredenejší pobyt na mieste, lebo prípravu máte vybavenú vopred.

Vzdialená metóda a virtuálna lokalita nie sú to isté

Nové vydanie normy zaviedlo do terminológie nový pojem virtuálna lokalita, pričom je potrebné dôsledne rozlišovať medzi ňou a vzdialenou metódou vykonávania auditu, ide o dve odlišné kategórie, ktoré sa v praxi často zamieňajú. Vzdialená metóda popisuje formu vykonania auditu, či ste na mieste osobne, alebo len prostredníctvom obrazovky. Virtuálna lokalita naproti tomu popisuje predmet auditu, miesto, kde proces alebo informácia skutočne vzniká a spracúva sa, hoci nemá fyzickú adresu. Ak sa časť činnosti odohráva v cloude alebo zamestnanci pracujú z domu, auditujete virtuálnu lokalitu bez ohľadu na to, kde sa v tej chvíli fyzicky nachádzate.

Zámena týchto dvoch pojmov sa prejaví priamo v rozsahu auditu: ohraničíte ho chybne, a tak niečo podstatné vynecháte. Do rozsahu auditu patria aj virtuálne lokality, kde sa proces odohráva, a metódu k nim volíte zvlášť. V praxi to znamená, že cloudovú prevádzku alebo prácu na diaľku pomenujete v rozsahu auditu ako lokalitu a až potom sa rozhodnete, či ju overíte na diaľku alebo na mieste.

Rozhodnutie urobte v pláne, nie počas auditu

Rozhodnutie o tom, čo pôjde na diaľku, nepatrí na začiatok auditu. Patrí už do plánovania programu auditov a potom do plánu konkrétneho auditu. Norma to viaže na ciele auditu a na riziko, a to je dobrá pomôcka aj pre vás.

Pri každom audite si položte pár otázok. Aké riziko nesie tento proces pre organizáciu? Dá sa dôkaz, ktorý potrebujem, overiť cez obrazovku tak, aby som mu vedela veriť? Je auditovaná organizácia technicky pripravená zdieľať to, čo budem chcieť vidieť? A nekomplikuje vzdialený prístup dôvernosť?

V praxi to vyzerá tak, že audit nákupu, zmlúv alebo riadenia dokumentácie pokojne zvládnete na diaľku, kým audit výrobnej linky alebo skladu si necháte na miesto. Dôležité je, aby ste túto voľbu vedeli zdôvodniť. Keď sa vás na to opýta certifikačný orgán alebo vedenie, odpoveď „lebo sa to tak dalo“ nestačí.

Ako zabezpečiť spoľahlivosť dôkazov

Pri vzdialenom audite vidíte presne to, čo vám druhá strana ukáže, a nič viac. To je pohodlné pre auditovanú organizáciu a zradné pre audítora.

Častá pasca je nacvičená ukážka. Keď niekto zdieľa obrazovku a prechádza záznamy, ktoré si dopredu pripravil, vidíte vyčistenú verziu reality. Bránite sa tomu jednoducho: vzorky určujete vy, nie auditovaná organizácia. Požiadajte o konkrétny záznam, otvorte tento mesiac, vyfiltrujte tohto dodávateľa, ukážte mi poslednú reklamáciu, nie tú pripravenú. Navigujte naživo, nenechajte si púšťať prezentáciu.

Druhá vec sa týka elektronických dôkazov. Záznam na obrazovke nie je dôveryhodnejší než papier len preto, že je na obrazovke. Pýtajte sa, kto k nemu mal prístup, či sa dal upraviť a čo hovorí história zmien a časové pečiatky. Práve toto je dôvod, prečo nové vydanie od audítora očakáva aj povedomie o digitálnych nástrojoch a informačnej bezpečnosti, a prečo sa mení aj príprava interných audítorov.

Nové vydanie je pri dôkazoch prísnejšie v zásade, ktorú treba brať vážne. Keď zbierate dôkazy na diaľku, počítajte s tým, že to prináša ďalšie obmedzenia a neistoty, a zohľadnite ich v záveroch. Ak vám niečo na diaľku nesedí alebo to nedokážete spoľahlivo overiť, je to legitímny dôvod presunúť bod na audit na mieste.

Dôvernosť a bezpečnosť dát počas vzdialeného auditu

Vzdialený audit otvára otázku, ktorú audit na mieste rieši menej často. Pri zdieľaní obrazovky sa ľahko odhalí to, čo nemalo byť vidieť, teda osobné údaje zamestnancov, ceny v zmluvách alebo údaje tretích strán. Dohodnite si vopred, čo sa bude zdieľať a čo nie, a ako sa naloží s tým, čo náhodou prebehne cez obrazovku.

Nahrávanie auditu riešte zvlášť. Ak ho chcete nahrávať, potrebujete právny základ, jasný účel, miesto uloženia a lehotu, po ktorej sa záznam zmaže. Na toto sa pri vzdialenom audite ľahko zabudne, pritom ide o spracúvanie osobných údajov so všetkým, čo k tomu podľa GDPR patrí. Zdieľané dokumenty posielajte cez bezpečný kanál dohodnutý vopred, nie cez súkromný e-mail alebo chat, kde sa stratí prehľad, kde dáta skončili.

Je to presne tá časť kompetentnosti audítora, ktorú nové vydanie pridalo, prenesená do praxe.

Technika, ktorá rozhodne, či audit prebehne bez prerušení

O výsledku vzdialeného auditu rozhodujú drobnosti, ktoré s normou nesúvisia.

Spojenie a nástroje otestujte pred auditom, nie počas neho. Prvých dvadsať minút strávených hľadaním, prečo nefunguje zdieľanie obrazovky, vám zoberie čas aj sústredenie. Majte záložný plán pre výpadok, čo i len dohodu, že pri prerušení prejdete na telefón alebo presuniete bod programu. Pri zahraničných pobočkách a dodávateľoch myslite na časové pásma. A vzdialený audit nenaťahujte na osem hodín v kuse, únava z obrazovky je reálna, rozdeľte ho na kratšie bloky s prestávkami.

Časté chyby z praxe

Naplánovať na diaľku to, čo treba vidieť na mieste. Obhliadka výroby cez mobil v ruke majstra nie je obhliadka. Uvidíte cez ňu zlomok prevádzky a presne to, čo vám chcú ukázať.

Spoľahnúť sa na to, čo ukáže auditovaná organizácia, bez vlastných vzoriek. Audit vediete vy.

Podceniť dôvernosť pri zdieľaní obrazovky a nahrávaní. Raz odhalené osobné údaje sa nedajú vziať späť.

Nemať plán B, keď vypadne spojenie. Výpadok príde spravidla v nevhodnej chvíli.

Čo s tým teraz

Ak máte program auditov postavený podľa vydania 2018 a aktuálny, nemusíte ho prerábať. Prejdite ho a pri každom audite dopíšte, čo sa dá spoľahlivo overiť na diaľku, čo patrí na miesto a prečo. To „prečo“ je dôležitejšie než samotné rozdelenie. Doplňte do kritérií kompetentnosti audítorov prácu s digitálnymi nástrojmi, posúdenie elektronických dôkazov a dôvernosť pri vzdialenom prístupe. Ak vás zaujíma, ako sa norma k týmto zmenám dopracovala, opísala som to v článku o vzniku normy ISO 19011:2026.

Pre slovenské firmy ešte jedna poznámka. Norma ISO 19011:2026 je zatiaľ medzinárodné vydanie a prevzatie do sústavy STN je samostatný krok, ktorý v čase poslednej aktualizácie tohto článku ešte neprebehol. Označenie STN sa preto môže od medzinárodného líšiť, kým ÚNMS SR normu neprevezme. Sledujeme to a budeme o tom informovať.

Ak teraz nastavujete vzdialené a hybridné audity do svojho programu alebo školíte audítorov na prácu s nimi, na úvodnej konzultácii prejdeme váš program auditov a navrhneme konkrétny ďalší krok, bez záväzku. Naše školenia o norme ISO 19011 aj poradenstvo k programu auditov vychádzajú z našich skúseností z interných, dodávateľských a externých auditov, vrátane toho, čo pri vzdialenom audite zvykne zlyhať.