内部監査の運営(マネジメント)：中期内部監査計画を作る前の準備事項

「JISQ19011マネジメントシステム監査のための指針」を読んでいて、私が分かりにくいと感じたのは、「箇条5　監査プログラムのマネジメント」と「箇条6　監査の実施」の違いです。

そこで、QMSの内部監査を想定して次のように考え、

• 「5　監査プログラムのマネジメント」は、内部監査の中期計画
• 「6　監査の実施」は、定期内部監査

内部監査の（3年程度の）中期計画について説明しています。

まずは手を動かそうと3年程度の中期計画を作り始めたところ、やりたいこと、事前に準備したいこと、注意点などがあふれてきて混乱しました。

結果的に、まず事前に準備することを意識してみたところ、中期計画の枠組みを意識することにつながり、頭の中を整理することができました。

ここでは、中期の内部監査計画を作る前に準備することを説明します。

なお、「JISQ19011マネジメントシステム監査のための指針」の説明では、何をいっているのかよく分からなくなるので、私なりに解釈しています。JISQ19011の正確な意味を知りたい場合には、JIS規格をご参照ください。

中期内部監査計画作成の準備

「JISQ19011マネジメントシステム監査のための指針」の「5.4　監査プログラムの確立」は、中期内部監査計画を作るための準備、前提と考えています。

ここでは、中期内部監査計画を作成する際、現状や現実は一端横に置き、中期内部監査を作るための考慮すべきことについて説明します。

中期内部監査計画をマネジメントする人の役割と責任

中期内部監査を作成する場合、ISO管理責任者が自ら作ることもあれば、内部監査責任者に起案させることもあると思います。

3年間の中期内部監査計画により、実際に毎年の定期内部監査を実施するのは内部監査責任者になると考えています。

中期内部監査計画をマネジメントに必要なことについて、列挙します。

中期内部監査の適用範囲

中期内部監査の適用範囲は、

• 内部監査の目的
• 計画作成時点において分かっている制約

を考慮して決定します。

内部監査で実施することの統合

内部監査のために実施することは、次の様に様々です。

• 社外及び社内の課題
• 内部監査に影響を与える可能性のあるリスク及び機会を決める

これらを明確にした後で、

• 課題、リスク及び機会に対する必要な処置をとる。

さらに、

• 必要に応じて、これらの活動を関連する内部監査の活動に含める。

ことになります。

内部監査に関連するプロセスを確立する

ISO9001のプロセスアプローチを内部監査にも適用するということです。

具体的には、次の事項を含む、すべての関連プロセスを確立します。

• 中期内部監査計画内の全ての監査の調整とスケジュールの作成
• 内部監査の目的、範囲及び基準を明確にし、監査方法を決め、監査チーム（監査メンバー）を選ぶ。
• 内部監査員の評価
• 必要があれば、外部及び内部コミュニケーションの方法を決め、実施する。
• トラブルの解決と苦情の取扱い（例えば、対応方法が決まっていないと、内部監査時にトラブルが発生した際に、初動対応を誤り、大きな問題となり、解決に時間が必要になることもあります。
• これまでの内部監査結果から必要なフォローアップ（不適合や観察事項への対応状況や再発していないかの確認など）
• 必要があれば、ISO管理責任者や関連する利害関係者への報告

中期内部監査計画をマネジメントする人の力量

中期内部監査計画をマネジメントする人、つまり、ISO管理責任者や内部監査責任者は、

• 中期内部監査計画及びこれに関連するリスク及び機会
• 外部及び内部の課題

を有効かつ効率的に管理（マネジメント）する力量が必要です。

これらの力量には、次の知識が含まれます。

• 監査の原則、方法及びプロセス（「JISQ19011マネジメントシステム監査のための指針」の付属書にも関連します。）
• マネジメントシステム規格、その他関連する規格、基準や手引きなどの文書（品質マニュアルに明記された規格は必須です。）
• 内部監査の対応者、対象部署の状況（例えば、社外・社内の課題、利害関係者からのニーズや期待、担当業務の状況、製品やサービスなど。内部監査で最初にヒアリングする監査対象部署の概況確認に当たる内容です。）
• 法令・規制要求事項、関連するその他の要求

また、必要な場合には、

• リスクマネジメント
• プロジェクト及びプロセスのマネジメント
• 情報通信技術（ICT）

に関連する知識を考慮します。

さらに、これらの力量を維持するための活動を続けることが必要です。

中期内部監査計画の範囲を具体化

中期内部監査計画の適用範囲（領域）は、監査対象部署の状況について提供される情報により変わります。

中期内部監査計画の適用範囲に影響を与える要因を以下に列挙します。

• 内部監査の目的、範囲及び期間、実施回数（年1回の定期内部監査）、報告方法（具体的には内部監査規定に定める）、前回までの内部監査結果のフォロ－アップ
• マネジメントシステム規格、該当する場合は、その他の適用可能な基準
• 内部監査対象となる部署の種類と数、重要性、複雑さ、類似性（本社営業と営業支店）及び場所（本社、営業支店や工場などの拠点）
• マネジメントシステムの有効性に影響を与える要因（品質方針・目標の達成に向けた活動のパフォーマンスなど）
• 適用される内部監査基準（法令・規制要求事項、品質マニュアルや関連規定、及び、自社がコミットメントしたその他の要求事項）
• 前回までの内部監査又は外部監査の結果、該当する場合はマネジメントレビュ－の結果
• 前回の内部監査についてのレビュ－結果
• 言語、文化及び社会上の課題（会社の規模によらず日本語や日本のみとは限りません。）
• 利害関係者の懸念事項（例えば、顧客の苦情、法令・規制要求事項及び自社がコミットメントしたその他の要求事項に関する不順守、サプライチェ－ンの課題など）
• 監査対象部署（者）の状況、担当業務や関連するリスク及び機会に関する重大な変化（影響）
• 内部監査活動を支援する、監査対象部署（者）の情報通信技術の利用可能性（Web会議システムによる内部監査など。（「JISQ19011マネジメントシステム監査のための指針」の付属書にも関連します。）
• 内部及び外部のトピックス（通常ではないこと）の発生（例えば、製品又はサ－ビスの不適合、社内情報などの流出（情報セキュリティ漏えい）、安全衛生、犯罪や環境に関わるインシデントなど）
• 事業のリスク及び機会（これらに対処する活動も含まれます。）

上述の項目については、定期内部監査でも同じ様な視点が必要です。

中期内部監査計画では、定期内部監査と比べると、計画期間の3年という時間的に長く、検討範囲もより広くなります。

中期内部監査計画の資源の決定

中期内部監査計画では、内部監査に割り当てられる資源を決める際に、以下のことを考慮します。

ほぼ制約条件と考えた方がよいかもしれません。

• 内部監査を計画、実施、マネジメントし、改善するために必要なコスト及び工数
• 内部監査の方法
• 内部監査の目的にふさわしい力量を備えた、内部監査員、必要な場合は技術専門家利用可能性
• 内部監査計画の範囲やリスク及び機会
• 移動時間及び費用（宿泊）、その他監査に必要なこと
• 該当する場合は、異なったタイムゾ－ンの影響（時差による影響）
• 内部監査にWeb会議システムを利用できるか（ハードウェアと利用者のスキルを考慮）
• その他の必要なツ－ル、技術及び機器の利用可能性
• 内部監査計画で決定した、必要な文書化した情報の利用可能性（「JISQ19011マネジメントシステム監査のための指針」の付属書にも関連します。）
• 施設に関する要求事項（例えば、機密情報の取扱い許可や機器、工場内での活動に必要な服装や装具）

内部監査で使用する資源については、

• 一度検討すればその後は変更がないか確認すればすむこと

もありますが、

• 使える内部監査員やチーム構成などの定期内部監査でも直前の変更が発生するようなこと

もあります。

まとめ

「JISQ19011マネジメントシステム監査のための指針」を読んでいて、私が分かりにくいと感じたのは、「箇条5　監査プログラムのマネジメント」と「箇条6　監査の実施」の違いです。そこで、QMSの内部監査を想定して、

• 「5　監査プログラムのマネジメント」は、内部監査の中期計画
• 「6　監査の実施」は、定期内部監査

と考えることで、QMSの内部監査に当てはめて説明しています。

ここでは、中期内部監査計画を作る前に準備することについて、以下の項目で説明しました。

• 中期内部監査計画作成の準備
  • 中期内部監査計画をマネジメントする人の役割と責任
    • 中期内部監査の適用範囲
    • 内部監査で実施することの統合
    • 内部監査に関連するプロセスを確立する
  • 中期内部監査計画をマネジメントする人の力量
  • 中期内部監査計画の範囲を具体化
  • 中期内部監査計画の資源の決定