Aanbevelingen interne audit via de root cause analysis ofwel de oorzaakanalyse

Het imago van de auditor kan daarmee worden aangetast. En juist dat imago is cruciaal voor het werk dat een auditor doet. Klanten moeten auditors geloven en ze moeten vrees hebben voor de gevolgen, als ze de norm niet naleven en als ze alle door de auditor gevonden afwijkingen niet repareren. Als dit het geval is, hoeft een externe auditor tijdens de audit er alleen maar voor te zorgen dat hij zijn imago in stand houdt. Gelukkig zijn er ook genoeg externe auditors, die gewoon goed zijn en zo’n imago niet nodig hebben. De door de auditor geconstateerde afwijkingen hebben dan veel meer waarde voor de klant.
Voor interne auditors geldt een ander verhaal. Voor hen is imago so wie so veel minder belangrijk. (Zie ook ‘Tips en valkuilen voor de interne auditor’.) Zij mogen zich kwetsbaar opstellen. Dat bevordert de samenwerking en zorgt ervoor ze betere aanbevelingen kunnen geven.

Wat is een root cause analysis?

De aanbevelingen die de interne auditor geeft, moeten de nodige diepgang hebben. Dat betekent dat ze niet alleen oplossingsgericht dienen te zijn, maar ook de oorzaak van de afwijking moeten wegnemen. Dit systeemdenken is een wezenlijk onderdeel van een managementsysteem. En daarbij hoort een ‘root cause analysis’ ofwel in simpel Nederlands een oorzaakanalyse.
Als de bevinding bijvoorbeeld is, dat een nooddeur vaak open staat, terwijl deze gesloten moet zijn, dan wordt van de interne auditor een aanbeveling verwacht, die verder gaat dan:

• Dan doen we de deur toch dicht.
• Ga naar de Gamma en koop een deurklem.

De hier boven bedoelde manier van denken is verder uitgewerkt in het artikel ‘Het verschil tussen een oplossing en een managementsysteem’. Daar kun je ook het volledige verhaal van de deur lezen.

Hoe ervoor zorgen dat de interne audit goede aanbevelingen oplevert?

Organisaties zijn zich meestal wel bewust van structurele afwijkingen. Maar die blijven vaak toch bestaan, doordat eenvoudige oplossingen veelal ten koste gaan van de efficiency en flexibiliteit en ook doordat het risico niet groot genoeg wordt gevonden om het probleem echt op te willen lossen.
Wat is er nu nodig voor goede aanbevelingen door de interne auditor? Het is in de eerste plaats noodzakelijk dat de interne auditor tijdens de initiatie van de interne audit vraagt de eerder genoemde structurele afwijkingen in kaart te brengen. Tijdens het intake gesprek worden deze dan besproken in samenhang met de vraag ‘Is dat erg?’ Daarbij wordt tevens geschetst wat er in het verleden al aan gedaan is. Deze additionele probleemstellingen worden verwerkt in het auditplan voor de interne audit. (Zie ook ‘Checklist standaard plan interne audit’).
Ook de uitvoering van de audit gaat verder dan het beoordelen van bewijs voor compliance van het managementsysteem. Een aantal ‘non-conformities’ zijn al bekend. Daarop dient de interne auditor door te vragen bij een aantal auditees die vooral werkzaam zijn in de operatie. Nadat de auditee de afwijking bevestigd heeft, worden additionele vragen gesteld zoals bijvoorbeeld:

• Waarom nemen jullie dat risico?
• Is dat erg?
• Onder welke condities zou je niet meer hoeven afwijken?

Vooral de laatste vraag is essentieel. De opdrachtgever wil immers aanbevelingen die in zijn organisatie haalbaar zijn. Op grond van de antwoorden op deze specifieke vragen en de andere bevindingen uit de audit (zie ‘Checklist standaard uitvoering interne audit’) worden voorlopige conclusies getrokken (met de oorzaakanalyse) en voorlopige aanbevelingen opgesteld.
In een interview of een sessie met 1-3 leidinggevenden worden de voorlopige conclusies en aanbevelingen vervolgens getoetst. Dit gebeurt aan de hand van vragen als:

• Herken je de problemen?
• Is dat erg?
• Herken je de conclusies en onderken je dezelfde oorzaken?

Verder worden (ook eigen)suggesties om structureel te verbeteren geïnventariseerd en benefits en concerns bepaald.
Als het gaat om een aanzienlijke bedreiging voor de organisatie en een complexe oplossing om het probleem op te lossen, dan kan dit worden gedaan in het format van een PSTB-sessie en dan met name gericht op de benefits & concerns. Valkuil hierbij is dan dat meteen de PSTB-sessie wordt belegd en de root cause analysis wordt overgeslagen. Meestal leidt dat dan tot oplossingen die weliswaar draagvlak hebben, maar die in de praktijk onvoldoende tegemoet komen aan de oorzaak van problemen, zodat ze in de praktijk niet gaan werken. Bovendien is hiervoor geen interne audit nodig.
NB: In een kleinere organisatie met minder dan ca. 40 medewerkers valt deze sessie met leidinggevenden vaak samen met de eindrapportage van de audit.

Presentatie van de uitkomsten

Bij de presentatie van de uitkomsten van de interne audit aan de directie, dient de interne auditor te beseffen dat niet de interne audit centraal staat, maar de verbetering die daarna plaats moet vinden en dat daarvoor directiebetrokkenheid nodig is. (Zie ook ‘De 10 grootste valkuilen voor de interne auditor’).
Daarom moet worden begonnen met de bevindingen die voorvloeien uit de reguliere audit. Meestal geeft dit een geruststellend beeld van de werking van het managementsysteem, wat dus opgevat kan worden als een compliment aan de directie. En de interne auditor moet dat compliment ook daadwerkelijk geven !
Uiteraard moeten de afwijkingen besproken worden met waarschijnlijk een aantal verbeterpunten, die in het verbeterplan opgenomen kunnen worden. Dit mag niet worden overgeslagen, maar moet wel kort worden gehouden. De interne auditor bevestigt hierbij het beeld, dat hij het beste voor heeft met de organisatie.
Dan kan de auditor ook zijn bevindingen, conclusies en aanbevelingen geven voor de vooraf gedefinieerde problemen. Want hierbij gelden altijd condities waaraan voldaan moet worden om het verbeterpunt te laten slagen. Voor het scheppen van die condities is de directie hard nodig. Ook die condities moeten worden opgenomen in het verbeterplan.
Als directies de aanbevelingen amenderen, is dat niet erg, maar er moet niet gemorreld gaan worden aan de bevindingen en conclusies. Daarvoor is immers objectief bewijs in de organisatie gevonden. En hiervoor is de auditor in zijn presentatie slechts de boodschapper. De auditor moet dus in zijn rol van auditor blijven en niet de ‘briljante adviseur’ gaan uithangen.
Dat de directie een belangrijke mening heeft over de aanpak van de oorzaken van het probleem is evident. In veel gevallen zijn directieleden tenslotte (mede-)eigenaar van de organisatie. Daarom moet worden gezorgd voor consensus over de aanpassingen in het verbeterplan en deze moeten indien mogelijk ook zichtbaar voor iedereen, inclusief actiehouders en de deadlines in het verbeterplan worden doorgevoerd.