En ISO-revision är en systematisk granskning av hur en organisation arbetar i förhållande till kraven i en ISO-standard och sitt eget ledningssystem.
Revisionen används för att kontrollera om organisationens arbetssätt fungerar som planerat, om kraven följs och om det finns områden som behöver förbättras.
Beroende på vilken standard företaget arbetar med kan revisionen exempelvis handla om kvalitet, miljö, arbetsmiljö eller informationssäkerhet.
En ISO-revision handlar inte bara om att kontrollera dokument. Revisorn vill framför allt se att organisationens processer fungerar i praktiken och används i den dagliga verksamheten.
En ISO-revision är en strukturerad granskning av ett ledningssystem.
Det kan exempelvis vara ett ledningssystem enligt:
Vid revisionen granskas om organisationens ledningssystem uppfyller relevanta krav och om arbetssätten faktiskt har införts.
Revisorn kan exempelvis kontrollera:
Exakt vad som granskas beror på vilken ISO-standard revisionen gäller.
Syftet med en ISO-revision är inte enbart att hitta fel.
Revisionen ska också hjälpa organisationen att bedöma om ledningssystemet fungerar och ger önskat resultat.
En revision kan bland annat visa om:
På så sätt blir revisionen en viktig del av organisationens arbete med ständiga förbättringar.
Det finns flera olika typer av revisioner inom ett ISO-ledningssystem.
En intern revision genomförs av eller på uppdrag av organisationen själv.
Syftet är att kontrollera att ledningssystemet fungerar och att organisationen följer sina egna processer samt relevanta krav i standarden.
Den interna revisionen sker normalt innan den externa certifieringsrevisionen.
En intern revisor kan exempelvis kontrollera:
Internrevisionen hjälper organisationen att upptäcka förbättringsområden innan den externa revisionen genomförs.
När organisationen vill bli ISO-certifierad genomför ett certifieringsorgan en extern revision.
Den första certifieringsrevisionen genomförs normalt i två steg.
I steg 1 granskas bland annat ledningssystemets struktur och dokumentation samt organisationens beredskap inför nästa steg.
I steg 2 genomförs en mer omfattande granskning av hur ledningssystemet fungerar i praktiken.
Revisorn kan då genomföra:
Om organisationen uppfyller kraven kan processen gå vidare mot certifiering.
När organisationen har blivit ISO-certifierad fortsätter revisionerna.
Certifieringsorganet genomför regelbundna uppföljningsrevisioner för att kontrollera att ledningssystemet fortfarande fungerar och att organisationen fortsätter uppfylla kraven.
Vid uppföljningsrevisionen granskas vanligtvis ett urval av verksamheten och ledningssystemet.
Revisorn kan exempelvis följa upp:
ISO-certifiering är inte permanent.
Efter en certifieringsperiod genomförs en omcertifieringsrevision.
Revisionen är mer omfattande än en vanlig uppföljningsrevision och syftar till att bedöma om organisationen fortfarande uppfyller kraven för fortsatt certifiering.
Därefter börjar en ny certifieringsperiod.
Hur revisionen genomförs varierar beroende på organisationens storlek, verksamhet och vilken standard som granskas.
En vanlig revision innehåller flera moment.
Revisionen börjar ofta med ett möte där revisorn går igenom:
Organisationen får då möjlighet att ställa frågor om hur revisionen kommer att genomföras.
Revisorn kan intervjua personer på olika nivåer i organisationen.
Det kan exempelvis vara:
Medarbetarna behöver normalt inte kunna standarden utantill.
Revisorn vill istället förstå hur arbetet faktiskt utförs och om medarbetarna känner till de rutiner som berör deras arbete.
Revisorn kan också granska olika typer av dokument och registreringar.
Det kan exempelvis vara:
Dokumentationen används bland annat för att verifiera att organisationens arbetssätt är implementerade och följs upp.
En ISO-revision är normalt baserad på stickprov.
Revisorn granskar alltså inte varje dokument, varje projekt eller varje transaktion i verksamheten.
Istället väljer revisorn ut representativa exempel.
Ett byggföretag kan exempelvis få ett antal projekt granskade, medan ett konsultföretag kan få några kunduppdrag eller processer kontrollerade.
Revisorn jämför organisationens arbetssätt med:
Det innebär att företaget inte bara behöver ha rätt dokumentation.
Det behöver också kunna visa att det som står i rutinerna faktiskt genomförs.
Om företagets rutin exempelvis säger att leverantörer ska utvärderas årligen kan revisorn vilja se bevis på att sådana utvärderingar har genomförts.
Om revisorn upptäcker att organisationen inte uppfyller ett krav kan en avvikelse rapporteras.
En avvikelse kan exempelvis uppstå om:
En avvikelse betyder inte automatiskt att organisationen misslyckats med certifieringen.
Organisationen behöver normalt analysera orsaken och genomföra korrigerande åtgärder.
När revisionen är avslutad hålls normalt ett avslutande möte.
Revisorn går då igenom resultatet och presenterar exempelvis:
Om avvikelser har identifierats behöver organisationen hantera dem inom den process som gäller för revisionen.
Syftet är inte bara att rätta ett enskilt fel.
Organisationen bör också förstå varför problemet uppstod och hur det kan förhindras från att uppstå igen.
Ett tillverkningsföretag är certifierat enligt ISO 9001.
Revisorn granskar bland annat:
Revisorn väljer några faktiska kundorder och följer processen från beställning till leverans.
På så sätt kan revisorn se om kvalitetsledningssystemet fungerar i praktiken.
Ett byggföretag är certifierat enligt ISO 14001.
Revisionen kan bland annat omfatta:
Revisorn kan besöka en arbetsplats för att kontrollera hur företagets miljörutiner används i praktiken.
Ett IT-företag är certifierat enligt ISO 27001.
Revisorn kan exempelvis granska:
Organisationen behöver då kunna visa att säkerhetsprocesserna inte bara finns dokumenterade utan även används.
Den bästa förberedelsen är att se till att ledningssystemet används i det dagliga arbetet.
Inför revisionen är det bra att kontrollera att:
Det är normalt bättre att ha ett enkelt system som faktiskt används än ett omfattande system som endast finns i dokument.
En ISO-revision är en systematisk granskning av en organisations ledningssystem för att kontrollera att relevanta krav uppfylls och att arbetssätten fungerar i praktiken.
Nej. Revisionen är en viktig del av certifieringsprocessen. Certifiering kan ske efter att certifieringsorganet har genomfört sin granskning och organisationen uppfyller kraven.
En intern revision genomförs av eller på uppdrag av organisationen själv, medan en extern certifieringsrevision genomförs av ett certifieringsorgan.
Nej. Revisioner baseras normalt på stickprov. Revisorn väljer personer och processer som är relevanta för revisionens omfattning.
Organisationen behöver normalt analysera orsaken och genomföra korrigerande åtgärder. En avvikelse innebär inte automatiskt att certifieringen stoppas.
Efter den första certifieringsrevisionen genomförs regelbundna uppföljningsrevisioner. Efter certifieringsperioden genomförs även en omcertifieringsrevision.
En ISO-revision är en central del av certifieringen och används för att kontrollera att ledningssystemet uppfyller kraven och fungerar i praktiken.
Vill du veta mer om vad som händer från den första granskningen fram till certifiering och fortsatta uppföljningar?
Svensk Certifiering Norden AB är ackrediterat av SWEDAC för att utföra revisioner och certifieringar av ledningssystem enligt ISO 9001, ISO 14001, ISO 45001, ISO 27001 och ISO 13485
Svensk Certifiering Norden AB är ackrediterat av SWEDAC för personcertifiering med kravspecifikationen Behörig Ingenjör Brandlarm SBF 1007:5.