Hva er en internrevisjon?

For virksomheter med et ISO-basert styringssystem er internrevisjon et av de viktigste verktøyene for å sikre etterlevelse, forbedring og kontinuerlig utvikling. Mange snakker om en "ISO-revisjon", men i praksis er dette en revisjon av et styringssystem opp mot kravene i en ISO-standard. 

Enten virksomheten arbeider med kvalitet, miljø, informasjonssikkerhet eller HMS, er revisjoner en sentral del av styringen. De bidrar til å avdekke avvik, redusere risiko og skape grunnlag for forbedringer. Internrevisjon er dessuten et obligatorisk krav i de fleste ISO-standarder og en viktig forutsetning for sertifisering. 

Internrevisjon: betydning og definisjon 

Mange virksomheter er sertifisert eller arbeider etter anerkjente ISO-standarder innenfor kvalitet, miljø, HMS og informasjonssikkerhet. Eksempler er ISO 9001, ISO 14001, ISO 45001 og ISO/IEC 27001. 

En internrevisjon, eller intern revisjon, er en systematisk og dokumentert prosess for å samle inn objektive bevis og vurdere om virksomhetens styringssystem oppfyller fastsatte krav. 

Målet med en internrevisjon er å: 

• Vurdere om styringssystemet fungerer etter hensikten 

• Kontrollere etterlevelse av standardkrav og interne prosedyrer 

• Identifisere avvik og forbedringsmuligheter 

• Understøtte kontinuerlig forbedring 

• Forberede virksomheten på ekstern revisjon 

Selv om begrepet ISO revisjon ofte brukes, er det viktig å være klar over at ISO ikke utfører revisjonen. Revisjonen gjennomføres enten internt av virksomheten selv eller av et akkreditert sertifiseringsorgan. 

Hvorfor er en internrevisjon viktig?

For å styrke kvaliteten, redusere risiko og møte forventninger fra kunder, myndigheter og andre interessenter, velger stadig flere å implementere et ISO-styringssystem.

Internrevisjon er viktig fordi den bekrefter at systemet faktisk fungerer i praksis. 

En godt gjennomført internrevisjon kan bidra til å: 

• Identifisere svakheter før de utvikler seg til større problemer 

• Avdekke manglende etterlevelse av prosedyrer og krav 

• Styrke organisasjonens risikostyring 

• Forbedre effektivitet og ressursbruk 

• Øke tilliten hos kunder og interessenter 

• Forberede virksomheten på sertifiseringsrevisjoner 

For norske virksomheter blir dette stadig viktigere i takt med økende krav til dokumentasjon, bærekraft, informasjonssikkerhet og virksomhetsstyring. 

Internrevisjon handler derfor ikke bare om kontroll. Den er også et viktig ledelsesverktøy for læring og forbedring. 

Krav til internrevisjon: standarder og forutsetninger 

De fleste ISO-standarder stiller eksplisitte krav til internrevisjon. 

Selv om formuleringene varierer noe mellom standardene, er hovedkravene de samme. Virksomheten skal etablere, gjennomføre og vedlikeholde et revisjonsprogram som definerer: 

• Omfang og mål for revisjonen 

• Revisjonsfrekvens 

• Ansvar og roller 

• Revisjonsmetoder 

• Rapportering og oppfølging 

• Kompetansekrav til revisorer 

Internrevisjonen skal gjennomføres objektivt og dokumenteres slik at ledelsen kan bruke resultatene i sitt forbedringsarbeid. 

Mange virksomheter benytter også ISO 19011 som veiledning for planlegging og gjennomføring av revisjoner. 

Den første internrevisjonen gjennomføres ofte tidlig i implementeringen av et styringssystem. Før virksomheten kan gå videre til sertifisering, forventes det normalt at en eller flere interne revisjoner er gjennomført. 

Selv om mange søker etter en internrevisjon mal, er det viktig å huske at revisjonsprogrammet må tilpasses virksomhetens størrelse, kompleksitet og risikoeksponering. En standardisert mal kan være et godt utgangspunkt, men bør aldri erstatte en risikobasert tilnærming. 

Typer revisjon: intern og ekstern revisjon 

Det finnes flere typer revisjoner, men de to vanligste er internrevisjon og ekstern revisjon. 

Internrevisjoner

Internrevisjon utføres av virksomheten selv eller av personer som handler på vegne av virksomheten. 

Formålet er å vurdere om styringssystemet fungerer effektivt og oppfyller kravene i aktuelle standarder. 

Internrevisorer bør være: 

• Uavhengige fra området som revideres 

• Tilstrekkelig kvalifiserte 

• Godt kjent med relevante standardkrav 

• Opplært i revisjonsmetodikk 

Mange virksomheter velger å investere i kurs for interne revisorer for å sikre kompetanse og kvalitet i revisjonsarbeidet. 

Dette er spesielt viktig ved revisjoner knyttet til områder som kvalitet, informasjonssikkerhet, miljø og HMS. 

Ekstern revisjon

En ekstern revisjon gjennomføres av et uavhengig sertifiseringsorgan som DNV. 

Formålet er å verifisere at styringssystemet oppfyller kravene i den aktuelle ISO-standarden. 

Denne typen ekstern revisjon gjennomføres typisk i forbindelse med: 

• Førstegangssertifisering 

• Oppfølgingsrevisjoner 

• Re-sertifisering 

En vellykket ekstern ISO revisjon resulterer i at virksomheten kan dokumentere overfor kunder, myndigheter og andre interessenter at styringssystemet er vurdert av en uavhengig tredjepart. 

For virksomheter med flere styringssystemer kan det være hensiktsmessig å gjennomføre integrerte revisjoner. Siden mange moderne ISO-standarder følger samme struktur, kan revisjon av flere standarder ofte samordnes og effektiviseres. 

Vanlige feil å unngå ved internrevisjon 

Selv virksomheter med modne styringssystemer kan oppleve at revisjonene ikke gir ønsket verdi. Ofte skyldes dette manglende planlegging eller utilstrekkelig kompetanse. 

Noen av de vanligste feilene er: 

Utilstrekkelig planlegging 

Revisjoner som gjennomføres uten tydelige mål, sjekklister eller revisjonsplaner, gir ofte begrenset verdi. 

Grundig forberedelse er avgjørende for en effektiv revisjon. 

Manglende involvering av relevante personer 

Revisjonen bør involvere medarbeidere som kjenner prosessene og arbeidsmetodene. Dersom nøkkelpersoner ikke deltar, kan viktige forhold bli oversett. 

Fokus på dokumentasjon fremfor praksis 

En vanlig feil er å kontrollere dokumenter uten å undersøke hvordan prosessene faktisk fungerer i praksis. 

En god ISO revisjon vurderer både dokumentasjon og faktisk gjennomføring. 

Mangelfull oppfølging av avvik 

Revisjonsfunn skaper liten verdi dersom virksomheten ikke følger opp korrigerende tiltak. 

Avvik bør behandles systematisk, med tydelig ansvar og definert tidsfrist for lukking. 

Utilstrekkelig revisorkompetanse 

Kompetansen til revisjonsteamet er avgjørende for kvaliteten på revisjonen. 

Revisorer må forstå: 

• Standardkravene 

• Virksomhetens prosesser 

• Revisjonsmetodikk 

• Risikobasert tenkning 

Derfor velger mange virksomheter å investere i kurs internrevisjon for å bygge nødvendig kompetanse internt. 

Når internrevisjon planlegges godt og gjennomføres av kvalifiserte revisorer, blir den langt mer enn et krav for sertifisering. Den blir et strategisk verktøy som hjelper virksomheten med å forbedre ytelse, redusere risiko og sikre at styringssystemet fortsetter å skape verdi over tid.