เตรียมองค์กรให้พร้อมสำหรับการตรวจประเมินภายนอก จัดการเอกสารและหลักฐานอย่างมีประสิทธิภาพ

องค์กรกับความพร้อมตรวจประเมินภายนอก: จัดการเอกสารและหลักฐานอย่างเป็นระบบ

การเตรียมองค์กรให้พร้อมสำหรับการตรวจประเมินภายนอก คือการทำให้เอกสาร กระบวนการทำงาน และหลักฐานที่แสดงผลการดำเนินงานมีความครบถ้วน ถูกต้อง ตรวจสอบย้อนกลับได้ และสอดคล้องกับเกณฑ์ที่ใช้ประเมิน ไม่ใช่เพียงรวบรวมแฟ้มเอกสารก่อนวันตรวจเท่านั้น การเริ่มจากการวิเคราะห์ข้อกำหนด จัดทำทะเบียนหลักฐาน มอบหมายผู้รับผิดชอบ และตรวจสอบช่องว่างเป็นระยะ ช่วยลดความเสี่ยงจากข้อมูลไม่ตรงกันและทำให้ตอบคำถามผู้ประเมินได้อย่างมั่นใจ ทั้งนี้ องค์การระหว่างประเทศว่าด้วยการมาตรฐานระบุว่า มาตรฐานระบบการจัดการคุณภาพฉบับปี 2015 เน้นการคิดบนพื้นฐานความเสี่ยงและสารสนเทศที่เป็นเอกสาร แทนการกำหนดให้ทุกองค์กรต้องจัดทำเอกสารรูปแบบเดียวกัน จึงควรออกแบบระบบหลักฐานให้เหมาะกับบริบทและข้อกำหนดขององค์กร

ความพร้อมตรวจประเมินภายนอกหมายถึงอะไร และวัดจากสิ่งใด

การตรวจประเมินภายนอก หมายถึงการตรวจสอบหรือประเมินองค์กรโดยบุคคลหรือหน่วยงานที่เป็นอิสระจากงานที่ถูกตรวจ เพื่อพิจารณาว่าการดำเนินงานเป็นไปตามข้อกำหนด เกณฑ์มาตรฐาน กฎหมาย หรือเงื่อนไขของสัญญาหรือไม่ แนวทางขององค์การระหว่างประเทศว่าด้วยการมาตรฐานในมาตรฐานการตรวจประเมินระบบการจัดการ ฉบับปี 2018 อธิบายการตรวจประเมินว่าเป็นกระบวนการที่เป็นระบบ มีความเป็นอิสระ และจัดทำเป็นเอกสาร เพื่อรวบรวมหลักฐานและประเมินอย่างเป็นกลางเทียบกับเกณฑ์การตรวจ

ความพร้อมจึงไม่ได้วัดจากจำนวนเอกสาร แต่พิจารณาจากความเชื่อมโยงระหว่างข้อกำหนด งานที่ปฏิบัติจริง และหลักฐานที่ยืนยันผล ตัวอย่างเช่น หากข้อกำหนดระบุว่าต้องทบทวนความสามารถบุคลากร องค์กรควรแสดงได้ทั้งเกณฑ์ความสามารถ บันทึกการประเมิน หลักฐานการพัฒนา และผลการติดตามหลังการอบรม

ลักษณะสำคัญขององค์กรที่พร้อมรับการตรวจ ได้แก่

• ระบุเกณฑ์การตรวจและขอบเขตการประเมินได้ชัดเจน
• มีหลักฐานที่เป็นปัจจุบัน สอดคล้องกับการปฏิบัติงาน และระบุแหล่งที่มาได้
• ควบคุมการอนุมัติ การแก้ไข การเผยแพร่ และการเก็บรักษาเอกสาร
• ผู้รับผิดชอบเข้าใจบทบาทและสามารถอธิบายกระบวนการตามข้อเท็จจริง
• มีวิธีจัดการข้อบกพร่องและติดตามผลจนยืนยันได้ว่าการแก้ไขมีประสิทธิผล

เมื่อเข้าใจความหมายของความพร้อมแล้ว ขั้นต่อไปคือแปลงเกณฑ์การตรวจให้เป็นระบบเอกสารและหลักฐานที่ค้นหาและตรวจสอบได้

การจัดการเอกสารและหลักฐานช่วยให้การตรวจประเมินมีประสิทธิภาพ

การจัดการเอกสารและหลักฐาน คือการควบคุมข้อมูลที่องค์กรใช้กำหนดวิธีทำงาน รวมถึงบันทึกที่แสดงว่างานนั้นเกิดขึ้นจริงและได้ผลอย่างไร ควรแยกให้ชัดระหว่าง “เอกสารที่กำหนดแนวทาง” เช่น นโยบาย ระเบียบปฏิบัติ และแบบฟอร์ม กับ “บันทึกหลักฐาน” เช่น รายงานตรวจสอบ รายการอนุมัติ และผลการทดสอบ เพราะเอกสารประเภทแรกต้องควบคุมฉบับใช้งาน ส่วนบันทึกประเภทหลังต้องรักษาความถูกต้องและเรียกคืนได้

ทะเบียนข้อกำหนดและแผนผังหลักฐาน

ทะเบียนข้อกำหนดคือรายการที่เชื่อมโยงเกณฑ์แต่ละข้อกับกระบวนการ เจ้าของงาน เอกสาร และหลักฐานที่ใช้ยืนยัน ควรบันทึกอย่างน้อยว่าข้อกำหนดมาจากแหล่งใด ใช้กับหน่วยงานใด ต้องมีหลักฐานอะไร อยู่ที่ใด และใครเป็นผู้ดูแล แผนผังนี้ช่วยให้เห็นช่องว่าง เช่น มีขั้นตอนแต่ไม่มีบันทึก หรือมีบันทึกแต่ไม่สามารถอธิบายได้ว่าใช้ยืนยันข้อกำหนดใด

องค์กรอาจใช้ตารางสถานะ เช่น “ครบถ้วน” “ต้องปรับปรุง” และ “ยังไม่มีหลักฐาน” โดยกำหนดผู้รับผิดชอบและวันครบกำหนดสำหรับรายการที่ยังไม่พร้อม การจัดลำดับความสำคัญควรพิจารณาความเสี่ยงต่อความปลอดภัย กฎหมาย ลูกค้า และความต่อเนื่องของการดำเนินงาน

การควบคุมเอกสารฉบับใช้งาน

การควบคุมเอกสารคือการทำให้ผู้ปฏิบัติงานเข้าถึงฉบับที่ได้รับอนุมัติ และป้องกันการใช้เอกสารล้าสมัย รายละเอียดที่ควรควบคุมประกอบด้วยชื่อเอกสาร รหัส ฉบับแก้ไข วันที่มีผล ผู้อนุมัติ เจ้าของเอกสาร และประวัติการเปลี่ยนแปลง เมื่อมีการแก้ไข ควรพิจารณาว่ากระทบแบบฟอร์ม ระบบงาน การอบรม หรือหน่วยงานอื่นหรือไม่

หากใช้ระบบดิจิทัล ควรกำหนดสิทธิ์เข้าถึง การสำรองข้อมูล การเก็บประวัติการแก้ไข และวิธีป้องกันการลบหรือเปลี่ยนแปลงโดยไม่ได้รับอนุญาต ส่วนสำเนาที่พิมพ์ออกมาอาจระบุให้ชัดว่าเป็นสำเนาควบคุมหรือสำเนาเพื่ออ้างอิง เพื่อป้องกันการนำฉบับเก่ากลับมาใช้

การจัดเก็บและตรวจสอบย้อนกลับของบันทึก

บันทึกที่ดีต้องแสดงว่าใครทำอะไร เมื่อใด ภายใต้เงื่อนไขใด และผลเป็นอย่างไร ตามความเหมาะสมควรมีผู้จัดทำ ผู้ทบทวนหรืออนุมัติ วันที่อ้างอิง เลขที่รายการ และแหล่งข้อมูลที่เกี่ยวข้อง องค์กรควรกำหนดระยะเวลาเก็บรักษา วิธีจัดเก็บ ผู้มีสิทธิ์เข้าถึง และวิธีทำลายเมื่อครบกำหนด โดยคำนึงถึงกฎหมาย สัญญา และความอ่อนไหวของข้อมูล

หลักฐานดิจิทัล เช่น บันทึกจากระบบสารสนเทศ ภาพถ่าย หรือข้อมูลจากอุปกรณ์ตรวจวัด ควรมีข้อมูลประกอบที่ยืนยันแหล่งที่มาและช่วงเวลาที่บันทึก หลีกเลี่ยงการแก้ไขต้นฉบับโดยไม่ทิ้งร่องรอย หากข้อมูลมีข้อจำกัด เช่น ระบบขัดข้องหรือบันทึกไม่ครบ ควรเปิดเผยข้อจำกัดและแสดงวิธีควบคุมความเสี่ยงแทนการสร้างหลักฐานย้อนหลัง

การตรวจสอบภายในช่วยยืนยันความพร้อมก่อนผู้ประเมินภายนอก

การตรวจสอบภายในคือการประเมินกระบวนการขององค์กรอย่างเป็นระบบก่อนการตรวจจากภายนอก โดยผู้ตรวจควรมีความเป็นกลางและไม่ตรวจงานที่ตนเองรับผิดชอบโดยตรง เป้าหมายไม่ใช่การซ้อมตอบให้เหมือนกันทุกคน แต่เพื่อค้นหาความไม่สอดคล้อง ความเสี่ยง และหลักฐานที่ยังไม่เพียงพอ แล้วนำไปปรับปรุงก่อนเกิดผลกระทบ

การสุ่มตรวจแบบตามรอยกระบวนการ

การตามรอยเริ่มจากตัวอย่างงานจริง เช่น คำสั่งซื้อ รายการผลิต หรือข้อร้องเรียน แล้วตรวจต่อเนื่องตั้งแต่รับเรื่อง การอนุมัติ การปฏิบัติงาน การตรวจทวน จนถึงผลลัพธ์ วิธีนี้ช่วยทดสอบว่าขั้นตอนที่เขียนไว้ตรงกับการทำงานจริงหรือไม่ และบันทึกแต่ละส่วนเชื่อมโยงกันได้หรือไม่ ควรเลือกตัวอย่างจากช่วงเวลา หน่วยงาน หรือระดับความเสี่ยงที่แตกต่างกัน ไม่เลือกเฉพาะกรณีที่คาดว่าจะสมบูรณ์

การวิเคราะห์ช่องว่างและความเสี่ยง

การวิเคราะห์ช่องว่างคือการเปรียบเทียบสภาพปัจจุบันกับข้อกำหนด เพื่อระบุสิ่งที่ขาด สิ่งที่ทำไม่สม่ำเสมอ และสิ่งที่ยังไม่มีหลักฐานรองรับ ควรจัดลำดับตามโอกาสเกิดและผลกระทบ ไม่ใช่พิจารณาเฉพาะความสะดวกในการแก้ไข ตัวอย่างเช่น การไม่มีบันทึกการตรวจอุปกรณ์ที่มีผลต่อความปลอดภัยควรได้รับการจัดการก่อนการปรับรูปแบบเอกสารที่ไม่มีผลต่อการควบคุมงาน

องค์การระหว่างประเทศว่าด้วยการมาตรฐานเผยแพร่แนวทางการตรวจระบบการจัดการที่ให้ความสำคัญกับการวางแผนโดยคำนึงถึงความเสี่ยงและบริบทขององค์กร จึงควรออกแบบแผนตรวจภายในให้ครอบคลุมกระบวนการสำคัญ เหตุการณ์เปลี่ยนแปลง และผลการตรวจครั้งก่อน แทนการตรวจทุกหน่วยงานด้วยความถี่หรือความลึกเท่ากันโดยไม่พิจารณาความเสี่ยง

การแก้ไขสาเหตุและติดตามประสิทธิผล

เมื่อพบข้อบกพร่อง ควรแยกการแก้ไขเฉพาะหน้าออกจากการดำเนินการแก้ไขสาเหตุ การแก้เฉพาะหน้าอาจเป็นการแก้ข้อมูลหรือหยุดงานที่ไม่เป็นไปตามข้อกำหนด ส่วนการแก้สาเหตุต้องวิเคราะห์ว่าปัญหาเกิดจากขั้นตอนที่ไม่ชัดเจน การฝึกอบรมไม่เพียงพอ ระบบควบคุมไม่เหมาะสม หรือปัจจัยอื่น จากนั้นกำหนดผู้รับผิดชอบ วันครบกำหนด และหลักฐานยืนยันผล

การปิดรายการไม่ควรอาศัยเพียงคำยืนยันว่าแก้แล้ว แต่ควรตรวจว่ามาตรการใหม่ถูกนำไปใช้และลดโอกาสเกิดซ้ำได้จริง เช่น สุ่มตรวจบันทึกในช่วงเวลาหลังปรับปรุง หรือสัมภาษณ์ผู้ปฏิบัติงานที่เกี่ยวข้อง

การเตรียมบุคลากรและการตอบคำถามผู้ประเมิน

การเตรียมบุคลากรคือการทำให้ผู้เกี่ยวข้องเข้าใจขอบเขตการตรวจ หน้าที่ของตน และวิธีเข้าถึงหลักฐาน โดยไม่ชี้นำให้ปกปิดข้อเท็จจริง ผู้ปฏิบัติงานควรอธิบายงานตามที่ทำจริง หากไม่ทราบคำตอบ ควรแจ้งว่าจะประสานผู้รับผิดชอบหรือค้นหาข้อมูล แทนการคาดเดา

ก่อนวันตรวจ องค์กรควรกำหนดผู้ประสานงานกลาง ผู้พาผู้ประเมินไปยังพื้นที่ ผู้ดูแลเอกสาร และผู้มีอำนาจอนุมัติการให้ข้อมูล พร้อมตรวจสอบกำหนดการ สถานที่ อุปกรณ์ และการรักษาความลับของข้อมูล หากมีข้อมูลส่วนบุคคลหรือข้อมูลเชิงพาณิชย์ ควรระบุวิธีเปิดเผยเท่าที่จำเป็นและสอดคล้องกับข้อกำหนดที่เกี่ยวข้อง

ระหว่างการตรวจ ควรบันทึกคำขอข้อมูล ขอบเขตตัวอย่าง ข้อสังเกต และประเด็นที่ต้องติดตามอย่างเป็นกลาง หลังการตรวจ ให้สรุปผลแก่ผู้บริหารและเจ้าของกระบวนการ ระบุการดำเนินการ ผู้รับผิดชอบ และกำหนดเวลา เพื่อให้ผลการประเมินนำไปสู่การปรับปรุง ไม่ใช่จบลงเมื่อผู้ประเมินออกจากองค์กร

ตัวอย่างการนำระบบหลักฐานไปใช้ในองค์กร

ตัวอย่างต่อไปนี้เป็นสถานการณ์ประกอบ ไม่ใช่ผลการศึกษาที่ใช้แทนข้อกำหนดของหน่วยงานใดโดยเฉพาะ สมมติว่าโรงงานแห่งหนึ่งเตรียมรับการตรวจระบบคุณภาพและพบว่าบันทึกการตรวจเครื่องมือวัดกระจายอยู่หลายแผนก บางรายการไม่มีข้อมูลผู้ตรวจ และบางไฟล์ไม่ระบุวันที่แก้ไข

องค์กรเริ่มจากทำทะเบียนเครื่องมือและเชื่อมโยงกับข้อกำหนดที่เกี่ยวข้อง กำหนดเจ้าของข้อมูลและรูปแบบบันทึกมาตรฐาน ย้ายเอกสารฉบับใช้งานไปยังพื้นที่จัดเก็บที่ควบคุมสิทธิ์ แล้วสุ่มตรวจรายการย้อนหลังเพื่อระบุข้อมูลที่ขาด จากนั้นวิเคราะห์สาเหตุและปรับขั้นตอนการบันทึก พร้อมให้ผู้ตรวจภายในติดตามตัวอย่างหลังการปรับปรุง วิธีนี้ทำให้ผู้ประเมินสามารถตามรอยจากข้อกำหนดไปยังเครื่องมือ บันทึก และผลการควบคุมได้อย่างต่อเนื่อง

ตัวชี้วัดที่องค์กรอาจใช้ติดตามความพร้อม ได้แก่ สัดส่วนข้อกำหนดที่มีหลักฐานครบ จำนวนเอกสารล้าสมัยที่ยังพบในจุดใช้งาน ระยะเวลาเฉลี่ยในการค้นหาเอกสาร และจำนวนข้อบกพร่องที่เกิดซ้ำ ควรกำหนดนิยามและวิธีคำนวณให้ชัดเจน เพราะตัวเลขเหล่านี้เป็นเครื่องมือบริหารภายใน ไม่ใช่เกณฑ์สากลที่ใช้แทนข้อกำหนดของผู้ประเมิน

รายการตรวจสอบก่อนวันประเมิน

1. ยืนยันขอบเขต เกณฑ์ วันเวลา และหน่วยงานที่เกี่ยวข้องกับการตรวจ
2. ทบทวนทะเบียนข้อกำหนดและระบุหลักฐานที่ยังขาดหรือไม่เป็นปัจจุบัน
3. ตรวจฉบับเอกสารที่จุดปฏิบัติงานและนำฉบับล้าสมัยออกจากการใช้งาน
4. ทดสอบการค้นคืนบันทึกจากตัวอย่างงานจริงและตรวจสอบความเชื่อมโยงของข้อมูล
5. ทบทวนข้อบกพร่องเดิม การดำเนินการแก้ไข และหลักฐานยืนยันประสิทธิผล
6. แจ้งบทบาทผู้ประสานงานและผู้รับผิดชอบข้อมูลให้บุคลากรที่เกี่ยวข้องทราบ
7. เตรียมพื้นที่ ระบบ และมาตรการรักษาความลับ โดยไม่จัดทำหรือแก้ไขหลักฐานย้อนหลัง

สรุป: สร้างความพร้อมจากงานประจำ ไม่ใช่การเร่งจัดแฟ้ม

ความพร้อมตรวจประเมินภายนอกเกิดจากการเชื่อมโยงข้อกำหนดกับกระบวนการ เอกสารฉบับใช้งาน และบันทึกที่ตรวจสอบย้อนกลับได้ ทะเบียนหลักฐานช่วยให้เห็นช่องว่าง การควบคุมเอกสารช่วยป้องกันความสับสน การตรวจสอบภายในช่วยค้นหาความเสี่ยง และการติดตามสาเหตุช่วยป้องกันปัญหาเกิดซ้ำ

องค์กรควรเริ่มจากข้อกำหนดที่มีความเสี่ยงสูง ทดลองตามรอยหลักฐานจากงานจริง และกำหนดเจ้าของข้อมูลอย่างชัดเจน จากนั้นทบทวนระบบเป็นประจำเพื่อให้การตรวจประเมินเป็นส่วนหนึ่งของการบริหารงานที่ดีและการพัฒนาอย่างต่อเนื่อง

แหล่งข้อมูลอ้างอิง

• องค์การระหว่างประเทศว่าด้วยการมาตรฐาน, มาตรฐานระบบการจัดการคุณภาพ ข้อกำหนด ฉบับปี 2015
• องค์การระหว่างประเทศว่าด้วยการมาตรฐาน, แนวทางการตรวจประเมินระบบการจัดการ ฉบับปี 2018
• องค์การระหว่างประเทศว่าด้วยการมาตรฐาน, ข้อมูลและคำอธิบายเกี่ยวกับมาตรฐานระบบการจัดการคุณภาพ บนเว็บไซต์ขององค์การ