Внутренний аудит -- это оценка рисков

[Вячеслав Лебединец]

Вячеслав, повторяю, оценка рисков возможна только на первом и четвертом тактах цикла Деминга, так как она входит исключительно в компетенцию процесса анализа системы руководством. Оценка рисков аудиторами, говоря словами одной пословицы, больше чем преступление, это ошибка!

Олег, не забывайте писать - "ИМХО"... Не берите на себя ответственность за всех.

Кстати, Вы заметили что инспекторам по показанной мною методичке полностью запрещена аналитическая деятельность? Все несоответствия стандартизированы...

Олег, ну что тут писать... Еще раз повторю - это Ваше личное мнение. У меня - другое. Вы делаете так - ваше право. А я делаю иначе, и тоже имею на это право. Главное - чтобы был результат

Где здесь вообще ОЦЕНКА РИСКОВ?

А риски оцениваются не инспекторами на месте проверки, а начальниками в теплых кабинетах исходя из анализа всех полученных данных. [/quote]
Задам Вам один вопрос: как Вы считаете - обнаруженное несоответствие не является ли реализацией соответствующих рисков? Или НС - одно, а риски - совсем другое? Не обнаруживают ли аудиторы верхушки проявлений рисков? Я считаю - да, именно так. А раскапывание их причин (и НС и рисков) - это уже ваши "теплые кабинеты..."

[Кольцов Олег]

как Вы считаете - обнаруженное несоответствие не является ли реализацией соответствующих рисков? Или НС - одно, а риски - совсем другое? Не обнаруживают ли аудиторы верхушки проявлений рисков? Я считаю - да, именно так. А раскапывание их причин (и НС и рисков) - это уже ваши "теплые кабинеты..."

Вячеслав, я Вам про это уже сколько говорю! Обнаружение несоответствий не является анализом рисков, так как одно и тоже несоответствие может быть абсолютно разнохарактерными рисками. Надеюсь Вы теперь согласны что аудит это не оценка рисков, а сбор информации о проявившихся рисках?
А сколько рисков еще не проявилось и потому принципиально их действие не было обнаружено аудиторами!

[Вячеслав Лебединец]

Олег, я бы все-таки не так сформулировал.
Сбор информации о проявившихся рисках - это инспекция. Согласен.
Аудит - сбор информации о ходе выполнения деятельности для выявления зон наибольших рисков. ИМХО.

[Кольцов Олег]

Сбор информации о проявившихся рисках - это инспекция. Согласен.
Аудит - сбор информации о ходе выполнения деятельности для выявления зон наибольших рисков. ИМХО.

Вячеслав, извините, но это абсурд. С учетом случайности действия риска ни один аудит принципиально не способен выявить зону наибольших рисков, так как ход деятельности демонстрирует исключительно проявление рисков или их не проявление. И аудит и инспекция это не более чем разные виды мониторинга состояния.
Как говорит медицинская шутка - лучше всех причины болезней определяет патологоанатом.

[Вячеслав Лебединец]

Олег, ваше правл так считать. А моя практика доказывает обратное.
По-вашему, так вообще ничем невозможно определить риски - это реально сделать только после закрытия организации и раскладывания по полочкам всего, что было сделано, поминутно. Вот это - настоящий абсурд. Абсурдный абсурд.

[Кольцов Олег]

Олег, ваше правл так считать. А моя практика доказывает обратное.
По-вашему, так вообще ничем невозможно определить риски - это реально сделать только после закрытия организации и раскладывания по полочкам всего, что было сделано, поминутно. Вот это - настоящий абсурд. Абсурдный абсурд.

Вячеслав, абсурдный абсурд это наша беседа, в которой у Вас есть только два мнения - Ваше и неправильное.
Я уже не знаю сколько раз повторил что анализ рисков может осуществляться только на первом и четвертом такте цикла Деминга, то есть при проектировании системы и анализе ее функционирования руководством. На третьем такте определять риски принципиально невозможно, что собственно говоря Вы и сами подтвердили. Не обижайтесь, но моя практика говорит что больше всего вреда внедрению стандартов ИСО на СМ принесли преподаватели ВУЗов, особенно выступающие в роли аудиторов и навязывающие свои теоретические идеи практикам, заставляя их набивать шишки на проверки правильности этих теорий.
Подтверждаю свою мысль о том, что полностью объективно проверить правильность анализа рисков в организации возможно только посмертно, так как в любом анализе действующей организации тоже есть риск ошибки в следствие неполной информации, заведомого обмана и прочего подобного.
По теме я уже все сказал, так что дальше обсуждайте без меня.

[Вячеслав Лебединец]

Олег, а для Вас существует другое мнение, кроме своего собственного?
Можете сколько угодно утверждать свое - но у меня тоже есть личное мнение, основанное на опыте работы с предприятиями, где риски и аудиты - нормативные обязательные требования. Я понимаю аудиты так, как сказал выше. Вы - по-своему. По-своему - и непонятно как. Объяснить что есть аудиты и в чем отличия от инспекции не можете, навязываете в какой-то непонятной форме свое субъективное мнение, да еще и обвиняете всех преподавателей всех вузов.
Единственное, с чем я согласен - что общение наше абсурдное, т.к. для вас общение - это монолог без посторонних, а форум - возможность показать свою крутость и всезнайство. Ну-ну...

[Вячеслав Лебединец]

Я уже не знаю сколько раз повторил что анализ рисков может осуществляться только на первом и четвертом такте цикла Деминга, то ...

Кроме всего прочего, я убеждаюсь, что вы даже не соизволите ВНИМАТЕЛЬНО ЧИТАТЬ мои (чьи-то) сообщения. Я разве где-то говорил об анализе рисков на этапе Do? Может мне стоит еще и в 10-й раз повторить что именно я вкладываю в понятие аудит?

[Кольцов Олег]

Кроме всего прочего, я убеждаюсь, что вы даже не соизволите ВНИМАТЕЛЬНО ЧИТАТЬ мои (чьи-то) сообщения. Я разве где-то говорил об анализе рисков на этапе Do? Может мне стоит еще и в 10-й раз повторить что именно я вкладываю в понятие аудит?

Вячеслав, я очень внимательно читаю и повторяю, что многократно повторенное Вами мнение что анализ рисков происходит на такте контроля - аудита как одной из его форм это ошибка. Как и объединение аудита (как одной из форм проверки) с анализом системы и разработкой КД и ПД. Абсолютно убежден что это к аудиту отношения принципиально не имеет и такое объединение вредно по причине того что есть великий риск подменить цель процесса целью контроля. Для анализа системы и рисков в ней данных аудита мало, нужна дополнительная информация, которая очень редко доступна аудитору, начиная от цели организации, цели проверяемого процесса, цели проведения аудита (это принципиально разные цели!), возможностей организации и так далее и тому подобное. Аудитор принципиально не имеет права принять риск (считать его допустимым), это функция более высокого уровня.
Впрочем как и другие методы обработки риска.

[Вячеслав Лебединец]

Кроме всего прочего, я убеждаюсь, что вы даже не соизволите ВНИМАТЕЛЬНО ЧИТАТЬ мои (чьи-то) сообщения. Я разве где-то говорил об анализе рисков на этапе Do? Может мне стоит еще и в 10-й раз повторить что именно я вкладываю в понятие аудит?

Вячеслав, я очень внимательно читаю и повторяю, что многократно повторенное Вами мнение что анализ рисков происходит на такте контроля - аудита как одной из его форм это ошибка.

Олег, нет - Вы не читаете моих сообщений. Иначе не каверкали бы моих слов.
Я не писал об анализе-аудите, я писал об оценке-аудите. Какой смысл я вкладываю в это? Оценка [процесса СМК] - это выявление/определение степени соответствияи возможности/пригодности оцениваемой деятельности с точки зрения достижения необходимых результатов. Таким образом - аудит не может не касаться рисков, ибо во многих (почти во всех) случаях задача аудитора как раз и сводится к интерпретации увиденной ситуации, т.е. - к оценке рисков. Ведь даже в ваших рекомендациях (и не только в ваших) дана классификация возможных аудиторских решений по НС и говорится об определении вероятного возникновения нежелательной ситуации - то есть о рисках. Выше риск - критичнее несоответствие. Ну не логично ли??? Куда ж логичнее!
А вот анализ причин этих рисков и результатов их реализации - задача руководителя процесса (8.2.2) и, если уместно, - ВР. О "причастности" аудитора к этому анализу я писал потому, что уверен - участие аудиторов в этой деятельности необходимо, иначе ценность их работы резко снижается и превращается в рядовые ревизии для запугивания сотрудников - проверено на десятках предприятий. Но - участие не есть выполнение/принятие решений.
Я не утверждал раньше и не утверждаю сейчас, что аудиторы должны брать на себя ответственность за реализацию КД и ПД - это дело руководства. Данные аудита должны использоваться как один из источников информации для принятия решений по таким действиям. Но - не единственный.
А вот теперь просьба: если высказываетесь по поводу моих сообщений - пожалуйста, делайте ответ на цитату. А то спору конца не будет

[Андрей Волков]

господа, вы бы договорились о терминах для начала, прежде чем друг друга соком обливать.
например, "оценка риска": ДО чего-то и После чего-то. Разные вещи, не правда ли?
Из всей я понял, что недопонимание основано на разных подходах.

[Вячеслав Лебединец]

Андрей - 100%

[Екатерина Михалыч]

Олег, по ссылкам на ваши работы требуется знание пароля.
поделитесь?

[Кольцов Олег]

Олег, по ссылкам на ваши работы требуется знание пароля.
поделитесь?

Сниму пароль в понедельник. Это мой мониторинг кому интересно.

[Кольцов Олег]

Сниму пароль

Не снимается. Пароль 1 для обеих файлов.

[Аркадий Пак]

Я скачал методику вроде без пароля А второй файл это что ?