Como fazer uma auditoria interna da qualidade

A auditoria interna da qualidade existe para descobrir problemas antes que cheguem ao cliente ou ao auditor externo. É mecanismo de detecção, e o valor dela é proporcional ao que ela encontra.

Isso inverte a leitura comum. Auditoria que não aponta nada costuma ser celebrada como sinal de que está tudo bem, quando quase sempre é sinal de que foi superficial. Nenhum sistema com dezenas de processos está sem desvio.

A inversão muda a forma de conduzir. Auditor que entra querendo confirmar conformidade encontra conformidade; auditor que entra querendo entender como o processo funciona de verdade encontra as lacunas que importam.

Você vai ver as três camadas de verificação, como planejar o programa anual, como conduzir a entrevista para obter informação em vez de confirmação, como escrever o achado com evidência, e por que a verificação de eficácia fecha o ciclo.

O achado de exemplo foi montado para este artigo, no formato usado em sistema de gestão. É ilustrativo: mostra a estrutura, não descreve uma auditoria real.

Para que serve a auditoria interna

A auditoria interna existe para descobrir problemas antes que eles cheguem ao cliente ou ao auditor externo. É um mecanismo de detecção, e o valor dela é proporcional ao que ela encontra.

Isso inverte a leitura mais comum dentro das empresas. Auditoria que não aponta nada costuma ser celebrada como sinal de que está tudo bem, quando na maior parte das vezes é sinal de que ela foi superficial. Nenhum sistema com dezenas de processos e pessoas está sem desvio.

A inversão tem consequência prática na forma de conduzir. Um auditor que entra querendo confirmar conformidade encontra conformidade; um que entra querendo entender como o processo funciona de verdade encontra as lacunas que importam.

Há um segundo propósito, menos citado e igualmente relevante: a auditoria é o momento em que alguém de fora olha o processo e faz perguntas básicas. Boa parte das melhorias que saem de auditoria não vem do achado formal, vem da conversa que a pergunta provocou.

Este artigo trata da condução prática: como planejar, como preparar, como conduzir a entrevista, como registrar o achado, e o que fazer com ele depois.

O que a auditoria verifica

A verificação tem três camadas, e conduzir sem distingui-las produz auditoria confusa.

A primeira camada é a conformidade com o requisito. Existe o que a norma ou o contrato exige? A política está definida, os objetivos existem, os registros são mantidos? É a verificação mais simples e a menos informativa.

A segunda é a conformidade com o próprio padrão. A empresa definiu uma forma de trabalhar; ela é seguida? Aqui começa a informação útil, porque a distância entre o escrito e o praticado é onde mora a maior parte dos problemas.

A terceira é a eficácia. O que está definido e é seguido produz o resultado pretendido? Um processo pode estar em plena conformidade e não atingir o objetivo, e apontar isso é a contribuição mais valiosa que uma auditoria pode dar.

Auditoria que fica só na primeira camada vira conferência de documento. Auditoria que alcança a terceira ajuda a empresa a melhorar, e é a diferença entre ser vista como burocracia ou como recurso.

O programa anual: planejar antes de auditar

Auditoria isolada rende pouco. O que produz efeito é um programa que cobre todos os processos ao longo de um ciclo, com frequência ajustada ao risco.

O primeiro elemento é a lista de processos e a definição de quantas vezes cada um é auditado por ano. Processo crítico ou com histórico de problema merece mais de uma visita; processo estável e de baixo impacto pode ser anual.

O segundo é a data. Programa com datas definidas no início do ano acontece; programa com previsão de mês acontece parcialmente. A data pode ser ajustada, mas ela precisa existir para ser ajustada.

O terceiro é o auditor designado, com atenção à independência. Ninguém audita o processo que executa, e em empresa pequena isso se resolve com auditoria cruzada entre áreas, que tem o benefício adicional de espalhar prática entre elas.

O quarto é a revisão do programa ao longo do ano. Achado relevante num processo costuma justificar uma visita extra, e um programa rígido demais perde a capacidade de reagir ao que a própria auditoria descobriu.

Preparação: o que fazer antes de entrar na área

Auditor despreparado faz perguntas genéricas e recebe respostas genéricas. A preparação leva de uma a três horas e define a qualidade do que vem depois.

O primeiro passo é ler o que existe: o procedimento do processo, os indicadores, os achados das auditorias anteriores e o status das ações delas. Achado repetido é o sinal mais forte de que a ação anterior tratou sintoma.

O segundo é montar o roteiro. Não um questionário fechado, e sim uma lista de pontos a verificar, com a evidência que se pretende buscar em cada um. Roteiro é guia, não script, e o auditor precisa poder seguir o que aparecer.

O terceiro é definir a amostra. Quantos registros olhar, de que período, escolhidos como. Amostra decidida na hora tende a cair nos exemplos que a área escolhe mostrar, e amostra definida antes protege a independência do resultado.

O quarto é comunicar. Data, horário, escopo e quem precisa estar presente, com antecedência suficiente para a área se organizar. Auditoria surpresa tem lugar em contextos específicos e não é o padrão numa auditoria de sistema, porque o objetivo é entender o processo, não flagrar alguém.

A reunião de abertura

Uma conversa de dez minutos no início economiza tempo e evita a maior parte dos atritos.

Ela serve para confirmar o escopo, explicar como a auditoria vai acontecer, alinhar o horário e esclarecer o que será feito com os achados. Área que não sabe o que vai acontecer com o resultado tende a responder defensivamente.

Vale dizer explicitamente que o objeto é o processo e não as pessoas. Parece protocolar e muda a qualidade das respostas, especialmente com quem já passou por auditoria conduzida como inspeção.

Também vale declarar que achado é esperado. Quando o auditor diz que espera encontrar coisas e que isso é o propósito, a área para de tentar parecer perfeita, e a informação que surge é outra.

A reunião de abertura é o momento de perguntar se algo mudou desde a última auditoria: pessoas, sistema, volume, produto. Essas mudanças são onde os desvios costumam estar, e a pergunta direciona o resto da visita.

Como conduzir a entrevista

A entrevista é o principal instrumento da auditoria, e a forma da pergunta determina o que se descobre.

Perguntas abertas produzem informação; perguntas fechadas produzem confirmação. "Como você faz quando chega um pedido fora do padrão?" rende mais que "você segue o procedimento para pedido fora do padrão?", que tem uma resposta óbvia.

A técnica mais útil é pedir demonstração em vez de descrição. "Me mostra o último que chegou" leva ao registro real, e o registro real costuma revelar a prática que a descrição idealizou.

Seguir a cadeia também rende. Escolher um caso concreto e acompanhá-lo por todo o processo, de ponta a ponta, mostra as transferências entre etapas, que é onde a maior parte das falhas mora.

E vale cuidar do tom. Auditor que pergunta como quem quer entender obtém colaboração; auditor que pergunta como quem já sabe a resposta obtém defesa. A diferença aparece na quantidade de coisas que a área conta sem ser perguntada.

Evidência: o que sustenta um achado

Achado sem evidência é opinião, e opinião não se sustenta na discussão que vem depois.

A evidência precisa ser específica: qual documento, qual registro, qual data, qual amostra. "Os registros de treinamento estão incompletos" é fraco; "em 4 dos 10 registros de treinamento verificados, de janeiro a março, falta a evidência de avaliação de eficácia" é verificável.

A evidência pode vir de três fontes: documento, observação e declaração. As três valem, com pesos diferentes. Documento é a mais sólida; observação é forte e limitada ao momento; declaração precisa ser confirmada por uma das outras duas.

Um cuidado específico com declaração: quando alguém diz que algo não é feito, vale confirmar em registro antes de transformar em achado. Pessoas subestimam o que fazem, e o contrário também acontece.

Registrar a evidência no momento é mais eficiente que reconstruir depois. Anotar o número do documento e a data na hora evita a volta à área e a discussão sobre qual caso era.

Como classificar o achado

A distinção entre maior e menor costuma gerar discussão, e o critério prático é a sistematicidade. Um registro faltando em dez é menor; o processo inteiro sem registro é maior. Falha que compromete a capacidade do sistema de entregar o resultado tende a ser maior.

A oportunidade de melhoria merece cautela. Auditor que enche o relatório de sugestões dilui os achados reais e cria a impressão de que a auditoria é sobre preferências pessoais. Poucas e bem escolhidas rendem mais.

Também vale evitar a classificação usada como amortecedor. Registrar como observação algo que é não conformidade, para não criar desconforto, esvazia o instrumento e transfere o problema para a auditoria externa.

Como escrever o achado

Achado mal escrito gera discussão sobre o texto em vez de sobre o problema. Três elementos resolvem.

O primeiro é o requisito: o que deveria acontecer, com referência ao procedimento, à norma ou ao contrato. Sem isso, o achado parece opinião do auditor.

O segundo é a constatação: o que foi encontrado, com evidência específica. Datas, números de documento, quantidades verificadas.

O terceiro é a lacuna: a diferença entre os dois, enunciada de forma objetiva e sem adjetivo. Palavras como grave, inaceitável ou negligente não acrescentam informação e criam resistência.

O que o achado não deve conter é a causa nem a solução. Investigar a causa é trabalho de quem vai tratar, e um auditor que já chega com a solução costuma apontar a errada, porque não conhece o processo como quem trabalha nele.

A reunião de encerramento

O fechamento apresenta os achados à área antes de o relatório circular, e essa antecipação evita surpresa e contestação posterior.

O formato útil é direto: o que foi verificado, o que está conforme, e cada achado com sua evidência. Reconhecer o que está bem não é gentileza protocolar, é informação: a área precisa saber o que manter.

Vale confirmar o entendimento de cada achado com a área. Não é negociação sobre a existência do achado, e sim verificação de que a evidência está correta. Auditor erra, e descobrir isso na reunião é melhor que no relatório.

O encerramento define também o prazo para o plano de ação e quem responde por ele. Sem essa definição na hora, o relatório circula e o tratamento demora semanas para começar.

Uma prática que melhora a relação: perguntar à área o que dificultou a auditoria e o que poderia ser diferente na próxima. Isso transforma o processo em algo que melhora, e não num evento que se suporta.

O tratamento: onde a auditoria cumpre ou perde o propósito

Auditoria cujos achados não são tratados ensina a organização que o instrumento é decorativo, e a partir daí ninguém colabora de verdade com ele.

O tratamento tem quatro etapas: correção imediata, análise de causa, ação sobre a causa e verificação de eficácia. Pular a segunda é o erro mais comum, e ele produz a repetição do mesmo achado no ciclo seguinte.

A análise de causa não precisa ser elaborada. Cinco porquês bem conduzidos resolvem a maior parte dos casos, desde que a resposta não pare num nome de pessoa. Quando para, falta perguntar por que o processo permitiu aquele erro.

A verificação de eficácia é a etapa mais esquecida e a que fecha o ciclo. Ela acontece semanas depois, checando se a ação produziu o efeito. Ação implantada e não verificada tem chance considerável de não ter funcionado.

Um indicador simples do sistema: a proporção de achados que reaparecem. Alta, indica que as ações tratam sintoma. Ela é mais informativa que a quantidade de achados por auditoria.

O perfil do auditor interno

Auditor interno não precisa ser especialista no processo que audita, e em muitos casos é melhor que não seja.

O que ele precisa é conhecer os requisitos, saber conduzir entrevista e ter disposição para perguntar o óbvio. A pergunta ingênua feita por quem não convive com o processo é justamente a que revela o que a rotina normalizou.

A formação costuma ser curta: um curso de auditor interno de dezesseis a vinte e quatro horas cobre requisitos, técnicas e prática. O que faz diferença depois é a quantidade de auditorias conduzidas, e por isso vale ter um grupo que audita com regularidade em vez de muitos que auditam uma vez por ano.

A independência é requisito e costuma ser o mais difícil em empresa pequena. A auditoria cruzada resolve na maior parte dos casos, e quando não resolve, vale considerar auditor externo contratado para os processos críticos.

Um traço pessoal importa mais que os outros: a disposição de registrar o achado desconfortável. Auditor que evita o conflito produz relatório limpo e sistema que falha na auditoria externa.

Erros comuns na condução

• Auditar documento e não prática. Fica na camada menos informativa.
• Perguntar de forma fechada. Obtém confirmação, não informação.
• Aceitar amostra escolhida pela área. Vê o que ela quer mostrar.
• Achado sem evidência específica. Vira discussão sobre opinião.
• Escrever com adjetivo. Cria resistência e não acrescenta dado.
• Apontar a causa no achado. Costuma ser a errada, e é trabalho de quem trata.
• Classificar como observação para evitar desconforto. Esvazia o instrumento.
• Não verificar eficácia da ação. O achado reaparece no ciclo seguinte.
• Relatório que demora semanas. Perde a conexão com o que foi visto.

O nono item tem efeito prático subestimado. Relatório emitido em dois dias é discutido com a memória fresca; emitido em três semanas, exige que todo mundo reconstrua o contexto, e o tratamento começa mais devagar.

Erros comuns de quem é auditado

A área também tem padrões de comportamento que reduzem o valor da auditoria para ela mesma.

O primeiro é preparar na véspera. Arrumar o que estava fora, completar registro atrasado e treinar respostas produz uma auditoria que mede a capacidade de se preparar, não a rotina. O custo é perder a chance de descobrir o problema em ambiente controlado.

O segundo é responder o que se imagina que o auditor quer ouvir. Auditor experiente percebe, e a desconfiança amplia o escopo da verificação.

O terceiro é tratar o achado como acusação. Isso leva a discutir a redação em vez de tratar a causa, e consome o tempo que seria de solução.

O quarto é aceitar achado que não procede para encerrar logo. Achado errado gera ação desnecessária e, pior, ensina que a evidência não importa. Contestar com dado é legítimo e melhora o sistema.

Como usar os resultados na análise crítica

Os achados de auditoria são uma das entradas obrigatórias da análise crítica pela direção, e a forma de apresentá-los define se a reunião produz decisão.

Lista de achados não serve. O que informa é a leitura agregada: quais processos concentram achados, quais requisitos falham com mais frequência, quantos achados reaparecem, e qual o tempo médio de tratamento.

Essa leitura costuma revelar padrão que nenhuma auditoria isolada mostra. Três áreas com o mesmo tipo de achado indicam problema sistêmico, provavelmente de treinamento, de sistema ou de definição do próprio padrão.

A direção precisa sair da reunião com decisão sobre o que a leitura mostrou. Análise crítica que apenas registra o volume de achados é o equivalente organizacional de uma auditoria que não aponta nada.

Vale também levar o indicador do próprio programa: auditorias realizadas sobre planejadas. Quando ele cai, todo o resto do sistema tende a cair alguns meses depois.

Exemplo ilustrativo de um achado bem escrito

A força desse achado está na especificidade. Ninguém consegue discutir se ele procede, porque os quatro registros estão nomeados e o requisito está citado. A conversa vai direto para a causa.

Repare no que não está ali: nenhuma menção a quem deveria ter feito, nenhum adjetivo, e nenhuma sugestão de solução. Esses três elementos ausentes são o que mantém o achado no terreno técnico.

A amostra de dez registros também merece nota. Ela foi definida antes da visita, o que permite dizer 40% com significado. Amostra escolhida durante a auditoria não sustenta percentual.

Os dados foram montados para este artigo, no formato usado em sistema de gestão da qualidade. São ilustrativos: mostram a estrutura do achado, não descrevem uma auditoria real.

Auditoria interna em empresa pequena

Empresa com poucas pessoas enfrenta duas dificuldades específicas, e as duas têm solução prática.

A primeira é a independência. Com equipe enxuta, quase todo mundo participa de quase tudo. A saída é a auditoria cruzada entre funções e, para os processos mais críticos, um auditor externo contratado uma vez por ano.

A segunda é o tempo. Programa de auditoria que consome dias não cabe. A adaptação é auditar por processo em visitas curtas, de uma a duas horas, distribuídas ao longo do ano, em vez de concentrar tudo numa semana.

Há uma vantagem que compensa parte da dificuldade: em empresa pequena o auditor conhece o negócio inteiro, e por isso enxerga a interação entre processos que o auditor de empresa grande não alcança.

O risco a evitar é o informalismo. Auditoria conversada, sem registro de evidência nem de achado, não serve para a análise crítica nem para a auditoria externa, e a economia de tempo se paga com juros na certificação.

Por onde começar

Para quem vai estruturar o programa do zero, quatro movimentos bastam para o primeiro ciclo.

1. Liste os processos e defina a frequência de cada um por risco.
2. Forme dois ou três auditores e distribua as áreas de forma cruzada.
3. Publique o calendário do ano inteiro, com data e auditor.
4. Padronize o registro do achado com requisito, constatação e evidência.

O quarto item é o que mais eleva a qualidade do programa com menos esforço. Um formulário de cinco campos, usado por todos os auditores, torna os achados comparáveis e permite a leitura agregada na análise crítica.

E vale a medida de sucesso para o primeiro ciclo, porque ela costuma ser definida errado: não é o número baixo de achados, é o número de achados tratados com análise de causa e verificados quanto à eficácia. Auditoria que encontra muito e trata bem é um sistema funcionando.