Telefon od kierownika kontraktu brzmi zawsze podobnie: nasz dział zgodności robi przegląd dostawców, potrzebujemy dokumentacji służby za ostatnie dwanaście miesięcy, termin jest krótki. W agencji ochrony zaczyna się wtedy tydzień, w którym dwie osoby przestają robić cokolwiek innego, a kierownicy obiektów szukają starych zeszytów. Audyt usługi ochrony rzadko wykrywa poważne nieprawidłowości — znacznie częściej wykrywa, że agencja nie potrafi pokazać, co robiła.
Różnica między firmą, dla której to jest kryzys, a firmą, dla której to jest zadanie na jedno popołudnie, nie polega na tym, ile pracy włożą po telefonie. Polega na decyzjach podjętych w dniu uruchomienia obiektu: co jest zapisywane, w jakiej formie i czy da się to wydać bez przepisywania. Poniżej lista tych decyzji i sposób przygotowania eksportu, który się broni.
Audyt usługi ochrony: czego zwykle żąda audytor
Zakres bywa różny, ale rdzeń powtarza się na większości przeglądów korporacyjnych:
- obsada — kto pełnił służbę na którym posterunku i w jakich godzinach, wraz z zastępstwami;
- potwierdzenia obecności — rzeczywiste rozpoczęcia i zakończenia służby, nie plan;
- obchody — wykonanie, godziny, potwierdzone punkty kontrolne oraz odstępstwa;
- zdarzenia — pełny rejestr z opisem podjętych działań i skutkiem;
- wejścia poza godzinami i rejestr gości, jeśli obiekt go prowadzi;
- kwalifikacje i uprawnienia osób kierowanych na obiekt oraz szkolenia;
- dokumenty obiektu — instrukcja posterunku i jej kolejne wersje.
Ostatnia pozycja zaskakuje najczęściej. Audytor pyta nie tylko o to, co robiono, ale o to, na jakiej podstawie — a jeśli instrukcja posterunku istnieje w trzech wersjach na dyskach różnych osób i żadna nie ma daty, odpowiedzi nie ma.
Zasada pierwsza: zapisuj w formie, którą da się wydać
To jedyna decyzja, która naprawdę odróżnia trudny audyt od łatwego. Dane zapisane w formie ciągłego tekstu — w zeszycie, w wiadomościach na komunikatorze, w wątkach pocztowych — są kompletne, ale nie da się ich wydać inaczej niż przez przepisanie. Dane zapisane jako uporządkowane wpisy z datą, obiektem, posterunkiem, autorem i typem zdarzenia można wydać w każdym układzie, o jaki poprosi audytor.
Praktyczna konsekwencja jest taka: warto od początku wymuszać kilka pól przy każdym wpisie, nawet jeśli wydaje się to nadmiarem. Obiekt, posterunek, typ zdarzenia, autor i czas. Bez nich każdy przegląd zaczyna się od ręcznego klasyfikowania kilkuset zapisów.
Zasada druga: trzy zbiory muszą się zgadzać
Audytorzy niemal zawsze robią jedną rzecz: biorą losowy dzień i porównują trzy źródła. Grafik mówi, kto miał pełnić służbę. Ewidencja mówi, kto ją pełnił faktycznie. Raport dobowy mówi, co się wtedy działo.
Jeżeli te trzy zbiory pochodzą z trzech różnych miejsc i były przepisywane, rozjazd jest niemal pewny — i to on, a nie żadne poważne uchybienie, jest najczęstszym powodem uwag pokontrolnych. Nie dlatego, że usługa była zła, tylko dlatego, że dokumentacja jej nie potwierdza.
Zabezpieczenie jest jedno: te trzy warstwy muszą wychodzić z tego samego zapisu. Grafik pracy i ewidencja czasu pracy prowadzone jako plan i wykonanie na tej samej osi eliminują większość rozbieżności, zanim ktokolwiek o nie zapyta. Raport, który powstaje z tych samych wpisów, dopina resztę.
Zasada trzecia: format, który audytor przyjmie
Przy dwunastu miesiącach dokumentacji forma przekazania decyduje o tym, ile pracy będzie po obu stronach.
Zestawienia tabelaryczne dla danych powtarzalnych: obsada, ewidencja godzin, obchody, wejścia. Jedna linia na zdarzenie, kolumny opisane jednoznacznie, daty w jednolitym zapisie, bez scalonych komórek i bez kolorowania jako nośnika znaczenia. Plik, w którym informacja jest zakodowana kolorem tła, nie nadaje się do analizy.
Dokumenty do odczytu dla rzeczy, które mają być czytane, a nie liczone: raporty okresowe, opisy poważniejszych zdarzeń, instrukcje.
Materiał towarzyszący osobno i opisany: zdjęcia i załączniki z jednoznacznym powiązaniem z numerem wpisu, nie luźny katalog plików nazwanych datą aparatu.
Do całości dołączcie krótką notę: jakie okresy obejmuje przekazanie, z czego pochodzą dane, co oznaczają poszczególne kolumny i jak zapisywane są odstępstwa. Ta jedna strona oszczędza kilka rund pytań uzupełniających.
Czego nie robić: retusz w ostatniej chwili
Pokusa jest zrozumiała. Widać, że w marcu brakuje potwierdzeń obchodów na jednym obiekcie, więc ktoś proponuje „uzupełnić”. To najgorsza możliwa decyzja i to z powodów czysto praktycznych.
Uzupełniane wstecz wpisy prawie zawsze zdradza sam materiał: wszystkie mają zbliżony czas utworzenia, brakuje im nieregularności charakterystycznej dla prawdziwej służby, nie mają zdjęć, a ich język jest zbyt jednolity. Audytor korporacyjny widział wiele takich zbiorów. Wykryta luka jest uwagą w protokole. Wykryty retusz jest końcem współpracy i zwykle końcem relacji z całą grupą kapitałową zleceniodawcy.
Właściwa reakcja jest odwrotna: luka zostaje pokazana wprost, z przyczyną i z opisem, co zmieniono, żeby się nie powtórzyła. Dostawca, który zna własne słabe punkty i nad nimi pracuje, wypada w przeglądzie lepiej niż dostawca z podejrzanie doskonałą dokumentacją.
Przygotowanie, które warto zrobić przed telefonem
Zróbcie próbny eksport raz na kwartał. Wybierzcie losowy tydzień sprzed pół roku i przygotujcie komplet, jakby żądał go audytor. To ćwiczenie trwa krótko i bezbłędnie pokazuje, czego brakuje — zanim brak stanie się problemem.
Sprawdźcie spójność losowego dnia. Grafik, ewidencja, raport, wpisy z obchodów. Jeśli się nie zgadzają, macie czas to naprawić u źródła.
Uporządkujcie dokumenty ludzi. Uprawnienia, badania, szkolenia i terminy ich ważności w jednym miejscu, z przypomnieniem o zbliżającym się końcu ważności. To najczęstsza uwaga w przeglądach i najłatwiejsza do usunięcia z wyprzedzeniem.
Wersjonujcie instrukcje posterunku. Data obowiązywania i informacja, kto zatwierdził. Bez tego nie da się wykazać, że służba była pełniona zgodnie z aktualnym dokumentem.
Ustalcie, kto wydaje dane. Jedna osoba odpowiedzialna, jedna ścieżka, zapis tego, co i komu przekazano. Przekazanie danych też jest zdarzeniem i też powinno zostawiać ślad.
Warto też rozważyć stały wgląd zleceniodawcy w bieżące zapisy przez portal klienta. Kontrahent, który widzi dokumentację na co dzień, rzadziej występuje o wielkie zbiorcze przekazania — a gdy występuje, wie już, czego się spodziewać.
Uwaga o danych i wymaganiach formalnych
Zakres danych, które można przekazać zleceniodawcy lub audytorowi, obowiązki dokumentacyjne w ochronie osób i mienia oraz zasady przetwarzania danych osobowych i wizerunku wynikają z przepisów, z umowy oraz z wewnętrznych procedur; wymagania te zmieniają się w czasie i różnią w zależności od rodzaju obiektu. Przed przekazaniem obszernych zbiorów danych zweryfikujcie stan prawny u właściwego organu oraz podstawę umowną i skonsultujcie się z doradcą. Ten artykuł nie stanowi porady prawnej.
Najczęstsze pytania
Jakich danych zwykle wymaga audyt usługi ochrony? Najczęściej obsady, potwierdzeń obecności, wykonania obchodów, rejestru zdarzeń, wejść poza godzinami oraz dokumentów potwierdzających uprawnienia osób kierowanych na obiekt.
W jakim formacie przekazać dokumentację? Dane powtarzalne w zestawieniach tabelarycznych z jedną linią na zdarzenie, opisy i raporty jako dokumenty do odczytu, załączniki osobno i powiązane z numerem wpisu. Do całości krótka nota wyjaśniająca zakres i oznaczenia.
Co zrobić, gdy w dokumentacji jest luka? Pokazać ją wraz z przyczyną i opisem wprowadzonej zmiany. Uzupełnianie zapisów wstecz jest rozpoznawalne i kosztuje znacznie więcej niż sama luka.
Jak przygotować się do audytu z wyprzedzeniem? Robiąc próbny eksport losowego okresu raz na kwartał i sprawdzając zgodność grafiku, ewidencji i raportów dla wybranego dnia.
Jeżeli chcecie mieć obsadę, obchody i zdarzenia w jednym, gotowym do wydania zbiorze, zacznijcie od opisu systemu.