Подготовка к внешней инспекции — это стрессовый период для любой организации, سواء это предприятие в Бокситогорске, Бокситогорском районе или любом другом регионе Ленинградской области. Ключ к успешному прохождению проверки — грамотно организованный внутренний аудит, проведенный заранее. Он позволяет выявить несоответствия, устранить их до прихода инспекторов и сформировать доказательную базу соответствия требованиям законодательства и стандартов.

В данной статье мы подробно разберем алгоритм подготовки и проведения внутреннего аудита с учетом актуальных требований 2025–2026 годов, стандартов серии ISO 19011, ГОСТ ISO/IEC 17025-2019, а также специфики проверок контролирующих органов (Роскомнадзор, Ростехнадзор, Налоговая служба и др.).

Нормативно-правовая база и стандарты: на чем опираться

Перед стартом аудита необходимо определить критерии аудита — набор требований, против которых будет оцениваться соответствие. Для организаций в Бокситогорске это обычно комбинация:

• Федеральные законы: 152-ФЗ «О персональных данных», 98-ФЗ «О коммерческой тайне», 187-ФЗ «О безопасности критической информационной инфраструктуры», 402-ФЗ «О бухгалтерском учете» (для финансового аудита), Технические регламенты (ТР ТС/ТР ЕАЭС).
• Отраслевые стандарты и СТО: Например, СТО 003-2017 (Минобрнауки) или обновленная СТО 003-2024 (Миннауки), регламентирующие компетенции аудиторов и процедуры проведения аудита в образовательной и научной сфере.
• Международные и национальные стандарты системы менеджмента:
  • ГОСТ Р ИСО 19011-2021 — руководящие принципы аудита систем менеджмента (базовый стандарт для процесса аудита).
  • ГОСТ ISO/IEC 17025-2019 — требования к компетентности испытательных лабораторий (критично для лабораторий Бокситогорского ГОКа и сопутствующих предприятий).
  • ISO 9001, ISO 22000, ISO 14001, ISO 45001 — если организация сертифицирована или внедряет интегрированную систему менеджмента (ИСМ).
• Локальные нормативные акты (ЛНА) организации: Политики, процедуры, инструкции, регламенты, рабочие программы внутреннего контроля (ПОД/ФТ — противодействие отмыванию доходов и финансированию терроризма).

Важно: Согласно рекомендациям для аудиторских организаций на 2025 год, программа идентификации рисков (в т.ч. ПОД/ФТ) должна разрабатываться с учетом специфики деятельности и применяться при планировании внутреннего аудита.

---

Этап 1: Инициирование и планирование аудита (Подготовительный этап)

Качественное планирование — 50% успеха. Не стоит начинать аудит за неделю до инспекции. Оптимальный срок — за 1,5–2 месяца.

Определение целей, области и критериев аудита

• Цель: Оценка готовности к конкретной инспекции (плановой/внеплановой Роскомнадзора, Ростехнадзора, Прокуратуры, Налоговой) или комплексной оценке СМК.
• Область: Какие подразделения, процессы, объекты (лаборатории, серверные, склады, офисы в Бокситогорске) охватываются.
• Критерии: Конкретные чек-листы по статьям законов (ст. 19 152-ФЗ, ст. 14 187-ФЗ) или пунктам стандартов (п. 8.8 ГОСТ ISO/IEC 17025).

Формирование аудиторской группы: Требования к компетенции

Согласно СТО 003-2024 и ГОСТ Р ИСО 19011-2021, аудиторы должны быть компетентны и независимы.

• Независимость: Аудитор не может проверять свою работу или работу подчиненного. В малых организациях Бокситогорска допускается привлечение внешних экспертов (аутсорсинг внутреннего аудита).
• Компетенция (СТО 003-2024, Таблица 1): Аудитор должен иметь профильное образование и пройти курс подготовки «Внутренний аудитор системы менеджмента» (минимум 24 часа).
• Опыт: Для самостоятельного проведения полных аудитов часто требуется опыт участия минимум в 3 полных аудитах в составе команды (требование п. 10.3 СТО 003-2024).
• Понимание стандартов: Крайне важно, чтобы у группы было понимание внедряемого стандарта (ISO 22000, ISO 9001, ISO 17025) или их сочетания (ИСМ).

Разработка программы и плана аудита

1. Программа аудита (стратегический документ на год/квартал): частота, ответственные, ресурсы. Хранится в ОМиКОУ (Отделе менеджмента качества/Органе по внутреннему контролю), копия — у аудируемого подразделения.
2. План конкретного аудита (тактический документ): даты, смена аудиторов, расписание по процессам/подразделениям, методы сбора доказательств (собеседования, анализ документов, наблюдение, анализ записей).

Совет: Согласуйте план с руководителем аудируемой зоны заранее, чтобы ключевые сотрудники были на рабочих местах в Бокситогорске в дни аудита.

---

Этап 2: Подготовка рабочей документации (Чек-листы и пакеты)

«Сбор и актуализация документов» — первый этап подготовки к любому аудиту (внутреннему или внешнему).

Чек-листы (опросники аудита)

Разработайте чек-листы для каждого процесса/подразделения. Они должны переводить требования стандартов/законов на язык конкретных вопросов.

• Пример для Роскомнадзора (ПДн): Есть ли Уведомление о обработке ПДн? Соответствует ли Политика конфиденциальности сайта 152-ФЗ? Оформлены ли согласия субъектов? Есть ли акты на передачу ПДн третьим лицам? Проведен ли аудит защищенности ПДн за последние 6 месяцев?
• Пример для Лаборатории (ISO 17025): Соответствует ли область аккредитации текущей деятельности? Валидированы ли методы? Есть ли записи о калибровке оборудования? Как обрабатываются несоответствия работ?
• Пример для ПОД/ФТ: Работает ли программа идентификации клиентов? Проводится ли мониторинг операций? Сообщались ли подозрительные операции в Росфинмониторинг?

Пакет документов для предварительного запроса

Попросите аудируемые подразделения подготовить (лучше в электронном виде на общем диске/портале):

• Актуальные версии ЛНА (политики, процедуры, инструкции).
• Записи за проверяемый период (журналы, протоколы, отчеты, акты калибровки, обучающие протоколы).
• Результаты предыдущих внутренних аудитов и внешних инспекций (планы корректирующих действий, доказательства их закрытия).
• Реестры рисков и возможностей.

---

Этап 3: Проведение внутреннего аудита (Полевой этап)

Встреча-вводная (Opening Meeting)

• Представление аудиторской группы.
• Подтверждение плана, области, критериев, методов.
• Согласование правил конфиденциальности и безопасности (важно для производственных зон Бокситогорска).
• Определение контактных лиц и эвакуационных путей.

Сбор аудиторских доказательств

Используйте триада методов:

1. Анализ документации: Соответствуют ли ЛНА требованиям критериев? Актуальны ли версии?
2. Собеседования: Задавайте открытые вопросы («Покажите, как вы…», «Объясните процедуру…»). Проверяйте осведомленность персонала.
3. Наблюдение и проверка записей: Соответствует ли реальная работа описанной в документах? (Gemba walk — ходьба по месту создания ценности).

Фиксация несоответствий (Nonconformities)

Это самый ответственный момент. Формулировка несоответствия должна быть неоспоримой:

• Требование (Критерий): Ссылка на конкретный пункт стандарта/закона/ЛНА (например: «П. 8.5.2 ГОСТ ISO/IEC 17025-2019» или «Ст. 19 152-ФЗ»).
• Факт (Доказательство): Что увидено/услышано/найдено в записях (например: «В журнале калибровки прибора № 5 от отсутствует подпись ответственного лица»).

Разделяйте на грубые (Major) — систематический сбой, отсутствие процесса, и негрубые (Minor) — единичные просчеты.

Встреча-заключительная (Closing Meeting)

• Презентация результатов: сильные стороны, несоответствия, наблюдения (Opportunities for Improvement — OFI).
• Согласование понимания несоответствий с аудируемой стороной (подпись в протоколе/акте).
• Объяснение процедуры разработки корректирующих действий.

---

Этап 4: Отчетность и Последующие действия (Follow-up)

Отчет по внутреннему аудиту

Должен быть подготовлен в установленные планом сроки. Структура по ГОСТ Р ИСО 19011-2021:

• Область, цели, критерии, состав команды, даты.
• Перечень несоответствий с доказательствами.
• Наблюдения (OFI) — рекомендации по улучшению (не обязательны к исполнению, но полезны).
• Приложения: чек-листы, список проверенных документов, фотофиксация (если применимо).

Корректирующие действия (Root Cause Analysis -> Action -> Verification)

Аудируемое подразделение разрабатывает план действий по каждому несоответствию:

1. Причинный анализ: Метод «5 почему», диаграмма Ишикавы. Устранить причину, а не следствие.
2. Корректирующее действие: Что, Кто, Когда.
3. Проверка эффективности (Follow-up аудит): Внутренний аудитор (или группа) проверяет реализацию и эффективность действий до внешней инспекции. Закрыть несоответствие до прихода инспектора — главная цель.

---

Специфика подготовки к разным типам инспекций в Бокситогорске

Тип инспекции	Ключевой фокус внутреннего аудита	Регулятор / Нормативная база
Роскомнадзор (ПДн, 152-ФЗ)	Аудит защищенности ПДн (раз в полгода или перед проверкой). Наличие Уведомлений, ЛНА, согласий, ДОП, модели угроз, учет инцидентов.	152-ФЗ, Постановление ГК РФ № 1119, Приказ ФСТЭК № 21
Ростехнадзор (ПБ, Охрана труда, Промбезопасность)	Соответствие экспертизе ПБ, наличие допусков, обучение персонала, ППР, журналы инструктажей, состояние оборудования (Бокситогорский ГОК, карьеры).	116-ФЗ, 195-ФЗ, 22-ФЗ, ПТЭЭП, ПБП
Налоговая инспекция (КНД, камеральная/выездная)	Аудит налогового учета, соответствие 402-ФЗ, обоснование вычетов НДС, цены передачи, бизнес-цель операций.	НК РФ, 402-ФЗ, Рекомендации ФНС
Аккредитация / ISO (Лаборатории ISO 17025)	Внутренний аудит по всем п. 4-8 ГОСТ ISO/IEC 17025-2019. Независимость, неупрямство, валидация методов, обращение с несоответствующей работой.	ГОСТ ISO/IEC 17025-2019, ГОСТ Р ИСО 19011-2021
ПОД/ФТ (115-ФЗ)	Программа идентификации, мониторинг операций, обучение сотрудников, отчетность в Росфинмониторинг.	115-ФЗ, Положение Банка России, Рекомендации за 2025 год

---

Перед выходом инспекторов пройдитесь по этому списку:

1. [ ] Внутренний аудит проведен за 2-4 недели до плановой даты (или сразу после получения уведомления о внеплановой).
2. [ ] Все выявленные несоответствия (Major) закрыты и проверена эффективность корректирующих действий.
3. [ ] Пакет документов для инспектора собран (уведомления, лицензии, аккредитации, ЛНА, журналы, протоколы обучения, акты калибровки/проверки СИ).
4. [ ] Ответственные лица назначены и инструктированы по порядку действий при инспекции (кто встречает, кто предоставляет документы, кто консультирует по вопросам ПДн/ПБ/Налог).
5. [ ] Место для инспектора подготовлено (рабочее место, доступ к копированию/сканированию, Wi-Fi для гостей, если нужно).
6. [ ] Проверена актуальность контактов юристов, консультантов по ИБ, экспертов по ПБ в Бокситогорске/Санкт-Петербурге для оперативной связи.
7. [ ] Проведен краткий брифинг для персонала: как отвечать на вопросы (четко, по существу, не спекулировать, направлять к ответственному), права инспектора и права организации.

---

Типичные ошибки при подготовке внутреннего аудита

• Формализм: Аудит «для галочки», без выхода на производство/в лабораторию, только проверка папок в офисе.
• Некомпетентные аудиторы: Назначение сотрудников без прохождения 24-часового курса и без опыта (3 аудита в составе команды).
• Игнорирование рисков: Проверка всего подряд вместо фокуса на зонах риска, релевантных для предстоящей инспекции.
• Слабая фиксация фактов: Несоответствия формулируются как «хаос на складе» вместо «Отсутствует маркировка зон хранения по Процедуре ПРОИЗ-05 п. 4.2».
• Отсутствие Follow-up: Несоответствия найдены, но не закрыты к моменту внешней проверки.

---

Подготовка внутреннего аудита перед инспекцией в Бокситогорске — это не бюрократическая процедура, а стратегический инструмент управления рисками. Использование стандартов ГОСТ Р ИСО 19011-2021, требований ГОСТ ISO/IEC 17025-2019 (для лабораторий), отраслевых СТО (003-2017/2024) и актуальных рекомендаций регуляторов (Роскомнадзор, Ростехнадзор, ФНС) позволяет построить системный процесс.

Главное правило: Внутренний аудит должен быть завершен, отчет выдан, корректирующие действия по грубым несоответствиям — реализованы и проверены на эффективность ДО прихода внешнего инспектора. Только в этом случае аудит выполняет свою защитную функцию, экономя организации время, деньги и репутацию.

Если у вашей организации нет собственных компетентных аудиторов (прошли 24-часовое обучение, имеют опыт 3+ аудитов), рационально привлечь внешних экспертов для проведения независимого пред-инспекционного аудита. Это стандартная практика для предприятий Ленинградской области, стремящихся к нулевым замечаниям по итогам проверок.