แนวทางการตรวจประเมินระบบการจัดการตาม ISO 19011 กล่าวถึงการใช้เทคโนโลยีสารสนเทศและการสื่อสาร (information and communication technology) ในการตรวจไว้เป็นเรื่องหนึ่งที่ต้องวางแผน ไม่ใช่เรื่องทางเลือกทางเทคนิค การตรวจระยะไกลจึงไม่ใช่การย้ายห้องประชุมขึ้นออนไลน์ แต่เป็นการเปลี่ยนวิธีได้มาซึ่งหลักฐาน ซึ่งต้องตอบให้ได้ว่าหลักฐานที่ได้ยังเพียงพอและเหมาะสมกับวัตถุประสงค์ของการตรวจหรือไม่ บทความนี้อธิบายเกณฑ์ที่ใช้ตัดสิน และสิ่งที่การตรวจระยะไกลทดแทนไม่ได้
คำถามตั้งต้นไม่ใช่ “ทำได้หรือไม่” แต่เป็น “ได้หลักฐานแบบใด”
หลักการของการตรวจประเมินข้อหนึ่งคือการใช้หลักฐานเป็นฐานของข้อสรุป หลักฐานการตรวจต้องตรวจสอบยืนยันได้ และต้องเพียงพอที่จะสรุปได้ตามวัตถุประสงค์และขอบเขตที่กำหนดไว้ เมื่อนำหลักการนี้มาใช้กับการตรวจระยะไกล คำถามจึงเปลี่ยนรูป
คำถามที่ตอบไม่ได้คือ “องค์กรนี้ตรวจระยะไกลได้หรือไม่” เพราะคำตอบขึ้นอยู่กับว่าตรวจอะไร คำถามที่ตอบได้คือ “สำหรับกิจกรรมนี้ หลักฐานที่ต้องการคืออะไร และวิธีที่ใช้ผ่านช่องทางระยะไกลให้หลักฐานนั้นได้ครบหรือไม่”
ความต่างสำคัญอยู่ที่ประเภทของหลักฐาน หลักฐานที่เป็นเอกสารและบันทึกถูกส่งผ่านช่องทางอิเล็กทรอนิกส์ได้โดยไม่เสียคุณสมบัติ หลักฐานที่ได้จากการสัมภาษณ์ถูกถ่ายทอดผ่านการประชุมทางไกลได้ แม้จะเสียบริบทบางส่วนไป ส่วนหลักฐานที่ได้จากการสังเกตสภาพหน้างานเป็นประเภทที่เปลี่ยนคุณสมบัติมากที่สุดเมื่อผ่านกล้อง เพราะผู้ตรวจไม่ได้เลือกว่าจะมองอะไร
สิ่งที่กำหนดขอบเขตของการตรวจระยะไกล
ปัจจัยแรกคือลักษณะของกิจกรรมที่ตรวจ กระบวนการที่ผลลัพธ์อยู่ในระบบสารสนเทศ เช่น การควบคุมเอกสาร การจัดการคำสั่งซื้อ หรือการทบทวนสิทธิ์การเข้าถึง ถูกตรวจผ่านการแบ่งปันหน้าจอได้ใกล้เคียงกับการตรวจ ณ สถานที่ ส่วนกระบวนการที่ผลลัพธ์อยู่ในสภาพทางกายภาพ เช่น สุขลักษณะของพื้นที่ผลิต การจัดเก็บสารเคมี หรือสภาพเครื่องจักร ให้ผลต่างกันมาก
ปัจจัยที่สองคือการเลือกมุมมอง เมื่อผู้ถูกตรวจเป็นผู้ถือกล้อง สิ่งที่ผู้ตรวจเห็นคือสิ่งที่ถูกเลือกให้เห็น การลดผลของข้อจำกัดนี้ทำได้ด้วยการให้ผู้ตรวจเป็นผู้กำหนดเส้นทางเดินและจุดที่ต้องหยุด แทนที่จะรับชมภาพตามที่จัดเตรียมไว้ล่วงหน้า และการหลีกเลี่ยงการใช้ภาพที่บันทึกไว้ก่อนแทนภาพสด
ปัจจัยที่สามคือความเสี่ยงของช่องทางเอง ทั้งความเสถียรของการเชื่อมต่อ การยืนยันตัวตนของผู้ให้สัมภาษณ์ และการรักษาความลับของข้อมูลที่ถูกแสดงบนหน้าจอ ประเด็นเหล่านี้ต้องถูกพิจารณาตั้งแต่ตอนวางแผน ไม่ใช่ตอนเกิดปัญหา
ปัจจัยที่สี่คือความพร้อมของฝ่ายที่ถูกตรวจ ทั้งอุปกรณ์ สัญญาณในพื้นที่ผลิต และคนที่ทำหน้าที่ถือกล้องซึ่งต้องเข้าใจว่าผู้ตรวจต้องการเห็นอะไร ความไม่พร้อมในจุดนี้ทำให้เวลาการตรวจหมดไปกับปัญหาทางเทคนิค
บริษัทสมมติแห่งหนึ่งมีพนักงานรวม 210 คน มีการตรวจติดตามภายในปีละสองรอบ ทีมผู้ตรวจภายในอยู่ที่สำนักงานในปทุมธานี
เพื่อลดค่าเดินทาง ทีมงานกำหนดให้การตรวจโรงงานลำพูนทำผ่านช่องทางออนไลน์ทั้งหมด แผนการตรวจระบุเพียงว่า “ตรวจผ่านระบบประชุมทางไกล” โดยไม่ระบุว่ากิจกรรมใดใช้วิธีใด
ผลที่เกิดขึ้นคือ การตรวจเอกสารและการสัมภาษณ์เดินได้ตามแผน แต่ในช่วงตรวจพื้นที่ผลิต สัญญาณในอาคารไม่เสถียร ทีมงานจึงส่งวิดีโอที่ถ่ายไว้ล่วงหน้าให้แทน ผู้ตรวจบันทึกว่าไม่พบข้อบกพร่อง
สามเดือนต่อมา การตรวจจากหน่วยรับรองที่ไปยังโรงงานลำพูนพบประเด็นเรื่องการชี้บ่งสถานะการตรวจสอบของชิ้นงานระหว่างกระบวนการ ซึ่งเป็นสิ่งที่เห็นได้จากการเดินดูสายการผลิตในเวลาทำงานจริง
สิ่งที่กรณีนี้แสดงคือ ปัญหาไม่ได้อยู่ที่การเลือกตรวจระยะไกล แต่อยู่ที่แผนการตรวจไม่ได้ระบุว่ากิจกรรมใดต้องใช้วิธีใด และไม่มีการกำหนดไว้ล่วงหน้าว่าจะทำอย่างไรเมื่อวิธีที่วางไว้ใช้ไม่ได้ การยอมรับภาพที่บันทึกไว้ล่วงหน้าแทนการสังเกตสด ทำให้หลักฐานที่ได้ไม่ตรงกับสิ่งที่ต้องการยืนยัน
| กิจกรรมของการตรวจ | ผลเมื่อทำผ่านช่องทางระยะไกล | เงื่อนไขที่ต้องกำหนดไว้ในแผน |
|---|---|---|
| การทบทวนเอกสารและบันทึก | ให้หลักฐานได้ใกล้เคียงกับการตรวจ ณ สถานที่ | ผู้ตรวจเป็นผู้เลือกตัวอย่างเอง ไม่ใช่รับชุดที่จัดเตรียมไว้ |
| การสัมภาษณ์ผู้รับผิดชอบกระบวนการ | ใช้ได้ แต่สังเกตบริบทรอบตัวผู้ให้สัมภาษณ์ได้น้อยลง | การยืนยันตัวตน และการสัมภาษณ์โดยไม่มีผู้อื่นแทรก |
| การตรวจการตั้งค่าในระบบสารสนเทศ | ใช้ได้ดี เพราะหลักฐานอยู่บนหน้าจออยู่แล้ว | การควบคุมการเข้าถึงข้อมูลที่แสดง และการไม่บันทึกภาพโดยไม่ได้ตกลง |
| การสังเกตสภาพพื้นที่ปฏิบัติงาน | เปลี่ยนคุณสมบัติของหลักฐานมากที่สุด | ภาพสดเท่านั้น ผู้ตรวจกำหนดเส้นทางเดินเอง และมีแผนสำรองเมื่อสัญญาณล้ม |
| การสังเกตการปฏิบัติงานจริงของผู้ปฏิบัติงาน | ทำได้บางส่วน ขึ้นกับมุมกล้องและระยะเวลาที่สังเกตได้ | ระบุไว้ล่วงหน้าว่าถ้าสังเกตไม่ได้ จะเลื่อนไปตรวจ ณ สถานที่ |
ตารางนี้เป็นกรอบวิเคราะห์ที่ผู้เรียบเรียงจัดทำขึ้นจากมุมมองของผู้ตรวจประเมิน ไม่ใช่การสรุปหรือแปลตัวบทของมาตรฐานหรือแนวทางฉบับใด
สิ่งที่ต้องเพิ่มเข้าไปในแผนการตรวจ
เมื่อการตรวจใช้ช่องทางระยะไกล แผนการตรวจต้องมีรายละเอียดมากกว่าการตรวจ ณ สถานที่ ไม่ใช่น้อยกว่า
สิ่งแรกคือการระบุวิธีการตรวจของแต่ละกิจกรรมในตารางเวลา ไม่ใช่ระบุรวมว่าการตรวจทั้งหมดทำทางไกล การแยกให้ชัดทำให้ทั้งสองฝ่ายเตรียมตัวได้ตรงกัน และทำให้เห็นตั้งแต่ต้นว่ามีกิจกรรมใดที่ต้องไปที่หน้างาน
สิ่งที่สองคือแผนสำรอง ต้องตกลงล่วงหน้าว่าถ้าการเชื่อมต่อล้มระหว่างการสังเกตหน้างาน จะเปลี่ยนเป็นอะไร ตัวเลือกที่ใช้ได้คือการเลื่อนกิจกรรมนั้นไปยังช่วงที่ไปตรวจ ณ สถานที่ ตัวเลือกที่ไม่ควรใช้คือการยอมรับสิ่งทดแทนที่ให้หลักฐานคนละประเภท
สิ่งที่สามคือข้อตกลงเรื่องการรักษาความลับและการบันทึกภาพหรือเสียง ทั้งสองฝ่ายควรตกลงกันก่อนว่าจะมีการบันทึกหรือไม่ ใครเก็บ เก็บนานเท่าใด และข้อมูลใดที่ต้องไม่ปรากฏบนหน้าจอ
สิ่งที่สี่คือการทบทวนหลังการตรวจว่าวิธีที่ใช้ให้หลักฐานได้ตามที่คาดหรือไม่ ข้อมูลนี้ควรกลับเข้าสู่การวางแผนโปรแกรมการตรวจในรอบถัดไป เพื่อปรับสัดส่วนระหว่างการตรวจระยะไกลกับการตรวจ ณ สถานที่ให้เหมาะกับลักษณะงานขององค์กร
สิ่งที่การตรวจระยะไกลทดแทนไม่ได้
เรื่องแรกคือการเห็นสิ่งที่ไม่ได้ถูกจัดเตรียมไว้ให้เห็น การเดินผ่านพื้นที่ระหว่างทางไปยังจุดที่นัดหมาย เป็นแหล่งของข้อสังเกตที่กล้องไม่ให้
เรื่องที่สองคือการรับรู้ผ่านประสาทสัมผัสอื่น เช่น กลิ่นในพื้นที่ผลิตอาหาร เสียงผิดปกติของเครื่องจักร หรืออุณหภูมิในห้องเย็น ซึ่งเป็นสัญญาณตั้งต้นที่กล้องส่งผ่านไม่ได้
เรื่องที่สามคือบรรยากาศของการสัมภาษณ์ ผู้ให้สัมภาษณ์ที่อยู่ในห้องเดียวกับหัวหน้าอาจตอบต่างจากเมื่ออยู่ตามลำพัง และผู้ตรวจที่อยู่ปลายสายมองไม่เห็นว่าในห้องนั้นมีใครอยู่บ้าง การกำหนดเงื่อนไขเรื่องนี้ไว้ล่วงหน้าจึงเป็นส่วนหนึ่งของการวางแผน
อ่านประกอบ: หลักฐานการตรวจและการสุ่มตัวอย่าง · โปรแกรมการตรวจกับแผนการตรวจ ต่างกันอย่างไร · การประชุมเปิด การประชุมปิด และรายงานการตรวจ
คำถามที่ควรตอบได้
- แผนการตรวจระบุวิธีการของแต่ละกิจกรรมแยกกันหรือไม่ หรือระบุรวมว่าตรวจทางไกลทั้งหมด (ที่มา: แนวทางว่าด้วยการจัดทำแผนการตรวจตาม ISO 19011)
- กิจกรรมใดในโปรแกรมการตรวจที่ตัดสินแล้วว่าต้องทำ ณ สถานที่เท่านั้น และด้วยเหตุผลใด (ที่มา: แนวทางว่าด้วยการเลือกวิธีการตรวจ)
- ถ้าการเชื่อมต่อล้มระหว่างการสังเกตหน้างาน มีข้อตกลงไว้ล่วงหน้าว่าจะทำอย่างไร (ที่มา: แนวทางว่าด้วยความเสี่ยงและโอกาสของโปรแกรมการตรวจ)
- หลักฐานที่ใช้สรุปผลในรอบที่ผ่านมา มีรายการใดที่มาจากภาพที่บันทึกไว้ล่วงหน้าแทนการสังเกตสด (ที่มา: หลักการว่าด้วยการใช้หลักฐานเป็นฐานของข้อสรุป)
- มีข้อตกลงเรื่องการบันทึกภาพและการรักษาความลับก่อนเริ่มการตรวจหรือไม่ (ที่มา: แนวทางว่าด้วยการใช้เทคโนโลยีสารสนเทศในการตรวจ)
บทความใหม่ในชุดเดียวกัน: ISO/IEC 27001 ข้อ 7.1 ทรัพยากรของ ISMS · ISO 45001 ข้อ 5.3 บทบาท ความรับผิดชอบ และอำนาจหน้าที่
บทความนี้เรียบเรียงขึ้นด้วยถ้อยคำของผู้เรียบเรียงเพื่ออธิบายและตีความข้อกำหนด ไม่ใช่การแปลหรือทำซ้ำเนื้อหาของมาตรฐาน ตัวอย่างทั้งหมดเป็นกรณีสมมติเพื่อประกอบคำอธิบาย การนำไปใช้จริงให้ยึดตัวมาตรฐานฉบับจริงเป็นหลัก
หลักสูตรอบรมการตรวจติดตามภายในตามแนวทาง ISO 19011
Equal Assurance (Thailand) Ltd. เป็นหน่วยรับรองระบบและผู้ให้บริการฝึกอบรม เปิดหลักสูตรทั้งแบบ Public และ In-house สอนเป็นภาษาไทยและอังกฤษ
การจัดการการเปลี่ยนแปลงในระบบบริหารหลายมาตรฐาน รวมได้แค่ไหน
การควบคุมเอกสารสารสนเทศในระบบบริหารแบบบูรณาการ — รวมกลไกได้ แต่รวมเกณฑ์ไม่ได้
ตรวจติดตามภายในแบบเดินตามกระบวนการ เทียบกับแบบไล่ตามเลขข้อ
การตรวจประเมินผู้ส่งมอบ (second-party audit) — เมื่อใดควรตรวจ และต้องตกลงอะไรไว้ก่อน
การวิเคราะห์สาเหตุที่แท้จริงในการปฏิบัติการแก้ไข ตีความอย่างไรให้ใช้ได้จริง
การตรวจติดตามผลกับการตรวจต่ออายุการรับรอง ต่างกันอย่างไร