Samsvarsmatrise: Slik lager du en som faktisk brukes
De fleste bedrifter følger kravene som gjelder for dem. Problemet er å bevise det: overfor revisor, overfor kunden som krever ISO i anbudet, eller overfor myndighetene. En samsvarsmatrise gjør «vi har kontroll» til noe du kan vise frem. Her er hva den er, hvordan du lager en, og en mal du kan starte med i dag.
Det starter gjerne med en e-post. En av de store kundene sender et kvalifikasjonsskjema før kontraktsfornyelse: «Dokumentér samsvar med følgende krav.» Førti rader, frist om to uker. Og svarene ligger spredt i tre permer, en SharePoint-mappe og hodet til kvalitetslederen.
Det er den dagen de fleste bedrifter lager sin første samsvarsmatrise. Denne artikkelen er for deg som vil lage den før den e-posten kommer.
Hva er en samsvarsmatrise?
En samsvarsmatrise er en strukturert oversikt (vanligvis en tabell) som kobler hvert enkelt krav bedriften må oppfylle til dokumentasjonen, prosessen og personen som sørger for at kravet faktisk etterleves.
Kravene kan komme fra flere kanter samtidig:
- Lover og forskrifter – arbeidsmiljøloven, internkontrollforskriften, åpenhetsloven, GDPR
- Standarder – ISO 9001, ISO 14001, ISO 45001
- Kundekrav – kvalifikasjonskrav i anbud, leverandørkrav fra store aktører
- Interne krav – egne policyer, etiske retningslinjer, styrevedtak
Matrisen svarer på tre spørsmål for hvert krav: Hva krever de av oss? Hvordan oppfyller vi det? Hvem er ansvarlig? Når en revisor, kunde eller tilsynsmyndighet spør, slipper du å lete. Du slår opp.
Samsvarsmatrise eller samsvarsmanual – hva er forskjellen?
Begrepene blandes ofte, men de løser to ulike jobber:
Samsvarsmatrise
Samsvarsmanual
Matrisen er kartet, manualen er terrenget. I praksis bør matrisen komme først, fordi den avdekker hvilke krav som gjelder og hvor hullene er, og manualen (og prosedyrene) skrives for å tette dem. Mange bedrifter gjør det motsatt. De skriver en tykk manual først, og oppdager under revisjonen at den ikke dekker kravene noen faktisk stiller.
Hvorfor trenger bedriften en samsvarsmatrise?
1. Revisor spør etter den. Ved ISO-sertifisering og oppfølgingsrevisjoner er samsvarsmatrisen det raskeste beviset på at styringssystemet dekker standardens krav. Uten den må revisor (og dere) lete gjennom dokumentasjonen klausul for klausul.
2. Kundene krever det i anbud. Store aktører i olje og gass, bygg og industri ber ofte leverandører dokumentere samsvar med spesifikke krav, noen ganger med en ferdig kravmatrise dere skal fylle ut. Har dere en egen matrise fra før, er jobben i stor grad gjort.
3. Åpenhetsloven treffer dere via kundene. Loven pålegger større virksomheter aktsomhetsvurderinger av leverandørkjeden. Men kravene treffer også mindre bedrifter, fordi kundene deres må dokumentere sine leverandører. En matrise som viser hvordan dere håndterer menneskerettigheter og arbeidsforhold, gjør dere til en enklere leverandør å velge.
4. Den avdekker hull før de blir avvik. Når kravene listes systematisk, ser dere raskt hva som er dekket av en prosedyre, hva som «sitter i veggene», og hva som faktisk ikke er ivaretatt i det hele tatt.
Slik lager du en effektiv samsvarsmatrise – steg for steg
Mal: Slik kan samsvarsmatrisen se ut
Avvik skal behandles med rotårsaksanalyse og korrigerende tiltak
DekketAktsomhetsvurdering av leverandørkjeden
Delvis – mangler underleverandørerAnsatte skal ha dokumentert sikkerhetsopplæring
DekketKunde X krever ISO 45001-samsvar for rammeavtale
Ikke dekket – sertifisering pågårFeltene er det viktigste. Innholdet fyller dere med egne
krav.
Få samsvarsmatrisen som utfyllbart dokument
De tre vanligste feilene
1. Matrisen lages for revisjonen – og dør etterpå
Hvis matrisen kun åpnes uka før revisjon, er den et alibi, ikke et verktøy. Koble den til faste rutiner: ledelsens gjennomgang, interne revisjoner, onboarding av nye kunder.
2. Alt står som «dekket»
En matrise uten røde og gule rader betyr sjelden perfekt drift. Som regel betyr det at ingen har sett ordentlig etter. Revisorer vet dette også.
3. Kravene er kopiert, ikke oversatt
Å lime inn standard-tekst ordrett gjør matrisen ubrukelig for alle andre enn den som skrev den. Skriv hva kravet betyr for dere, med deres ord og deres prosessnavn.
Slik holder du samsvarsmatrisen levende med Business Online
En samsvarsmatrise er bare nyttig så lenge den er oppdatert og tilgjengelig. I Business Online KHMS ligger den i dokumentstyringssystemet (QDMS), som gir:
- Versjonskontroll og godkjenningsflyt. Nye versjoner går gjennom definert godkjenning, og tidligere versjoner er sporbare. Revisor kan se både gjeldende matrise og historikken.
- Ett felles bibliotek. Alle ansatte finner alltid siste versjon, uten å lure på om Excel-filen på fellesområdet er den nyeste.
- Varsling ved endringer. Oppdateringer publiseres som intern nyhet med lenke, slik at endringer i krav faktisk når ut til de som påvirkes.
Og flere av radene i matrisen kan peke rett inn i systemet i stedet for til statiske dokumenter: avvikskravene i ISO 10.2 dekkes av avvikssystemet, åpenhetslovens leverandørkrav av leverandørevalueringen, og kompetansekrav av sertifikatoversikten. Revisor kan gå fra kravet og rett til beviset på at rutinen følges.
Hvordan Business Online dekker kravene i ISO 9001, 14001 og 45001 klausul for klausul, har vi dokumentert i en egen gjennomgang, i praksis vår egen samsvarsmatrise.
Ofte stilte spørsmål
En tabell som kobler hvert krav bedriften må oppfylle (lover, standarder, kundekrav) til dokumentasjonen, prosessen og personen som ivaretar kravet, med status per krav.
Matrisen er oversikten over hvilke krav som gjelder og hvor de er dekket. Manualen beskriver hvordan bedriften jobber for å etterleve dem. Lag matrisen først.
Minimum årlig (gjerne før ledelsens gjennomgang), og i tillegg ved endringer: ny lovgivning, ny standardversjon, nye kundekrav eller nye forretningsområder.
Nei, ordet «samsvarsmatrise» står ikke i standarden. Men ISO 9001 krever at dere kartlegger relevante krav (kl. 4.2), og i ISO 14001 og 45001 er kravet enda mer direkte: Kl. 6.1.3 pålegger dere å bestemme kravene som gjelder dere («samsvarsforpliktelser» i 14001, «lovfestede krav og andre krav» i 45001) og vedlikeholde dokumentert informasjon som oppdateres ved endringer, og kl. 9.1.2 krever at samsvaret evalueres jevnlig med dokumenterte resultater. En matrise er den enkleste måten å oppfylle alt dette på.
En samsvarsmatrise er ikke noe du lager for revisor. Det er oversikten som gjør revisjonen til et hyggelig besøk.
Se hvordan matrisen, avvikene og dokumentene henger sammen
Samsvarsmatrisen er sterkest når de ulike feltene peker rett inn i systemet der jobben gjøres. Se hvordan det fungerer i praksis.