01報告給誰看

審核報告的重要性首先需要是確定報告是寫給誰看？一般是三類人：
1、 最高管理者2、質量總監（經理）3、與審核相關的部門負責人
我認為ISO認證在企業中是否受到重視，與誰看報告有很大關系。老板是管理體系的最高管理者，報告本來就是給老板看的。但現在有國內有哪家企業老板會看審核報告？這可能也是ISO認證在中國全軍覆沒的主要原因之一。
但這個問題是老板的問題嗎？不是。
關鍵在于寫報告的人不知道老板喜歡看什么，寫的都是雞毛蒜皮的小事。
比如：“操作工去廁所后沒有洗手就干活”、“設備沒有清潔就運行”、“地面有積水沒有及時清理”等等......
老板不會關注操作性問題的，因為這類問題是由生產經理、質量經理或其他部門的經理們關注的。老板希望能夠審核員能夠通過這些現象，告訴他問題的本質。
為什么有些問題屢屢發生卻無法制止？為什么一線主管對這些問題視而不見？這些問題如果不解決會造成什么問題？
我將問題分為四類；
1.   法律；觸犯法律要求，可能造成總經理、質量經理入獄，甚至企業倒閉的風險。
2.   系統；需要對一段時間發生的問題進行系統分析，評估系統的風險所在。
3.   管理；因為“職責不清、方法不明、改進不力”造成的風險。
4.   操作；個別人故意或非故意行為造成的風險。

02法律問題是關鍵

隨著中國歷史上最嚴的《食品安全法》的落地實施（2015年10月1日），由于食品安全大環境仍然處于高風險之中，這讓食品企業經營者面臨牢獄之災的風險急劇增加。
因此法律問題，老板是非常關注的。
在我的審核經歷中，常常覺得許多企業實際上是在走鋼絲，產品存在巨大的食品安全風險，卻沒有任何召回措施。
而有些問題已經發現了食品安全問題，但沒有對整體風險進行評估，而任由產品在市場上銷售。如果仔細閱讀《食品安全法》，感覺這些企業的老板或質量經理沒進監獄，真是命大。

03操作問題引發系統問題

實際上企業每天發生的問題有80%是管理問題，但中層和基層管理者出于趨利避害的天性，會將這些問題歸結于操作問題。
最常見的就是負激勵機制，即使會懲罰管理者，也只是連帶責任。這種人為將管理問題歸于操作問題的行為，會逐步積累系統問題，最終有一天會導致重大問題，比如三聚氰胺事件。

上海有一年曾經著了一場大火，燒死了不少人，但開始介紹事故原因時，卻是“電焊工沒有電焊證”。類似的問題，如溫州高鐵相撞是因為信號燈系統失靈。
執法中造成人員死亡，往往是臨時工造成的。如此等等都是將管理問題歸于操作問題的典型推脫責任方式。
組織中最核心的博弈關系不是老板與基層員工，而是老板與中層主管。老板希望通過第三方的審核，暴露出管理問題，也就是需要中層管理者承擔責任的問題。因為在日常管理中，受習慣使然這些中層主管是很難發現自身問題，而往往會將問題推卸給基層員工。
雖然審核員在審核中，接觸的大多都是中層主管，但在發現操作問題時，一定不要只停留在操作層次，需要將問題向流程設計方面延伸（責任、方法），甚至分析制度本身的問題（見《馬氏分析問題的五個層次》），但這往往會受到中層主管下意識的抵抗。
因此，審核員所提出的問題要有高度，要本著引起最高管理者重視的角度提出問題。那才是真正通過審核可以給企業帶來附加值（add value）。

04ISO9001標準在中國

ISO9001認證活動在中國發展非常快，截止到2013年11月，中國ISO9001證書已經超過31萬張，占全球總數近30%以上，數量居世界第一。
國外許多客戶將訂單交給中國企業的前提是，首先需要獲得ISO9001認證。
不可否認ISO9001標準，對以計劃經濟為主體，并封閉了近30年的國家來說，是讓中國在短時間內成為全球加工廠的作業指導書。中國是世界上發證書最多的國家，也是問題也最多的國家。
ISO9001在中國的境遇與其他國家有所不同。
對市場經濟國家來講，企業戰略、組織設計、流程優化等經營概念都已經了然于胸，推進ISO9001認證的主要目的是規范性管理。
而中國企業缺課太多，如果只是關注在管理的符合性，則會導致企業因認證而走偏。

05ISO9001：2015的關注點

經歷了近20多年的ISO9001認證，標準本身也在不斷的持續改進。最新一版的ISO9001:2015標志著管理體系標準從關注質量管理到關注經營管理的轉變。
以前的審核報告寫給質量經理就可以對付，但現在的報告就必須要提交最高管理者了。
從去年開始許多企業都在忙著所謂改版認證，但可能很少有企業和認證機構會思考，轉版之后如何給老板提交一份老板想看的審核報告？

06關注風險，體現風險

企業沒有風險的唯一可能就是倒閉了，只要經營一天就存在著風險。
因此審核報告中一定要體現風險，不僅僅是組織內部，還要包括組織的外部環境。即使是用自己設計的檢查表審核供應商，也需要關注風險，而不僅僅關注在符合性上。
審核中一定要安排出時間與最高管理者進行訪談，這可能是許多審核員的短板。
由于大多數審核員（尤其近幾年）都是基層質量工程師出身，或最多只是部門的質量經理，沒有與老板共事的經驗，不知道與老板談什么。許多審核員甚至拿標準條款與老板訪談，問方針、目標、管理承諾等。
我服務過的BSI在審核員指南中，關于最高管理者訪談有這樣的建議“盡可能不做記錄，讓最高管理者談他最擅長的東西”。
老板最擅長什么？經營管理、競爭對手、團隊建設、資源分配、管理短板等。
我的經驗是最好在現場參觀完再與最高管理者訪談，因為在現場可以看到一些潛在風險，由此引出老板對企業管理的思考。   
供應商檢查表應該增加風險管理內容的權重，可以通過對食品安全風險管理的策劃、執行、檢查、改進活動，評價一個組織的綜合管理能力。
就如同對某一位學生的學習能力進行測試，可能只測試數學，基本上就能了解到他（她）知識接受能力和智力水平。
當然可能有偏科的情況，但那是低概率事件。
如果避免低概率事件發生，你還可以增加一門考試，如語文或物理。
高考制度就是這么設計的，它通過幾門課程的考試，對學生的學習能力進行測試，并決定進入大學的機會。

07結束語

審核報告部分該結束了，但許多朋友可能會問，馬老師并沒有給出一個寫報告的范文。

如果真的有范文，ISO9001:2015又可能走進死胡同。
當初就是咨詢公司讓企業寫出千遍一律的質量手冊，才讓ISO9001:2015標準痛下決心，取消手冊的要求，因為它誤導了企業的管理行為。
馬老師只是告訴大家寫審核報告的原則：
1.   是寫給老板看的；2.   關注經營風險；3.   操作性問題背后是否有管理問題甚至會引起系統問題；4.   在企業內部找標桿，讓客戶相信管理并不難。