Cosmetic factory internal audit: 15 checks that reveal real risk

1. Internal Audit ต่างจาก Regulatory Inspection และ Supplier Audit อย่างไร

Internal Audit หรือ Self Inspection คือการตรวจระบบขององค์กรเองเพื่อค้นหาช่องว่างและปรับปรุงก่อนปัญหากระทบผลิตภัณฑ์ ลูกค้า หรือการตรวจจากภายนอก Regulatory Inspection เป็นการตรวจโดยหน่วยงานกำกับ ขณะที่ Supplier Audit ตรวจความสามารถของคู่ค้า เป้าหมาย ผู้มีอำนาจ และเกณฑ์จึงต่างกัน แม้ใช้ทักษะการเก็บหลักฐานคล้ายกัน

ASEAN Cosmetic GMP ข้อ 9 อธิบายว่า Internal Audit เป็นการตรวจและประเมินระบบคุณภาพทั้งหมดหรือบางส่วนเพื่อการปรับปรุง อาจทำโดยผู้เชี่ยวชาญภายนอก ผู้ตรวจอิสระ หรือทีมที่ผู้บริหารแต่งตั้ง และต้องมีรายงานเมื่อจบการตรวจ หลักการนี้ไม่ได้กำหนดว่าทุกโรงงานต้องใช้ Checklist หรือความถี่เดียวกัน

2. จุดที่ 1: สร้าง Audit Universe ให้เห็นระบบที่ต้องครอบคลุม

ทำรายการ Process, Area, Product Family, Support System และผู้รับจ้างที่อยู่ในระบบคุณภาพ เช่น บุคลากร อาคารและสุขลักษณะ เครื่องจักร น้ำ วัตถุดิบ คลัง ชั่ง ผลิต บรรจุ QC เอกสาร Complaint, Recall และ Contract Manufacturing เชื่อมแต่ละหัวข้อกับ Owner, SOP และความเสี่ยงสำคัญ

Audit Universe ป้องกันไม่ให้ตรวจเฉพาะพื้นที่ที่ดูง่ายหรือแผนกที่คุ้นเคย และช่วยเห็น Interface Risk เช่น จุดส่งต่อ Bulk จาก Production ไป Filling หรือการส่ง Artwork จากแบรนด์ให้โรงพิมพ์ ซึ่งอาจไม่เป็นเจ้าของโดยฝ่ายใดฝ่ายหนึ่งอย่างชัดเจน

3. จุดที่ 2: วาง Audit Program ตามความเสี่ยง ไม่ใช้ปฏิทินอย่างเดียว

กำหนดความถี่และความลึกจาก Product Risk, Process Criticality, ผลตรวจเดิม, Repeat Finding, Deviation/OOS/Complaint Trend, Change, พนักงานใหม่ และสถานะ CAPA ระบบเสี่ยงสูงอาจตรวจเฉพาะประเด็นหลายครั้ง ส่วนระบบเสถียรอาจตรวจแบบรอบรวม แต่ต้องมีเหตุผลรองรับ

Audit Program ควรระบุรอบปี ขอบเขตโดยประมาณ ทรัพยากร ผู้รับผิดชอบ และ Trigger สำหรับ Unscheduled Audit เช่น Complaint รุนแรง การเปลี่ยนเครื่องจักรสำคัญ การย้ายพื้นที่ หรือข้อมูลบ่งชี้ว่าบันทึกไม่น่าเชื่อถือ การเลื่อน Audit ต้องประเมินผลกระทบและอนุมัติ ไม่แก้วันที่ย้อนหลังเพื่อให้แผนดูครบ

4. จุดที่ 3: กำหนดความเป็นอิสระและ Competency ของผู้ตรวจ

ผู้ตรวจควรเป็นอิสระจากกิจกรรมที่ตรวจเท่าที่ทำได้ โดยเฉพาะการตัดสินงานที่ตนเองจัดทำหรืออนุมัติ หากโรงงานขนาดเล็กแยกบุคลากรไม่ได้ อาจใช้ Cross-functional Auditor, ผู้เชี่ยวชาญจากอีกหน่วยงาน หรือผู้ตรวจภายนอก พร้อมเปิดเผย Conflict of Interest และให้ผู้มีอำนาจทบทวนข้อสรุป

Competency Matrix ของผู้ตรวจควรครอบคลุม ASEAN Cosmetic GMP, กระบวนการที่ตรวจ, หลักการ Audit, Sampling, Interview, การเขียน Finding และการรักษาความลับ ประเมินความสามารถด้วยการสังเกต Audit จริงและคุณภาพรายงาน ไม่ใช้เพียงใบลงชื่ออบรม

5. จุดที่ 4: กำหนด Objective, Scope และ Criteria ก่อนเริ่ม

Objective ตอบว่าจะตรวจเพื่ออะไร เช่น ประเมินความพร้อมระบบบรรจุหลังเปลี่ยนไลน์ ตรวจ Effectiveness ของ CAPA หรือทบทวน GMP ทั้งระบบ Scope ระบุพื้นที่ เวลา ผลิตภัณฑ์ กะ เอกสาร และ Interface ที่รวม/ไม่รวม ส่วน Criteria คือข้อกำหนดที่ใช้ตัดสิน เช่น ASEAN Cosmetic GMP, SOP, Specification, Quality Agreement หรือข้อกำหนดตลาด

คำว่า ตรวจฝ่ายผลิต กว้างเกินไปและทำให้ข้อสรุปคลุมเครือ ตัวอย่างที่ชัดกว่าคือ ตรวจการชั่ง–ผสม–พัก Bulk ของผลิตภัณฑ์น้ำในกะกลางวันและกลางคืน ครอบคลุมสาม Batch ล่าสุด โดยใช้ SOP Revision ปัจจุบันและข้อกำหนดที่ระบุใน Master Formula

6. จุดที่ 5: เตรียม Audit Plan และ Sampling Strategy

Audit Plan ระบุวัน เวลา ทีม ผู้ประสานงาน เส้นทางตรวจ Opening/Closing Meeting และทรัพยากรที่ต้องใช้ วาง Sample ให้ตอบ Objective เช่น เลือก Batch ปกติหนึ่งล็อต ล็อตที่มี Deviation หนึ่งล็อต และล็อตหลัง CAPA หนึ่งล็อต แทนการขอเอกสารที่แผนกเลือกเฉพาะตัวอย่างสวยที่สุด

Sampling ไม่ได้พิสูจน์ว่าทุกธุรกรรมถูกต้อง จึงต้องระบุ Population, วิธีเลือก ขนาดตัวอย่าง และข้อจำกัด หากพบสัญญาณผิดปกติให้ขยาย Sample อย่างมีเหตุผล ไม่หยุดที่ตัวอย่างแรกที่ผ่านหรือไล่ตรวจทุก Record จนเสียเวลาโดยไม่มีคำถามชัดเจน

7. จุดที่ 6: Review ข้อมูลล่วงหน้าเพื่อสร้างคำถามที่มีน้ำหนัก

ทบทวน SOP และ Revision, Process Flow, Organization/Training Matrix, Deviation, OOS, Complaint, Change, Previous Finding, KPI และ CAPA ที่เกี่ยวข้องก่อนลงพื้นที่ เป้าหมายไม่ใช่ตัดสินล่วงหน้า แต่เพื่อรู้จุดที่ควรตาม Trail และไม่ใช้เวลาหน้างานอ่านเอกสารพื้นฐานทั้งหมด

ทำ Working Paper ที่เชื่อมคำถามกับ Criteria และ Evidence ที่คาดว่าจะเห็น เช่น หากตรวจ Line Clearance ให้ดูทั้ง SOP, Checklist ที่กรอกจริง, สภาพพื้นที่, วัสดุคืนคลัง และ Reconciliation ไม่ถามเพียงว่าพนักงานทราบวิธีทำหรือไม่

8. จุดที่ 7: ใช้ Opening Meeting ตั้งขอบเขตโดยไม่ทำให้หน้างานตั้งการ์ด

Opening Meeting ควรกระชับ ยืนยัน Objective, Scope, Criteria, เวลา ผู้ประสานงาน ความปลอดภัย การถ่ายภาพหรือคัดลอกข้อมูล และวิธีแจ้ง Immediate Risk อธิบายว่า Audit มุ่งประเมินระบบและกระบวนการ ไม่ใช่หาแพะหรือให้คะแนนคนจากคำตอบเดียว

หากมีข้อจำกัด เช่น ไลน์ไม่เดิน เอกสารอยู่ระหว่าง Legal Hold หรือผู้รับผิดชอบไม่อยู่ ให้บันทึกและปรับแผนอย่างโปร่งใส ไม่เปลี่ยน Scope เงียบ ๆ จนรายงานดูเหมือนตรวจครบทั้งที่ไม่ได้เห็นกิจกรรมสำคัญ

9. จุดที่ 8: ตรวจแบบ Audit Trail จากของจริงไปหาเอกสารและย้อนกลับ

เริ่มจากสินค้า วัตถุดิบ ถัง เครื่องจักร หรือ Record จริง แล้วตามรหัสย้อนกลับไปยัง Supplier Lot, Dispensing, BMR, IPC, QC, Release และ Distribution หรือเริ่มจาก Complaint แล้วตามกลับถึง Batch และ CAPA วิธีนี้ตรวจความเชื่อมโยงของระบบได้ดีกว่าเดินตามลำดับหัวข้อ Checklist เพียงอย่างเดียว

ตรวจทั้ง Vertical Trail ภายในหนึ่งล็อตและ Horizontal Trail ข้ามหลายล็อตหรือหลายกะ เช่น เปรียบเทียบ pH Trend หลังเปลี่ยนวัตถุดิบ หรือดูว่า SOP Revision ใหม่ถูกใช้พร้อมกันใน QC, Production และ Warehouse หรือไม่

10. จุดที่ 9: เก็บ Objective Evidence ที่ตรวจสอบย้อนกลับได้

Objective Evidence อาจมาจากการสังเกต การสัมภาษณ์ เอกสาร Record ข้อมูลระบบ ตัวอย่าง และการคำนวณ แต่ต้องระบุได้ว่าเห็นอะไร ที่ไหน เมื่อใด และจาก Record ใด ใช้ Note ที่มี Document ID, Revision, Batch/Lot, วันที่ ผู้ให้ข้อมูล และจำนวน Sample เพียงพอให้ผู้ทบทวนเข้าใจข้อสรุปโดยไม่ต้องเดา

คำว่า ดูไม่สะอาด ระบบไม่ดี หรือพนักงานไม่เข้าใจ เป็นความเห็นที่ยังอ่อนกว่า Evidence ให้บันทึกสภาพเฉพาะ จุด ตำแหน่ง และ Criteria ที่เกี่ยวข้อง โดยหลีกเลี่ยงข้อมูลส่วนบุคคลหรือความลับที่ไม่จำเป็นต่อวัตถุประสงค์

11. จุดที่ 10: สัมภาษณ์และสังเกตงานโดยไม่ชี้นำ

ใช้คำถามปลายเปิด เช่น ช่วยแสดงวิธีตรวจ Revision ก่อนเริ่มงาน หรือเมื่อค่าอุณหภูมิเกินเกณฑ์ทำอย่างไร แล้วให้ผู้ปฏิบัติงานสาธิตกับระบบจริง หลีกเลี่ยงคำถามใช่/ไม่ใช่ที่บอกคำตอบ และอย่าตัดสิน Competency จากความคล่องในการพูดเพียงอย่างเดียว

เปรียบเทียบคำตอบกับ SOP, Training Status และ Record หากพบความต่างให้ถามกระบวนการและเงื่อนไขก่อนสรุป Finding ความต่างอาจเกิดจากเอกสารไม่ตรงหน้างาน ระบบเข้าถึงยาก การควบคุมกะไม่เท่ากัน หรือคำสั่งไม่ชัด ไม่จำเป็นต้องเป็นความผิดส่วนบุคคล

12. จุดที่ 11: เขียน Finding ให้ครบ Condition–Criteria–Evidence–Risk

Finding ที่นำไปแก้ได้ควรระบุ Condition สิ่งที่พบ Criteria สิ่งที่ควรเป็น Evidence ตัวอย่างที่รองรับ และ Risk หรือผลกระทบที่อาจเกิด หลีกเลี่ยงคำสั่งแก้ใน Finding เพราะทีมเจ้าของกระบวนการต้องวิเคราะห์ Root Cause และเลือก CAPA ที่เหมาะสม

จัดระดับ Critical, Major, Minor หรือ Observation ตามนิยามภายในที่สม่ำเสมอ ไม่ใช้ความรู้สึกหรือระดับตำแหน่งของผู้ถูกตรวจ Immediate Product Risk ต้องแจ้งและกักกันขอบเขตที่เกี่ยวข้องทันที โดยไม่รอ Closing Meeting แต่การตัดสิน Batch Disposition ต้องผ่านผู้มีอำนาจตามระบบคุณภาพ

13. จุดที่ 12: Closing Meeting และรายงานต้องไม่มี Surprise

ก่อน Closing ให้ทีมผู้ตรวจทำ Calibration ข้อสรุป ตัด Finding ซ้ำ และตรวจว่าหลักฐานครบ จากนั้นอธิบาย Scope ที่ตรวจ สิ่งที่ทำได้ดี Finding, Immediate Action, ข้อจำกัด และขั้นตอนถัดไป เปิดโอกาสให้ผู้ถูกตรวจชี้แจงข้อเท็จจริงหรือหลักฐานเพิ่มเติม แต่ไม่ต่อรองเพื่อให้ Finding หายโดยไม่มีหลักฐาน

รายงานควรออกตามเวลาที่กำหนด มี Executive Summary, Scope/Criteria, Sample, Finding รายข้อ, Risk Level, Owner และ Due Date พร้อมผู้อนุมัติ ASEAN Cosmetic GMP ระบุว่าควรมีรายงานเมื่อจบ Quality Audit แต่ไม่ได้บังคับรูปแบบรายงานหรือจำนวนวันตายตัว

14. จุดที่ 13: เชื่อม Finding กับ Root Cause และ CAPA ที่แก้ระบบ

Correction แก้สภาพที่พบ เช่น ถอน SOP เก่า หรือกักวัตถุดิบฉลากผิด ส่วน Corrective Action แก้สาเหตุเพื่อไม่ให้เกิดซ้ำ เช่น ปรับ Distribution Workflow, Permission หรือ Training Method อย่าปิด Finding ด้วยคำว่าอบรมใหม่ทุกกรณี หากสาเหตุจริงคือ Template, Workload, System Design หรืออำนาจตัดสินใจ

CAPA Plan ควรระบุ Root Cause Method, Action, Owner, Due Date, Resource, Product/Process Impact และหลักฐาน Completion หากประเด็นกระทบล็อตที่ผลิตแล้ว ต้องแยก Investigation และ Batch/Product Impact Assessment ออกจากแผนปรับปรุงระยะยาว

15. จุดที่ 14: Follow-up ต้องตรวจ Implementation และ Effectiveness

Implementation Check ตอบว่าทำ Action ตามแผนเสร็จจริงหรือไม่ ส่วน Effectiveness Check ตอบว่าปัญหาและความเสี่ยงลดลงหรือไม่ เลือกช่วงเวลาและ Sample ที่เห็นผล เช่น ตรวจสาม Batch หลังใช้แบบฟอร์มใหม่ เปรียบเทียบ Repeat Error สองกะ หรือทวนสอบ Obsolete Copy Retrieval หลัง Cutover

ไม่ควรปิด Finding จากรูปถ่าย เอกสารฉบับใหม่ หรือใบลงชื่ออบรมเพียงอย่างเดียวเมื่อประเด็นเกี่ยวกับพฤติกรรมหรือผลลัพธ์ หาก CAPA ไม่ได้ผล ให้เปิด Reassessment และปรับ Root Cause/Action โดยรักษาประวัติเดิม ไม่เปลี่ยนสถานะย้อนหลังให้ดูว่าปิดตรงเวลา

16. จุดที่ 15: Trend Finding เพื่อยกระดับ Audit Program รอบถัดไป

ติดตาม Finding by Process/Clause/Risk, Repeat Finding, Overdue CAPA, Closure Lead Time, Effectiveness Failure และ Finding ที่พบจาก Complaint หรือ External Inspection แต่ Internal Audit ไม่พบ วิเคราะห์ Common Cause ข้ามแผนกและเพิ่มน้ำหนัก Audit Program ในบริเวณที่ระบบเตือนภัยทำงานช้า

Audit KPI ไม่ควรผลักให้ทีมลดจำนวน Finding เพื่อให้คะแนนสวย จำนวน Finding สูงอาจสะท้อนการตรวจลึก ขณะที่ศูนย์ Finding อาจหมายถึง Scope แคบหรือ Sampling อ่อน ใช้ตัวชี้วัดร่วมกับคุณภาพ Evidence, Repeat Rate, Risk Reduction และการปิดตาม Effectiveness

17. เช็กลิสต์ 15 จุดสำหรับ Audit ระบบ Internal Audit

ตรวจหลักฐาน 15 จุด ได้แก่ (1) Audit Universe (2) Risk-based Program (3) Auditor Independence/Competency (4) Objective–Scope–Criteria (5) Audit Plan/Sampling (6) Pre-audit Data Review (7) Opening/Communication (8) Trail-based Audit (9) Objective Evidence (10) Interview/Observation (11) Finding Classification (12) Closing/Report (13) Root Cause/CAPA (14) Implementation/Effectiveness Follow-up และ (15) Trend/Management Review

เจ้าของแบรนด์ OEM ควรถามโรงงานว่าประเด็นเกี่ยวกับผลิตภัณฑ์ของตนถูกนำเข้า Audit Program อย่างไร ดูตัวอย่าง Finding ที่ปกปิดข้อมูลลับแล้วและหลักฐาน Effectiveness โดยกำหนดสิทธิ์ Audit หรือรับ Summary ไว้ใน Quality Agreement ไม่จำเป็นต้องขอรายงานภายในทั้งหมดทุกครั้ง

เช็กลิสต์ 15 จุดนี้เป็นกรอบปฏิบัติที่สังเคราะห์ตามความเสี่ยง ไม่ใช่จำนวนข้อบังคับตายตัวของไทย ASEAN หรือ ISO โรงงานต้องปรับ Scope, ความถี่ ระดับ Finding และหลักฐานตามผลิตภัณฑ์ กระบวนการ ขนาดองค์กร และข้อกำหนดที่ใช้จริง