Audit di terza parte: cos’è e come prepararsi alla certificazione

Ottenere una certificazione richiede più di procedure scritte bene. L’azienda deve dimostrare che il proprio sistema di gestione funziona nelle attività quotidiane e risponde ai requisiti dello standard scelto.

È questo lo scopo dell’audit di terza parte: una verifica indipendente che può portare al rilascio della certificazione, se l’esito del percorso è positivo.

La richiesta può nascere da un obiettivo aziendale o dalle condizioni poste da un cliente per accedere alla sua filiera. In entrambi i casi, scegliere lo standard pertinente è solo l’inizio: prima di fissare la visita occorre dare al sistema il tempo di produrre risultati osservabili.

L’audit di terza parte è svolto da un organismo di certificazione indipendente dall’organizzazione valutata. Nel caso dei sistemi di gestione, gli auditor verificano la conformità a uno specifico standard o schema di certificazione.

Tra i più diffusi rientrano, ad esempio, ISO 9001 per la qualità, ISO 14001 per l’ambiente, ISO 45001 per la salute e sicurezza sul lavoro e ISO 37001 per la prevenzione della corruzione. Esistono inoltre numerosi altri standard e schemi di certificazione, applicabili in funzione del settore, delle attività svolte e degli obiettivi dell’organizzazione.

L’obiettivo non è certificare genericamente che un’azienda “lavora bene”, ma accertare che il sistema applicato nel campo di attività definito soddisfi requisiti precisi.

La differenza rispetto agli altri audit dipende da chi conduce la verifica e per quale scopo. Nell’audit di prima parte l’organizzazione esamina il proprio sistema; in quello di seconda parte, una verifica è condotta nell’interesse di un cliente, per esempio su un fornitore. La terza parte interviene invece come soggetto autonomo per la valutazione finalizzata alla certificazione.

Un audit interno ben fatto prepara a questo passaggio, ma non lo sostituisce.
Per una certificazione accreditata, è opportuno verificare che l’organismo scelto sia accreditato per lo specifico schema e settore interessati. In Italia l’accreditamento degli organismi di certificazione è gestito da Accredia.

Il consulente può affiancare l’impresa nell’impostazione del sistema e nella preparazione alla visita; la valutazione indipendente e la decisione sul certificato restano di competenza dell’organismo.

Per la certificazione iniziale di un sistema di gestione, la valutazione si articola normalmente in due fasi. Nella fase 1 l’organismo esamina le informazioni sul sistema, il campo di applicazione, la documentazione e il livello di preparazione dell’azienda. È il momento in cui si individuano aspetti da chiarire o criticità da affrontare prima della verifica approfondita.

Nella fase 2 gli auditor cercano evidenze dell’effettiva applicazione dei requisiti. Esaminano registrazioni, parlano con le persone coinvolte e osservano le attività nei reparti o negli uffici pertinenti. Per esempio, un’istruzione sulla gestione dei reclami acquista significato quando si può seguire un caso concreto: dalla segnalazione ricevuta fino alla risposta data al cliente e alle eventuali modifiche introdotte.

La verifica si conclude con un rapporto che riporta risultati ed eventuali non conformità. Il certificato non viene rilasciato automaticamente al termine della visita: la decisione spetta all’organismo di certificazione dopo l’esame dei risultati e degli interventi eventualmente richiesti. Seguono poi audit di sorveglianza e, alla scadenza del ciclo, la valutazione per il rinnovo.

Il primo passo è definire con precisione il campo della certificazione.

Quali sedi, processi, prodotti o servizi saranno inclusi?

Una descrizione troppo generica rende difficile pianificare la verifica e può creare aspettative sbagliate. Occorre poi confrontare i requisiti dello standard con il modo in cui l’organizzazione opera davvero, individuando i punti scoperti e assegnando a ciascuno un responsabile.

La documentazione deve descrivere attività riconoscibili, senza accumulare moduli che nessuno usa. A seconda dello standard e del campo scelto, servono evidenze relative a obiettivi, responsabilità, competenze, controlli operativi, risultati monitorati e gestione delle anomalie.

È utile partire da episodi recenti: una formazione completata, un controllo in produzione, un reclamo, una manutenzione o un’azione correttiva. Se il personale sa mostrare come è stato gestito il caso, la procedura diventa verificabile.

Le priorità cambiano in funzione dello standard o dello schema di certificazione.

Ad esempio, per ISO 9001 assumono particolare rilievo la gestione dei processi e la soddisfazione del cliente; per ISO 14001 gli aspetti ambientali dell’attività e gli obblighi applicabili; per ISO 45001 la valutazione dei rischi e il coinvolgimento dei lavoratori; per ISO 37001 la valutazione del rischio di corruzione e l’efficacia delle misure adottate per prevenirlo.

Questi sono solo alcuni esempi: ogni standard o schema di certificazione prevede requisiti e aree di attenzione specifici. Usare una preparazione identica per ogni certificazione rischia quindi di lasciare scoperti proprio i processi e gli elementi che l’auditor dovrà verificare.

Prima della visita esterna, l’audit interno consente di mettere alla prova il sistema. La sua utilità dipende dalla capacità di rilevare anche ciò che non funziona, senza cercare risposte rassicuranti. I risultati vanno discussi con la direzione, che deve valutare prestazioni, problemi e risorse necessarie.

Le criticità individuate vanno affrontate per tempo: arrivare alla certificazione con attività correttive soltanto promesse espone l’azienda a rilievi prevedibili.

È utile concordare in anticipo il programma con i referenti aziendali e assicurarsi che siano disponibili le persone che conoscono i processi.

Non serve far imparare risposte a memoria: chi lavora ogni giorno in un’attività deve poterla spiegare con parole proprie e mostrare dove trovare le informazioni. Quando emerge una domanda difficile, è preferibile cercare la registrazione corretta o dichiarare che occorre approfondire, anziché improvvisare.

Un errore frequente è concentrare ogni sforzo sulla raccolta dei documenti negli ultimi giorni. Le evidenze di attività svolte nel tempo non si creano a ridosso della visita.

Un altro è affidare l’intero percorso a una sola persona: gli auditor possono seguire un processo attraverso più funzioni e confrontare ciò che ciascuna racconta con ciò che accade sul campo.

Una non conformità non si risolve limitandosi a correggere il singolo documento contestato. Occorre capire perché si è verificata, valutare se il problema coinvolge altri casi e dimostrare che la soluzione funziona.

L’organismo stabilisce come esaminare gli interventi proposti e quali ulteriori evidenze richiedere. Le modalità possono variare in base allo schema di certificazione e alla gravità del rilievo.

La preparazione non finisce con il rilascio del certificato. Durante le verifiche successive l’organismo osserva se il sistema resta applicato e come l’azienda gestisce cambiamenti, risultati e problemi emersi nel frattempo.

Tenere aggiornate le informazioni mentre si lavora rende queste visite più semplici e permette alla certificazione di riflettere davvero l’organizzazione.

C3 Consulting affianca le imprese nell’analisi iniziale, nell’organizzazione del sistema di gestione e nella preparazione agli audit.

Vuoi capire se la tua azienda è pronta per un audit di terza parte? Contatta C3 Consulting per valutare i passi necessari alla certificazione.