La UNI EN ISO 19011:2012 – Linee guida per audit di sistemi di gestione pubblicata lo scorso anno, presenta alcune interessanti novità rispetto alla versione precedente del 2003, anche se nella sostanza i cambiamenti non impattano in modo significativo sul processo di audit.
Anzitutto già dal titolo si capisce che la norma è valida per qualsiasi tipo di audit su sistemi di gestione, non solo per quelli relativi a qualità ed ambiente (ISO 9001 e ISO 14001), ma – come era ovvio supporre – si adatta anche alla gestione degli audit per i sistemi di gestione sulla sicurezza delle informazioni ISO 27001, sulla sicurezza e salute sul lavoro, ecc.
Oltre ai soliti capitoli introduttivi presenti in tutte le norme ISO (Scopo e campo di applicazione, riferimenti normativi, termini e definizioni, ecc.) ed al capitolo “Principi dell’audit”, la norma presenta due capitoli fondamentali:
- GESTIONE DI UN PROGRAMMA DI AUDIT
- SVOLGIMENTO DI UN AUDIT
La ISO 19011:2012 fa prevalentemente riferimento alla gestione degli audit di prima e seconda parte, ovvero agli audit interni e quelli eseguiti dal cliente sul fornitore, mentre per gli audit di parte terza (svolti dagli Organismi di Certificazione) il principale riferimento è diventato la ISO 17021:2011. Paradossalmente gli auditor degli organismi di certificazione su sistemi di gestione dovranno considerare questa norma come possibile linea guida, mentre i requisiti da osservare sono contenuti solo nella ISO 17021.
La norma introduce il concetto di rischio associato all’attività di audit di sistemi di gestione, ma l’approccio adottato riguarda sia il rischio che il processo di audit non raggiunga i propri obiettivi, sia l’eventualità che l’audit interferisca con le attività e i processi dell’organizzazione oggetto dell’audit, trascurando il fatto che l’audit può evidenziare comportamenti e prassi “rischiose” per l’organizzazione. Per rischiose intendo procedimenti rilevati (difformi o meno alle procedure stabilite) che possono portare a non conformità, nelle sue varie declinazioni: prodotti non conformi, incidenti (per la sicurezza delle informazioni), non conformità di sistema, ecc..
Le definizioni del capitolo 3 apportano lievi modifiche a quelle della precedente versione della norma. Si noti che il termine “verifica ispettiva” è completamente sparito da questa e dalle norme della famiglia ISO 9000, a favore del termine “audit” sebbene l’impiego della precedente terminologia sia rimasto nell’uso comune dei sistemi di gestione per la qualità ed anche alcuni organismi di certificazione continuino ad usarlo, mentre altri impongono alle aziende clienti l’aggiornamento della terminologia. Nella sostanza i due termini rimangono sinonimi e nulla vieta di citare il primo termine al posto del secondo nella propria documentazione di sistema.
In generale l’elenco dei termini e definizioni richiama più un audit di un ente di certificazione piuttosto che un audit interno di auna piccola impresa.
I principi dell’audit delineati dalla norma al capitolo 7 sono i seguenti:
a) Integrità: il fondamento della professionalità.
b) Presentazione imparziale: obbligo di elaborare rapporti veritieri e accurati.
c) Dovuta professionalità: l’applicazione di diligenza e di giudizio nel corso del l’attività di audit.
d) Riservatezza: sicurezza delle informazioni.
e) Indipendenza: la base per l’imparzialità dell’audit e l’obiettività delle conclusioni dell’audit.
f) Approccio basato sull’evidenza: il metodo razionale per raggiungere conclusioni dell’audit affidabili e riproducibili in un processo di audit sistematico.
Probabilmente l’enfasi è eccessiva sull’integrità ed imparzialità dell’auditor, mentre uno dei principi fondamentali per svolgere un buon audit è la conoscenza dei processi sottoposti ad audit da parte dell’auditor che li verifica, ma sulla competenza degli auditor c’è un capitolo a parte (il settimo).
Riguardo all’indipendenza la norma cita che «Per gli audit interni, gli auditor dovrebbero essere indipendenti dai responsabili operativi della funzione sottoposta ad audit». Tale aspetto non viene sempre rispettato in molti sistemi di gestione certificati, con buona pace degli enti di certificazione, sebbene questa norma si esprima in termini condizionali (“dovrebbe”).
Il programma di audit può anche comprendere informazioni e risorse necessarie quali:
- obiettivi del programma di audit e dei singoli audit;
- estensione/numero/tipo/durata/siti/pianificazione temporale degli audit;
- procedure del programma di audit;
- criteri di audit;
- metodi di audit;
- selezione dei gruppi di audit
- risorse necessarie (inclusi viaggi e alloggi);
- processi per la gestione della riservatezza, sicurezza delle informazioni, salute e sicurezza sul lavoro e quant’altro necessario.
Il programma di audit normalmente ha un orizzonte temporale di un anno e dovrebbe coprire tutte le aree/processi/unità operative/divisioni comprese nel sistema di gestione da sottoporre ad audit. Il diagramma di flusso riportato nella norma definisce alcuni passi fondamentali:
- Definizione degli obiettivi del programma di audit.
- Definizione del programma di audit (ruoli, responsabilità, competenze, estensione, ecc.).
- Attuazione del programma di audit (obiettivi, metodi, assegnazione membri del gruppo di audit, registrazioni, ecc.).
- Monitoraggio del programma di audit.
- Riesame e miglioramento del programma di audit.
Nel punto 3 intervengono la competenza degli auditor e lo svolgimento dell’audit, trattati ai capitoli successorio
La norma ISO 19011 descrive in dettaglio i suddetti step; da ciò si comprende che un programma di audit non dovrebbe limitarsi ad un elenco di audit per aree o processi con periodi indicativi di svolgimento e definizioni di responsabili del gruppo di audit. Questo può essere sufficiente per una piccola realtà, mentre per un’azienda più grande e strutturata, magari con alcune unità operative distaccate, potrebbe essere consigliabile sviluppare un programma di audit descrittivo, non solamente un “calendario di audit”. Alcuni aspetti dovrebbero essere definiti e trattati più approfonditamente, ad esempio gli obiettivi (audit di conformità ad una norma oppure bisogna valutare il raggiungimento di determinati obiettivi di miglioramento?), i metodi (è opportuno pianificare audit a distanza?), l’estensione dei singoli audit, le tecnologie informatiche da impiegare e così via.
Anche i rischi di un programma di audit dovrebbero essere attentamente valutati: dedicare un tempo insufficiente a determinate aree o processi, oppure incaricare auditor non sufficientemente competenti per verificare certi processi, potrebbe comportare uno spreco di risorse oppure una riduzione dell’efficacia degli audit.
Un’attenta programmazione di questa fase può rendere il programma di audit più o meno efficace ed efficiente con conseguente impatto sui costi di tutta l’attività e benefici che ne derivano.
Anche la fase di attuazione del programma di audit richiede una pianificazione accurata di vari aspetti quali obiettivi, campo di applicazione, criteri e tempistiche dei singoli audit, nonché comunicazione ai soggetti interessati e disponibilità delle risorse necessarie per svolgere l’audit.
A volte anche una corretta gestione di aspetti logistici e di comunicazione sia agli auditor, sia ai soggetti auditati, di informazioni di interesse quali i risultati di precedenti audit, le tecnologie da verificare, informazioni relative alla sicurezza, ecc. possono evitare problemi in fase di svolgimento dell’audit.
La norma raccomanda la corretta gestione dei risultati degli audit e delle relative registrazioni (piani e rapporti di audit, rapporti di non conformità, azioni correttive, ecc.), compresa la dovuta riservatezza delle stesse.
Monitoraggio, riesame e miglioramento del programma di audit sono punti fondamentali per mantenere efficace ed efficiente il programma di audit anche attraverso modifiche scaturite dai risultati degli audit e da altri ritorni dal campo (ad es. feedback da parte delle persone auditate).
Il capitolo 6 “Svolgimento dell’audit” tratta tutti gli aspetti relativi all’esecuzione degli audit pianificati: dall’avvio dell’attività di audit con la presa di contatto del responsabile dell’audit con i responsabili delle attività auditate, alla preparazione dell’audit con la pianificazione dell’audit e la predisposizione dei documenti di lavoro (ad es. check-list), fino alla conduzione dell’audit ed alle attività conclusive (emissione e distribuzione del rapporto, chiusura dell’audit ed attività di follow-up).
La fase preparatoria dell’audit è molto importante per evitare poi di avere problemi successivamente o di trovarsi a non essere in grado di esaminare tutto ciò che si avrebbe dovuto verificare. Questa fase è spesso svolta con frettolosità dagli organismi di certificazione che non hanno budget sufficienti per organizzare e preparare al meglio un audit in azienda; molto lavoro è affidato all’auditor che se conosce già l’azienda da precedenti visite riuscirà ad organizzarsi bene, viceversa si potrebbe rischiare di svolgere un audit troppo superficiale.
La predisposizione di un piano di audit che poi si sarà in grado di rispettare può agevolare i rapporti con il personale sottoposto a verifica, che non avrà scuse se non sarà pronto agli orari stabiliti e non potrà contestare il mancato rispetto degli orari pianificati.
La conduzione dell’audit vero e proprio inizia con la riunione di apertura o riunione iniziale che sostanzialmente non è molto diversa da quella descritta nelle precedenti versioni della norma. A seconda che si tratti di un audit di parte terza o di parte seconda, piuttosto che un audit interno, potrà variare il formalismo ed il tempo dedicato alla riunione di apertura. Anche se in organizzazioni di medio-piccole dimensioni e/o con una certa abitudine agli audit la riunione di apertura può risultare superflua è comunque opportuno confermare la programmazione degli orari delle interviste per assicurarsi che tutto si svolga senza intoppi.
Il riesame della documentazione dovrebbe essere previsto in molti audit per valutare la conformità delle regole stabilite ai criteri dell’audit (tipicamente una normativa di riferimento) prima di valutare se le procedure sono attuate in modo conforme.
Naturalmente in funzione degli esiti di eventuali audit precedenti, delle anomalie rilevate e delle azioni correttive intraprese dall’organizzazione auditata, questa fase preliminare all’avvio dell’audit vero e proprio sarà più o meno estesa.
La comunicazione fra i membri del gruppo di audit e fra questi e l’organizzazione soggetta a verifica è molto importante per rivalutare periodicamente l’avanzamento dell’audit e, in caso di necessità, riprogrammare attività anche riassegnando singoli compiti. La responsabilità principale di quest’attività è ovviamente del responsabile del team di audit.
Questo aspetto spesso viene mal gestito in alcuni audit di certificazione e così si finisce per dilungare eccessivamente la verifica o dedicare un tempo insufficiente alla verifica di processi importanti.
Se in alcuni casi è il piano di audit ad essere non ben progettato, in altri lo svolgimento dell’audit accumula ritardi che il team di audit non cerca di recuperare.
Infatti spesso il piano di audit rispecchia sequenze poco condivisibili (ad es. svolgere la verifica del riesame da parte della direzione all’inizio dell’audit piuttosto che alla fine quando l’auditor si sarà fatto un’idea migliore delle prestazioni dei processi e dei relativi indicatori) oppure relega processi primari nell’ultimo quarto del tempo di audit, quando potrebbero essersi accumulati ritardi significativi ed il personale coinvolto potrebbe avere la necessità di uscire dall’azienda.
Viceversa anche con un piano ben progettato si possono registrare ritardi notevoli perdendosi in discussioni lunghissime con il personale dell’azienda; soprattutto nella prima parte della mattinata i tempi sono spesso molto allungati fra ritardi iniziali, chiacchere e caffè; come in qualsiasi attività lavorativa del resto.
L’assegnazione di ruoli e responsabilità a guide ed osservatori può riguardare soprattutto audit di parte terza (di certificazione) nei quali alcuni organismi richiedono esplicitamente che l’audit sia sempre accompagnato in azienda da personale incaricato, anche per motivi di sicurezza fisica e di riservatezza.
Il ruolo degli osservatori va confinato nel loro ambito: spesso i consulenti dell’azienda rispondono in vece dei responsabili dell’azienda (per colpa un po’ dell’uno, un po’ dell’altro) e questo non è consentito dai regolamenti ACCREDIA; in altri casi gli osservatori in addestramento dell’Organismo di Certificazione si spingono un po’ troppo oltre i propri compiti e partecipano attivamente alla verifica ponendo domande ed esprimendo giudizi.
Riguardo alla raccolta e verifica delle informazioni, durante l’audit, dovrebbero essere raccolte informazioni verificabili tramite adeguato campionamento. Tali informazioni, se supportate da evidenza oggettiva, costituiscono delle evidenze (prove) che possono essere valutate in base ai criteri dell’audit e porteranno alle risultanze dell’audit che, opportunamente riesaminate, determineranno le conclusioni dell’audit (Conformità o non conformità del processo esaminato).
I metodi di raccolta delle informazioni comprendono interviste, osservazioni e riesame dei documenti, comprese le registrazioni (naturalmente di qualsiasi tipo e su qualsiasi supporto).
Su campionamento e metodi di raccolta delle informazioni la norma richiama i punti B.3, B.5, B6 e B.7 dell’Appendice B.
Riguardo al campionamento, esso viene distinto in campionamento basato su giudizio e campionamento statistico. Normalmente viene utilizzato solo quello del primo tipo, mentre il secondo mi sembra francamente impraticabile negli audit dei sistemi di gestione, salvo casi particolari nei quali vengono identificati a monte i macro-elementi potenzialmente esaminabili e, quindi, si stabilisce quali verificare nell’audit.
Una buona tecnica utilizzata nella pratica è quella di esaminare un certo numero di documenti o attività ed approfondire l’esame su altri elementi simili solo se si riscontrano non conformità.
Di fatto negli audit di certificazione il campionamento è scarsamente significativo dal punto di vista statistico. Facciamo un esempio: se un’azienda riceve 1000 ordini cliente all’anno e svolge 10 eventi formativi all’anno un campionamento omogeneo prevedrebbe che, a fronte della verifica di 2 registrazioni dell’addestramento/formazione (20% del totale), venissero esaminati 200 ordini cliente, cosa che in realtà non avviene mai.
La produzione delle risultanze dell’audit dovrebbe comprendere non conformità, conformità/buone prassi, opportunità di miglioramento e raccomandazioni per l’organizzazione. Le non conformità possono essere classificate in gradi di severità differenti.
La preparazione delle conclusioni dell’audit dovrebbe essere preceduta da una riunione del team di audit per riesaminare tutte le risultanze e concordare le conclusioni dell’audit. Inoltre dovrebbero essere trattate le cause radice delle non conformità e le azioni conseguenti richieste.
La riunione di chiusura dell’audit ha l’obiettivo di presentare i risultati dell’audit alla direzione dell’organizzazione ed ai responsabili delle funzioni/processi verificati. In essa dovrebbero essere discussi i rilievi ed eventuali divergenze fra il team di audit ed i responsabili dell’organizzazione dovrebbero essere risolte (ed in caso negativo comunque registrate), nonché le azioni da intraprendere post-audit.
Il rapporto di audit dovrebbe comprendere o fare riferimento a:
a) gli obiettivi dell’audit;
b) il campo di applicazione dell’audit, in particolare l’identificazione delle unità organizzative e funzionati o dei processi sottoposti ad audit;
c) l’identificazione del committente dell’audit;
d) l’identificazione del gruppo di audit e dei partecipanti all’audit della organizzazione oggetto dell’audit;
e) le date e i siti dove sono state condotte le attività di audit;
f) i criteri dell’audit;
g) le risultanze dell’audit e le relative evidenze;
h) le conclusioni del l’audit;
i) una dichiarazione sul grado in cui i criteri di audit sono stati soddisfatti.
Il rapporto di audit può anche includere o fare riferimento a:
- il piano di audit, compresa la pianificazione temporale;
- una sintesi del processo di audit (compreso qualsiasi ostacolo incontrato che può ridurre l’affidabilità del le conclusioni del l’audit);
- la conferma che gli obiettivi dell’audit sono stati raggiunti nell’ambito del campo di applicazione del l’audit, in conformità al piano di audit;
- qualsiasi area non coperta (sebbene compresa nel campo di applicazione dell’audit);
- una sintesi delle conclusioni dell’audit e delle principali risultanze dell’audit che le supportano;
- eventuali opinioni divergenti non risolte tra il gruppo di audit e l’organizzazione oggetto dell’audit;
- le opportunità di miglioramento, se specificate nel piano di audit;
- le buone prassi identificate;
- i piani concordati di azioni conseguenti, se presenti;
- una dichiarazione sulla natura riservata dei contenuti;
- qualsiasi implicazione per il programma di audit o per gli audit successivi;
- la lista di distribuzione del rapporto di audit.
La norma, infine, ricorda che il rapporto di audit può essere sviluppato prima della riunione di chiusura (cosa che avviene nella maggioranza dei casi).
La distribuzione del rapporto di audit potrebbe essere posticipata e comunque dovrebbe avvenire senza eccessivi ritardi indirizzandolo a coloro i quali era previsto nel piano che lo ricevessero.
La chiusura dell’audit avviene al termine di tutte le attività previste. La conservazione ed eventuale divulgazione dei rapporti dovrebbe avvenire secondo quanto concordato e riportato nelle procedure di riferimento, rispettando il livello di riservatezza richiesto.
La conduzione di azioni conseguenti all’audit riguarda l’attuazione di correzioni, azioni correttive o preventive e di miglioramento, eventualmente concordate in sede di audit, la cui efficacia potrà essere valutata in un audit successivo.
Il capitolo 7 della norma riguarda la competenza e valutazione degli auditor. Se la competenza viene determinata come ormai usuale nelle norme sui sistemi di gestione (istruzione, formazione/addestramento, conoscenze, esperienze, …), la determinazione e valutazione delle competenze di auditor e responsabili di gruppi di audit diventa un’attività molto articolata, descritta nella norma.
Oltre che competente l’auditor deve possedere alcune caratteristiche personali e comportamentali in linea con i principi dell’audit sopra esposti (comportamento etico, essere diplomatico, con mentalità aperta, ecc.).
Gli auditor dovrebbero possedere conoscenze ed abilità di carattere generale e specifiche per poter operare efficacemente nelle discipline per le quali sono impiegati (e vengono, dunque, qualificati), così come descritto nella norma. Tra le competenze a carattere generale che ogni auditor dovrebbe possedere ci sono conoscenze di carattere legale ed economico legate all’ funzionamento delle imprese.
Per il responsabile del gruppo di audit sono richieste capacità aggiuntive e maggior esperienza nella conduzione di audit su sistemi di gestione.
I metodi di valutazione dell’auditor previsti dalla norma sono: riesame delle registrazioni, informazioni di ritorno dal campo, intervista, osservazioni del comportamento, esame (orale/scritto), riesame successivo all’audit (rapporto di audit, interviste con il responsabile del gruppo di audit, ecc.).
Infine la norma si concluse con due utili appendici:
- Appendice A: Guida ed esempi illustrativi delle conoscenze e abilità degli auditor specifiche della disciplina.
- Appendice B: Guida supplementare destinata agli auditor per la pianificazione e la conduzione di audit.
In conclusione si tratta di una norma di contenuti molto ampi, considerando anche le appendici appena citate. Ne consegue che la preparazione di un auditor che sia in grado di applicare le ormai note tecniche di audit, per rendere l’audit estremamente efficace e ad alto valore aggiunto, deve necessariamente comportare, oltre alla lettura della norma e di altro materiale didattico correlato, un certo numero di ore di formazione frontale, qualche esercitazione pratica ed un po’ di esperienza sul campo come osservatore.
Mancano ormai solo 8 mesi all’attuazione del nuovo Regolamento UE 679/2016 sulla Protezione dei Dati Personali (o General Data Protection Rule, GDPR), pubblicato nel maggio 2016, che diverrà pienamente attuativo il 25 maggio 2018. Esso apporta importanti novità alla Legge sulla Privacy italiana attualmente in vigore, il D. Lgs 196/2003 e s.m.i., ed impone un diverso modo per affrontare la privacy nelle organizzazioni che trattano dati sanitari, i quali costituiscono una particolare categoria di “dati sensibili” (ora definiti “dati particolari” dal GDPR).
![ecsnzu1q[1]](https://studio.dicrosta.it/wordpress/wp-content/uploads/2013/09/ecsnzu1q1.jpg)