Gli auditor non sottopongono ad audit il proprio lavoro

Poche parole, nella ISO/IEC 17021-1 §10.2.6.4 b), che stabiliscono cosa un organismo di certificazione deve assicurare riguardo ai propri audit interni.

Vale la pena soffermarvisi, perché il requisito che le precede chiede qualcosa che tira nella direzione opposta.

Le due condizioni, e la tensione tra di esse

Il §10.2.6.4 richiede all'organismo di certificazione di assicurare che gli audit interni siano condotti da personale competente, che conosca la certificazione, l'audit e i requisiti della norma, e che gli auditor non sottopongano ad audit il proprio lavoro.

Competenza e separazione. In una grande organizzazione è facile soddisfarle insieme. In una piccola competono direttamente, perché la persona che conosce un processo abbastanza bene da sottoporlo ad audit con competenza è molto spesso la persona che lo gestisce.

Il punto non risolve la tensione e non stabilisce una priorità tra le due. Rifiuta di sacrificare l'una o l'altra, il che lascia la soluzione da trovare anziché da scegliere da un elenco.

È un requisito più difficile di quanto lo sarebbe una preferenza.

Come è definita l'obiettività

La ISO/IEC 17021-1 definisce l'imparzialità al §3.2 come presenza di obiettività, e la sua nota aggiunge che obiettività significa che i conflitti di interessi non esistono, oppure sono risolti in modo da non influenzare negativamente le attività successive.

Da questa formulazione seguono due cose.

È espressa in positivo. L'imparzialità non è definita come assenza di una relazione. È la presenza di qualcosa che deve esserci ed essere dimostrabile.

Ammette la risoluzione. Un conflitto di interessi non deve per forza essere assente. Deve non esistere oppure essere risolto in modo da non influenzare negativamente ciò che segue. Il punto consente esplicitamente la seconda strada, ed è per questo che «siamo troppo piccoli per separare tutto» è l'inizio di una conversazione e non la sua fine.

Il resto di ciò che il punto assicura

Lo stesso sottopunto prosegue: che il personale responsabile dell'area sottoposta ad audit sia informato dell'esito; che le azioni derivanti dagli audit interni siano intraprese in modo tempestivo e appropriato; e che le opportunità di miglioramento siano individuate.

Un audit interno che si è concluso con un rapporto e senza il quarto passaggio ha soddisfatto la prima metà di quell'elenco.

Perché un organismo di certificazione pubblica il proprio requisito

Perché ha la stessa forma del requisito a cui lavora un'organizzazione certificata, ed è la metà che si può citare.

Non siamo nella posizione di dirvi parola per parola cosa dice il vostro punto della norma: lo abbiamo detto nella pagina collegata, ed è una cosa insolita da ammettere in pubblico per un organismo di certificazione. Siamo nella posizione di mostrarvi il punto che disciplina noi, scritto nella stessa tradizione di comitato, per lo stesso scopo, e che chiunque può consultare.

La parte trasferibile non è il testo. È la costruzione: indicare cosa considera la pianificazione, separare l'auditor dal lavoro, definire l'obiettività come qualcosa di presente anziché di mancante, e chiudere il ciclo anziché archiviare il rapporto.

L'unico numero qui, e a chi si riferisce

Il §10.2.6.3 richiede che gli audit interni di un organismo di certificazione siano svolti almeno una volta ogni 12 mesi, e consente di ridurre tale frequenza quando l'organismo può dimostrare che il proprio sistema di gestione continua a essere attuato efficacemente e ha una stabilità comprovata.

Il soggetto conta, e vale la pena dirlo due volte: quell'intervallo vincola gli organismi di certificazione. È citato qui come esempio di requisito di frequenza scritto insieme alla sua condizione, non come cifra applicabile a chiunque altro.

Anche il numero si sposta quando le evidenze lo sostengono. È la stessa idea del programma che risponde ai propri input, espressa come intervallo anziché come piano.

Queste sono informazioni generali sul requisito, non una consulenza su un particolare sistema di gestione.

CAS — Organismo di certificazione di sistemi di gestione accreditato EGAC n. 012418.