Cinque segnali d'allarme su un certificato ISO dubbio

Cinque elementi visibili su un certificato richiedono una verifica prima di farvi affidamento: un elemento obbligatorio che manca, un marchio fuori posto, un campo di applicazione che non corrisponde all'organizzazione, date che non corrispondono al ciclo di certificazione e un organismo che non si riesce a trovare. Nessuno di essi dimostra che un certificato sia falso; anche un certificato autentico può presentare un segnale a causa di un errore o di una copia superata. Ciascuno è un motivo per chiedere, e ciascuno si basa su una regola che si può indicare.

1. Manca un elemento obbligatorio

Il §8.2.2 della ISO/IEC 17021-1 elenca, alle lettere da a) a i), ciò che un documento di certificazione deve identificare. Tre lacune meritano attenzione per prime.

• Nessun codice di identificazione univoco (§8.2.2 d). Senza di esso non c'è nulla di specifico da cercare o da confermare.
• La norma senza l'indicazione dell'edizione (§8.2.2 e). «ISO 9001» da sola non dice quale edizione è stata sottoposta ad audit.
• Nessun sito su un certificato multisito (§8.2.2 a). Il §7.8.2 di Global ACI TECH-3-001 (già IAF MD 1) richiede il nome e l'indirizzo di ciascun sito coperto.

2. Un marchio fuori posto

Il §8.2.2 g) consente altri marchi, come un simbolo di accreditamento, purché non siano fuorvianti o ambigui.

• «Accreditato», senza indicare l'organismo di accreditamento. Secondo il §8.2.2 di Global ACI MRA-006, un certificato accreditato di sistema di gestione riporta il simbolo di accreditamento oppure un riferimento esplicito allo stato di accreditamento che identifica l'organismo di accreditamento. Senza tale riferimento, il certificato non è considerato accreditato.
• Un simbolo di accreditamento su una norma esterna all'ambito accreditato dell'organismo. Il §9.2 b) e il §9.4 di MRA-006 limitano i simboli alle attività comprese nell'ambito accreditato. Un documento che copre sia risultati accreditati sia risultati non accreditati deve indicarlo chiaramente (§9.8.4).
• Il marchio IAF MLA da solo. La IAF ML 2:2023, che Global ACI mantiene in vigore per quel marchio, non consente a un organismo di certificazione di usarlo separatamente dal simbolo del proprio organismo di accreditamento (§4.3.1), e consente il marchio combinato su un certificato solo se il campo di applicazione del certificato comprende un sottoambito IAF MLA (§4.3.3). I certificati ISO 22301 di CAS, per esempio, riportano il simbolo di accreditamento di EGAC e non il marchio IAF MLA, perché la ISO 22301 è al di fuori dell'ambito IAF MLA di EGAC.
• Un marchio che somiglia a uno riconosciuto. Global ACI TECH-3-015 (già IAF ID 17), il documento informativo sui certificati contraffatti, descrive sistemi paralleli che utilizzano nomi, marchi e loghi simili e fuorvianti (§4.2).

3. Un campo di applicazione che non corrisponde all'organizzazione

Il §8.2.2 f) richiede che il campo di applicazione indichi il tipo di attività, prodotti e servizi in ciascun sito, senza essere fuorviante o ambiguo. Leggetelo alla luce di ciò che sapete del fornitore.

• Il campo di applicazione descrive un'altra attività, per esempio la produzione per un'azienda che si limita a commerciare.
• Il nome non è quello dell'azienda con cui trattate. Il certificato di una società consorella non copre la società che vi emette fattura (§8.2.2 a).
• Un certificato di sito a sé stante. Secondo il §7.8.3 di TECH-3-001, un documento emesso per un sito di un'organizzazione multisito deve indicare che è certificato il sistema di gestione dell'intera organizzazione, essere riconducibile al certificato principale e dichiarare che «la validità di questo certificato dipende dalla validità del certificato principale». Non è mai emesso a nome del sito stesso.

TECH-3-015 annovera tra i suoi esempi di certificati contraffatti un campo di applicazione «ampliato in modo inesatto oltre i suoi parametri effettivi» (§3.1.1).

4. Date che non corrispondono al ciclo

Secondo il §9.1.3.2, un ciclo di certificazione dura tre anni, con la ricertificazione nel terzo anno prima della scadenza, salvo che uno schema specifico di settore stabilisca un periodo diverso (Nota 3). Il §8.2.2 c) richiede che la data di scadenza sia coerente con tale ciclo.

Una data anteriore non è di per sé un segnale d'allarme. Dopo un'interruzione, un certificato può mantenere la data di certificazione originale se sono indicati chiaramente l'inizio e la scadenza del ciclo in corso, con la scadenza dell'ultimo ciclo e la data dell'audit di ricertificazione (nota al §8.2.2 b). Un organismo che ha accettato un certificato trasferito può riportare la data della certificazione iniziale, indicando che l'organizzazione era stata certificata in precedenza da un altro organismo (Global ACI TECH-3-002, già IAF MD 2, nota al §2.3.4).

5. Un organismo che non si riesce a trovare

Sia l'organismo di certificazione sia il suo organismo di accreditamento dovrebbero essere reperibili senza l'aiuto del documento.

• L'organismo di certificazione non compare nel registro dell'organismo di accreditamento, oppure la sua voce non comprende la norma indicata sul certificato.
• L'organismo di accreditamento non è un firmatario riconosciuto. Global ACI pubblica gli elenchi dei propri firmatari MRA. Il §4.2 di TECH-3-015 descrive certificati emessi da organismi di certificazione o di accreditamento sconosciuti che dichiarano un valore equivalente.
• IAF CertSearch non ha alcuna registrazione dell'organismo. Gli organismi di accreditamento vi caricano ogni organismo di certificazione che accreditano secondo la ISO/IEC 17021-1, con i suoi indirizzi, il suo ambito e il suo stato (IAF MD 28:2023 §4.1.1; il documento Global ACI che ne prende il posto risulta in corso di elaborazione). Un certificato che manca ha spiegazioni ordinarie. Un organismo che manca merita più attenzione, a meno che il suo organismo di accreditamento non risulti non partecipante (§5.1.5).

Che cosa significa per voi

Se siete un acquirente: un solo segnale basta per verificare prima di fare affidamento sul certificato. Il §8.1.2 della ISO/IEC 17021-1 richiede all'organismo di certificazione di fornire, su richiesta, lo stato di una determinata certificazione.

Se siete certificati: leggete il vostro certificato alla luce di questi cinque punti. Se il nome, un sito o l'edizione sono errati, chiedete al vostro organismo di certificazione un documento corretto.

Se notate uno di questi segnali su un certificato CAS: verificatelo su cas.com.eg/certsearch e segnalatecelo.

CAS — Organismo di certificazione di sistemi di gestione accreditato EGAC n. 012418. Ambito accreditato: ISO 9001, ISO 14001, ISO 45001, ISO 22000, ISO 50001 e ISO 22301. I certificati accreditati per ISO 9001, 14001, 45001, 22000 e 50001 rientrano nell'ambito IAF MLA di EGAC; la ISO 22301 è accreditata da EGAC ma ne resta esclusa.

Verificate qualsiasi certificato: cas.com.eg/certsearch