Punti chiave
- 1Il punto 5.2.1 enuncia il principio: le attività di valutazione della conformità devono essere svolte con imparzialità, e l'organismo di certificazione non deve permettere che pressioni commerciali, finanziarie o di altro tipo compromettano l'imparzialità.
- 2Alcune relazioni non sono rischi da gestire.
- 3La regola dei due anni per le persone. Punto 5.2.10: il personale che ha fornito consulenza sui sistemi di gestione a un cliente, anche in veste manageriale, non deve partecipare all'audit o ad altre attività di certificazione per quel cliente; la mitigazione riconosciuta è un minimo di due anni dalla fine della consulenza.
Un organismo di certificazione è pagato dalle organizzazioni che certifica. Questa frase descrive ogni organismo di certificazione accreditato al mondo, ed è il motivo per cui l'imparzialità non è lasciata alle buone intenzioni. La ISO/IEC 17021-1 la trasforma in un insieme di requisiti, e un organismo di accreditamento verifica che siano rispettati. Ecco come appare dall'interno.
Il principio, e il requisito che lo rende reale
Il punto 5.2.1 enuncia il principio: le attività di valutazione della conformità devono essere svolte con imparzialità, e l'organismo di certificazione non deve permettere che pressioni commerciali, finanziarie o di altro tipo compromettano l'imparzialità.
Il punto 5.2.3 è dove tutto diventa lavoro. L'organismo di certificazione deve avere un processo per identificare, analizzare, valutare, trattare, monitorare e documentare i rischi legati ai conflitti di interesse derivanti dalla fornitura della certificazione — su base continuativa. Dove esiste una minaccia, l'organismo deve documentare come la elimina o la minimizza, e documentare ogni rischio residuo. L'alta direzione deve riesaminare tale rischio residuo e decidere se è accettabile.
La Nota 1 a quel punto elenca da dove provengono le minacce: proprietà, governance, gestione, personale, risorse condivise, finanze, contratti, formazione, marketing e pagamento di una commissione di vendita o di altro incentivo per il riferimento di nuovi clienti. È un elenco più lungo di quanto molti si aspettino, ed è l'elenco rispetto al quale un organismo di certificazione viene valutato.
Che cosa è vietato del tutto
Alcune relazioni non sono rischi da gestire. Sono precluse.
Consulenza. Punto 5.2.5: l'organismo di certificazione, qualsiasi parte della stessa entità giuridica e qualsiasi entità sotto il suo controllo organizzativo non devono offrire né fornire consulenza sui sistemi di gestione. La nota chiarisce che spiegare un rilievo o chiarire un requisito non è consulenza. Progettare il sistema del cliente lo è.
Audit interni per i clienti certificati. Il punto 5.2.6 la definisce una minaccia significativa e la vieta, con una separazione di due anni prima di certificare un sistema su cui sono stati forniti audit interni.
Certificare il sistema di gestione per la qualità di un altro organismo di certificazione. Punto 5.2.4, in una riga.
Affidare audit in outsourcing a un'organizzazione di consulenza. Il punto 5.2.8 lo definisce una minaccia inaccettabile. I singoli auditor a contratto, secondo i requisiti di competenza del punto 7.3, sono altra cosa.
Marketing che colleghi la certificazione a una consulenza. Punto 5.2.9: le attività dell'organismo non devono essere commercializzate come collegate a quelle di una consulenza, e l'organismo deve correggere qualsiasi affermazione di una consulenza secondo cui la certificazione sarebbe più semplice, facile, rapida o economica usando quell'organismo — e non deve fare l'affermazione speculare.
Che cosa viene gestito anziché vietato
La regola dei due anni per le persone. Punto 5.2.10: il personale che ha fornito consulenza sui sistemi di gestione a un cliente, anche in veste manageriale, non deve partecipare all'audit o ad altre attività di certificazione per quel cliente; la mitigazione riconosciuta è un minimo di due anni dalla fine della consulenza. La stessa separazione di due anni si applica ai sensi del 5.2.7 quando il consulente del cliente ha una relazione con l'organismo di certificazione.
Conflitti dichiarati. Punto 5.2.13: ogni persona, interna o esterna, deve rivelare qualsiasi situazione a lei nota che possa presentare un conflitto di interesse; l'organismo deve registrare e usare tale informazione, e non deve impiegare la persona a meno che possa dimostrare che non esiste conflitto. In CAS ogni auditor e ogni membro della funzione decisionale firma una dichiarazione per ciascun incarico, e una relazione pregressa con il cliente — impiego, consulenza, legame familiare — li esclude da esso.
Pressioni dall'esterno. Punto 5.2.11: l'organismo deve agire sulle minacce all'imparzialità derivanti dalle azioni di altre persone, organismi o organizzazioni. Copre il cliente che chiede un auditor particolare e il rivenditore che lascia intendere un risultato.
Dove entra lo sguardo esterno
Il punto 5.2.3 richiede che il processo di rischio includa l'identificazione delle parti interessate e la consultazione con esse sulle questioni che riguardano l'imparzialità — in modo bilanciato, senza che un singolo interesse prevalga. La Nota 3 dice che un modo per farlo è un comitato di tali parti.
Quel comitato non può vedere le dichiarazioni degli auditor una per una; vede il processo, il registro delle minacce, i rischi residui e le decisioni prese. Il suo compito è dire, dall'esterno, se le salvaguardie sono adeguate — e i suoi verbali sono tra le registrazioni che l'organismo di accreditamento legge.
Come tutto questo arriva a un certificato
Tre meccanismi, e un certificato dipende da tutti e tre.
L'auditor che visita ha dichiarato l'assenza di conflitti per quell'incarico, e non è la persona che prende la decisione. La decisione è presa da una persona o da un gruppo che non ha condotto l'audit — la ISO/IEC 17021-1 separa le due funzioni deliberatamente. L'intero assetto è riesaminato da un comitato per l'imparzialità e valutato da EGAC quando valuta CAS.
Nulla di tutto ciò è visibile sul certificato. È visibile nell'accreditamento, ed è per questo che vale la pena verificare un certificato accreditato, mentre uno non accreditato è più difficile da collocare.
Che cosa significa per voi
Se state scegliendo un organismo di certificazione: chiedete come viene gestita l'imparzialità, e chiedete chi prende la decisione. Un organismo che risponde a entrambe le domande d'un fiato ha fatto il lavoro.
Se vi avvalete di un consulente: aspettatevi che l'organismo chieda di quella relazione, e che la regola dei due anni venga applicata se il consulente è collegato all'organismo. È il requisito che funziona, non un ostacolo.
Se siete certificati: il vostro auditor non può consigliarvi come chiudere un rilievo. Non è scortesia. È il punto 5.2.5.
CAS — Organismo di certificazione dei sistemi di gestione accreditato EGAC n. 012418. Campo di accreditamento: ISO 9001, ISO 14001, ISO 45001, ISO 22000, ISO 50001 e ISO 22301. I certificati accreditati per ISO 9001, 14001, 45001, 22000 e 50001 rientrano nell'ambito IAF MLA di EGAC; ISO 22301 è accreditata da EGAC e resta fuori da tale ambito.
Verifica qualsiasi certificato: cas.com.eg/certsearch
Da leggere dopo