Approfondimenti · 6 min di lettura

Perché CAS non fornisce consulenza

Ce lo chiedono quasi ogni settimana, di solito con una punta di incredulità. Voi fate audit sui sistemi di gestione. Sapete esattamente…

Pubblicato da CAS — Conformity Assessment Services · 4 settembre 2026

Ce lo chiedono quasi ogni settimana, di solito con una punta di incredulità. Voi fate audit sui sistemi di gestione. Sapete esattamente com'è fatto un sistema conforme. Perché non ci aiutate a costruirlo?

La risposta non è una riluttanza commerciale. È un divieto contenuto nella norma rispetto alla quale siamo accreditati, ed è l'unico motivo per cui il nostro certificato vale qualcosa per chi lo legge.

La regola

Il punto 5.2.5 della ISO/IEC 17021-1 stabilisce che l'organismo di certificazione — e qualsiasi parte della stessa persona giuridica, e qualsiasi soggetto sotto il suo controllo organizzativo — non deve offrire né fornire consulenza sui sistemi di gestione.

La norma definisce che cosa questo significhi al punto 3.3: partecipazione alla definizione, all'attuazione o al mantenimento di un sistema di gestione. I suoi esempi sono espliciti. Predisporre o redigere manuali o procedure. Fornire consigli, istruzioni o soluzioni specifiche per lo sviluppo e l'attuazione di un sistema di gestione.

Il divieto, quindi, non è ristretto. Non si limita a un incarico di consulenza formale con un campo di applicazione sottoscritto. Copre anche il consiglio specifico.

Perché la regola esiste

Considerate che cosa accade se progettiamo il vostro sistema e poi lo sottoponiamo ad audit.

Il gruppo di audit esamina il lavoro svolto dall'organizzazione a cui appartiene. Ogni rilievo è un giudizio sulla decisione di un collega. Ogni conformità è una conferma che avevamo ragione la prima volta. La ISO/IEC 17021-1 lo nomina al punto 4.2.4 b) — la minaccia di autoriesame: minacce che sorgono quando una persona o un organismo riesamina il lavoro svolto da sé stesso.

E il vostro buyer, leggendo il certificato, non ha modo di accorgersene. Il documento è identico nei due casi. Ciò su cui fa affidamento è che qualcuno senza interessi nell'esito abbia guardato e si sia formato un giudizio indipendente.

Se questo viene meno, il certificato smette di veicolare informazione. Diventa una dichiarazione di un'organizzazione sul lavoro che ha svolto essa stessa — che è precisamente ciò che la certificazione di terza parte esiste per sostituire.

Il vincolo è il prodotto. Tutto ciò che un organismo di certificazione non può fare è ciò che dà valore a quello che invece fa.

Fin dove arriva

Vale la pena conoscere quattro estensioni della regola, perché le organizzazioni le incontrano in modo inatteso.

L'intera persona giuridica. Il punto 5.2.5 copre qualsiasi parte della stessa persona giuridica e qualsiasi soggetto sotto il controllo organizzativo dell'organismo di certificazione. Un reparto separato non risolve il problema.

Gli audit interni. Il punto 5.2.6 considera una minaccia significativa il fatto che un organismo di certificazione svolga audit interni per i propri clienti certificati, e vieta di certificare un sistema di cui ha svolto l'audit interno per almeno due anni dalla conclusione di quel lavoro.

Gli organismi collegati. Punto 5.2.7: quando un cliente ha ricevuto consulenza sul sistema di gestione da un organismo che ha una relazione con l'organismo di certificazione, si tratta di una minaccia significativa — mitigata non certificando per almeno due anni dalla conclusione della consulenza.

Le persone. Punto 5.2.10: il personale che ha fornito consulenza a un cliente, anche con funzioni dirigenziali, non deve prendere parte all'audit di quel cliente né ad altre attività di certificazione — con due anni come mitigazione riconosciuta.

È per questo che il nostro riesame della richiesta chiede se avete lavorato con un consulente e quando quell'incarico si è concluso. Non è curiosità, e rispondere con onestà vi tutela: una certificazione concessa in violazione di questi punti è una certificazione a rischio.

E nessuna commissione di segnalazione

C'è una pratica collegata che la norma tratta con pari serietà, ed è abbastanza diffusa sul mercato da meritare di essere detta con chiarezza.

Il punto 5.2.3 elenca le fonti di minaccia all'imparzialità e indica tra queste il pagamento di una commissione di vendita o di altro incentivo per la segnalazione di nuovi clienti.

CAS non paga alcuna commissione di segnalazione a nessuno. Né a consulenti, né ad agenti, né a intermediari.

Il punto 5.2.9 va oltre: le attività di un organismo di certificazione non devono essere promosse od offerte come collegate alle attività di un'organizzazione che fornisce consulenza sui sistemi di gestione. E un organismo di certificazione non deve affermare né lasciare intendere che la certificazione sarebbe più semplice, più facile, più rapida o meno costosa ricorrendo a una determinata organizzazione di consulenza.

Se un consulente vi dice che lavorare con lui rende più agevole la certificazione con un determinato organismo, quell'accordo è proprio ciò che il punto esiste per impedire — e l'organismo di certificazione è tenuto ad agire per correggere tali affermazioni.

Che cosa possiamo fare

Il divieto è più circoscritto di quanto sembri a prima vista, e lo spazio al suo interno è davvero utile.

Spiegare i requisiti. Che cosa richiede un punto, che cosa non richiede, come si valuta la conformità. Tutto ciò che pubblichiamo nei nostri articoli sta qui.

Spiegare il processo. Il riesame della richiesta, le due fasi, come si calcola la durata dell'audit, chi prende la decisione, che cosa accade in sorveglianza.

Rispondere a domande tecniche in termini generali. Che cosa intende la norma con un termine, come si dà tipicamente evidenza di un requisito, che cosa guardano abitualmente i gruppi di audit.

Erogare formazione generica. Il punto 3.3, Nota 1, è esplicito nel dire che organizzare formazione e parteciparvi come docente non è consulenza, purché il corso si limiti a informazioni generiche — il docente non deve fornire soluzioni specifiche per il cliente.

Dirvi con chiarezza quando qualcosa è al di fuori di ciò a cui possiamo rispondere. Cosa che facciamo, e che di solito è più utile di una risposta evasiva.

Dove passa davvero la linea

La linea non passa tra "utile" e "inutile". Passa tra generico e specifico per il cliente.

"Il punto 6.1 richiede che i rischi e le opportunità siano determinati considerando i fattori di cui al 4.1" è generico. Vale per ogni organizzazione che applica la norma.

"Ecco come dovrebbe funzionare il vostro processo sui rischi, dati i vostri tre siti e la vostra manodopera stagionale" è specifico per il cliente. È partecipazione alla definizione del sistema, ed è ciò che non possiamo fare.

La stessa distinzione vale per la formazione. Un corso su che cosa richiede la ISO 9001 è generico. Un workshop che produce le vostre procedure non è un corso.

Scegliere un consulente, se ne volete uno

Molte organizzazioni ne utilizzano uno, e non c'è nulla di sbagliato in questo. La norma lo prevede e richiede semplicemente la separazione.

Ciò che non possiamo fare è raccomandarne uno. Non perché ci manchino opinioni, ma perché il punto 5.2.9 vieta esattamente quel collegamento, e qualsiasi raccomandazione da parte nostra comprometterebbe l'indipendenza che state pagando.

Ciò che possiamo dirvi è la domanda strutturale che vale la pena porsi: chiunque incarichiate, il suo lavoro e la nostra valutazione devono restare separati, e quella separazione ha una memoria di due anni nei punti sopra riportati.