Cum decurge auditul de certificare ISO, pas cu pas

În prima zi de audit, întrebarea nu este dacă organizația are un dosar gros cu proceduri, ci dacă sistemul de management funcționează în activitatea reală. Cum decurge auditul de certificare ISO depinde de standardul ales, de dimensiunea organizației, de numărul de locații și de riscurile proceselor, însă etapele principale sunt clare și urmăresc aceeași logică: evaluarea independentă a conformității sistemului de management.

Pentru un administrator sau manager, auditul este mai ușor de gestionat atunci când este privit ca o verificare structurată a modului în care organizația își conduce procesele, controlează riscurile și respectă propriile reguli. Nu este consultanță, nu este audit intern și nu presupune că auditorul construiește sistemul în locul echipei organizației.

Cum decurge auditul de certificare ISO înainte de vizita auditorilor

Procesul începe cu analiza solicitării de certificare. Organismul de certificare are nevoie de informații care permit stabilirea corectă a domeniului și duratei auditului: activitățile desfășurate, numărul de angajați, locațiile, procesele externalizate, cerințele legale relevante, nivelul de risc și standardul sau standardele solicitate.

Aceste date nu au doar rol administrativ. O companie de construcții cu șantiere temporare, o fabrică cu procese tehnologice și impact de mediu sau o firmă IT care gestionează informații sensibile au riscuri și condiții de audit diferite. Pentru organizațiile cu mai multe sedii, planul poate include eșantionarea locațiilor, în funcție de natura activităților și de regulile aplicabile certificării multisite.

După acceptarea solicitării și ofertare, este desemnată echipa de audit. Competența acesteia trebuie să acopere atât standardul evaluat, cât și sectorul economic relevant. Într-un audit ISO 45001, de exemplu, auditorul va urmări modul în care sunt controlate riscurile de sănătate și securitate în muncă, nu doar existența unei proceduri. În ISO 14001, interesul se îndreaptă către aspectele de mediu, obligațiile de conformare și controlul operațional.

Înainte de audit, organizația primește de regulă programul de audit. Acesta indică procesele și locațiile care vor fi evaluate, intervalele de discuție cu responsabilii și ședințele de deschidere și închidere. Programul oferă predictibilitate, dar nu transformă auditul într-o simplă verificare formală a unor documente pregătite pentru acea zi.

Stage 1: analiza pregătirii sistemului de management

Auditul inițial se desfășoară, de regulă, în două etape. Prima, cunoscută drept Stage 1, urmărește nivelul de pregătire al organizației pentru auditul de certificare propriu-zis. Auditorul analizează documentația relevantă, înțelege contextul organizației, domeniul sistemului de management, procesele principale, riscurile și cerințele aplicabile.

În această etapă sunt examinate, după caz, politica sistemului de management, obiectivele, evaluările de risc, responsabilitățile, rezultatele auditurilor interne, analiza efectuată de management și modul în care organizația urmărește conformarea cu obligațiile relevante. Nu toate standardele cer aceleași informații documentate, iar auditorul nu impune un format unic de documentație. Contează ca informațiile să fie adecvate activității și să poată demonstra aplicarea cerințelor.

Stage 1 permite identificarea din timp a aspectelor care pot afecta desfășurarea Stage 2. De exemplu, organizația poate avea o procedură bine redactată, dar să nu fi efectuat încă audit intern sau analiza de management. În acest caz, nu este suficient ca documentul să existe. Trebuie să existe dovezi că procesul a fost realizat și că rezultatele au fost analizate.

La final, auditorul comunică constatările și nivelul de pregătire. Dacă sunt necesare acțiuni înainte de următoarea etapă, organizația trebuie să le trateze în mod real, nu doar să formuleze răspunsuri generale. Intervalul dintre cele două etape este stabilit astfel încât sistemul să poată fi evaluat în funcționare.

Stage 2: auditul aplicării în practică

Stage 2 este etapa în care auditorul verifică implementarea și eficacitatea sistemului de management. Auditul se desfășoară prin interviuri, observarea activităților, examinarea înregistrărilor și urmărirea unor trasee concrete prin procese. Auditorul poate porni de la o comandă, un proiect, un incident, o reclamație sau o achiziție și poate verifica modul în care aceasta a fost gestionată de la început până la final.

Într-o organizație certificată ISO 9001, evaluarea poate urmări cum sunt stabilite cerințele clientului, cum sunt controlate furnizarea serviciului, neconformitățile și reclamațiile. Pentru ISO 37001, accentul poate cădea pe evaluarea riscurilor de mită, măsurile de control, verificările aplicabile și canalele de raportare. În ISO 14001 sau ISO 45001, vizita la punctele de lucru poate fi esențială pentru a observa controalele operaționale în condiții reale.

Auditorii lucrează pe bază de eșantionare. Aceasta înseamnă că nu verifică fiecare document, fiecare contract sau fiecare lucrare executată într-un an. Ei selectează eșantioane relevante pentru a obține dovezi suficiente și obiective. De aceea, o organizație nu ar trebui să pregătească doar un singur exemplu ideal, ci să se asigure că procesele sunt aplicate consecvent.

Este normal ca auditorul să adreseze întrebări angajaților. Scopul nu este testarea persoanelor, ci înțelegerea modului în care responsabilitățile sunt cunoscute și aplicate. Un răspuns sincer, susținut de activitatea reală, este mai util decât repetarea mecanică a unei proceduri. Dacă există o problemă, este preferabil ca aceasta să fie explicată deschis, împreună cu măsurile deja luate sau planificate.

Neconformități, observații și acțiuni corective

O constatare de audit nu înseamnă automat refuzul certificării. Atunci când auditorul identifică neîndeplinirea unei cerințe aplicabile, aceasta este formulată ca neconformitate și este susținută de dovezi obiective. Organizația trebuie să analizeze cauza, să stabilească acțiunile corective și să transmită dovezi privind tratarea situației, în termenul comunicat.

Gravitatea unei neconformități se stabilește în raport cu efectul ei asupra capacității sistemului de management de a îndeplini cerințele. O neconformitate majoră indică, de regulă, o deficiență semnificativă, absența unui proces cerut sau o situație care poate afecta serios eficacitatea sistemului. O neconformitate minoră este o abatere punctuală, fără a demonstra prin ea însăși eșecul întregului sistem. Clasificarea și modul de închidere sunt comunicate organizației în cadrul procesului de audit.

Pot exista și oportunități de îmbunătățire sau observații. Acestea nu reprezintă neconformități, însă pot semnala zone în care un risc merită urmărit. Auditorul poate explica cerința standardului și constatarea, dar nu poate proiecta soluția de implementare. Această limită protejează independența auditului de certificare.

Ședința de închidere și decizia de certificare

La ședința de închidere, echipa de audit prezintă concluziile, punctele forte observate, constatările și pașii următori. Rezultatul comunicat atunci este concluzia echipei de audit, nu emiterea imediată a certificatului. Raportul de audit este analizat în cadrul procesului de decizie de certificare, realizat independent de activitatea de audit.

Această separare este esențială. Auditorul colectează și evaluează dovezile la fața locului, iar decizia de certificare este luată de o persoană sau o funcție competentă care nu a participat la audit. Certificarea este, astfel, rezultatul unei evaluări independente, nu al unei simple vizite sau al achitării unei taxe.

Pentru standardele ISO 9001, ISO 14001, ISO 45001 și ISO 37001, UNICERT desfășoară certificări acreditate RENAR, în limitele domeniilor sale de acreditare. Acreditarea nu este același lucru cu certificarea: certificarea se acordă organizației evaluate, în timp ce acreditarea confirmă competența organismului de certificare de a realiza aceste evaluări conform cerințelor aplicabile. Pentru clienți, parteneri și proceduri de achiziție în care se solicită certificare, această distincție contribuie la credibilitatea documentului emis.

Ce urmează după obținerea certificatului

Certificatul are un ciclu de valabilitate, iar menținerea lui presupune audituri de supraveghere periodice. Acestea verifică dacă sistemul rămâne implementat, dacă organizația tratează schimbările, neconformitățile, riscurile și obiectivele, precum și dacă îmbunătățirea este urmărită în mod concret.

Înainte de expirarea ciclului, se efectuează recertificarea. Dacă organizația își extinde activitățile, deschide locații noi, schimbă semnificativ procesele sau dorește adăugarea unui domeniu, poate fi necesară extinderea domeniului certificat. La apariția unei ediții noi de standard, se aplică regulile de tranziție comunicate pentru standardul respectiv.

Pregătirea eficientă nu înseamnă să creați documente în ultimele zile înainte de audit. Înseamnă ca managementul și echipele operaționale să poată arăta, prin activitatea lor curentă, că sistemul este utilizat pentru a controla procese, a preveni probleme și a lua decizii mai bine fundamentate. O discuție clară cu un manager de certificare, înainte de solicitarea ofertei, poate ajuta organizația să înțeleagă corect domeniul, etapele și resursele necesare.