Audit de supraveghere: ce verifică și cum vă pregătiți

Un audit de supraveghere nu este o repetare formală a auditului inițial și nici o simplă verificare a documentelor. Este evaluarea periodică prin care organismul de certificare verifică dacă sistemul de management certificat continuă să fie aplicat, menținut și îmbunătățit în activitatea reală a organizației. Pentru administrator sau manager, miza este menținerea unei certificări credibile, dar și obținerea unei imagini independente asupra modului în care procesele funcționează atunci când apar schimbări, presiuni comerciale sau riscuri operaționale.

În organizațiile din construcții, industrie, transport, energie, IT, sănătate ori servicii, diferența dintre o procedură bine redactată și o procedură utilizată consecvent devine rapid vizibilă. Auditul urmărește tocmai această diferență.

Ce este auditul de supraveghere și unde se încadrează

După certificarea inițială, certificatul are de regulă un ciclu de trei ani. Pe parcursul acestui ciclu se efectuează audituri de supraveghere, iar înainte de expirarea certificatului are loc recertificarea. Programul concret se stabilește ținând cont de standardul aplicabil, domeniul certificat, numărul de angajați, locații, complexitatea activităților și nivelul de risc.

Primul audit de supraveghere trebuie planificat în termenul aplicabil după decizia de certificare, iar auditurile ulterioare sunt organizate astfel încât certificarea să fie menținută în condițiile schemei de certificare. Pentru o organizație cu mai multe sedii, activități sezoniere sau proiecte temporare, planificarea trebuie să permită evaluarea activităților relevante în momente și locații reprezentative.

Este utilă distincția dintre trei noțiuni care sunt uneori confundate. Certificarea este confirmarea, emisă de un organism de certificare, că sistemul de management al unei organizații îndeplinește cerințele unui standard. Acreditarea este recunoașterea competenței organismului de certificare pentru anumite activități și standarde. Consultanța înseamnă sprijin pentru proiectarea sau implementarea sistemului. Pentru a-și păstra independența și imparțialitatea, un organism de certificare nu trebuie să ofere consultanță de implementare sau audit intern propriilor clienți de certificare.

În România, valoarea unei certificări acreditate se raportează și la domeniul de acreditare verificabil al organismului care o emite. UNICERT desfășoară certificări acreditate RENAR pentru ISO 9001, ISO 14001, ISO 45001 și ISO 37001, în limitele domeniilor sale de acreditare.

Ce verifică auditorii în cadrul unui audit de supraveghere

Auditul are caracter de eșantionare. Auditorii nu pot revedea fiecare document, fiecare lucrare sau fiecare înregistrare produsă într-un an. Ei selectează procese, locații, proiecte, persoane și dovezi relevante pentru a putea formula o concluzie obiectivă privind funcționarea sistemului.

Accentul cade frecvent pe elementele care arată că sistemul este viu: obiective și indicatori, evaluarea riscurilor și oportunităților, controlul documentelor, competența personalului, tratarea neconformităților, auditul intern, analiza de management și acțiunile de îmbunătățire. Se analizează și modificările intervenite de la ultimul audit, de exemplu noi locații, schimbări de structură, procese externalizate, utilaje, tehnologii, cerințe legale sau cerințe ale clienților.

Pentru ISO 9001, auditorul poate urmări traseul unei comenzi, de la cerința clientului până la livrare, recepție sau tratarea reclamațiilor. Într-o firmă de construcții, acest traseu poate include analiza contractului, aprovizionarea, controlul lucrărilor, gestionarea subcontractorilor și documentele de predare. În producție, accentul poate cădea pe controlul procesului, trasabilitate, mentenanță, neconformități de produs și monitorizarea performanței.

În cazul ISO 14001 și ISO 45001, auditul poate viza modul în care sunt identificate aspectele de mediu, pericolele și riscurile pentru sănătate și securitate ocupațională. Dovezile pot include instruiri, controale operaționale, evaluări ale conformării, pregătire pentru situații de urgență, investigarea incidentelor și urmărirea măsurilor stabilite. Nu este suficient ca evaluările să existe în dosare: organizația trebuie să poată demonstra aplicarea lor în teren.

Pentru ISO 37001, evaluarea poate acoperi analiza riscurilor de mită, măsurile de due diligence, controalele financiare și nefinanciare, comunicarea internă, canalul de raportare și tratamentul sesizărilor. În toate standardele, auditorii urmăresc atât conformitatea cu cerințele aplicabile, cât și capacitatea organizației de a identifica și controla riscurile proprii.

Cum diferă supravegherea de recertificare

Auditul de supraveghere are o durată și o acoperire stabilite în raport cu programul de audit și cu riscurile organizației. El verifică menținerea și eficacitatea sistemului pe durata ciclului de certificare, fără să reia în mod necesar întreaga evaluare inițială la aceeași amploare.

Recertificarea, realizată înainte de expirarea certificatului, are o analiză mai amplă a performanței sistemului pe parcursul ciclului. Ea include, între altele, revizuirea modului în care organizația și-a atins obiectivele, a gestionat schimbările, a tratat neconformitățile și a menținut conformitatea. Pregătirea pentru supraveghere nu trebuie însă amânată până aproape de recertificare. Un sistem urmărit constant reduce efortul concentrat din finalul ciclului și oferă conducerii informații mai utile pentru decizii.

Pregătirea eficientă, fără pregătiri de fațadă

Cea mai bună pregătire nu începe cu câteva zile înainte de audit. Ea rezultă dintr-un ritm normal de administrare a sistemului de management. Managerii responsabili pot verifica din timp dacă auditurile interne au fost efectuate conform programului, dacă analiza de management este actualizată și dacă acțiunile corective au termene, responsabili și dovezi de eficacitate.

Este recomandată o trecere în revistă a schimbărilor de la ultimul audit. Au apărut puncte de lucru noi? S-au modificat domeniul de activitate, organigrama, procesele, furnizorii critici sau cerințele clienților? Au existat accidente, incidente de mediu, reclamații semnificative, abateri de calitate sau sesizări de integritate? Schimbările nu reprezintă automat o problemă, însă ele trebuie evaluate și integrate în sistem.

Persoanele intervievate nu au nevoie de răspunsuri învățate. Este mai util să înțeleagă ce responsabilități au, ce documente sau instrucțiuni folosesc, ce fac când apare o neconformitate și cui raportează un risc. Auditorul urmărește dovezi obiective, iar răspunsurile naturale, susținute de înregistrări și practică, sunt mai relevante decât prezentările pregătite pentru audit.

Organizațiile multisite trebuie să acorde atenție coerenței dintre sediul central și locațiile operaționale. Politicile comune sunt necesare, dar nu suficiente. Este esențial ca fiecare locație inclusă în domeniul certificării să aplice controalele relevante și să transmită informații corecte către funcțiile centrale.

Neconformitățile: cum trebuie tratate

Dacă auditorul identifică o neconformitate, organizația trebuie să înțeleagă mai întâi cerința neîndeplinită și situația constatată. Urmează corecția imediată, atunci când este posibilă, analiza cauzei și definirea acțiunii corective. O măsură care tratează doar efectul, fără cauza care a permis apariția problemei, poate să nu fie eficace.

De exemplu, completarea ulterioară a unei fișe de instruire poate corecta lipsa unei înregistrări, dar nu explică de ce procesul de instruire nu a fost controlat la timp. Cauza poate ține de responsabilități neclare, de lipsa unui mecanism de urmărire sau de instruirea insuficientă a coordonatorilor. Acțiunea corectivă trebuie proporționată cu impactul și repetabilitatea situației.

O neconformitate majoră poate afecta menținerea certificării dacă nu este tratată în termenul stabilit și cu dovezi suficiente. O neconformitate minoră necesită, de asemenea, răspuns documentat. Clasificarea și termenele sunt comunicate în cadrul procesului de audit, iar deciziile de certificare sunt luate independent de echipa de audit.

De ce contează continuitatea sistemului

Un audit de supraveghere bine gestionat poate confirma încrederea clienților, partenerilor și autorităților contractante atunci când certificarea este solicitată în relații comerciale sau proceduri de achiziție. Totuși, certificatul nu înlocuiește obligațiile legale, contractuale sau responsabilitatea conducerii pentru rezultatele activității.

Valoarea reală apare atunci când concluziile auditului sunt transformate în decizii: alocarea resurselor unde riscurile sunt mai mari, clarificarea responsabilităților, controlul mai bun al furnizorilor sau urmărirea mai atentă a indicatorilor. Privit astfel, auditul nu este o întrerupere a activității, ci un moment disciplinat în care organizația își verifică propriile promisiuni înainte ca acestea să fie testate de piață.