Menținere certificare ISO prin audit de supraveghere

Un certificat ISO nu rămâne valabil doar pentru că organizația a trecut cu succes auditul inițial. Menținerea certificării ISO presupune demonstrarea periodică a faptului că sistemul de management funcționează, este aplicat în activitatea curentă și rămâne adecvat riscurilor, obiectivelor și schimbărilor din organizație. Pentru manageri, aceasta nu ar trebui tratată ca o obligație administrativă anuală, ci ca un test practic al modului în care sunt controlate procesele.

În multe sectoare, certificarea este solicitată de clienți, parteneri sau în documentațiile aferente procedurilor de achiziție. Valoarea ei depinde însă de continuitate. Un certificat menținut prin audituri independente transmite că organizația nu a abandonat sistemul după obținerea certificării, ci îl folosește pentru a controla calitatea, impactul asupra mediului, sănătatea și securitatea în muncă sau riscurile de mită, după standardul aplicabil.

Ce înseamnă menținerea certificării ISO

Certificarea unui sistem de management se desfășoară, de regulă, într-un ciclu de trei ani. După auditul inițial și decizia independentă de certificare, organizația parcurge audituri de supraveghere la intervalele stabilite în programul de audit. Înainte de expirarea ciclului, este necesar auditul de recertificare pentru emiterea unui nou certificat.

Auditul de supraveghere nu repetă mecanic toate activitățile din auditul inițial. El urmărește zone relevante ale sistemului, rezultatele auditurilor interne și ale analizei efectuate de management, modul de tratare a neconformităților, reclamațiile, performanța proceselor și schimbările care pot afecta domeniul certificării. Eșantionarea este adaptată dimensiunii organizației, numărului de locații, complexității proceselor și riscurilor asociate.

Menținerea nu înseamnă absența oricărei probleme. O organizație matură poate identifica neconformități interne, incidente, reclamații sau obiective neatinse. Auditorul urmărește dacă acestea sunt înregistrate, analizate și tratate eficace, nu dacă documentele creează doar aparența unui sistem perfect.

Auditul de supraveghere verifică aplicarea, nu doar documentele

O procedură bine redactată nu este suficientă dacă activitatea reală se desfășoară altfel. În timpul auditului de supraveghere, dovezile pot proveni din înregistrări, discuții cu personalul, observarea activităților, analiza indicatorilor și verificarea modului în care sunt controlate procesele externalizate sau furnizorii, atunci când acestea sunt relevante.

Pentru ISO 9001, atenția poate merge către controlul cerințelor clienților, tratarea reclamațiilor, monitorizarea performanței și gestionarea produselor sau serviciilor neconforme. În cazul ISO 14001, sunt relevante obligațiile de conformare, aspectele de mediu semnificative, controalele operaționale și răspunsul la situații de urgență. Pentru ISO 45001, auditorul va urmări, între altele, participarea lucrătorilor, evaluarea riscurilor, investigarea incidentelor și controlul activităților cu risc.

Într-un sistem ISO 37001, demonstrarea angajamentului conducerii, evaluarea riscurilor de mită, verificările necesare și canalele de raportare pot fi elemente centrale. Prioritățile exacte depind de domeniul certificat, de activitățile organizației și de rezultatele auditurilor anterioare.

Un exemplu frecvent apare în companiile de construcții și instalații. Dacă organizația a deschis șantiere noi, lucrează cu subcontractanți diferiți sau a preluat contracte cu cerințe HSE mai restrictive, sistemul trebuie să reflecte aceste schimbări. Nu este suficient ca evaluările de risc sau planurile de mediu să existe doar la sediul central, dacă aplicarea lor pe șantier nu poate fi demonstrată.

Schimbările trebuie comunicate și controlate

Schimbările majore pot afecta certificarea: deschiderea ori închiderea unei locații, modificarea domeniului de activitate, achiziția unei societăți, introducerea unor tehnologii noi sau creșterea semnificativă a numărului de angajați. Acestea trebuie evaluate intern și comunicate organismului de certificare atunci când pot influența domeniul certificat sau programul de audit.

Aceeași regulă se aplică atunci când organizația dorește extinderea domeniului certificat. Extinderea nu se obține prin simpla actualizare a certificatului. Ea presupune evaluarea activităților suplimentare și, după caz, alocarea timpului de audit necesar pentru verificarea lor.

Cum se pregătește eficient organizația pentru supraveghere

Pregătirea utilă începe cu câteva luni înainte, nu în săptămâna auditului. Responsabilul de sistem, directorul general și managerii de proces au roluri diferite, dar trebuie să poată arăta aceeași realitate operațională: obiective stabilite, responsabilități clare, rezultate monitorizate și decizii luate pe baza informațiilor disponibile.

Un punct de plecare este verificarea programului de audit intern. Auditurile interne trebuie să acopere procesele relevante și să fie desfășurate de persoane competente, cu imparțialitate față de activitatea auditată. Scopul lor nu este să anticipeze întrebările auditorului extern, ci să ofere managementului o imagine corectă asupra funcționării sistemului.

Analiza de management are aceeași funcție practică. Aceasta ar trebui să arate că conducerea a examinat performanța sistemului, resursele, reclamațiile, neconformitățile, riscurile, oportunitățile și necesitatea modificărilor. O analiză realizată formal, fără hotărâri, responsabili și termene, ridică întrebări firești despre implicarea conducerii.

Înainte de audit, este eficient să fie revizuite câteva categorii de dovezi:

• rezultatele auditurilor interne și stadiul acțiunilor stabilite;
• neconformitățile, incidentele, reclamațiile și analiza cauzelor;
• indicatorii de proces, obiectivele și măsurile luate când rezultatele nu au fost atinse;
• modificările de personal, locații, procese, echipamente, furnizori sau cerințe legale;
• documentele și înregistrările specifice standardului aplicabil.

Această verificare nu trebuie să ducă la „cosmetizarea” evidențelor. Înregistrările incomplete sau corectate artificial sunt mai riscante decât o problemă identificată transparent și tratată cu o acțiune corectivă fundamentată.

Neconformitățile: ce contează după constatare

Dacă auditul identifică o neconformitate, organizația trebuie să stabilească acțiuni pentru corecție și să analizeze cauza. Corecția rezolvă efectul imediat – de exemplu, completarea unei înregistrări lipsă. Acțiunea corectivă urmărește motivul pentru care situația a apărut, astfel încât aceasta să nu se repete.

Calitatea răspunsului este mai importantă decât formularea lui. O explicație de tipul „personalul va fi reinstruit” poate fi insuficientă dacă nu clarifică de ce procesul a permis apariția problemei. Poate fi necesară actualizarea responsabilităților, ajustarea unei verificări, îmbunătățirea modului de comunicare sau verificarea eficacității măsurilor după aplicare.

Neconformitățile majore necesită atenție suplimentară, deoarece pot indica o deficiență semnificativă a sistemului sau lipsa controlului asupra unei cerințe relevante. Tratarea lor în termenele convenite este esențială pentru menținerea statutului certificării. În funcție de natura constatării, organismul de certificare poate avea nevoie de dovezi documentate suplimentare sau de verificare la fața locului.

Certificare, acreditare și consultanță: roluri diferite

Organizația certificată implementează și menține propriul sistem de management. Organismul de certificare îl evaluează independent și ia decizia de certificare printr-un proces separat de activitatea de audit. Acreditarea reprezintă recunoașterea competenței organismului de certificare pentru anumite standarde și domenii, în limitele acreditării acordate.

Pentru organizațiile din România, acreditarea RENAR este un reper relevant atunci când solicită certificare acreditată. UNICERT este acreditat RENAR pentru certificarea sistemelor de management conform ISO 9001, ISO 14001, ISO 45001 și ISO 37001. Independența și imparțialitatea presupun și delimitarea clară față de consultanța de implementare sau de auditul intern pentru clienții de certificare.

Această separare protejează credibilitatea evaluării. Auditorul trebuie să poată analiza dovezile obiectiv, fără să fi proiectat anterior soluțiile pe care le verifică.

Recertificarea nu trebuie lăsată pentru finalul ciclului

Recertificarea este mai amplă decât o supraveghere obișnuită și trebuie planificată înainte de expirarea certificatului. Dacă auditul este programat prea târziu, organizația poate întâmpina dificultăți în păstrarea continuității certificării, mai ales dacă sunt necesare clarificări sau acțiuni suplimentare.

Planificarea corectă include confirmarea domeniului, a locațiilor, a numărului de angajați și a schimbărilor apărute în ciclul de certificare. Pentru organizațiile multisite, datele corecte sunt necesare și pentru stabilirea unui program de audit reprezentativ.

Un sistem ISO menținut bine nu se vede prin dosare voluminoase, ci prin decizii mai clare și procese controlate. Tratați auditul de supraveghere ca pe o ocazie de verificare independentă a ceea ce funcționează și a ceea ce trebuie corectat înainte ca problema să devină operațională, contractuală sau reputațională.