Audit di sorveglianza ISO: come funziona, costi e rischi

Chi ha ottenuto una certificazione ISO 9001, 14001 o 45001 non può considerare il percorso concluso con il rilascio del certificato: per mantenerlo valido nel triennio l'azienda deve sostenere, ogni anno, un audit di sorveglianza condotto dall'organismo di certificazione accreditato. Aggiorniamo la nostra guida su come scegliere l'organismo di certificazione con i dettagli su questa fase, spesso sottovalutata da chi si concentra solo sull'audit iniziale.

Cos'è l'audit di sorveglianza e quando si svolge

Il quadro di riferimento è la norma UNI CEI EN ISO/IEC 17021-1, che regola l'attività degli organismi di certificazione accreditati da Accredia. Il primo audit di sorveglianza deve avvenire entro un anno dal termine dell'audit di stage 2, in seguito con frequenza annuale. Il ciclo di certificazione dura tre anni: il primo e il secondo anno sono coperti dagli audit di sorveglianza, mentre al terzo anno si svolge l'audit di rinnovo (ricertificazione), più approfondito. A differenza della verifica iniziale, che copre l'intero sistema di gestione in due fasi documentale e operativa, l'audit di sorveglianza si concentra su un campione di processi: politica e obiettivi, audit interni, riesame della direzione, gestione delle non conformità e uso corretto del marchio di certificazione.

Costo indicativo

Il costo dell'audit di sorveglianza non è fissato da un listino unico: dipende dall'organismo scelto, dalla dimensione dell'azienda e dal numero di giornate/uomo necessarie, determinate in base a criteri IAF legati al numero di dipendenti e alla complessità del sistema. In generale pesa meno dell'audit di certificazione iniziale, perché copre un perimetro più ristretto di processi. Prima di firmare un contratto pluriennale conviene chiedere all'organismo il preventivo completo del triennio, comprensivo di sorveglianza e rinnovo, e non solo della prima verifica.

Non conformità maggiore e minore: la differenza

La distinzione tra le due categorie non è stabilita dalla norma ISO stessa, ma da Accredia e dai singoli schemi di certificazione. In linea generale si considera maggiore una non conformità quando un intero requisito della norma risulta assente, quando una criticità si ripete sistematicamente, oppure quando emerge un rischio immediato per il cliente o per la conformità del prodotto o servizio; la minore riguarda invece scostamenti puntuali che non compromettono la capacità del sistema di raggiungere i propri obiettivi.

Le due tipologie comportano iter diversi:

Non conformità minore: l'azienda presenta un piano di azioni correttive entro i tempi stabiliti dall'organismo; il certificato resta valido nel frattempo.
Non conformità maggiore: se emerge durante un audit di sorveglianza o di rinnovo, l'ente può sospendere o — nei casi più gravi — ritirare il certificato.

Sospensione e revoca: i tempi

Quando l'organismo dispone la sospensione, il regolamento tecnico di certificazione (coerente in questo con gli altri OdC accreditati) fissa un limite temporale preciso: la durata della sospensione, che non può eccedere i sei (6) mesi. Se entro quel termine l'azienda non dimostra di aver risolto le cause della non conformità, decorso tale periodo senza che la sospensione abbia potuto essere annullata, la certificazione viene revocata. Durante la sospensione l'azienda non può utilizzare il certificato né il relativo marchio nelle comunicazioni commerciali.

Cosa fare in pratica

Per non arrivare impreparati, è utile verificare prima dell'audit lo stato degli audit interni, del riesame della direzione e delle azioni correttive aperte: sono i punti più spesso oggetto di rilievo. In caso di non conformità maggiore, il confronto diretto e tempestivo con l'organismo di certificazione resta la strada più efficace per evitare la sospensione.