La versione della Norma ISO 9001 di prossima pubblicazione (2015) presenta degli aspetti innovativi decisamente rilevanti che avranno importanti ripercussioni su tutte le attività connesse al mondo della “Qualità”: organizzazioni che la dovranno implementare, consulenti che dovranno indirizzare e assistere tali organizzazioni, Organismi di Certificazione (e quindi anche di accreditamento) che ne dovranno garantire la corretta applicazione, istituti di formazione, e, naturalmente, gli auditor.

Questi ultimi sono chiamati ad esercitare quella funzione di “ascolto”, che si declina diversamente a seconda che si tratti di audit interni, di seconda parte o di terza parte:

• i primi sono infatti maggiormente indirizzati a supportare la Direzione fornendo utili elementi di valutazione sul grado di raggiungimento degli obiettivi per la qualità e formulando quindi raccomandazioni per il miglioramento;
• i secondi svolgono un’azione più marcatamente di controllo, dovendo essenzialmente rispondere allo scopo di verificare il rispetto di requisiti contrattuali;
• i terzi hanno invece un carattere “misto”, in cui il mandato di “controllo” (verificare il rispetto di requisiti normativi) è spesso accompagnato dall'impegno ad aiutare l’organizzazione (in questo contesto anche “cliente” dell’Organismo di Certificazione) a individuare opportunità di miglioramento.

Tuttavia, è prendendo spunto da un monito presente in un’altra norma, la ISO 19011:2012, che si vuole affrontare il tema del compito dell’auditor chiamato a operare a fronte della nuova ISO 9001. Di che “monito” stiamo parlando?

La ISO 19011 ci ricorda quali e quanti sono i “rischi” di non raggiungere gli obiettivi dell’audit; sono annoverati, tra gli altri:

• competenze insufficienti; facendo appello alle quattro componenti della competenza (istruzione, addestramento, esperienza e abilità, ma tralasciando in questo caso l’istruzione, che diamo per scontata), questo rischio si concretizza quando l’auditor:
  • ha un’insufficiente conoscenza dei “criteri” (i requisiti normativi), o è scarsamente addestrato quindi inesperto nello svolgimento di audit), oppure non ha adeguate conoscenze gestionali, organizzative, tecniche e pratiche del settore (derivanti essenzialmente da scarsa esperienza di lavoro nello specifico settore dell’organizzazione in cui è chiamato ad effettuare l’audit), oppure è inadatto per motivi caratteriali (le famose caratteristiche personali);
  • tempo insufficiente per la conduzione dell’audit;
  • campionamento inadeguato;

D’altro canto, una delle più interessanti novità della nuova ISO 9001 è proprio il “risk-based thinking”, l’approccio mentale, il ragionare basato sui rischi. Il “rischio”, definito in entrambe le norme come “effetto dell’incertezza sugli obiettivi o sui risultati attesi” è quindi un elemento comune nelle due norme che costituiscono i riferimenti per l’auditor di SGQ.

Naturalmente gli obiettivi sono completamente diversi: quelli dell’organizzazione riguardano la soddisfazione delle parti interessate (e in primis del cliente per la ISO 9001), mentre quelli dell’auditor riguardano l’efficacia del processo stesso di audit.

Ciò che si vuole evidenziare è l’interessante relazione esistente tra le due tipologie di rischio. In altre parole si vuole dimostrare che l’audit sarà tanto più efficace quanto più l’organizzazione sarà stata efficace nel processo di identificazione e gestione dei propri rischi. Infatti, ed è ancora la ISO 19011 che ci illumina in tal senso, la programmazione e la pianificazione degli audit dovrebbe essere orientata e “focalizzata” sui processi “critici” dell’organizzazione, su quelli cioè che presentano e comportano i maggiori rischi di non raggiungere i risultati attesi. Ma i risultati attesi di un’organizzazione, che ha scelto il modello gestionale offerto dalla ISO 9001, comprendono (per non dire “sono”) gli obiettivi per la qualità, per ottenere i quali l’organizzazione dovrà aver individuato i processi più “influenti”, quelli in cui si nascondono i pericoli, dovrà aver identificato e analizzato tali pericoli, e dovrà aver predisposto le misure necessarie a eliminarli o ridurne al minimo la possibilità di accadimento e quindi l’impatto.

Ecco allora che l’auditor, consapevole in quanto edotto sui rischi dell’organizzazione, sarà in grado da un lato di predisporre un’adeguata “preparazione” dell’audit, che dovrà garantire la necessaria conoscenza dei processi “critici” e un’idonea pianificazione temporale degli interventi di raccolta delle evidenze, tenendo anche conto del campionamento più adatto allo scopo, e dall'altro potrà concentrare su tali processi tutto il suo impegno durante l’audit in campo.