Sorveglianza e ricertificazione ISO: come funziona il ciclo di tre anni

Il certificato non si conquista una volta sola. Ogni anno serve dimostrare che il sistema è ancora vivo, e basta un audit saltato per finire in sospensione. Molte PMI vivono il primo certificato ISO come un traguardo: il lavoro è finito, la cornice è appesa in reception. In realtà quel giorno parte il ciclo di certificazione triennale, con audit di sorveglianza ogni anno e un audit di ricertificazione prima della scadenza.

In questa guida vediamo come funziona il ciclo di tre anni, cosa controlla l'auditor in sorveglianza, in cosa la ricertificazione è diversa e cosa succede se un audit salta o il certificato scade. Le regole non le inventa l'organismo di certificazione: sono scritte nella ISO/IEC 17021-1, la norma che fissa i requisiti per chi certifica i sistemi di gestione, e valgono allo stesso modo per qualità, ambiente, sicurezza delle informazioni o salute e sicurezza. Se ti servono le basi su norme, certificato e scopo, parti dalla nostra guida su cosa sono le certificazioni ISO. Qui ci concentriamo su quello che viene dopo il primo certificato.

Come funziona il ciclo di certificazione di tre anni?

Il ciclo di certificazione dura tre anni e inizia con la decisione di certificazione, non con l'audit. Nel primo e nel secondo anno sono previsti audit di sorveglianza; nel terzo, prima della scadenza, l'audit di ricertificazione.

La ISO/IEC 17021-1 lo dice in modo esplicito: il programma di audit per la certificazione iniziale comprende l'audit iniziale in due fasi, le sorveglianze nel primo e nel secondo anno dopo la decisione e la ricertificazione nel terzo anno. I cicli successivi partono dalla decisione di ricertificazione. Le fasi dell'audit iniziale, Stage 1 e Stage 2, le trovi spiegate nella guida su come funziona l'audit di certificazione in due fasi.

Quando inizia e quando finisce il ciclo

La data che conta è quella della decisione di certificazione, che l'organismo prende dopo l'audit con persone diverse da chi ha svolto la verifica. Da lì parte il conteggio dei tre anni e da lì si calcola la prima scadenza importante: la prima sorveglianza non può cadere oltre 12 mesi da quella data.

Per le sorveglianze successive la norma usa un criterio diverso: almeno una volta per anno solare, esclusi gli anni di ricertificazione. Questo lascia un po' di flessibilità nel fissare la data, ma non elimina l'obbligo. Una nota della norma ammette di adattare la frequenza a fattori come la stagionalità, per esempio quando l'attività da osservare si svolge solo in certi mesi. Il punto pratico è semplice: segna subito in calendario la data della decisione e ragiona a ritroso, non aspettare che sia l'organismo a ricordartelo.

Alcuni schemi di certificazione di settore possono prevedere un ciclo di durata diversa. Per le norme ISO sui sistemi di gestione più diffuse, però, il riferimento resta il ciclo triennale.

Chi decide il programma di audit e su cosa si basa

L'organismo di certificazione definisce un programma di audit per l'intero ciclo, che deve coprire tutti i requisiti del sistema di gestione nei tre anni. Non tutto viene guardato ogni anno, ma alla fine del ciclo nulla deve essere rimasto fuori.

La norma chiede che il programma tenga conto delle dimensioni dell'azienda, dello scopo e della complessità del sistema, dei processi e dei prodotti, del livello di efficacia dimostrato e dei risultati degli audit precedenti. Tra gli elementi che possono far cambiare il programma cita anche i reclami ricevuti dall'organismo sul cliente, le modifiche ai requisiti di legge e gli indicatori di prestazione. Se l'azienda lavora su turni, l'organismo deve considerare anche le attività svolte nei turni. In pratica, il programma non è un modulo fisso: si adatta a come il tuo sistema si comporta audit dopo audit.

Cos'è un audit di sorveglianza e cosa controlla l'auditor?

L'audit di sorveglianza è una verifica in sede che serve a confermare che il sistema certificato continua a soddisfare i requisiti tra un rinnovo e l'altro. Non è un audit completo del sistema, ma ha alcuni punti fissi che l'auditor deve sempre toccare.

Secondo la ISO/IEC 17021-1, ogni sorveglianza deve includere almeno questi elementi:

• audit interni e riesame della direzione;

• il riesame delle azioni intraprese sulle non conformità dell'audit precedente;

• la gestione dei reclami;

• l'efficacia del sistema rispetto agli obiettivi dell'azienda e ai risultati attesi;

• l'avanzamento delle attività pianificate per il miglioramento continuo;

• il controllo operativo nel tempo;

• il riesame di eventuali cambiamenti;

• l'uso dei marchi e di ogni altro riferimento alla certificazione.

Perché la sorveglianza non è un audit completo, ma nemmeno una formalità

La sorveglianza è più snella dell'audit iniziale perché campiona: guarda aree e funzioni rappresentative dello scopo, a rotazione, invece di ripercorrere ogni requisito. La copertura completa dei requisiti è distribuita sull'intero ciclo.

Snella però non vuol dire leggera. I primi due punti dell'elenco, audit interni e riesame della direzione, sono quelli su cui le aziende inciampano più spesso, perché sono le attività che si rimandano per prime quando l'anno è pieno. Se l'auditor trova un audit interno mai svolto o un riesame scritto in fretta la settimana prima, quella è un'evidenza di un sistema che non gira da solo. Per capire come impostarli bene, vedi la guida sull'audit interno ISO.

Le altre attività di sorveglianza

Oltre all'audit in sede, l'organismo può svolgere altre attività di monitoraggio durante l'anno. La norma cita richieste di informazioni al cliente sulla certificazione, l'esame delle sue dichiarazioni sulle proprie attività, come materiale promozionale e sito web, e richieste di documenti.

Il caso del sito è più frequente di quanto si pensi. Un'azienda certificata ISO 9001 per la sola sede produttiva che scrive in homepage "azienda certificata" senza precisare lo scopo, o che applica il marchio di certificazione su un prodotto, sta usando male il riferimento alla certificazione. È uno dei punti fissi della sorveglianza e si corregge in cinque minuti, se lo si guarda prima dell'audit e non durante.

Come prepararsi alla sorveglianza senza rincorrere le evidenze?

Ci si prepara alla sorveglianza nei dodici mesi precedenti, non nelle due settimane prima. L'auditor non cerca documenti perfetti: cerca tracce di un sistema usato davvero, con date distribuite nell'anno.

Prendi un'azienda tipo: 40 dipendenti, produzione meccanica, certificata ISO 9001. Al primo audit è arrivata preparata, con un consulente che ha scritto procedure e registrazioni. Poi l'anno è corso: le valutazioni fornitori non sono state aggiornate, la formazione del nuovo magazziniere non è stata registrata, l'audit interno è slittato a "dopo l'estate". A sei settimane dalla sorveglianza il responsabile qualità scopre che le evidenze mancano o sono sparse tra email, cartelle condivise e quaderni di reparto. Il risultato è una corsa a ricostruire, con il rischio concreto di non conformità su requisiti che l'azienda in realtà rispetta.

Le evidenze che l'auditor chiede quasi sempre

Alcune registrazioni compaiono in quasi ogni sorveglianza, qualunque sia la norma. Tenerle aggiornate durante l'anno è il modo più semplice per arrivare all'audit con evidenze già pronte:

• rapporto dell'audit interno svolto nel periodo, con eventuali non conformità e azioni;

• verbale del riesame della direzione, con decisioni e responsabili;

• stato delle azioni correttive aperte all'audit precedente, con la verifica di efficacia;

• registro dei reclami e di come sono stati gestiti;

• andamento degli obiettivi e degli indicatori, con il confronto rispetto all'anno prima;

• registrazioni operative a campione: formazione, manutenzioni, valutazione fornitori, controlli.

Come lo gestisce Complaion

In Complaion il mantenimento è impostato perché queste evidenze non si accumulino all'ultimo momento. Il Lead Auditor dedicato segue l'azienda per tutto il ciclo, non solo fino al primo certificato: conduce l'audit interno e pianifica con te il riesame, ti dice cosa l'auditor dell'organismo guarderà e ti affianca durante la visita.

Che l'audit interno lo conduca il Lead Auditor Complaion cambia il risultato: lo fa con lo stesso metro dell'organismo, senza verificare un lavoro operativo suo, quindi le lacune emergono mesi prima della sorveglianza, quando c'è ancora tempo per chiuderle. E il riesame della direzione parte da dati veri, non da un verbale scritto la settimana prima.

La piattaforma raccoglie le evidenze man mano che si producono, gestisce documenti e versioni e tiene uno scadenziario delle attività del sistema, dalla formazione alle manutenzioni, fino alla data della prossima sorveglianza. Quando arriva l'audit, il materiale è già ordinato e il Lead Auditor lo usa per preparare la visita con te. Puoi vedere come è organizzata nella pagina della piattaforma Complaion.

Cos'è l'audit di ricertificazione e in cosa differisce dalla sorveglianza?

L'audit di ricertificazione è la verifica che, nel terzo anno, conferma la conformità e l'efficacia complessiva del sistema e la sua pertinenza rispetto allo scopo del certificato. Se ha esito positivo, l'organismo decide il rinnovo e parte un nuovo ciclo di tre anni.

La differenza con la sorveglianza è di prospettiva. La sorveglianza campiona; la ricertificazione deve valutare il rispetto di tutti i requisiti della norma. Inoltre la norma chiede all'organismo di riesaminare i rapporti delle sorveglianze precedenti e di considerare le prestazioni del sistema nell'ultimo ciclo. In altre parole, l'auditor guarda i tre anni, non solo l'ultimo trimestre.

Cosa valuta l'auditor in ricertificazione

Secondo la ISO/IEC 17021-1, l'audit di ricertificazione in sede deve affrontare tre temi. Il primo è l'efficacia dell'intero sistema alla luce dei cambiamenti interni ed esterni, e la sua coerenza con lo scopo certificato. Il secondo è l'impegno dimostrato a mantenere efficace e migliorare il sistema. Il terzo è l'efficacia rispetto agli obiettivi dell'azienda e ai risultati attesi.

Tradotto in pratica: se in tre anni l'azienda ha cambiato organizzazione, aperto una nuova linea o aggiunto un servizio, l'auditor si chiede se il sistema ha seguito questi cambiamenti. Un'analisi del contesto ferma al primo anno, obiettivi copiati da un anno all'altro, indicatori mai discussi nel riesame sono segnali che il sistema esiste sulla carta più che nei fatti. Per questo conviene arrivare al terzo anno con un riesame della direzione che racconti davvero il ciclo appena concluso.

Quando la ricertificazione richiede di nuovo uno Stage 1

Di norma la ricertificazione è un audit in una sola fase. La norma prevede però che possa servire anche uno Stage 1 quando ci sono stati cambiamenti significativi al sistema, all'organizzazione o al contesto in cui opera, per esempio modifiche di legge rilevanti.

Il caso tipico è un'azienda che durante il ciclo si è fusa con un'altra società, ha cambiato sede principale o ha esteso molto le attività. In queste situazioni l'organismo può aver bisogno di rivedere le basi prima di verificare l'applicazione. Comunicare per tempo questi cambiamenti, come vedremo più avanti, evita sorprese nella pianificazione.

Le non conformità maggiori prima della scadenza

Se in ricertificazione emerge una non conformità maggiore, l'organismo fissa dei tempi per correzione e azione correttiva, e queste devono essere attuate e verificate prima della scadenza del certificato. Non basta presentare un piano: serve che l'organismo abbia verificato l'attuazione.

Questo è il motivo pratico per cui la ricertificazione va pianificata in anticipo rispetto alla scadenza, e la norma lo chiede esplicitamente: va programmata per tempo, così da consentire il rinnovo prima della data di scadenza. Un audit fissato a ridosso della scadenza lascia pochissimo margine per chiudere una maggiore. Se vuoi capire bene cosa distingue una non conformità maggiore da una minore, leggi la guida su non conformità maggiori e minori.

Cosa succede se salti un audit o il certificato scade?

Saltare una sorveglianza o non completare la ricertificazione in tempo ha conseguenze precise e previste dalla norma: sospensione, riduzione dello scopo, revoca o scadenza del certificato. Non sono scelte arbitrarie dell'organismo, ma regole che si applicano a tutti.

La sospensione: un certificato temporaneamente non valido

La ISO/IEC 17021-1 elenca i casi in cui l'organismo deve sospendere la certificazione. Tra questi ci sono il sistema che non rispetta in modo persistente o grave i requisiti, anche di efficacia, e il cliente che non consente gli audit di sorveglianza o ricertificazione alle frequenze previste. La sospensione può anche essere chiesta volontariamente dall'azienda.

Durante la sospensione la certificazione è temporaneamente non valida. Per l'azienda significa che, in quel periodo, non può presentarsi come certificata: un problema serio se il certificato serve per una gara, un albo fornitori o un contratto. Se il problema viene risolto, l'organismo ripristina la certificazione. Una nota della norma indica che nella maggior parte dei casi la sospensione non supera i sei mesi.

Revoca e riduzione dello scopo

Se le cause della sospensione non vengono risolte entro il tempo stabilito dall'organismo, la conseguenza è la revoca o la riduzione dello scopo della certificazione. La riduzione si applica quando i requisiti non sono rispettati solo in una parte dello scopo: quella parte viene esclusa dal certificato.

Pensa a un'azienda certificata per progettazione e produzione che, per un anno, lascia andare tutti i controlli sul processo di progettazione. L'organismo può decidere di ridurre lo scopo alla sola produzione. Il certificato resta, ma copre meno di quanto i clienti credono, e chi consulta il certificato se ne accorge.

Certificato scaduto: la finestra dei sei mesi

Se la ricertificazione non è completata prima della scadenza, o l'organismo non riesce a verificare le azioni su una non conformità maggiore, il rinnovo non può essere raccomandato e la validità non viene prorogata. Il certificato scade.

La norma lascia una via d'uscita: entro sei mesi dalla scadenza l'organismo può ripristinare la certificazione, purché le attività di ricertificazione rimaste aperte vengano completate. Oltre quel limite serve almeno un nuovo Stage 2. Attenzione però a un dettaglio: anche quando la certificazione viene ripristinata, la data di validità sul certificato è pari o successiva alla decisione di ricertificazione, mentre la scadenza resta legata al ciclo precedente. Nel periodo tra scadenza e ripristino l'azienda non risulta certificata.

Quali cambiamenti devi comunicare all'organismo durante il ciclo?

Durante il ciclo devi informare l'organismo, senza ritardo, dei cambiamenti che possono incidere sulla capacità del sistema di continuare a rispettare la norma. Questo obbligo è previsto dagli accordi contrattuali che la ISO/IEC 17021-1 chiede all'organismo di stipulare con l'azienda certificata.

Quali cambiamenti rientrano nell'obbligo

La norma porta alcuni esempi: cambiamenti nello stato giuridico, commerciale, organizzativo o nella proprietà; nell'organizzazione e nella direzione, come figure chiave o tecniche; negli indirizzi e nelle sedi; nello scopo delle attività coperte dal sistema; e cambiamenti importanti al sistema e ai processi.

Un esempio concreto: una società di servizi IT certificata ISO 27001 apre una seconda sede e sposta lì il team di sviluppo. Se lo comunica subito, l'organismo può valutare se includere la nuova sede nella prossima sorveglianza. Se lo scopre in audit, l'azienda deve spiegare perché un cambiamento così rilevante non è stato segnalato, e il programma va rivisto in corsa.

Audit speciali, estensioni e audit con breve preavviso

Oltre alle sorveglianze e alla ricertificazione, la norma prevede gli audit speciali. Il primo caso è l'estensione dello scopo: se vuoi aggiungere un'attività o una sede, l'organismo esamina la domanda e decide quali verifiche servono, spesso insieme a una sorveglianza.

Il secondo caso sono gli audit con breve preavviso o senza preavviso, che l'organismo può svolgere per indagare reclami, in risposta a cambiamenti o per seguire un cliente sospeso. Le condizioni in cui possono avvenire devono essere comunicate in anticipo all'azienda, di solito nel contratto. Vale la pena rileggerle: sapere quando può arrivare una verifica non programmata è parte della gestione del ciclo.

Quali sono gli errori più comuni nel mantenimento della certificazione?

Gli errori nel mantenimento sono quasi sempre gli stessi, e quasi sempre organizzativi più che tecnici. Ecco quelli che un auditor vede più spesso nelle PMI.

1. Trattare l'audit interno e il riesame della direzione come adempimenti da sbrigare a ridosso della sorveglianza, invece che come strumenti per gestire l'azienda.

2. Lasciare aperte le azioni correttive dell'audit precedente senza verificarne l'efficacia, con il rischio che la stessa non conformità si ripresenti.

3. Non comunicare all'organismo cambiamenti di sede, proprietà o attività, scoprendoli solo durante l'audit.

4. Fissare la ricertificazione troppo vicino alla scadenza, senza margine per chiudere una eventuale non conformità maggiore.

5. Usare il riferimento alla certificazione in modo improprio su sito, cataloghi o prodotti.

6. Far dipendere il sistema da una sola persona, interna o esterna, che quando lascia porta con sé la conoscenza di dove siano le evidenze.

Il filo comune è la continuità del sistema: un sistema di gestione che vive solo nei giorni di audit produce non conformità ripetute e stress. Uno che viene usato ogni mese arriva alla sorveglianza quasi senza preparazione dedicata. Se gestisci più norme insieme, la stessa logica vale a maggior ragione, perché le scadenze si sommano: le certificazioni e normative che segui possono condividere audit interno, riesame e gestione documentale.

Come ti aiuta Complaion nel ciclo di sorveglianza e ricertificazione?

Mantenere la certificazione vuol dire tenere vivo il sistema per tre anni, non solo superare un audit. Complaion ti affianca con un Lead Auditor dedicato che segue la tua azienda per tutto il ciclo: conduce gli audit interni, pianifica con te il riesame, ti prepara alle sorveglianze e alla ricertificazione e ti accompagna durante le visite dell'organismo.

Accanto al Lead Auditor c'è la piattaforma, che raccoglie le evidenze, gestisce i documenti, tiene lo scadenziario delle attività e prepara l'audit, così il materiale è pronto quando serve. Il percorso viene proposto in base alle esigenze della tua azienda, alle norme che hai e a quelle che ti serviranno. Oltre 1.000 clienti hanno già scelto Complaion per certificarsi e mantenere le certificazioni nel tempo.

Se hai una sorveglianza o una ricertificazione in arrivo, parla con un esperto Complaion per capire come impostare il prossimo ciclo.

Domande frequenti su sorveglianza e ricertificazione ISO

Ogni quanto si fa l'audit di sorveglianza ISO?

Secondo la ISO/IEC 17021-1, gli audit di sorveglianza si svolgono almeno una volta per anno solare, esclusi gli anni in cui si fa la ricertificazione. La prima sorveglianza deve avvenire entro 12 mesi dalla data della decisione di certificazione. Nel ciclo triennale ci sono quindi due sorveglianze, nel primo e nel secondo anno. La frequenza può essere adattata in casi particolari, per esempio per attività stagionali.

Quanto dura un certificato ISO?

Per le norme ISO sui sistemi di gestione più diffuse il ciclo di certificazione dura tre anni. Il primo ciclo parte dalla decisione di certificazione, quelli successivi dalla decisione di ricertificazione. La validità però dipende dal superamento delle sorveglianze annuali: un certificato può essere sospeso o revocato prima della scadenza. Alcuni schemi di settore possono prevedere cicli di durata diversa.

Qual è la differenza tra audit di sorveglianza e audit di ricertificazione?

La sorveglianza verifica a campione che il sistema continui a rispettare i requisiti, con alcuni punti fissi come audit interni, riesame della direzione e azioni sulle non conformità precedenti. La ricertificazione valuta invece tutti i requisiti della norma e l'efficacia del sistema sull'intero ciclo, considerando anche i rapporti delle sorveglianze. È la ricertificazione che, se positiva, porta al rinnovo per altri tre anni.

Cosa succede se rimando o salto un audit di sorveglianza?

Se l'azienda non consente gli audit alle frequenze previste, la ISO/IEC 17021-1 prevede che l'organismo sospenda la certificazione. Durante la sospensione il certificato è temporaneamente non valido. Se il problema non viene risolto nei tempi fissati dall'organismo, si arriva alla revoca o alla riduzione dello scopo. Se un rinvio è inevitabile, va concordato per tempo con l'organismo restando nei limiti della norma.

Il certificato ISO scaduto si può recuperare?

Sì, entro certi limiti. Se le attività di ricertificazione vengono completate entro sei mesi dalla scadenza, l'organismo può ripristinare la certificazione; oltre questo termine serve almeno un nuovo Stage 2. Il certificato ripristinato ha validità dalla decisione di ricertificazione, quindi nel periodo tra scadenza e ripristino l'azienda non risulta certificata.

Devo avvisare l'organismo se cambio sede o organizzazione?

Sì. L'azienda certificata deve informare l'organismo senza ritardo dei cambiamenti che possono incidere sul sistema: stato giuridico o proprietà, figure chiave, indirizzi e sedi, scopo delle attività e modifiche importanti ai processi. L'organismo valuta poi le azioni necessarie, che possono andare da una verifica nella sorveglianza successiva a un audit speciale.

La ricertificazione richiede di nuovo Stage 1 e Stage 2?

Di norma no: la ricertificazione è un audit in sede che valuta il sistema nel suo insieme. La norma prevede però che possa servire anche uno Stage 1 se ci sono stati cambiamenti significativi al sistema, all'organizzazione o al contesto, per esempio modifiche legislative rilevanti. Un nuovo Stage 2 è invece richiesto se il certificato è scaduto da oltre sei mesi.