Come si gestisce la durata dell'audit IAF MD 5 nel software di certificazione di sistemi?

Come si gestisce nel software la durata dell'audit IAF MD 5?

La durata dell'audit IAF MD 5 è gestita come registrazione di calcolo versionata, che parte dal numero di addetti effettivi, viene rettificata in forma motivata con fattori di rischio/complessità e specifici dell'organismo, approvata e riesaminata a ogni ciclo.

Il sistema corretto non mostra all'utente solo il risultato “quanti auditor/giorni?”. Conserva nello stesso file di calcolo quale versione del documento è stata usata, il dato di partenza, la struttura di sedi e turni, i fattori di aumento o riduzione, l'arrotondamento, la ripartizione tra Fase 1 e Fase 2, la composizione del team e l'approvazione autorizzata. Così, quando il risultato cambia, è tracciabile non solo il nuovo numero, ma anche il motivo della modifica.

Per quali audit si usa l'IAF MD 5?

L'IAF MD 5:2023 fornisce disposizioni obbligatorie e indicazioni per l'applicazione coerente dei pertinenti requisiti della ISO/IEC 17021-1 negli audit dei sistemi di gestione qualità, ambiente e salute e sicurezza sul lavoro.

Alla redazione di questo articolo, il documento ufficiale aggiornato è l'IAF MD 5:2023, Issue 4, Version 3, pubblicato il 14 giugno 2023. Il documento usa il numero di addetti effettivi come punto di partenza, ma precisa che questa non è l'unica valutazione. Per la prima certificazione, la somma di Fase 1 e Fase 2; il tempo necessario per sorveglianza e ricertificazione deve essere determinato per ogni singolo cliente. [1]

Anche la pagina di richiesta di certificazione di sistemi di gestione di TÜRKAK mostra che, accanto ai documenti normativi pertinenti della ISO/IEC 17021-1, si applicano i documenti obbligatori IAF e che l'IAF MD 5 è il documento per la determinazione del tempo di audit per i sistemi di gestione qualità, ambiente e salute e sicurezza. Ciò dimostra che la regola nel software non deve essere conservata sotto il nome di “calcolo ISO generico”: programma, ambito e versione del documento devono essere selezionati esplicitamente. [2]

In quale ordine eseguire il calcolo?

Il calcolo deve procedere con i passaggi di selezione del tipo di sistema applicabile, determinazione degli addetti effettivi, individuazione della durata base, valutazione dei fattori, arrotondamento della durata e approvazione motivata.

Saltare questa sequenza comporta due tipi di rischio. Guardare solo la fascia di addetti fa perdere la complessità specifica dell'organismo; scrivere prima i giorni obiettivo e poi adattare i fattori a quel risultato inverte la motivazione. Il sistema deve mostrare la durata base e le correzioni in campi separati; deve spiegare all'utente la differenza tra il calcolo precedente e quello nuovo.

Perché il numero di addetti effettivi non coincide con il totale del libro paga?

Gli addetti effettivi sono un input tecnico che considera il personale a tempo pieno, temporaneo e partial che partecipa alle attività nell'ambito di certificazione, i turni e, ove applicabile, gli appaltatori compresi nell'ambito.

L'IAF MD 5 richiede che nel calcolo degli addetti effettivi si valutino i dipendenti permanenti, temporanei e a tempo parziale; i turni compresi nell'ambito, il personale amministrativo/da ufficio e i processi simili o ripetitivi. Nell'ambito OH&SMS assumono rilievo anche i dipendenti di appaltatori/subappaltatori sotto il controllo o l'influenza dell'organismo e in grado di influire sulle prestazioni. Nelle attività stagionali il tempo di audit deve essere pianificato nel periodo in cui le attività possono essere rappresentate. [1]

Nel software la fonte può provenire dal sistema risorse umane; ma il numero grezzo non deve essere accettato come risultato tecnico. Devono risultare visibili il rapporto di ogni gruppo di personale con l'ambito, la quota di tempo parziale, il turno, la motivazione dei processi simili e la situazione di esternalizzazione. Anche la correzione tecnica manuale effettuata dopo l'integrazione HR deve essere registrata con utente, data e spiegazione.

• Sede centrale e sedi operative devono essere tenute con distribuzioni di personale separate.
• Il turno non va valutato solo come numero totale, ma con la differenza dei processi da auditare.
• Per il personale stagionale vanno annotati il periodo utilizzato e l'evidenza.
• La motivazione della riduzione relativa al personale escluso dall'ambito deve essere esplicita.
• La valutazione di appaltatori e subappaltatori va trattata separatamente nei contesti QMS, EMS e OH&SMS.

Come si effettua la selezione di rischio e complessità?

Per il QMS si valuta il rischio di non conformità di prodotto/servizio, per l'EMS la complessità degli aspetti ambientali, per l'OH&SMS la natura e la gravità dei rischi per la salute e sicurezza sul lavoro.

L'approccio dell'IAF MD 5 non è identico per i tre sistemi. Sul lato QMS vi sono esempi di rischio alto, medio e basso; sul lato EMS cinque categorie fondamentali di complessità per gli aspetti ambientali; sul lato OH&SMS esempi di settori correlati alla complessità del rischio. Il software non deve selezionare automaticamente la classe solo dal codice settore e bloccare il campo. L'attività reale, i processi, i prodotti/servizi, le condizioni ambientali e il contesto di rischio devono essere verificati da una persona autorizzata.

Ad esempio, nello stesso settore generale un organismo può svolgere attività limitate e a bassa complessità mentre un altro può presentare processi chimici, turni multipli o un elevato carico normativo. Si può fornire un suggerimento predefinito; ma la motivazione della classe scelta ed eventuali scostamenti dal valore predefinito devono essere conservati. Se alla sorveglianza successiva l'attività è cambiata, la vecchia classe non deve essere usata silenziosamente; occorre aprire un compito di rivalutazione.

Quali fattori modificano la durata base?

I principali fattori che possono influire sulla durata sono complessità di sedi e logistica, lingua, grandi aree, elevata densità normativa, processi unici, sedi temporanee e processi esternalizzati.

L'IAF MD 5 indica che situazioni quali più edifici o sedi, lingue diverse ed esigenza di interpreti, sedi molto estese rispetto al numero di addetti, attività soggette a intensa regolamentazione, processi molto complessi o unici e visite a sedi temporanee possono aumentare la durata. Per QMS, EMS e OH&SMS esistono inoltre fattori specifici del sistema. Se si ipotizza una riduzione, basi come la maturità del sistema, processi ripetitivi/a bassa complessità o la limitatezza dell'ambito devono essere registrate esplicitamente; l'efficacia dell'audit non deve essere indebolita. [1]

Un buon modello dati non conserva i fattori solo come caselle “aumenta/riduce”. Vengono conservati insieme tipo di fattore, informazione di origine, entità, spiegazione, file aggiuntivo, proponente, approvatore e data di entrata in vigore. Così si può vedere se la riduzione applicata nel ciclo precedente è ancora valida per l'organismo attuale.

Come leggere un semplice esempio QMS?

Nella tabella QMS dell'IAF MD 5 il valore iniziale per 26–45 addetti effettivi, come somma di Fase 1 e Fase 2 del primo audit, è di 4 auditor/giorni; non è il valore dell'offerta finale.

Si supponga che in un organismo di esempio il numero di addetti effettivi sia verificato pari a 38. La tabella fornisce il valore iniziale QMS 1 di 4 auditor/giorni. Se l'organismo opera in due edifici distinti, il processo di progettazione si trova in un'altra sede e nell'audit verranno usate due lingue, queste condizioni vengono valutate separatamente. Al contrario, il fatto che gran parte dei processi sia ripetitiva può dare luogo a una discussione di riduzione. La base di ogni aumento e riduzione è scritta separatamente; il risultato è regolato sulla mezza giornata più vicina e sottoposto ad approvazione autorizzata. [1]

Questo esempio non è un risultato pronto per un cliente specifico. Dire “38 persone equivalgono a 4 giorni” senza conoscere classe di rischio, ambito, turni, sedi, esternalizzazioni, sistema integrato e regole di programma è incompleto. Il software può mostrare l'esempio a fini formativi; nel calcolo reale deve riverificare ogni input.

Auditor/giorno, giorno di calendario e dimensione del team sono la stessa cosa?

No. L'auditor/giorno è il lavoro complessivo; la durata di calendario e la dimensione del team mostrano come quel lavoro viene distribuito e vanno pianificate separatamente ai fini dell'efficacia.

Secondo l'IAF MD 5 un giorno di audit corrisponde normalmente a otto ore. Se dal calcolo risulta un valore decimale, si effettua l'aggiustamento alla mezza giornata più vicina; ad esempio 5,3 giorni diventano 5,5 giorni, 5,2 giorni diventano 5. Pianificare giornate lavorative più lunghe per ridurre inizialmente il numero di giorni di audit non è l'approccio appropriato. Anche la dimensione del team non è materia di divisione meccanica: un'attività condotta da due auditor in mezza giornata non sempre produce lo stesso effetto di una giornata piena di un solo auditore. [1]

Il software deve mostrare separatamente il totale di auditor/giorni, i giorni di calendario trascorsi in sede, l'attività a distanza, gli spostamenti e il tempo assegnato per ciascun membro del team. Sessioni sovrapposte o una persona presente contemporaneamente in due sedi devono essere colte nella validazione del piano. Quando il piano cambia, anche se non cambia il risultato del calcolo, occorre aggiornare la versione della ripartizione.

Come si trattano gli audit a distanza, multisito e integrati?

Questi scenari aggiungono regole al di sopra del calcolo base; il software deve verificare separatamente l'idoneità, il campionamento, il limite delle attività a distanza e la rettifica del tempo per i sistemi integrati.

L'IAF MD 5 richiede che, quando si usano tecniche di audit a distanza, si applichino i requisiti dell'IAF MD 4 e che le attività siano definite nel piano. Per l'OH&SMS le attività a distanza sono limitate all'esame di documenti/registrazioni e ai colloqui; il controllo dei processi e il controllo dei rischi SSL non possono essere auditati con la tecnica dell'audit a distanza. Questo limite, nel software, va stabilito non solo con l'etichetta “a distanza”, ma con tipo di attività e motivazione. [3]

Nelle strutture multisito ogni sede, funzione centrale, addetto, attività e decisione di campionamento sono mantenute collegate. Nei sistemi integrati, invece, le durate applicabili dei diversi sistemi di gestione, il livello di integrazione e la competenza del team vengono valutati congiuntamente. L'IAF ID 14:2023 è un documento informativo aggiornato che illustra i passaggi di idoneità, campionamento, addetti effettivi, complessità, correzione e durata totale per determinare la durata degli audit integrati multisito; non sostituisce gli obblighi IAF MD 5 o di programma. [4]

Come si aggiornano le durate di sorveglianza e ricertificazione?

Le durate di sorveglianza e ricertificazione devono essere riesaminate sui dati aggiornati del cliente e sulle prestazioni del sistema, invece di copiare il vecchio numero di giorni.

L'IAF MD 5 fornisce una cornice in cui, nel primo ciclo triennale, il tempo dedicato alla sorveglianza annuale è pari a circa un terzo della durata della prima certificazione; la durata della ricertificazione è pari a circa due terzi di un primo audit aggiornato che si svolgerebbe a quella data. Il calcolo della ricertificazione non è i due terzi diretti del tempo effettivamente speso nel primo audit storico. Vanno considerate le modifiche di organismo, ambito, addetti, sedi, turni, processi e maturità del sistema. [1]

Per questo il software deve aprire prima di ogni sorveglianza un modulo di aggiornamento del cliente, confrontare i nuovi dati con il calcolo precedente e segnalare le differenze che richiedono rivalutazione. Anche in assenza di modifiche vanno registrati l'esaminatore e la data. Così l'espressione “anche l'anno scorso erano due giorni” non viene usata in luogo della motivazione tecnica.

Quali controlli devono essere obbligatori nel motore di calcolo?

Il motore di calcolo deve gestire insieme versione, istantanea degli input, passaggi intermedi spiegabili, approvazione autorizzata, blocco e trigger di ricalcolo.

• Versione della regola: “IAF MD 5” da solo non basta; devono risultare issue, version, data di pubblicazione/applicazione e versione della regola interna.
• Dato di origine: Devono essere registrati da chi e in quale data sono state acquisite le informazioni su addetti, sedi e attività.
• Risultato intermedio: Durata base, ogni correzione, arrotondamento e ripartizione devono essere tracciabili dall'utente.
• Controllo dei ruoli: La matrice di autorizzazioni tra chi prepara e chi approva il calcolo deve essere separata secondo la procedura dell'organismo.
• Blocco: Il calcolo collegato all'offerta o al piano approvato non deve cambiare silenziosamente; occorre aprire una nuova revisione.
• Trigger: La modifica di addetti, ambito, sedi, turni o processi deve generare un compito di rivalutazione.
• Rapporto: La durata e la motivazione da presentare al cliente e il dettaglio del calcolo tecnico interno devono essere mostrati al corretto livello di accesso.

Questo approccio supporta la cornice di competenza, coerenza e imparzialità della ISO/IEC 17021-1; ma non sostituisce l'insieme completo dei requisiti della norma. La schermata di calcolo è della pratica di certificazione di sistema, dalla richiesta al certificato, solo un cancello di controllo. [5]

Quali sono gli errori più frequenti nel software IAF MD 5?

Gli errori più frequenti sono accettare direttamente il numero del libro paga come addetti effettivi, non conservare la motivazione dei fattori e copiare il calcolo precedente senza controllo delle modifiche.

• Usare la stessa selezione di rischio/complessità per QMS, EMS e OH&SMS.
• Sciogliere la ripartizione di turni e sedi nel solo totale degli addetti.
• Applicare il fattore di riduzione senza valutare l'efficacia dell'audit.
• Scrivere la durata delle attività a distanza senza mostrare quale processo è stato valutato e come.
• Dividere gli auditor/giorni per i giorni di calendario senza valutare separatamente l'efficacia del team.
• Copiare automaticamente il numero del primo anno nelle sorveglianze e nelle ricertificazioni.
• Ricalcolare silenziosamente le pratiche passate con la nuova regola quando arriva una nuova versione del documento.

Come si può strutturare il processo IAF MD 5 in Vizyon Alia?

In Vizyon Alia il calcolo può essere strutturato come registrazione legata ai dati della richiesta, con versione della regola e motivazioni dei fattori visibili, collegata ai documenti di offerta-piano-decisione e approvata da un responsabile autorizzato.

Nella soluzione Vizyon Alia cliente, ambito, sedi, auditor e ciclo del certificato sono collegati alla stessa pratica operativa. Attivare una formula generica senza analizzare il foglio di calcolo IAF MD 5 esistente dell'organismo, il flusso di approvazione e le differenze di programma non è corretto. Durante il pilota alcune pratiche anonime completate in passato vanno ricalcolate con il nuovo motore; la squadra tecnica deve esaminare se le differenze derivano dalla regola, dai dati o dalla prassi precedente.

per demo e analisi dei processi preparare un esempio QMS, uno EMS/OH&SMS, uno multisito e uno di modifica dell'ambito garantisce che il motore di calcolo sia valutato non solo nello scenario normale ma anche nelle eccezioni.

Domande frequenti