Non conformità (NC).

Cosa è davvero una non conformità

Una non conformità registra uno scarto tra ciò che un requisito richiede e ciò che un auditor può constatare nella pratica. Il requisito può derivare dalla norma stessa (per esempio una clausola della ISO/IEC 27001), da un controllo che avete dichiarato applicabile nella vostra Dichiarazione di Applicabilità, o dalla vostra stessa politica documentata. Se l'avete scritto e vi siete impegnati a rispettarlo, un auditor può esigerne il rispetto. Quest'ultimo punto coglie i team di sorpresa: promettere troppo in una politica crea non conformità che la norma da sola non avrebbe mai generato.

Una non conformità non è la stessa cosa di un'osservazione o di un'opportunità di miglioramento. Un'osservazione segnala qualcosa che l'auditor vuole mettere agli atti senza affermare che un requisito è violato. Una non conformità è un'affermazione definitiva che un requisito non è soddisfatto, supportata da evidenze oggettive come una registrazione, un colloquio o un artefatto mancante. La distinzione conta perché solo le non conformità impongono una risposta formale.

Maggiore o minore, e come le minori si aggravano

Gli auditor classificano i rilievi in base all'impatto sul sistema di gestione, non in base a quanto li infastidiscono. Una non conformità maggiore significa che un requisito è fondamentalmente assente, oppure che una carenza è abbastanza diffusa da minare la fiducia nel funzionamento del sistema. Le maggiori mettono a rischio la decisione di certificazione e di solito devono essere chiuse prima che la certificazione o la ricertificazione possa procedere. Una non conformità minore è una mancanza isolata in un processo per il resto funzionante: una singola revisione mancante, una registrazione non firmata.

La trappola è considerare le minori come innocue. Lo stesso rilievo minore nella stessa area, audit dopo audit, dice all'auditor che la vostra azione correttiva non ha mai risolto la causa radice. All'audit di sorveglianza successivo quello schema può essere riclassificato come maggiore, perché un controllo che continua a fallire nello stesso modo non sta effettivamente operando.

Cosa ne fanno davvero i professionisti

Chiudere bene una non conformità è un processo, non una scusa. Lo schema riconosciuto è correzione, poi azione correttiva, poi verifica dell'efficacia. La correzione è il rimedio immediato al caso specifico che l'auditor ha trovato. L'azione correttiva è la mossa più profonda: un'analisi della causa radice che spiega perché lo scarto esisteva e un cambiamento che ne impedisce il ripetersi. La verifica conferma, con evidenze e dopo che è trascorso tempo sufficiente, che il cambiamento ha effettivamente tenuto.

Ciascuno di questi elementi appartiene a un piano di azione correttiva con un responsabile e una scadenza realistica concordata con l'auditor. Le evidenze che presentate dovrebbero permettere a qualcuno che non era nella stanza di ricostruire ciò che è accaduto e confermare che è chiuso. È qui che l'onestà ripaga: un auditor preferisce vedere un piccolo numero di azioni correttive ben tracciate piuttosto che un report dall'aspetto pulito che non regge all'esame.