Audit interni nei laboratori: dalla verifica della conformità al miglioramento dei processi

L'entrata in vigore della UNI CEI EN ISO 19011:2026 ripropone un rituale ormai consolidato nei sistemi di gestione: aggiornare i riferimenti normativi riportati nella documentazione, sostituendo l'edizione 2018 con quella 2026. Nella maggior parte dei casi, tuttavia, questo adeguamento si traduce in un intervento puramente formale, destinato a incidere poco o nulla sulle modalità con cui gli audit interni vengono pianificati e condotti.

Una situazione analoga si è già verificata con la revisione del 2018 della UNI CEI EN ISO/IEC 17025. Sebbene il requisito 8.8 sia stato riformulato in coerenza con un approccio alla gestione orientato ai processi, nella pratica operativa molti laboratori hanno continuato a svolgere gli audit secondo un'impostazione sostanzialmente immutata.

Per comprendere se questo requisito abbia realmente introdotto un cambio di prospettiva, è sufficiente rileggere il primo capoverso del punto 8.8.1 della UNI CEI EN ISO/IEC 17025: "Il laboratorio deve condurre, a intervalli pianificati, audit interni allo scopo di fornire informazioni per accertare se il sistema di gestione:

1. è conforme:
   • ai requisiti del laboratorio relativi al proprio sistema di gestione, compresi quelli relativi alle attività di laboratorio;
   • ai requisiti del presente documento;
2. è efficacemente attuato e mantenuto."

È vero che programmare un audit annuale soddisfa formalmente il requisito degli "intervalli pianificati", così come accadeva nell'edizione precedente della norma. Tuttavia, quando la pianificazione si limita a un unico audit all'anno, si rischia di perdere una delle occasioni più preziose per comprendere come l'organizzazione stia realmente funzionando.

Se l'obiettivo dell'audit è valutare i processi aziendali, e non limitarsi alla sola verifica della conformità documentale, una sola giornata difficilmente può essere sufficiente.

Quando i processi raggiungono i risultati attesi, l'audit dovrebbe concentrarsi sull'individuazione di opportunità per migliorarne l'efficienza. Se, invece, emergono criticità, diventa fondamentale analizzarne le cause e comprenderne l'impatto sulle prestazioni. In entrambi i casi è necessario osservare il funzionamento reale dell'organizzazione, raccogliere evidenze oggettive e formulare valutazioni in grado di supportare le decisioni della direzione.

Pensare di ottenere tutto questo concentrando l'intero programma di audit in un'unica giornata appare, francamente, poco realistico. Forse sarebbe possibile verificare la presenza delle procedure previste dalla norma; molto più difficile, invece, sarebbe comprendere se i processi stiano realmente contribuendo al raggiungimento degli obiettivi del laboratorio.

Ed è proprio questo il nodo centrale.

Dopo decenni di applicazione dei sistemi di gestione, ha ancora senso chiedere, durante un audit, se esista una procedura per una determinata attività? Oppure non sarebbe più utile domandarsi se quella procedura sia davvero in grado di produrre i risultati attesi?

La risposta è già contenuta nella ISO 9000. La centralità di un sistema di gestione non risiede nelle procedure, ma nelle politiche, negli obiettivi e nei processi (ISO 9000, punto 3.5.3).

Lo stesso principio viene ulteriormente rafforzato dalla ISO 19011. Nell'appendice A.2 si precisa infatti che: "Condurre un audit di un sistema di gestione significa soprattutto sottoporre ad audit i processi di un'organizzazione e le loro interazioni."

Questa affermazione cambia profondamente il modo di interpretare l'audit interno.

Il suo obiettivo non è verificare la semplice esistenza della documentazione, ma valutare se i processi, così come sono stati progettati e gestiti, siano realmente in grado di produrre risultati coerenti con gli obiettivi dell'organizzazione e con le aspettative delle parti interessate.

In altre parole, un audit interno dovrebbe fornire alla direzione informazioni affidabili sulla capacità del sistema di gestione di trasformare le risorse investite in valore per il laboratorio e per i suoi clienti.

In questa prospettiva, il ruolo della direzione diventa centrale.

Non è casuale che la ISO/IEC 17025, prima ancora di richiedere la verifica della conformità ai requisiti della norma, chieda di accertare che il sistema di gestione sia conforme ai requisiti che il laboratorio ha definito per il proprio sistema di gestione.

Questa formulazione non è ridondante.

L'espressione "sistema di gestione" compare due volte perché richiama due livelli distinti: da un lato il modello organizzativo che il laboratorio ha costruito per perseguire i propri obiettivi; dall'altro l'insieme dei requisiti che esso stesso si è dato per governare i propri processi.

Se interpretiamo il concetto di sistema di gestione alla luce dell'Appendice A.2 della ISO 19011, il significato del requisito diventa ancora più chiaro: ciò che deve essere verificato non è semplicemente la conformità delle procedure, ma l'adeguatezza dei processi e delle loro interazioni rispetto agli obiettivi del laboratorio.

Alla luce della definizione fornita dalla ISO 9000, il requisito può essere interpretato in modo ancora più esplicito: politiche, obiettivi e processi devono essere coerenti con quanto il laboratorio ha stabilito per governare efficacemente le proprie attività.

È proprio questa coerenza a costituire il vero fondamento della ISO/IEC 17025.

La finalità della norma non è soltanto garantire competenza tecnica e imparzialità, ma anche accrescere la fiducia dei clienti attraverso un'organizzazione capace di operare in modo costante, affidabile e coerente.

In definitiva, la coerenza si misura nella capacità dell'organizzazione di tradurre le politiche che ha definito in comportamenti concreti e risultati misurabili.

Il riesame della direzione: il punto di partenza del sistema di gestione

Se l'audit interno deve fornire informazioni utili al governo dell'organizzazione, il suo naturale destinatario non può che essere la direzione. È infatti la direzione a definire gli indirizzi strategici del laboratorio e a valutarne periodicamente i risultati attraverso il “riesame della direzione”.

La figura 1 rappresenta un possibile modello di riferimento, nel quale il riesame della direzione costituisce il punto di partenza dell'intero ciclo di gestione, sia sul piano strategico sia su quello operativo.

Il riesame della direzione non dovrebbe essere considerato un semplice adempimento imposto dalla norma, bensì il momento in cui vengono assunte le decisioni strategiche che orientano il futuro del laboratorio e ne consolidano il posizionamento nel mercato di riferimento.

Da questo momento discendono gli obiettivi aziendali, le priorità operative e le decisioni che guideranno i processi nel successivo ciclo gestionale.

La ISO/IEC 17025 distingue opportunamente due categorie di decisioni, profondamente diverse sotto il profilo gestionale.

La prima, prevista dal punto 8.9.3, lettera a), riguarda la valutazione delle prestazioni dei processi. In questa fase la Direzione è chiamata a stabilire se i processi siano efficaci e, aggiungerei, anche efficienti rispetto agli obiettivi prefissati.

La seconda categoria, richiamata al punto 8.9.3, lettera b), riguarda invece le opportunità di miglioramento.

Tali interventi non dovrebbero essere interpretati come semplici intenzioni o dichiarazioni di principio, ma come vere e proprie decisioni organizzative, che richiedono una pianificazione accurata, risorse dedicate, responsabilità chiaramente definite e modalità di verifica della loro effettiva attuazione.

In altre parole, il miglioramento non rappresenta un'attività separata dalla gestione ordinaria, ma costituisce la naturale conseguenza della valutazione delle prestazioni dei processi.

Questa distinzione è tutt'altro che formale.

Le prestazioni vengono monitorate attraverso il sistema di misurazione definito nella mappatura dei processi e nei relativi indicatori; gli interventi di miglioramento, invece, richiedono un vero e proprio progetto, con attività pianificate, responsabilità assegnate e verifiche periodiche dello stato di avanzamento.

Del resto, decidere un intervento di miglioramento senza predisporre un sistema che ne controlli l'attuazione equivale a trasformare una decisione della Direzione in una semplice dichiarazione di intenti.

Due sistemi di monitoraggio, un unico obiettivo

In questo contesto, all'interno del laboratorio dovrebbero convivere due attività di monitoraggio strettamente integrate.

La prima coincide con il sistema di misurazione delle prestazioni previsto dalla ISO/IEC 17025 e richiamato, tra l'altro, nei requisiti relativi alla comunicazione interna (punto 5.7). Si tratta di un monitoraggio continuo che consente di valutare il comportamento dei processi durante il loro normale svolgimento e, in modo sistematico, anche l'efficacia del sistema di gestione.

La seconda attività di monitoraggio è rappresentata dagli audit interni.

I due strumenti non svolgono la stessa funzione.

Il sistema di indicatori segnala l'andamento dei processi; l'audit interno, invece, ne approfondisce le cause e interpreta i risultati.

È proprio questa la sua funzione.

L'audit non dovrebbe limitarsi a constatare se un indicatore sia conforme o meno agli obiettivi stabiliti, ma comprendere perché quei risultati siano stati raggiunti o, al contrario, perché il processo non stia producendo le prestazioni attese.

In questa prospettiva, gli audit interni diventano strumenti di analisi organizzativa prima ancora che verifiche di conformità.

Gli audit interni consentono di individuare le cause delle disfunzioni sistematiche, prevenire inefficienze, ridurre i costi della non qualità e accrescere la soddisfazione del cliente.

Tutto questo, però, è possibile solo se gli audit vengono progettati e condotti secondo un approccio per processi.

Limitarsi a verificare il rispetto dei requisiti normativi significa fermarsi alla superficie del problema.

Un'organizzazione può risultare perfettamente conforme ai requisiti della norma e, nello stesso tempo, ottenere risultati del tutto insoddisfacenti.

È sufficiente pensare, ad esempio, al processo commerciale.

Le offerte possono essere predisposte nel pieno rispetto delle procedure previste dal sistema di gestione. Tuttavia, se nessuna di esse viene accettata dai clienti, è difficile sostenere che quel processo sia realmente efficace.

La conformità, da sola, non garantisce il raggiungimento delle prestazioni attese.

È proprio qui che emerge il limite di molti programmi di audit ancora oggi pianificati seguendo la sequenza dei punti della norma.

Le organizzazioni operano attraverso processi, non attraverso capitoli normativi.

Perché, allora, continuare a pianificare audit "per punto di norma", quando ciò che genera valore è il funzionamento dei processi e delle loro interazioni?

L'audit di processo: un cambio di paradigma

Adottare un approccio per processi significa ripensare anche il modo in cui gli audit vengono pianificati e condotti.

Un audit di processo richiede inevitabilmente più tempo rispetto a una semplice verifica di conformità. È proprio per questo che la ISO/IEC 17025 non impone di verificare tutti i processi in un'unica occasione, ma richiede che gli audit siano svolti a intervalli pianificati. Questa formulazione offre ai laboratori la possibilità di distribuire l'attività di audit nel corso dell'anno, approfondendo di volta in volta uno o più processi ritenuti prioritari.

Un simile approccio consente di ottenere un duplice risultato: da un lato migliora la qualità delle verifiche, dall'altro trasforma l'audit in uno strumento realmente utile al governo e al miglioramento dell'organizzazione.

Vi è, tuttavia, un ulteriore aspetto, spesso sottovalutato.

Per valutare un processo non è sufficiente conoscere la norma di riferimento: è indispensabile comprenderne il funzionamento operativo.

Un auditor che possieda esclusivamente competenze normative potrà verificare il rispetto dei requisiti documentali, ma difficilmente sarà in grado di stabilire se il processo sia stato progettato correttamente, se stia producendo le prestazioni attese o se le eventuali criticità derivino da scelte organizzative, tecniche o gestionali.

In altre parole, un audit di processo richiede competenze applicative che vanno ben oltre la semplice conoscenza della norma.

È una considerazione che può apparire scontata, ma che nella pratica viene spesso trascurata.

Per utilizzare una metafora, sarebbe come chiedere di valutare il funzionamento di un impianto industriale limitandosi alla lettura del manuale d'uso, senza averlo mai visto in funzione.

L'analogia evidenzia un principio fondamentale: senza una reale conoscenza del processo, il giudizio dell'auditor rischia di fermarsi alla forma, senza coglierne la sostanza.

Quando un audit può definirsi davvero "di processo"?

Questa domanda rappresenta, probabilmente, il punto centrale dell'intero focus.

Un audit può essere definito "di processo" solo se l'organizzazione dispone di un sistema di misurazione delle prestazioni chiaramente definito, correttamente implementato e realmente utilizzato.

In assenza di indicatori affidabili, infatti, diventa impossibile stabilire se un processo stia raggiungendo gli obiettivi per i quali è stato progettato.

L'audit di processo si fonda su una valutazione articolata su due dimensioni.

La prima dimensione riguarda gli aspetti tradizionalmente verificati durante un audit: l'esistenza di una pianificazione, di responsabilità chiaramente definite e di informazioni documentate che descrivano il funzionamento del processo.

La seconda dimensione, spesso trascurata, riguarda invece le prestazioni del processo.

Il processo sta producendo i risultati attesi?

Gli indicatori dimostrano il raggiungimento degli obiettivi?

Le attività svolte stanno realmente generando valore per il laboratorio?

La figura 2 propone una possibile griglia di valutazione che integra queste due prospettive.

L'elemento innovativo di questo modello risiede nel fatto che la sola conformità documentale non è più sufficiente per esprimere un giudizio positivo.

Un processo perfettamente descritto, ma incapace di raggiungere i risultati attesi, non può essere considerato efficace.

Viceversa, un processo che produca risultati soddisfacenti, ma sia privo di adeguate informazioni documentate, espone l'organizzazione a un elevato rischio di variabilità e di perdita del controllo operativo.

Entrambi gli aspetti devono quindi essere valutati congiuntamente.

Solo dall'integrazione tra la qualità dell'organizzazione del processo e le prestazioni effettivamente conseguite può derivare un giudizio realmente significativo.

Il modello concettuale dell'audit di processo

La figura 3 rappresenta il modello concettuale che dovrebbe guidare lo svolgimento di un audit di processo, orientando l'attenzione dell'auditor verso gli elementi realmente determinanti ai fini della valutazione.

Contrariamente a quanto avviene ancora in molte organizzazioni, il punto di partenza di un audit non dovrebbe essere la domanda:

Esiste una procedura che descrive questa attività?

La prima domanda dovrebbe invece essere:

Quali risultati sta producendo questo processo rispetto agli obiettivi pianificati?

È proprio questo il vero cambio di prospettiva.

L'attenzione dell'auditor si sposta immediatamente dalla verifica della conformità alla valutazione delle prestazioni del processo, prendendo come riferimento gli indicatori di performance.

Se i risultati sono coerenti con gli obiettivi, l'audit dovrebbe individuare opportunità per migliorare l'efficienza del processo, eliminando attività prive di valore aggiunto, riducendo gli sprechi e ottimizzando il flusso operativo.

Se, al contrario, le prestazioni risultano inferiori a quelle pianificate, l'analisi dovrà concentrarsi sulle cause delle criticità, valutando non soltanto le azioni messe in atto dal personale per recuperare gli scostamenti, ma soprattutto i fattori organizzativi, tecnici e gestionali che li hanno determinati.

In entrambi gli scenari, le informazioni documentate mantengono un ruolo fondamentale.

Rappresentano infatti il riferimento necessario per comprendere come il processo è stato progettato e per garantirne la ripetibilità delle prestazioni.

Tuttavia, la documentazione non costituisce il fine dell'audit.

È uno strumento al servizio della valutazione del processo.

Il vero oggetto dell'audit rimane sempre il processo e la sua capacità di conseguire risultati coerenti con gli obiettivi definiti dalla Direzione.

L'efficacia: il vero criterio di valutazione dell'audit

Alla luce di queste considerazioni, appare evidente come l'efficacia rappresenti il vero requisito da valutare in un audit interno, indipendentemente dallo specifico sistema di gestione adottato.

Tutte le norme sui sistemi di gestione richiedono infatti che il sistema sia efficacemente attuato e mantenuto. La UNI CEI EN ISO/IEC 17025 non fa eccezione e lo afferma esplicitamente al punto 8.8.1, lettera b).

Per attribuire il corretto significato a questo requisito è però necessario richiamare la definizione fornita dalla ISO 9000, secondo la quale l'efficacia è il «grado di realizzazione delle attività pianificate e di conseguimento dei risultati pianificati» (punto 3.7.11).

La norma, quindi, non richiede semplicemente di verificare se le attività siano state svolte secondo quanto previsto, ma di accertare se abbiano realmente prodotto i risultati attesi.

È una differenza sostanziale.

L'efficacia misura infatti la capacità del sistema di raggiungere gli obiettivi che l'organizzazione si è prefissata.

L'efficienza, invece, esprime il rapporto tra i risultati conseguiti e le risorse impiegate (ISO 9000, punto 3.7.10).

Se l'efficacia costituisce un requisito normativo, l'efficienza rappresenta una condizione imprescindibile per la competitività e, in ultima analisi, per la sostenibilità dell'organizzazione.

Per questo motivo, pur non essendo espressamente richiesta dalla UNI CEI EN ISO/IEC 17025, l'efficienza dovrebbe entrare a pieno titolo tra gli elementi di valutazione di un audit di processo.

Dalla conformità alla governance dei processi

È probabilmente questo il passaggio culturale che oggi siamo chiamati a compiere.

Per molti anni l'audit interno è stato interpretato come uno strumento finalizzato prevalentemente alla verifica della conformità documentale.

Questa impostazione ha certamente contribuito alla diffusione dei sistemi di gestione e alla loro standardizzazione, ma oggi mostra tutti i propri limiti.

Le organizzazioni non competono sulla qualità della documentazione che producono. Competono sulla capacità dei propri processi di generare valore.

Un audit che si limiti a verificare l'esistenza di procedure, registrazioni e modulistica rischia quindi di soddisfare il requisito normativo senza fornire un reale contributo al miglioramento delle prestazioni dell'organizzazione.

Al contrario, un audit costruito attorno ai processi, ai risultati e agli indicatori di performance diventa un vero strumento di governo dell'organizzazione.

Non si limita a stabilire se il laboratorio sia conforme. Aiuta la direzione a comprendere perché alcuni processi funzionano, perché altri presentano criticità e dove sia opportuno intervenire per migliorarne le prestazioni.

In questa prospettiva, l'auditor non assume più il ruolo di semplice verificatore della conformità, ma quello di osservatore competente del funzionamento dell'organizzazione.

Il valore dell'audit non risiede più nella ricerca delle non conformità, bensì nella capacità di trasformare le evidenze raccolte in informazioni utili a orientare le decisioni della direzione.

È questo il significato più autentico dell'approccio per processi introdotto dalle norme più recenti.

Ed è probabilmente questa la vera sfida che attende i laboratori negli anni a venire.

Conclusioni

Forse è arrivato il momento di abbandonare definitivamente una visione dell'audit come semplice esercizio periodico di verifica della conformità.

L'audit interno dovrebbe diventare uno dei principali strumenti di conoscenza dell'organizzazione.

Uno strumento capace di fornire alla direzione elementi oggettivi per comprendere se i processi stiano producendo i risultati attesi, se le risorse siano utilizzate in modo efficace ed efficiente e quali decisioni siano necessarie per sostenere il miglioramento continuo.

In fondo, dopo oltre trent'anni di sistemi di gestione, la domanda fondamentale non dovrebbe più essere:

«Siamo conformi alla norma?»

La domanda davvero importante è un'altra:

«Il nostro sistema di gestione sta aiutando il laboratorio a conseguire risultati migliori?»

È proprio nella risposta a questa domanda che si misura il valore di un audit interno.

Non nella sua capacità di verificare la conformità, ma nella capacità di contribuire, con competenza e metodo, al governo dell'organizzazione.

Autore
Tommaso Miccoli
Membro della commissione qualità di Unichim