Il monitoraggio della conformità e la gestione della sicurezza utilizzano informazioni comuni, ma rispondono a domande distinte: se il requisito è soddisfatto e se il rischio è controllato. Un audit senza non conformità non dimostra di per sé l'assenza di pericoli operativi.
Cosa è necessario definire all'inizio?
Delimitare le attività, le organizzazioni e le interfacce coinvolte. Creare una matrice che associ il requisito e la sua revisione al processo, alla persona responsabile, alla procedura e alle prove. Indicare l'applicabilità e il motivo dell'esclusione di una disposizione, ove applicabile.
ADR.OR.D.005 del Regolamento (UE) n. 139/2014 costituisce il benchmark del sistema di gestione per gli operatori target. L'implementazione è adattata all'organizzazione e alle operazioni effettive, con processi documentati e meccanismi di tracciabilità.
Come si prepara un audit efficace?
Definire i criteri, il campione, il periodo e i metodi: revisione della documentazione, interviste e osservazione sul campo. Includere le attività contrattuali pertinenti e garantire l'indipendenza dell'auditor dall'attività sottoposta ad audit. Una checklist non è sufficiente senza prove verificabili.
Il risultato descrive il requisito, la situazione osservata e la documentazione a supporto. Se un controllo non può essere verificato per mancanza di accesso alle prove, registrare la limitazione; non trasformare la mancanza di verifica in una conclusione favorevole.
Come si effettua una valutazione del rischio?
Definire chiaramente il pericolo, l'evento indesiderato e le conseguenze. Descrivere lo scenario e l'esposizione, quindi documentare i controlli esistenti. La probabilità e la gravità vengono valutate utilizzando criteri espliciti e dati disponibili, non solo il colore di una matrice.
Per il rischio residuo, spiegare cosa modifica la misura e come se ne verifica il funzionamento. Identificare le dipendenze: due controlli eseguiti dalla stessa persona, sulla base delle stesse informazioni errate, non sono necessariamente indipendenti. L'accettazione del rischio è documentata al livello designato dall'organizzazione.
Come si chiude un'anomalia?
Separare la correzione della situazione dall'azione che affronta la causa principale. La riparazione di un'unità di illuminazione elimina il difetto specifico; l'analisi della causa principale potrebbe richiedere la modifica di un circuito, di una protezione o di un programma di ispezione. La misura deve affrontare la causa supportata da prove.
Il registro delle azioni contiene la persona responsabile, la scadenza, il documento di implementazione e la verifica dell'efficacia. La chiusura amministrativa non deve sostituire la verifica sul campo. I riscontri ricorrenti richiedono una rivalutazione delle cause e delle misure precedenti.
Cosa si comunica alla direzione e cosa si richiede per la gara d'appalto?
Scegliere indicatori con definizione, fonte, denominatore e frequenza di analisi. Una serie di eventi deve essere interpretata insieme al volume delle operazioni e ai cambiamenti nella cultura di reporting. Presentare le azioni in sospeso, i rischi principali e le decisioni necessarie.
Per la formulazione del preventivo, inviare l'organigramma, i manuali, l'ambito di attività, il programma di audit ed esempi anonimizzati dei registri. Specificare se è necessaria una diagnosi, una revisione della metodologia, un audit specifico o supporto nell'implementazione del piano d'azione.
Consultare il capitolo tecnico della guida.