Audit del Sistema di Sicurezza

Riferimento normativo e standard di riferimento

L'audit del sistema di sicurezza trova il suo fondamento normativo in diversi strumenti:

• ISO 45001:2018 — punto 9.2(Audit interno): la norma internazionale per i sistemi di gestione della sicurezza e della salute sul lavoro richiede che l'organizzazione effettui audit interni a intervalli pianificati per fornire informazioni sulla conformità del sistema ai propri requisiti e ai requisiti della norma, nonché sull'efficace attuazione e mantenimento del sistema.
• Art. 30 D.Lgs. 81/08 — Modello di organizzazione e di gestione: il modello di organizzazione e di gestione idoneo ad avere efficacia esimente ai sensi dell'art. 6 D.Lgs. 231/2001 deve prevedere, tra gli altri elementi, idonei sistemi di registrazione dell'avvenuta effettuazione delle attività di verifica e di audit, nonché un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel modello.
• D.Lgs. 8 giugno 2001 n. 231: la responsabilità amministrativa degli enti per i reati commessi nell'interesse o a vantaggio dell'ente (tra cui i reati di lesioni colpose e omicidio colposo con violazione delle norme antinfortunistiche — artt. 589 e 590 c.p.) può essere esclusa se l'ente dimostra di aver adottato e attuato un MOG efficace, il cui corretto funzionamento viene verificato anche attraverso audit periodici.
• Linee guida UNI-INAIL 2001: forniscono un modello di riferimento per la realizzazione di sistemi di gestione della sicurezza sul lavoro, includendo la pianificazione e l'esecuzione di audit come elemento di controllo del sistema (ciclo PDCA).

Tipologie di audit: interno vs esterno

Gli audit del sistema di sicurezza si distinguono in base al soggetto che li effettua e alla loro finalità:

• Audit interno (prima parte)— condotto da personale interno all'organizzazione, opportunamente formato e indipendente rispetto alle attività oggetto di verifica. È richiesto dalla ISO 45001:2018 e dalle Linee guida UNI-INAIL. Il programma annuale di audit interni deve coprire tutti i processi rilevanti per la sicurezza, con una frequenza adeguata al livello di rischio delle aree verificate. Gli esiti devono essere documentati e comunicati al top management.
• Audit esterno di certificazione (terza parte) — condotto da un organismo di certificazione accreditato (es. da Accredia) per verificare la conformità del sistema di gestione alla norma ISO 45001:2018. Si articola in un audit iniziale di certificazione (in due fasi), audit di sorveglianza annuali e rinnovo triennale della certificazione.
• Audit di seconda parte— condotto da un'organizzazione nei confronti dei propri fornitori o appaltatori per verificare la conformità del loro sistema di gestione della sicurezza ai requisiti contrattuali o alle proprie procedure di qualifica dei fornitori. Rilevante ai fini dell'art. 26 D.Lgs. 81/08 (gestione degli appalti).

Metodologia dell'audit: pianificazione, esecuzione e reporting

Un audit del sistema di sicurezza condotto secondo la ISO 19011:2018 («Linee guida per l'audit dei sistemi di gestione») si articola nelle seguenti fasi principali:

• Pianificazione del programma di audit — definizione degli obiettivi, del campo di applicazione, dei criteri di audit (norme, procedure, requisiti legali), del calendario, del team di audit e delle risorse necessarie. Il programma deve essere approvato dalla direzione e comunicato in anticipo agli auditati.
• Preparazione dell'audit — raccolta e revisione dei documenti pertinenti (politica SSL, DVR, procedure, registrazioni precedenti, risultati di audit precedenti, indagini su infortuni e incidenti), elaborazione della checklist di audit basata sui criteri definiti.
• Conduzione dell'audit sul campo— riunione di apertura con il responsabile dell'area auditata, interviste al personale (a campione e a tutti i livelli gerarchici), osservazione diretta delle attività lavorative, esame di documenti e registrazioni, raccolta di evidenze oggettive a supporto dei rilievi.
• Rapporto di audit — redazione del rapporto di audit con evidenze raccolte, non conformità identificate (classificate per gravità: NC maggiore, NC minore, osservazione), punti di forza del sistema e raccomandazioni di miglioramento. Riunione di chiusura per la presentazione dei risultati.
• Follow-up delle non conformità— il responsabile dell'area auditata elabora un piano di azione correttiva per ciascuna non conformità identificata, con definizione delle cause radice, delle azioni correttive da intraprendere, dei responsabili e delle scadenze. L'auditor verifica l'efficacia delle azioni correttive attuate.

Requisiti per gli auditor e indipendenza

La ISO 45001:2018 (punto 9.2.2) richiede che gli auditor interni siano selezionati in modo da garantire l'obiettività e l'imparzialità del processo di audit: gli auditor non possono verificare il proprio lavoro. Per gli audit interni di sistemi di sicurezza, i requisiti minimi degli auditor includono:

• formazione sulle tecniche di audit (es. corso conforme alla ISO 19011 o ai requisiti degli organismi di certificazione);
• conoscenza della norma ISO 45001:2018 e della normativa applicabile in materia di sicurezza sul lavoro (D.Lgs. 81/08 e successive modifiche);
• conoscenza del settore e dei processi produttivi dell'organizzazione;
• capacità di comunicazione e di conduzione di interviste.

Per il MOG ai sensi dell'art. 30 D.Lgs. 81/08, le linee guida di Confindustria (2014 e successive) raccomandano che l'organismo di vigilanza (OdV) ex D.Lgs. 231/2001 riceva i risultati degli audit del sistema di sicurezza per verificare il corretto funzionamento del modello organizzativo.

Gestione delle non conformità e miglioramento continuo

Le non conformità emerse dall'audit devono essere gestite attraverso un processo strutturato di azione correttiva (ISO 45001:2018, punto 10.2):

• Classificazione — NC maggiore (mancata applicazione sistematica di un requisito normativo o del sistema, o situazione che espone i lavoratori a un rischio grave e immediato), NC minore (mancanza puntuale o lacuna non sistematica), osservazione (opportunità di miglioramento non ancora evolutasi in NC).
• Analisi della causa radice— utilizzo di strumenti come i "5 perché", il diagramma di Ishikawa o l'FMEA per identificare le cause profonde della non conformità, non solo i sintomi superficiali.
• Azione correttiva — intervento mirato a eliminare la causa radice della NC (non solo la correzione del singolo problema) e a prevenire il ricorrere della stessa non conformità in futuro.
• Verifica dell'efficacia — il team di audit verifica, in occasione del successivo audit o con un audit di follow-up specifico, che le azioni correttive siano state attuate e abbiano eliminato la non conformità.

Ti aiutiamo a verificare gli obblighi applicabili alla tua organizzazione in materia di audit della sicurezza, a pianificare il programma annuale di audit interni e a formare gli auditor interni secondo i requisiti della ISO 45001:2018.