SMETA 2-Pillar e 4-Pillar: come definire l’ambito dell’audit in base ai rischi e alle richieste del cliente

La differenza tra SMETA 2-Pillar e 4-Pillar non consiste semplicemente nel numero di domande o nella quantità di documenti da predisporre. Il modello 2-Pillar si concentra sugli standard di lavoro e sulla salute e sicurezza sul lavoro. Il 4-Pillar mantiene questi ambiti e aggiunge le pratiche ambientali e l’etica aziendale. Ampliare l’audit significa quindi coinvolgere ulteriori processi, responsabili dei dati e fonti di evidenze. L’ambito deve essere confermato prima di avviare la preparazione: una scelta errata può portare a esaminare aree non pertinenti o a far emergere lacune che l’organizzazione non avrà il tempo di gestire.

Due ambiti, decisioni diverse

SMETA è una metodologia di audit etico e sociale della catena di fornitura, non una norma per sistemi di gestione né una certificazione paragonabile alla certificazione ISO. L’audit valuta prassi ed evidenze riferite a uno specifico sito: condizioni di impiego, organizzazione del lavoro, misure tecniche di sicurezza, registrazioni operative ed effettiva applicazione delle regole adottate. Il semplice possesso di una politica o di una procedura non determina l’esito dell’audit e un risultato positivo non comporta il rilascio di un certificato.

Un audit più esteso non è automaticamente la scelta migliore. Restano determinanti i requisiti del cliente, del titolare del programma fornitori o gli impegni contrattuali. Un cliente può richiedere il 4-Pillar anche a un sito con un rischio ambientale limitato, per esempio quando applica criteri uniformi all’intera base fornitori. Prima di iniziare la preparazione occorre quindi confermare la versione della metodologia applicabile alla data dell’audit, il modello richiesto e le modalità di gestione dell’audit sulla piattaforma Sedex.

Un sito può disporre di fascicoli del personale ordinati, registrazioni delle ore lavorate e un presidio strutturato della sicurezza, ma non avere evidenze coerenti su rifiuti, consumo di risorse, conflitti di interesse o segnalazioni di irregolarità. Una preparazione gestita esclusivamente dalle risorse umane e dalla funzione sicurezza coprirà, in questo caso, soltanto una parte dei requisiti 4-Pillar. Estendere l’ambito richiede di coinvolgere altri responsabili di processo e di verificare le prassi reali, non di aggiungere due capitoli a una procedura.

Occorre inoltre definire i siti, le attività, il numero di lavoratori e le forme contrattuali compresi nella valutazione, inclusi il lavoro tramite agenzia e il subappalto, se presenti. L’ambito deve essere ricavato dall’ordine, dal contratto o dal portale del cliente, evitando di basarsi su ipotesi interne. Questo aspetto è particolarmente importante quando SMETA svolge la funzione di audit di seconda parte. Per un quadro organizzativo più ampio si rimanda a Come preparare l’azienda a un audit di seconda parte presso un fornitore strategico?

Che cosa verifica il 2-Pillar

Il 2-Pillar comprende gli standard di lavoro e la salute e sicurezza sul lavoro, ma non si limita all’esame di regolamenti, procedure e fascicoli del personale. Nell’area occupazionale l’auditor verifica la legalità e la volontarietà del lavoro, gli orari, le retribuzioni, la parità di trattamento, la libertà di associazione, il divieto di lavoro minorile e l’assenza di pratiche disciplinari inammissibili. Conta l’organizzazione effettiva del lavoro: chi svolge le attività, in base a quale rapporto, in quali orari e secondo quali regole viene retribuito.

In uno stabilimento italiano richiedono particolare attenzione le registrazioni dell’orario di lavoro, il lavoro straordinario e i periodi di riposo, le trattenute retributive, le ferie, le forme contrattuali applicate, il lavoro tramite agenzia e la regolarità dell’impiego dei lavoratori stranieri. I dati del personale, delle paghe e della produzione devono descrivere lo stesso svolgimento del lavoro. Se i dati di accesso, il piano dei turni o le registrazioni produttive indicano la presenza di un lavoratore non rilevata nel sistema delle presenze, la correttezza formale del documento HR non elimina il rischio. È quindi necessario nominare il responsabile dei dati relativi a personale e paghe e definire come ottenere informazioni dalle agenzie per il lavoro e dagli altri soggetti che mettono a disposizione personale.

Il pilastro della salute e sicurezza riguarda sia l’organizzazione dei controlli sia le condizioni osservabili nelle postazioni di lavoro. La valutazione può comprendere l’aggiornamento e l’adeguatezza delle valutazioni dei rischi, le protezioni delle macchine, l’uso dei dispositivi di protezione, l’accessibilità delle vie di esodo, la prevenzione incendi, il primo soccorso, la formazione e la gestione degli infortuni e dei mancati infortuni. Devono essere verificate anche le registrazioni dei controlli sui dispositivi di sicurezza e della rimozione delle anomalie. Una documentazione che descrive un controllo efficace perde credibilità se, durante il sopralluogo, l’auditor rileva protezioni aggirate, un’uscita bloccata o il mancato utilizzo dei dispositivi richiesti.

L’auditor seleziona campioni documentali e li confronta con le osservazioni svolte nel sito e con le dichiarazioni dei lavoratori. Può incrociare i dati relativi a orari, retribuzioni, ferie e riposi con i registri di accesso, i piani dei turni o i dati operativi; può inoltre confrontare le registrazioni di formazione e manutenzione con le prassi osservate sul posto di lavoro. Le incongruenze tra fonti costituiscono un segnale di rischio rilevante, soprattutto quando sono ricorrenti o riguardano lavoratori somministrati, stranieri o impiegati tramite intermediari. Prima dell’audit occorre anche stabilire le modalità di accesso dell’auditor ai documenti e ai lavoratori, tenendo conto della riservatezza e della protezione dei dati.

La preparazione al 2-Pillar non può essere assegnata esclusivamente al responsabile qualità. Richiede il coordinamento tra risorse umane, amministrazione del personale e paghe, salute e sicurezza, produzione, manutenzione, vigilanza, agenzie per il lavoro e altri soggetti che inviano personale presso il sito. I responsabili dei processi devono concordare la struttura della forza lavoro in base al tipo di rapporto e all’eventuale intermediario, definire la responsabilità sulla completezza dei dati e stabilire come analizzare le incongruenze. Un coordinamento analogo è necessario quando l’organizzazione valuta come preparare il team a un audit cliente che richiede APQP, PPAP e analisi delle cause.

Che cosa aggiunge il 4-Pillar

Il 4-Pillar estende l’audit a due aree distinte: gestione ambientale ed etica aziendale. Non si tratta di domande aggiuntive rivolte soltanto al responsabile del sistema, ma di ambiti che richiedono il coinvolgimento di altri responsabili di processo e l’accesso a fonti di evidenza differenti. La preparazione deve essere coerente con il profilo operativo del sito, con i requisiti del cliente e con l’effettiva distribuzione delle responsabilità, evitando di ampliare meccanicamente l’elenco dei documenti utilizzato per il 2-Pillar.

Il pilastro ambientale riguarda le modalità con cui il sito identifica i requisiti applicabili e controlla i propri impatti sull’ambiente. A seconda del tipo di attività, la valutazione può interessare il consumo di energia, acqua e altre risorse, la gestione dei rifiuti, le emissioni, gli scarichi, le sostanze chimiche e la risposta a sversamenti o ad altri eventi ambientali. Il punto di partenza dovrebbe essere un registro dei requisiti pertinenti al sito, comprendente autorizzazioni, comunicazioni, misurazioni e obblighi di rendicontazione.

La disponibilità dei documenti non dimostra, da sola, la conformità. Il sito deve fornire evidenza del controllo sulle prescrizioni autorizzative, sulle scadenze, sulle responsabilità, sui risultati delle misurazioni e sulle azioni adottate in caso di scostamenti. L’auditor può confrontare le condizioni di un’autorizzazione con i registri dei rifiuti, i risultati delle misurazioni o i dati di consumo e verificare chi analizza eventuali superamenti o variazioni anomale. Un sistema di gestione ambientale implementato può rendere più strutturato questo controllo, ma non sostituisce le evidenze della sua effettiva applicazione.

Anche il pilastro dell’etica aziendale non si esaurisce in un codice di condotta. Comprende i meccanismi per prevenire corruzione, conflitti di interesse, illeciti e ritorsioni, nonché i canali di segnalazione, la gestione delle indagini interne e la consapevolezza del personale. Il funzionamento dei meccanismi adottati può essere dimostrato, tra l’altro, attraverso lo stato delle segnalazioni, la formazione, le dichiarazioni sui conflitti di interesse e le attività istruttorie documentate, nel rispetto della riservatezza. Un canale di segnalazione istituito soltanto formalmente, senza un responsabile, criteri per classificare i casi e garanzie per i segnalanti, costituisce un’evidenza debole.

La valutazione si fonda sui requisiti normativi applicabili e sulle condizioni operative dello specifico sito, ma l’audit può considerare anche le aspettative del cliente e l’efficacia dei meccanismi interni. La preparazione al 4-Pillar richiede quindi il coinvolgimento delle funzioni responsabili di ambiente, acquisti, finanza, vendite, compliance, gestione delle segnalazioni e delle indagini interne, nonché del management chiamato a decidere nelle situazioni di conflitto. È necessario individuare il responsabile del registro dei requisiti ambientali e il responsabile del processo di segnalazione, definendone poteri, regole di riservatezza e modalità di escalation.

Dove aumentano costi e rischi

L’impegno necessario per preparare un audit SMETA non aumenta in proporzione al numero di pilastri o di domande. I costi maggiori emergono quando i dati sono distribuiti tra più funzioni, le responsabilità non sono chiare e le prassi del sito non coincidono con quanto previsto dalle procedure. Prima di scegliere l’auditor è quindi opportuno stimare non soltanto il volume della documentazione, ma anche il numero dei processi e dei relativi responsabili, la completezza e la coerenza delle registrazioni nei campioni selezionati e il tempo necessario per eliminare le cause delle incongruenze.

Il 4-Pillar aumenta le interdipendenze tra risorse umane, produzione, salute e sicurezza, ambiente, acquisti, finanza e compliance. Affidare l’intera preparazione alla funzione qualità conduce spesso a ritardi o alla presentazione di evidenze formalmente complete, ma incapaci di dimostrare l’effettivo funzionamento dei meccanismi adottati.

La gap analysis dovrebbe distinguere le carenze risolvibili mediante una migliore attribuzione delle responsabilità e gestione delle registrazioni dai problemi che richiedono modifiche all’organizzazione del lavoro o alle infrastrutture. Le criticità più impegnative comprendono il ricorso sistematico allo straordinario dovuto alla pianificazione della capacità produttiva, le incoerenze retributive, le protezioni inadeguate delle macchine, le carenze antincendio, la gestione impropria delle sostanze e il mancato rispetto delle prescrizioni ambientali. Problemi di questo tipo non si risolvono aggiungendo una procedura o organizzando una formazione una tantum.

La direzione dovrebbe decidere quali lacune eliminare prima dell’audit in ragione dei rischi per le persone, per la conformità normativa o per il rispetto dei requisiti del cliente e quali, se la natura del requisito e la posizione del cliente lo consentono, possano essere gestite mediante un piano d’azione credibile, con scadenza, responsabile e risorse finanziarie definite.

Una criticità tipica non riguarda l’assenza di documenti, ma l’integrità dei dati oggetto di audit. Il sito può disporre di procedure complete sull’orario di lavoro, mentre il piano di produzione e le registrazioni di avvio della linea indicano attività non riportate nelle presenze. In ambito ambientale, un segnale analogo è la discrepanza tra il registro dei rifiuti prodotti, le giacenze nell’area di deposito e la documentazione di conferimento. L’auditor valuta se sia possibile ricostruire l’effettivo svolgimento del processo, non la qualità grafica del registro. Eliminare la non conformità richiede pertanto di analizzare le fonti dei dati, riconciliare le registrazioni tra i sistemi e rimuovere il meccanismo che genera la discrepanza.

È utile suddividere il budget di preparazione tra gap analysis, interventi organizzativi, adeguamenti tecnici, formazione, completamento delle registrazioni e riserva per le azioni correttive successive all’audit. Non è ragionevole adottare un costo standard per il 2-Pillar o il 4-Pillar: l’onere tecnico dipende dalle condizioni del sito e dei processi, mentre quello organizzativo dipende dalla maturità dei controlli. Possono invece essere utili indicatori quali la percentuale di registrazioni complete e reciprocamente coerenti nel campione, il tempo di permanenza degli scostamenti senza soluzione e il numero di processi privi di un responsabile chiaramente identificato. Una logica analoga per la ripartizione degli investimenti è descritta nell’articolo Quanto costa implementare NIS2 e uKSC: come costruire il budget per audit, documentazione, formazione e misure di sicurezza evitando errori costosi. Nel caso di SMETA, questa logica deve essere applicata alle effettive lacune del sito in materia di lavoro, sicurezza, ambiente ed etica.

Come definire l’ambito e preparare l’audit

La scelta dell’ambito deve iniziare dalla conferma inequivocabile dell’obiettivo dell’audit, dei destinatari dei risultati, dei siti sottoposti a valutazione e del modello 2-Pillar o 4-Pillar. Occorre inoltre verificare la versione applicabile della metodologia, gli eventuali requisiti aggiuntivi del cliente e le modalità di condivisione dei risultati. Solo a questo punto è possibile nominare il coordinatore della preparazione, i responsabili delle singole aree e i criteri di audit readiness.

Se il cliente richiede il 4-Pillar, la convinzione interna che i rischi ambientali o etici siano modesti non giustifica una riduzione dell’ambito. Quando il cliente lascia la scelta al fornitore, la decisione dovrebbe basarsi sul profilo delle attività e sull’effettiva capacità dell’organizzazione di governare i processi interessati.

I requisiti devono quindi essere associati ai processi, ai siti, alle fonti dei dati e alle persone responsabili. Una matrice può classificare ogni requisito come soddisfatto, parzialmente soddisfatto, non soddisfatto o non applicabile; quest’ultima valutazione deve essere supportata da una motivazione concreta. La gap analysis non può limitarsi a un questionario di autovalutazione. Deve integrare l’esame di documenti e registrazioni con osservazioni sul sito e colloqui con lavoratori e responsabili dei processi. In questo modo è possibile distinguere l’assenza di una singola evidenza da un controllo inefficace o da una prassi contraria alle regole definite.

Il pre-audit dovrebbe riprodurre il percorso del vero audit. Per un lavoratore selezionato occorre verificare la coerenza tra contratto, rilevazioni delle presenze, pianificazione dei turni, cedolino e prova del pagamento, per poi controllare le condizioni nella relativa postazione. Nel 4-Pillar bisogna applicare lo stesso approccio, collegando uno specifico aspetto ambientale o rischio etico alle responsabilità, alle modalità di controllo e alle registrazioni che ne dimostrano l’attuazione. La coerenza tra documenti, osservazioni e colloqui è più significativa della sola completezza delle procedure.

Le attività di preparazione devono essere definite in base alla rilevanza del rischio, alla causa del problema e alla fattibilità. Ogni azione dovrebbe avere una scadenza, un responsabile e un’evidenza di completamento chiaramente stabilita. Un documento creato esclusivamente per l’audit non sostituisce l’implementazione né le registrazioni prodotte durante il periodo di effettiva applicazione. Il tempo tra la gap analysis e l’audit deve essere adeguato alla natura delle modifiche: chiarire un’attribuzione di responsabilità richiede un impegno diverso rispetto all’adeguamento delle protezioni, alla riorganizzazione degli orari di lavoro o all’attivazione dei controlli ambientali.

Le azioni e le relative evidenze dovrebbero essere approvate dal responsabile del processo e, per le questioni rilevanti in termini di rischio, investimento o conformità normativa, anche dal componente della direzione competente. Può essere utile consultare Preparazione all’audit ISO: guida passo dopo passo, senza tuttavia gestire la preparazione a SMETA come un progetto di certificazione di un sistema di gestione.

Prima dell’audit il team dovrebbe verificare l’accessibilità dei dati, preparare i responsabili dei processi, organizzare la visita al sito e predisporre condizioni adeguate per i colloqui riservati con i lavoratori. Il criterio di prontezza non dovrebbe essere “la documentazione è completa”, bensì “il requisito è applicato, il responsabile sa spiegarlo e le registrazioni e le osservazioni confermano la stessa prassi”. A supporto si può utilizzare l’articolo Come preparare l’azienda a un audit di seconda parte presso un fornitore strategico?, soprattutto per definire le responsabilità relative alla visita e alla messa a disposizione delle evidenze.

L’ambito deve essere coerente con i requisiti e con il rischio

Il 2-Pillar è appropriato quando corrisponde alla richiesta del destinatario e all’obiettivo della valutazione. Ciò non significa che gli obblighi ambientali o i principi di condotta etica cessino di applicarsi all’organizzazione. Questi aspetti rimangono soggetti a controlli distinti, derivanti dalla normativa, dagli impegni contrattuali e dalle regole adottate. Il 4-Pillar offre invece una visione più ampia del rischio del fornitore, ma richiede il reale coinvolgimento dei processi ambientali, degli acquisti, della finanza e delle funzioni impegnate nella prevenzione degli illeciti.

Prima di commissionare l’audit, la direzione dovrebbe approvare il modello, il sito valutato, i responsabili dei processi, il budget per gli interventi tecnici, le regole di escalation e le modalità di monitoraggio delle attività successive all’audit. La decisione dovrebbe basarsi su tre elementi:

• i requisiti del cliente o del programma fornitori,
• il profilo di rischio operativo del sito,
• la capacità dell’organizzazione di dimostrare l’efficacia dei controlli.

Come strumento di supporto per ordinare il contesto può essere utile Che cos’è l’analisi SWOT?, che non sostituisce tuttavia la valutazione dei rischi né l’esame delle evidenze.

Se il sito sceglie il 4-Pillar pur non avendo ancora assegnato responsabilità per gli aspetti ambientali o per il rischio di corruzione negli acquisti, l’audit più ampio non crea il problema: rende visibile una carenza di controllo già esistente. La direzione deve quindi stabilire quali lacune richiedano interventi prima dell’audit, quali possano essere incluse in un piano correttivo e per quali sia necessaria una formale accettazione del rischio residuo. Le decisioni dovrebbero essere collegate al riesame della direzione e ai sistemi di gestione esistenti, anziché essere gestite in un registro separato e privo di responsabili.

Il rapporto SMETA descrive la conformità e le prassi riscontrate in uno specifico luogo e momento; non è un certificato. Il suo valore dipende dalla qualità delle evidenze, dalla rimozione delle cause delle non conformità e dalla tenuta nel tempo dei cambiamenti. Tra un audit e l’altro, la prontezza può essere monitorata considerando il numero di azioni aperte per rilevanza e scadenza, la percentuale di azioni sottoposte a verifica di efficacia e la ricorrenza dei rilievi nelle valutazioni successive. La chiusura formale di un’attività non dimostra, da sola, che il rischio sia stato posto sotto controllo.