Documentazione SMETA prima dell’audit: policy, procedure e registrazioni per un sistema coerente

La documentazione SMETA non è un insieme di policy predisposte per il giorno della visita dell’auditor. Deve dimostrare che le regole relative ai rapporti di lavoro, alla rilevazione dell’orario e alle retribuzioni, alla salute e sicurezza, all’ambiente, all’etica e al controllo del personale esterno sono applicate nella pratica. L’auditor confronta i documenti con le registrazioni originali, le osservazioni effettuate presso il sito e le dichiarazioni riservate dei lavoratori. Un’incoerenza tra queste fonti compromette l’affidabilità dell’intero percorso delle evidenze.

La preparazione deve quindi iniziare dalla conferma del perimetro dell’audit e dalla ricostruzione dei processi effettivamente applicati. Occorre poi assegnare le responsabilità, ordinare policy e procedure, riconciliare i dati tra i diversi sistemi e svolgere una verifica della preparazione. L’obiettivo non è creare una facciata di conformità, ma dimostrare che il sito sa spiegare regole, decisioni, scostamenti e registrazioni facendo riferimento a persone, turni ed eventi concreti.

Un documento non costituisce ancora un’evidenza

SMETA deve essere considerata una metodologia di audit etico della catena di fornitura, non una norma certificabile per i sistemi di gestione. L’esito dell’audit non deve essere presentato come un certificato di conformità. Sedex opera come piattaforma per lo scambio di informazioni e non come organismo che rilascia tale certificazione. La preparazione del sito consiste nel dimostrare coerenza tra i requisiti del committente, le regole dichiarate, le effettive condizioni di lavoro e le registrazioni originali.

La prima decisione dovrebbe riguardare la conferma scritta del perimetro con il cliente o con il committente dell’audit. Devono essere concordati il sito, la tipologia di audit, l’estensione a due o quattro pilastri, i processi principali e di supporto, i gruppi di lavoratori coinvolti e il periodo di registrazioni richiesto. Se rientrano nella valutazione, occorre includere lavoratori temporanei, appaltatori e personale turnista. I requisiti vanno verificati negli accordi aggiornati con l’organizzazione che esegue l’audit e nei documenti applicabili della metodologia SMETA, evitando di trasferire automaticamente le impostazioni adottate per l’audit di un altro sito.

È opportuno organizzare la documentazione per percorsi delle evidenze: dalla regola alla responsabilità assegnata, dall’attività svolta alla registrazione che consente di ricostruire un caso specifico. Ciò richiede la collaborazione tra risorse umane, amministrazione del personale e paghe, operations, funzione salute e sicurezza e responsabili del controllo degli appaltatori. Un coordinatore dovrebbe presidiare il perimetro, le versioni dei documenti, la completezza dei dati e l’assegnazione delle carenze rilevate. Una logica analoga per l’organizzazione delle evidenze è descritta nell’articolo Documentazione NIS2 e KSC prima di un controllo: quali policy, registri ed evidenze servono realmente.

L’auditor confronta il contenuto di policy e procedure con le osservazioni sulle postazioni di lavoro, i colloqui con i lavoratori e i dati originali. Una policy che vieta orari di lavoro eccessivi non dimostra la conformità se le rilevazioni delle presenze, i turni, i cedolini e le testimonianze dei lavoratori evidenziano una situazione diversa. Più della complessità formale della procedura conta la possibilità di tracciare una persona, un turno o un periodo selezionato e di spiegare ogni scostamento. Un documento redatto soltanto prima della visita, senza riscontro nella pratica, aumenta il rischio di far emergere incoerenze anziché ridurlo.

Mappa dei rischi e delle responsabilità

Il riordino della documentazione deve partire da una mappa dei processi e dei rischi che comprenda assunzione e gestione del rapporto di lavoro, orari, retribuzioni, salute e sicurezza sul lavoro, ambiente, etica d’impresa, appaltatori e, se presenti, alloggi e trasporti. La mappa deve rappresentare le forme contrattuali effettivamente utilizzate, i fornitori di manodopera, i turni, i siti e le strutture aggiuntive, sulla base dei dati aggiornati dell’organizzazione. Solo questo quadro consente di decidere se il controllo documentale possa restare centralizzato o richieda la nomina di responsabili locali.

Per ogni area occorre indicare in modo univoco il responsabile del processo e quello della registrazione, il luogo di conservazione dei documenti, il livello di accesso richiesto, il periodo sottoposto a verifica e le modalità di approvazione delle modifiche. La consultazione, da parte dell’auditor, dei fascicoli personali e della documentazione retributiva richiede una decisione specifica. L’accesso deve consentire la verifica, restando al contempo coerente con le regole di protezione dei dati e con le autorizzazioni interne.

Le carenze più critiche emergono nei punti di interfaccia tra le responsabilità. Le risorse umane gestiscono i fascicoli, l’ufficio paghe calcola le maggiorazioni, la produzione modifica i turni, la vigilanza registra gli accessi e un’impresa esterna invia personale presso il sito. Ogni insieme di dati può apparire corretto se esaminato separatamente, mentre il confronto può rivelare una prassi non conforme. Una carenza documentale consiste nell’assenza o nell’indisponibilità di un’evidenza. Una prassi non conforme ricorre invece quando registrazioni attendibili, osservazioni o colloqui confermano uno scostamento rispetto alla regola adottata.

Quando il tempo è limitato, la priorità va attribuita ai temi con maggiore impatto sulle persone e sulla conformità, più ampia diffusione e maggiore difficoltà di ricostruzione dei dati, non alle procedure più semplici da redigere. La direzione dovrebbe approvare la matrice delle responsabilità, le risorse e le modalità di escalation delle non conformità. Il coordinatore presidia perimetro, scadenze e stato delle carenze, ma non sostituisce le responsabilità di risorse umane, produzione, salute e sicurezza o acquisti. L’importanza di questa ripartizione è illustrata anche nell’articolo ASME NQA-1 — come strutturare qualità, responsabilità e controllo nei progetti per il settore nucleare.

Le policy definiscono i principi e i limiti

Il pacchetto di policy deve derivare dal perimetro confermato dell’audit, dal profilo di rischio del sito, dai requisiti del cliente e dalle disposizioni applicabili alle attività. Non esiste un unico insieme adatto a tutte le organizzazioni. In genere sono necessarie regole relative agli standard di lavoro, al divieto di lavoro forzato e minorile, alla non discriminazione e alla prevenzione delle molestie, alla libertà di associazione, alle retribuzioni e agli orari, alla salute e sicurezza, all’ambiente e all’etica d’impresa. Possono essere raccolte in un unico documento quadro oppure articolate in policy specifiche, se la suddivisione rispecchia la struttura delle responsabilità. Il codice etico del fornitore può integrare tale assetto, ma non sostituisce le regole vigenti all’interno del sito.

Ogni policy dovrebbe definire l’impegno della direzione, i gruppi cui si applica, i ruoli responsabili dell’attuazione, i canali disponibili per segnalare violazioni, la tutela da ritorsioni, il processo di gestione dei casi e le modalità di comunicazione ai lavoratori. L’approvazione da parte del livello direttivo competente conferisce autorevolezza al documento, ma non dimostra che sia stato attuato. Servono meccanismi operativi ed evidenze che dimostrino come i destinatari conoscano e comprendano la regola e possano avvalersene. La valutazione può considerare la copertura della comunicazione, la comprensione verificata e la tempestività delle risposte alle segnalazioni.

Il campo di applicazione soggettivo non può limitarsi ai dipendenti. Occorre stabilire quali regole si applichino anche alle persone che operano con altre forme contrattuali, ai lavoratori temporanei e migranti e al personale degli appaltatori presente nel sito. Una policy contro le molestie è inefficace se un lavoratore del turno notturno non conosce il canale di segnalazione o non può utilizzarlo in una lingua comprensibile. La comunicazione multilingue deve riflettere l’effettiva composizione della forza lavoro, non semplicemente la lingua formale della documentazione.

L’adozione delle policy di gruppo richiede particolare attenzione. Prima dell’applicazione occorre verificare se i ruoli indicati esistano nella società locale, se i canali di segnalazione siano operativi, se i tempi di risposta siano realistici e se le prestazioni e le soluzioni organizzative descritte siano effettivamente disponibili. In caso contrario, il documento crea un impegno in contrasto con la pratica.

Un’unica policy per l’occupazione responsabile può sostituire più documenti, purché non renda meno chiare le responsabilità e resti collegata alle modalità operative. La gerarchia documentale dovrebbe essere leggibile: la policy stabilisce il principio, la procedura descrive il processo, l’istruzione disciplina le modalità di esecuzione e il modulo o registro conserva l’evidenza. Questa distinzione è utile anche nell’approccio descritto nell’articolo Pre-audit UNI EN ISO 9001: come valutare in modo affidabile la preparazione dell’organizzazione senza costi eccessivi.

Procedure che governano le attività operative

Le procedure devono essere progettate soprattutto per i punti nei quali la decisione di un responsabile, uno scostamento dal piano o un’incoerenza tra dati possono determinare una violazione. Nell’area del personale dovrebbero disciplinare il reclutamento, la verifica dell’età e del diritto al lavoro, la stipula e la modifica delle condizioni contrattuali, la conferma della volontarietà del lavoro e il divieto di addebitare commissioni non consentite. Devono essere regolati con altrettanta chiarezza la cessazione del rapporto e la restituzione dei documenti appartenenti al lavoratore.

Non è necessario predisporre una procedura distinta per ogni attività quando i processi condividono ruoli e controlli. È invece opportuno prevedere flussi separati per questioni caratterizzate da livelli diversi di riservatezza, iter autorizzativi o responsabilità. La struttura documentale deve agevolare le decisioni e la produzione delle evidenze, non riprodurre l’organigramma per mero formalismo.

Il rapporto tra organico disponibile, capacità produttiva e orario di lavoro richiede un controllo specifico. La procedura dovrebbe stabilire come pianificare i turni, autorizzare gli straordinari — manualmente o attraverso un sistema — rilevare le presenze e calcolare maggiorazioni, ferie e trattenute. Il controllo fondamentale consiste nel riconciliare i dati del sistema di accesso, i turni, le registrazioni dell’orario e i cedolini, chiarendo le differenze prima della chiusura delle elaborazioni.

Se un ordine urgente richiede una modifica del piano, lo scostamento dovrebbe indicare chi lo approva, il fondamento della decisione, la valutazione di conformità e la registrazione prodotta dopo l’esecuzione. Limiti, riposi, criteri di calcolo e scadenze devono essere riferiti ai requisiti aggiornati applicabili alla forma contrattuale e alla situazione della persona interessata, non a un unico valore ritenuto universalmente valido.

Nell’area della salute e sicurezza, le procedure devono essere coerenti con i pericoli effettivi del sito. Dovrebbero disciplinare la valutazione dei rischi, la formazione, la scelta e la consegna dei dispositivi di protezione, la segnalazione e l’analisi degli infortuni, la preparazione alle emergenze, il primo soccorso e la prevenzione incendi. Occorre inoltre controllare le verifiche delle attrezzature e l’esecuzione in sicurezza delle attività a rischio particolare, in funzione delle operazioni svolte.

L’autorizzazione a svolgere un’attività che richiede misure di protezione specifiche non può basarsi esclusivamente su un’istruzione operativa. Devono essere definiti il titolare della decisione, le condizioni di avvio, i criteri di interruzione e la registrazione del controllo. Una logica analoga per la gestione delle competenze e delle evidenze è presentata nell’articolo ISO 3834: come controllare saldatura, competenze e registrazioni della qualità nella produzione.

Il meccanismo di reclamo deve definire i canali accessibili, le regole di riservatezza, l’indipendenza dell’esame, i tempi, la tutela da ritorsioni, il riscontro all’interessato e le modalità di chiusura dei casi. Una cassetta per le segnalazioni priva di un registro di gestione non costituisce una soluzione completa. Occorre stabilire chi riceva una segnalazione riguardante un superiore o la direzione e quando il caso debba essere trasferito a una persona o a un soggetto indipendente. Il registro dovrebbe consentire di valutare la tempestività della risposta, lo stato del caso e l’esecuzione delle azioni, senza divulgare ingiustificatamente i dati del segnalante.

Per ambiente ed etica d’impresa servono procedure proporzionate agli aspetti rilevanti delle attività. Possono comprendere il controllo dei requisiti, dei rifiuti, dell’uso delle risorse e degli eventi ambientali, nonché dei conflitti di interesse, degli omaggi, degli abusi e delle segnalazioni. È preferibile disciplinare gli scostamenti indicando presupposto, autorità decisionale, limiti dell’eccezione e registrazione richiesta, anziché appesantire i documenti con ogni possibile casistica.

Registrazioni che consentono di ricostruire i fatti

Una registrazione ha valore quando permette di ricostruire le condizioni di lavoro di una persona o lo svolgimento di un evento: chi ha compiuto una determinata attività, quando, su quale base e con quale esito. Prima dell’audit occorre quindi definire la fonte dei dati di riferimento per ogni processo, le regole di identificazione delle versioni e le modalità di correzione degli errori senza cancellare la registrazione originaria. Conservazione, disponibilità e archiviazione sono altrettanto importanti. La registrazione deve riferirsi al sito e al periodo oggetto di valutazione e la sua provenienza deve poter essere confermata.

I fascicoli e i registri del personale devono essere coerenti con lo status della persona interessata. Possono comprendere il titolo del rapporto di lavoro o collaborazione, la conferma delle condizioni, i dati richiesti per svolgere regolarmente l’attività lavorativa, le attestazioni della formazione e delle informazioni fornite, le modifiche delle condizioni e la cessazione del rapporto. La prova di conformità più significativa resta tuttavia la tracciabilità completa di una singola persona: dal turno pianificato alla presenza effettiva e alla rilevazione dell’orario, dalle autorizzazioni o disposizioni relative al lavoro aggiuntivo fino al calcolo della retribuzione e alla conferma del pagamento. Il sistema del personale, il controllo degli accessi, la documentazione del responsabile e il cedolino devono rappresentare lo stesso stato di fatto.

Se il sistema di accesso indica una presenza successiva alla fine dell’orario registrato, la differenza non deve essere automaticamente classificata come straordinario né eliminata come errore tecnico. Occorre accertarne la causa, confrontare il turno, la registrazione operativa, le disposizioni del responsabile e il conteggio retributivo, quindi documentare la spiegazione e la correzione approvata.

Il campione da verificare deve essere selezionato in base al rischio. Dovrebbe includere differenti forme contrattuali, turni e reparti, periodi di maggiore produzione, lavoro aggiuntivo e situazioni eccezionali. La dimensione del campione deve dipendere dalla scala delle attività e dagli scostamenti rilevati, non da un numero fisso scelto senza analisi.

Nell’area della salute e sicurezza, il percorso delle evidenze dovrebbe collegare le valutazioni dei rischi aggiornate ai registri di formazione, sorveglianza sanitaria e abilitazioni, ai controlli di attrezzature e protezioni, alla consegna dei dispositivi di protezione, alle esercitazioni di emergenza, agli infortuni, alle azioni correttive e alle verifiche delle condizioni di lavoro. Per ambiente ed etica occorre organizzare, se tali aree rientrano nel perimetro dell’audit, autorizzazioni e comunicazioni applicabili, risultati delle misurazioni, registrazioni operative, incidenti, reclami, conflitti di interesse, segnalazioni di violazioni e azioni conseguenti. L’importanza della tracciabilità delle registrazioni è illustrata anche nell’articolo AQAP 2110: quali documenti e processi verificano più spesso gli auditor nel settore della difesa?

Per agenzie per il lavoro e appaltatori deve essere predisposto un percorso delle evidenze separato. La documentazione dovrebbe consentire di valutarne qualificazione, condizioni contrattuali, elenchi delle persone inviate al lavoro, comunicazioni richieste, conteggi, controlli svolti e reazioni alle irregolarità rilevate. Il solo contratto commerciale non dimostra che le persone presenti nel sito abbiano uno status appropriato, ricevano quanto concordato e operino nelle condizioni dichiarate. Il responsabile del processo dovrebbe quindi riconciliare periodicamente i dati della controparte con le presenze, le registrazioni delle ore lavorate, i documenti retributivi e gli esiti dei controlli sul posto.

Verifica della preparazione e chiusura delle carenze

La verifica della preparazione dovrebbe riprodurre la logica dell’audit effettivo: esame dei documenti, sopralluogo del sito, colloqui con direzione e lavoratori, campionamento dei fascicoli e riconciliazione dei dati tra sistemi. Una checklist delle policy non è sufficiente, perché non rileva la differenza tra una regola descritta nella procedura e la pratica adottata durante un turno produttivo. In funzione delle competenze e dell’indipendenza disponibili, l’organizzazione può svolgere internamente una simulazione di audit oppure affidare una valutazione indipendente, secondo l’approccio descritto nell’articolo Pre-audit UNI EN ISO 9001: come valutare in modo affidabile la preparazione dell’organizzazione senza costi eccessivi. La verifica deve essere chiaramente distinta dall’audit effettivo.

Ogni carenza rilevata deve essere classificata come:

• assenza di un documento o di una registrazione;
• mancata attuazione della regola adottata;
• controllo inefficace;
• incoerenza tra i dati;
• potenziale violazione che richiede una risposta immediata.

La classificazione determina il responsabile del caso e il livello di escalation. La mancata approvazione di un’istruzione può rientrare nelle responsabilità del titolare del processo; il sospetto di un calcolo non corretto dell’orario di lavoro richiede invece l’immediato coinvolgimento della funzione risorse umane, della direzione e, in funzione delle circostanze, del supporto legale. Una logica analoga di valutazione del rischio è applicata nell’articolo Audit del fornitore prima della firma del contratto: come ridurre i rischi per qualità e puntualità.

Il piano d’azione non può limitarsi ad aggiungere il modulo mancante. Deve comprendere la correzione della situazione in essere, l’analisi della causa radice, l’azione correttiva, la scadenza, il responsabile, l’evidenza richiesta per dimostrare l’attuazione e la verifica di efficacia. La chiusura della carenza dovrebbe essere approvata da una persona dotata di competenze e indipendenza sufficienti per valutare l’evidenza, non automaticamente da chi ha eseguito l’azione.

Il registro di preparazione dovrebbe rappresentare le carenze per area e livello di rischio, i rispettivi responsabili, le scadenze e lo stato delle evidenze. Non tutte le carenze possono essere risolte responsabilmente prima dell’audit. Una nuova registrazione che non copre un periodo sufficiente per confermare l’efficacia dell’azione non costituisce ancora evidenza di un miglioramento stabile.

La preparazione dei lavoratori e del personale direttivo consiste nello spiegare lo scopo dell’audit, i diritti dei partecipanti, le regole di riservatezza e le modalità di messa a disposizione delle informazioni. Istruire le persone sulle risposte attese compromette l’attendibilità dei colloqui e può nascondere i rischi reali. I lavoratori devono conoscere le regole applicabili e i canali per segnalare problemi, ma rispondere sulla base della propria esperienza.

La decisione sulla preparazione spetta alla direzione e deve basarsi sul registro dei rischi aperti, sulla coerenza dei percorsi delle evidenze e sulla capacità dei responsabili di processo di spiegare concretamente le prassi applicate. Se permane una potenziale violazione riguardante i lavoratori, mancano dati attendibili o esiste una carenza che richiede più tempo per verificare l’efficacia delle azioni, il caso deve essere sottoposto a escalation. Se i requisiti del cliente e gli accordi organizzativi lo consentono, gravi carenze irrisolte possono giustificare la riprogrammazione dell’audit.