Questionario Sedex SAQ: come raccogliere i dati e preparare risposte coerenti con la realtà aziendale

Il questionario Sedex SAQ non dovrebbe essere compilato da una sola funzione sulla base di procedure e dichiarazioni precedenti. Le risposte devono rappresentare il funzionamento effettivo della specifica entità o sede ed essere coerenti con documenti, dati operativi e prassi di lavoro. La preparazione del SAQ deve quindi iniziare dalla definizione del perimetro, dei responsabili dei dati e dei criteri applicabili alle evidenze. Solo in un secondo momento è opportuno raccogliere le informazioni, risolvere le discrepanze, approvare le risposte e pianificare la chiusura delle lacune emerse.

Il SAQ come rappresentazione del funzionamento aziendale

Il questionario Sedex SAQ è uno strumento di autovalutazione dell’organizzazione: non costituisce una certificazione né, da solo, una prova di conformità. Descrive le modalità operative dichiarate da una determinata entità o sede. Il destinatario può confrontare le risposte con documenti, dati operativi, colloqui con i lavoratori e risultati di un audit sociale. Il valore del SAQ non dipende dal numero di risposte positive, ma dalla coerenza tra dichiarazioni, evidenze e prassi effettivamente adottate.

Il lavoro deve iniziare dalla conferma dell’obiettivo aziendale, dei destinatari delle risposte e dei relativi requisiti. Occorre stabilire se il perimetro comprende una persona giuridica, un singolo stabilimento o un gruppo di sedi, quindi verificare la versione corrente del questionario e la data in cui è stato reso disponibile nel sistema. Il modulo e le aspettative dei clienti possono cambiare: copiare le risposte precedenti senza rivalutare il perimetro genera dichiarazioni incoerenti. È opportuno affidare il coordinamento complessivo a un unico referente, mentre i dati devono essere forniti dai responsabili dei singoli processi.

Il SAQ ha carattere trasversale. Le domande possono riguardare condizioni di lavoro, salute e sicurezza, impatti ambientali ed etica. Le informazioni devono pertanto provenire, secondo le rispettive competenze, da risorse umane, funzione HSE o sicurezza, operations, acquisti e responsabili di ambiente, finanza e compliance. La funzione qualità può presidiare il metodo di lavoro e la coerenza delle risposte, ma non dovrebbe sostituirsi ai process owner né interpretare autonomamente prassi di cui non è responsabile.

Una dichiarazione relativa alla formazione dei lavoratori richiede di distinguere tre situazioni. Se la formazione viene erogata ed è supportata da registrazioni aggiornate, la risposta dispone di una solida base documentale. Se la prassi è attiva ma le registrazioni sono incomplete, occorre descrivere lo stato effettivo e riordinare le evidenze. Se la soluzione non è stata implementata, non può essere sostituita da una policy o da un piano. Serve una decisione della direzione che definisca l’azione correttiva, la scadenza e la responsabilità. Questo approccio supporta la due diligence nella catena di fornitura e la preparazione alle valutazioni dei clienti, anche nel contesto più ampio descritto in Come preparare il team a un audit del cliente quando sono richiesti APQP, PPAP e analisi delle cause.

Perimetro, ruoli e criteri di risposta

Prima di assegnare le domande è necessario definire formalmente l’unità oggetto della rendicontazione: società, stabilimento, magazzino, ufficio o altra sede inclusa nel profilo SAQ. Il perimetro deve indicare anche le categorie di persone e le forme di impiego considerate. I dati corporate possono costituire una fonte di supporto, ma non sostituiscono quelli della sede valutata. Occorre inoltre adottare un periodo di riferimento comune per i valori numerici e una data limite rispetto alla quale valutare l’aggiornamento di documenti, formazione, valutazioni dei rischi e azioni correttive.

Le responsabilità devono essere ripartite tra il coordinatore SAQ, i responsabili delle aree tematiche, i verificatori e il soggetto autorizzato ad approvare la pubblicazione. Il coordinatore risponde della completezza e della coerenza del questionario, ma non dovrebbe formulare le risposte al posto di risorse umane, sicurezza, acquisti o operations. Il coordinamento può essere centralizzato; la conferma delle prassi e dei dati dovrebbe invece rimanere quanto più possibile vicina alla sede oggetto della valutazione.

Prima di raccogliere i dati è necessario definire i criteri applicabili alle evidenze. Le registrazioni alla fonte e i dati transazionali dovrebbero prevalere sui prospetti manuali, così come lo stato effettivo dovrebbe prevalere sulle dichiarazioni contenute in una policy. Ogni eccezione deve riportare perimetro e motivazione. Per ogni stima occorre documentare il metodo, il responsabile e il soggetto che l’ha approvata. La risposta “non applicabile” richiede una motivazione basata sul perimetro delle attività; l’assenza di un documento o di un dato non costituisce una motivazione valida.

I dubbi devono essere registrati in un elenco delle questioni aperte e delle discrepanze. Per ciascuna voce occorre indicare responsabile, scadenza, evidenze, decisione e soggetto incaricato di dirimere la questione. In questo modo si evitano accordi che rimangono confinati nella corrispondenza o nelle conversazioni. L’approvazione della direzione è particolarmente importante quando una risposta conferma una policy, un impegno dell’organizzazione, un’eccezione significativa o una stima adottata. Il trasferimento di questi criteri ai nuovi process owner può essere collegato al tema Come strutturare l’onboarding di un nuovo ingegnere qualità o responsabile ISO.

Mappa dei dati e delle evidenze

Il pacchetto delle fonti per il SAQ deve essere costruito partendo dalla mappa delle domande, non raccogliendo indiscriminatamente tutti i documenti disponibili nell’organizzazione. Per ogni domanda occorre definire l’informazione richiesta, l’unità di misura, la fonte primaria, il responsabile dei dati e la data di aggiornamento. Il registro delle evidenze dovrebbe collegare l’identificativo della domanda alla risposta in bozza, al perimetro organizzativo, al periodo di riferimento, alla data di verifica e all’eventuale lacuna rilevata. Ciò permette di ricostruire l’origine delle informazioni e limita la trascrizione ripetuta degli stessi valori.

Nella mappa occorre distinguere policy, procedure, registrazioni dell’esecuzione e prassi osservabile. La policy conferma l’adozione di un principio, la procedura descrive le modalità operative, la registrazione dimostra l’esecuzione di un’attività e la prassi indica se la soluzione funziona realmente. Un documento che dichiara un divieto, un obbligo o un impegno non dimostra, da solo, che venga applicato. A seconda della domanda, le evidenze possono includere dati del personale e retributivi, registrazioni dell’orario di lavoro, registri di salute e sicurezza, valutazioni dei rischi, registrazioni della formazione, autorizzazioni e misurazioni ambientali, registri dei reclami, indagini e azioni successive, nonché informazioni sui fornitori.

Prima di aggregare i dati è necessario concordare le definizioni. L’“organico” può indicare il numero di persone a una determinata data, la media del periodo o il numero di equivalenti a tempo pieno. Un “lavoratore esterno” può comprendere lavoratori somministrati, personale di appaltatori oppure soltanto persone stabilmente presenti nella sede. Risorse umane, sicurezza e operations possono inoltre classificare in modo diverso un infortunio, un reclamo o una formazione completata. Il numero di persone formate non sarà attendibile se una funzione considera sufficiente la presenza al corso e un’altra richiede il superamento di una verifica o il conseguimento dell’abilitazione prevista. Definizione, data di riferimento e criterio di inclusione devono essere documentati prima di estrarre i dati.

Quando le fonti sono in conflitto, dovrebbe prevalere quella primaria, gestita in modo controllato e più vicina all’evento. Le discrepanze tra sistema del personale, elenco locale e prospetto manuale devono essere chiarite, non compensate con una media. I dati stimati possono essere utilizzati soltanto se il modulo e la natura della domanda lo consentono. In tal caso occorre conservare il metodo di calcolo, le ipotesi e l’approvazione. È utile gestire le lacune come problemi che richiedono l’individuazione di una causa e di un’azione, secondo la logica descritta in A3 problem solving: come preparare un’unica scheda che guidi il team verso la soluzione.

Un’evidenza sufficiente non richiede necessariamente la copia integrale dei fascicoli del personale, dei cedolini o della documentazione relativa a un’indagine. Per il SAQ deve essere predisposto soltanto quanto necessario a confermare la risposta, prevedendo il controllo degli accessi e, quando l’identificazione delle persone non è necessaria, l’anonimizzazione dei dati personali e delle informazioni sensibili. Il registro dovrebbe indicare il luogo di conservazione e i criteri di retention, senza duplicare gli archivi originari. Prima di condividere i documenti occorre verificare che l’anonimizzazione non elimini informazioni necessarie per valutare la data, la sede, l’esecuzione dell’attività o il relativo esito.

Controllo della coerenza delle risposte

Il controllo del SAQ dovrebbe coprire quattro dimensioni: coerenza logica tra le risposte, corrispondenza dei valori con i documenti di origine, continuità dei dati tra periodi successivi e allineamento delle dichiarazioni con le prassi della sede. La sola verifica della completezza dei campi non è sufficiente. Una risposta può essere presente ma risultare in contrasto con un’altra parte del questionario, non aggiornata oppure valida solo per una parte dell’organizzazione. Le discrepanze più rilevanti riguardano il perimetro, le categorie di persone incluse nel processo e lo stato di implementazione, poiché possono modificare contemporaneamente il significato di numerose risposte.

La verifica deve poggiare su una traccia delle evidenze che colleghi ogni campo del SAQ a una fonte specifica, al responsabile del dato e al metodo di calcolo. Per i valori numerici va conservato l’esito della riconciliazione con il sistema di origine; per le risposte descrittive occorre indicare il documento, la registrazione o la prassi osservata. Il numero di domande prive di responsabile, fonte o conferma può essere utilizzato come indicatore interno del livello di preparazione. Le discrepanze devono essere registrate insieme alla decisione, alla motivazione e al soggetto che le approva, anziché essere eliminate modificando la formulazione senza chiarirne la causa.

I conflitti emergono spesso soltanto confrontando aree diverse. Una policy può formalmente applicarsi a tutti i lavoratori, mentre le registrazioni della formazione dimostrano l’informazione soltanto di una parte dell’organico. Il meccanismo di segnalazione può essere descritto in una procedura, ma i lavoratori potrebbero non sapere dove trovarlo o se sia possibile utilizzarlo in modo riservato. Il numero degli occupati può non corrispondere ai dati su orario di lavoro, formazione in materia di sicurezza o infortuni, soprattutto se sono stati esclusi i lavoratori somministrati o il personale degli appaltatori. In questi casi occorre determinare il corretto perimetro della risposta, non scegliere il valore più favorevole.

Il SAQ può essere verificato senza svolgere un audit interno completo, ricorrendo a un riesame incrociato e a un breve campionamento di audit. Una persona esterna all’area che ha generato il dato dovrebbe ripercorrere alcune risposte dal modulo alle registrazioni, confrontare i dati provenienti da due fonti indipendenti e verificarli su un campione limitato di documenti e lavoratori. Il campione dovrebbe comprendere diverse forme di impiego, turni, sedi e periodi caratterizzati da un rischio più elevato. L’indipendenza del verificatore ha un valore concreto: il process owner conosce le modalità previste, ma può non rilevare scostamenti più evidenti a chi non appartiene all’area. La stessa disciplina nella costruzione della traccia delle evidenze è rilevante nel contesto descritto in ISO 22163 nel settore ferroviario: tempi di implementazione IRIS e preparazione dell’azienda all’audit.

L’ultima fase riguarda il controllo del linguaggio. Espressioni come “tutti”, “sempre” e “in tutte le sedi” sono giustificate soltanto se le evidenze coprono l’intero perimetro dichiarato. Se il processo presenta eccezioni, la risposta deve esplicitarle e indicare come vengono gestite. Un piano approvato, un’implementazione avviata o una formazione ordinata non possono essere presentati come una soluzione già operativa. Distinguere lo stato effettivamente raggiunto dalle attività pianificate tutela la coerenza del SAQ e permette di confermare successivamente i progressi.

Lacune, rischi e risposte condizionate

Una lacuna emersa durante il riesame del SAQ deve essere classificata, perché non tutte le carenze rappresentano lo stesso tipo di problema. Occorre distinguere tra:

• assenza di dati,
• incoerenza delle registrazioni,
• principio formalmente definito ma non implementato,
• non conformità operativa effettiva,
• questione che richiede un’interpretazione giuridica o contrattuale.

Il registro delle lacune deve riportare la data di rilevazione, il perimetro di persone, processi o sedi interessati, il responsabile, la scadenza dell’azione e l’evidenza richiesta per la chiusura. Quando la decisione dipende dalla normativa applicabile, dalle condizioni di impiego o dagli impegni assunti verso il cliente, è necessaria una valutazione giuridica o contrattuale, non un accordo interno basato sull’interpretazione più conveniente.

La priorità dovrebbe derivare dal potenziale impatto sulle persone, sull’ambiente, sulla conformità ai requisiti e sull’affidabilità dell’organizzazione agli occhi del cliente. La facilità di risoluzione può influenzare la pianificazione, ma non dovrebbe determinare la rilevanza del problema. Una lacuna deve impedire l’invio del SAQ quando non consente di determinare una risposta attendibile, riguarda un rischio significativo o renderebbe fuorviante la dichiarazione. Negli altri casi la direzione può accettare temporaneamente il rischio, purché la base della decisione e i limiti della risposta siano descritti in modo trasparente.

Una situazione incompleta deve essere rappresentata per quella che è alla data di approvazione del questionario. Le attività pianificate o avviate devono essere descritte separatamente, indicando responsabile, scadenza e modalità di verifica dell’efficacia. Lo stato dovrebbe distinguere tra attività pianificata, avviata, implementata e verificata. Non è ammissibile completare retroattivamente la traccia delle evidenze né basare una risposta esclusivamente sull’assicurazione del responsabile che una determinata prassi venga applicata. L’assenza di evidenze rimane un rilievo da risolvere, non un problema redazionale. Questo approccio segue la logica delle azioni correttive ed è coerente con il tema Come integrare i dati di reclami, audit, SPC e FMEA in un’unica logica di miglioramento.

Si consideri, ad esempio, un’azienda che dichiara il canale di segnalazione accessibile a tutte le persone che svolgono attività lavorativa. Il riesame conferma l’esistenza della procedura, ma non dimostra che i lavoratori delle agenzie siano stati informati sulle modalità di segnalazione, sulla riservatezza e sulla protezione da ritorsioni. In questo caso non si deve mantenere la dichiarazione di accessibilità universale. Occorre correggere la risposta nel SAQ, informare il gruppo escluso e verificare, mediante colloqui o un campione di registrazioni, che il meccanismo sia effettivamente accessibile e compreso. La lacuna può essere chiusa solo dopo averne confermato l’efficacia, non al momento della pubblicazione della comunicazione.

Approvazione e mantenimento del SAQ

Prima della pubblicazione del SAQ deve essere svolto un riesame formale della completezza e dell’aggiornamento delle risposte, della loro coerenza reciproca, della gestione delle eccezioni e della corrispondenza con il perimetro organizzativo e informativo richiesto dal cliente. Occorre inoltre verificare se i dati divulgati siano soggetti a limitazioni relative alla protezione delle informazioni, ai dati personali o agli obblighi contrattuali. L’approvazione della direzione non può ridursi all’autorizzazione tecnica all’invio del modulo. Il soggetto che approva deve conoscere le lacune rilevanti, i rischi accettati e le attività ancora aperte.

Dopo la pubblicazione occorre conservare la versione approvata delle risposte, il registro delle fonti utilizzate, la data di approvazione e la base dei calcoli principali. La registrazione deve comprendere anche il numero di versione, la data del successivo riesame e l’elenco delle azioni aperte, con il relativo stato e l’evidenza attesa dell’efficacia. Questa traccia consente di ricostruire la base delle dichiarazioni durante un audit e riduce il rischio che, al successivo aggiornamento, i dati vengano calcolati applicando criteri differenti.

Il responsabile del mantenimento del SAQ dovrebbe gestire un registro delle modifiche che incidono sulle risposte pubblicate. Un riesame periodico non è sufficiente se, prima della scadenza prevista, cambiano il profilo delle attività, la struttura dell’occupazione, la sede, un requisito significativo del cliente o il perimetro delle autorizzazioni, oppure si verifica un evento operativo grave. L’avvio di un nuovo stabilimento o un incremento rilevante della quota di lavoratori somministrati richiede una nuova verifica del perimetro dei dati e delle prassi dichiarate, anche se la data prevista per il riesame non è ancora prossima.

Le lacune individuate tramite il SAQ devono essere integrate nei sistemi già esistenti per la gestione delle modifiche, le azioni correttive e il riesame della direzione, anziché essere gestite in un elenco separato creato soltanto per Sedex. Le priorità devono essere definite in funzione del rischio e la chiusura delle azioni deve richiedere la verifica dell’efficacia, non soltanto l’esecuzione del compito. Una possibile struttura temporale è descritta nel contenuto Come preparare un piano di miglioramento della qualità a 3, 6 e 12 mesi. In questo modo il questionario rimane una registrazione controllata dello stato dell’organizzazione, anziché una fotografia storica valida soltanto nel giorno dell’invio.