Audit del cliente: cosa chiedono davvero a una PMI fornitrice

Immagina un'officina meccanica del Mendrisiotto, trenta persone, che da anni tornisce componenti per un gruppo di dispositivi medici. Un martedì arriva un'email dal responsabile acquisti del cliente: audit fornitori tra sei settimane, un giorno in sede, due auditor, in allegato l'elenco dei documenti da tenere pronti. Il titolare lo stampa. Certificato ISO 9001: c'è. Procedure: ci sono, nel raccoglitore. Terza voce: «evidenza dell'approvazione delle modifiche di processo negli ultimi dodici mesi». E lì si ferma, perché le modifiche le ha approvate lui, a voce, in officina.

È un esempio costruito, non un cliente. Ma la scena è quella che sento raccontare quando parlo di automazione dei processi con chi fornisce aziende più grandi: il lavoro è fatto bene, la prova non c'è. Qui trovi cos'è un audit del cliente, le domande che fanno davvero gli auditor, perché i processi manuali non reggono e cosa fare nelle settimane prima.

Cos'è un audit del cliente, e in cosa è diverso da una certificazione?

Un audit del cliente, chiamato anche audit di seconda parte, è la verifica che un'azienda fa su un suo fornitore per accertare che i processi promessi esistano davvero e siano ripetibili. La conduce il cliente stesso, con propri auditor o con incaricati, e non produce un certificato: produce una decisione su quanto fidarsi di te.

La differenza con l'audit di certificazione sta tutta qui. L'ente confronta il tuo sistema con una norma e ti dà un timbro valido tre anni. Il cliente invece ha un problema suo: ti ha messo nella catena di fornitura, risponde ai suoi clienti e alle sue autorità di quello che gli consegni, e vuole sapere se può contare su di te anche quando il capo officina è in ferie. Per questo fa domande più concrete: non «avete una procedura per le modifiche?» ma «fatemi vedere l'ultima modifica, chi l'ha approvata e quando».

L'esito si chiama qualifica del fornitore, mantenimento, approvazione con riserva o piano di azioni correttive. In tutti i casi il cliente decide se continuare a comprare da te, e a quali condizioni.

Cosa chiedono davvero gli auditor a un fornitore?

Le liste dei clienti sono lunghe e cambiano da settore a settore. Ma le domande, quando sei seduto al tavolo, girano quasi sempre intorno a quattro aree.

• 1. Chi ha fatto cosa, e quando. Approvazioni, firme, date. L'auditor prende un ordine a caso e risale: chi lo ha controllato, chi lo ha approvato, chi ha firmato il controllo in uscita. E cosa succede quando quella persona non c'è.
• 2. Da dove vengono i numeri e i documenti. Un valore nel certificato di conformità, una quota nel disegno, una procedura nel raccoglitore: qual è la fonte, la versione, chi l'ha cambiata l'ultima volta e se in officina c'è la stessa copia dell'ufficio.
• 3. Come gestite le eccezioni e i cambiamenti. Non conformità, modifiche al processo, reclami. Qui l'auditor cerca il percorso: apertura, chi ha deciso cosa, chiusura, e i tempi tra un passo e l'altro.
• 4. Formazione e accessi. Chi è formato su una procedura, su quale versione, e chi può fare cosa nei sistemi: approvare, modificare i dati, cancellare.

Le dodici domande che ricorrono di più sono in questa tabella. La terza colonna dice dove trovi la risposta se il processo è tracciato, cioè se il registro viene scritto dal sistema mentre il lavoro avviene.

Se per una riga la risposta è «lo chiedo a Marco» oppure «devo cercare nelle email», hai trovato il punto da cui partire.

Perché i processi manuali falliscono l'audit anche quando il lavoro è fatto bene?

Questa è la parte che fa più arrabbiare i titolari, e li capisco. L'officina dell'esempio lavora bene da vent'anni e il cliente non ha mai avuto un reso. Eppure il giorno dell'audit va in difficoltà. Succede per tre motivi, di solito insieme.

• La prova non esiste, o vive nella testa di una persona. Il capo officina sa chi ha approvato cosa, perché c'era. Ma l'auditor non può mettere a verbale la memoria di qualcuno. Vuole una registrazione fatta al momento, non una ricostruzione fatta dopo.
• Excel senza versioni. Il foglio delle non conformità è uno solo, sul server, e lo aprono in quattro. Nessuno sa chi ha cambiato la riga 32, quando, né cosa c'era prima. Per l'auditor è un documento che chiunque può riscrivere, quindi vale poco.
• Le email come archivio. L'approvazione c'è stata, per email, otto mesi fa. Trovarla vuol dire cercare nella casella di chi l'ha mandata, sperando che non l'abbia cancellata e che dica davvero «approvo» e non «ok».

Così nelle settimane prima dell'audit qualcuno passa giorni a ricostruire quello che è già successo: stampare email, rimettere date sui fogli, chiedere firme a posteriori. È lavoro che non produce niente e che, se l'auditor se ne accorge, peggiora le cose.

Come risponde da solo un processo tracciato?

Un processo tracciato è un processo in cui la registrazione viene prodotta dal sistema nel momento in cui il lavoro avviene, non compilata da una persona dopo. Esempio costruito sull'officina di prima: l'approvazione delle modifiche di processo, la voce che aveva fermato il titolare.

• Richiesta. Il capo officina compila un modulo, dal telefono o dal PC: cosa vuole cambiare, su quale componente, perché. Il modulo crea una riga in un elenco condiviso (una lista SharePoint, per esempio) con data, ora e il suo nome, presi dal sistema.
• Controllo. Un flusso costruito con Power Automate o uno strumento simile manda la richiesta al responsabile qualità. Lui la apre e aggiunge un commento. Anche questo passo finisce nella riga, con data e nome.
• Approvazione. Il titolare approva o rifiuta con un clic. Se non risponde entro tre giorni, il flusso passa la richiesta al sostituto indicato. Chi ha deciso, cosa e quando è scritto nella riga.
• Registro. La riga è il registro. Non c'è un secondo documento da compilare: la cronologia della lista tiene ogni cambiamento, con autore e ora, e l'esecuzione del flusso ha il suo storico separato.

Il giorno dell'audit cambia una cosa sola, ma è quella che conta: invece di ricostruire, si apre il registro. L'auditor chiede «l'ultima modifica approvata sul componente X»; il responsabile qualità filtra la lista, e le tre date con i tre nomi sono lì. «E se il titolare fosse stato assente?»: si mostra la riga approvata dal sostituto. «Come so che non l'avete cambiata ieri?»: si apre la cronologia.

Voglio essere preciso: un flusso automatico e tracciato non ti fa superare l'audit. Ti mette in condizione di mostrare quello che fai. Se il processo è sbagliato, il registro lo farà vedere con la stessa chiarezza. Per questo, prima di farlo partire, lo provo con dati veri e con le persone che lo useranno: il collaudo software prima del go-live serve a scoprire che il sostituto non riceve la notifica, o che il modulo si può inviare vuoto, prima che lo scopra l'auditor.

Cosa fare nelle sei settimane prima?

Sei settimane bastano per un processo, non per tutta l'azienda. Il piano che propongo è questo, con i tempi come stima.

• 1. Leggi l'elenco del cliente con la tabella sotto mano (1–2 giorni). Per ogni voce, chiediti se riesci a mostrare la prova in dieci minuti. Segna quelle per cui la risposta è no. Di solito sono tre o quattro e riguardano lo stesso processo.
• 2. Disegna quel processo su un foglio (1 giorno). Passi, chi fa cosa, cosa produce ogni passo, chi sostituisce chi. Se non riesci a disegnarlo, non è ancora un processo: è un'abitudine, e va prima deciso.
• 3. Costruisci il flusso tracciato e provalo (3–10 giorni). Un flusso semplice, per esempio un'approvazione a un passo con registro, si fa in due o tre giorni. Un processo intero con più passi e più ruoli chiede una o due settimane. La prova con dati veri fa parte del lavoro, non viene dopo.
• 4. Fallo girare davvero (3 settimane). Il registro serve pieno, non vuoto. Tre settimane di uso normale danno righe vere da mostrare e ti dicono se le persone lo usano o lo aggirano. Nell'ultima settimana, prepara con il responsabile qualità la visita guidata: chi apre cosa, per quale domanda.

I costi, per orientarti. Un flusso semplice parte da CHF 1'800 (un flusso, due o tre giorni). Un processo intero, con più passi e un registro consultabile, parte da CHF 4'000. Per confronto: ricostruire le prove a mano costa due o tre giorni di una persona interna, a CHF 60 l'ora tra CHF 960 e 1'440, a ogni audit. Cosa muove il prezzo e quando conviene fermarsi a un flusso solo lo spiego in quanto costa automatizzare un processo in una PMI.

Cosa faccio io, e cosa non faccio?

Preferisco dirlo prima che dopo. Non sostituisco il responsabile qualità: il sistema resta suo, decide lui cosa va registrato e risponde lui all'auditor. Non firmo certificazioni e non faccio consulenza ISO: se devi interpretare la norma o costruire il sistema qualità da zero, serve chi lo fa di mestiere. Io costruisco e documento il processo tracciato, con il registro, la cronologia e una nota che spiega come funziona, perché chi ne ha titolo possa mostrarlo.

Tre riferimenti, senza entrare nel merito. La ISO 9001 chiede che le informazioni documentate siano conservate come evidenza: un registro scritto dal sistema è un modo concreto di farlo. Se il tuo cliente è del life science, il suo audit seguirà le GMP o le GDP e sarà più esigente su tracciabilità e integrità dei dati: stesso principio, severità maggiore, e nel merito risponde il vostro responsabile qualità. Infine la nLPD: un registro con nomi, date e decisioni contiene dati personali dei tuoi collaboratori. Vanno trattati per lo scopo per cui esistono, con accessi limitati e una durata di conservazione decisa. Le regole di base sono nella guida alla nLPD per le PMI.

Da dove partire?

• 1. Fai il test dei dieci minuti sulla tabella. Senza aspettare l'elenco del cliente. Le righe per cui devi «chiedere a Marco» sono la tua lista.
• 2. Scegli un processo solo. Quello che compare più volte nelle righe segnate. Di solito è un'approvazione: modifiche, non conformità o controllo in uscita.
• 3. Chiedi al responsabile qualità cosa vorrebbe aprire davanti all'auditor. È lui che deve mostrarlo. Il registro va costruito per la sua mano, non per la mia.

Se le righe segnate sono tante, o se non sai se il problema è il processo, il gestionale o le persone, la Diagnosi iniziale serve a questo: una giornata con te e con chi segue la qualità, CHF 900, e una nota scritta con le priorità, cosa tracciare per primo e una stima dell'investimento. Se poi si parte con un progetto, la scalo dal preventivo.

---

Se hai un audit del cliente in calendario, o sai che arriverà, mezz'ora al telefono basta per capire quale processo tracciare per primo, quanto tempo serve e cosa costa.

Domande frequenti

Che differenza c'è tra un audit del cliente e un audit di certificazione?

L'audit di certificazione lo fa un ente terzo, con una norma come riferimento, e finisce con un certificato. L'audit del cliente lo fa il cliente stesso, con i propri auditor, e finisce con una decisione: quanto fidarsi di te come fornitore, se qualificarti, mantenerti o metterti sotto osservazione. Cerca meno il timbro e più la prova che i processi che hai promesso esistano davvero e siano ripetibili.

Cosa chiede un auditor a un fornitore?

Le domande girano intorno a quattro aree: chi ha fatto cosa e quando (approvazioni, firme, date), da dove vengono i numeri e i documenti (fonte, versione, chi li ha cambiati), come gestisci le eccezioni (non conformità, modifiche, reclami) e chi può fare cosa nei sistemi (formazione e accessi). Per ognuna vuole vedere un'evidenza, non sentirsela raccontare. Nell'articolo c'è una checklist di 12 domande con cosa devi poter mostrare.

Basta avere le procedure scritte per rispondere a un audit del cliente?

No. Le procedure dicono come dovrebbe andare; l'auditor vuole vedere come è andata davvero, su un ordine preciso: chi lo ha approvato, quando, in base a quale versione del documento. Se questa prova vive nella memoria di una persona, in un Excel senza versioni o in una catena di email, il giorno dell'audit va ricostruita a mano. Un processo tracciato la produce mentre il lavoro avviene.

Quanto costa tracciare un processo prima di un audit?

Un flusso semplice, per esempio un'approvazione a un passo con registro, parte da CHF 1'800 e richiede due o tre giorni. Un processo intero, con più passi, ruoli e un registro consultabile, parte da CHF 4'000. Per confronto, ricostruire le prove a mano prima di ogni audit costa due o tre giorni di una persona interna a CHF 60 l'ora, ogni volta. La cifra esatta arriva sempre dopo una prima call.

Serve un consulente ISO o un responsabile qualità per prepararsi?

Il responsabile qualità serve e resta il titolare del sistema: decide cosa va registrato e risponde all'auditor. Un consulente ISO serve se devi interpretare la norma o costruire il sistema da zero. Io mi occupo di un'altra cosa: costruisco e documento il processo tracciato, con il registro e la cronologia, perché chi ne ha titolo possa mostrarlo. Non firmo certificazioni e non faccio consulenza normativa.

← Torna al Magazine