ISO/IEC 17025: imparzialità e riservatezza — come dimostrarle in audit
I requisiti di imparzialità e riservatezza sono spesso i meno preparati, ma tra i primi che l'ente di accreditamento controlla. Cosa serve avere a portata di mano per non farsi cogliere impreparati.
Il capitolo 4 della ISO/IEC 17025:2017 è dedicato ai requisiti strutturali, di imparzialità e riservatezza. È una sezione corta — poche pagine — ma è anche quella più frequentemente sottovalutata in fase di preparazione all’audit di accreditamento. Risultato: aziende ben preparate sulla parte tecnica si ritrovano osservazioni o non conformità in audit perché non hanno saputo dimostrare di gestire seriamente questi requisiti.
Vediamo concretamente cosa va dimostrato e come.
Cosa chiede la norma in pratica
Imparzialità (§ 4.1)
“Le attività di laboratorio devono essere realizzate in modo imparziale e essere strutturate e gestite in modo da salvaguardare l’imparzialità.”
In termini operativi: il laboratorio deve identificare i rischi alla propria imparzialità (es. pressioni commerciali dal cliente, conflitti di interesse del personale, relazioni con organismi che potrebbero influenzare il risultato), e dimostrare di averli mitigati. Il modulo Imparzialità di QualityDesk archivia l’analisi dei rischi con misure di mitigazione collegate, revisioni numerate e collegamento diretto al Riesame della Direzione, rendendo l’evidenza pronta all’auditor in qualunque momento.
Riservatezza (§ 4.2)
“Il laboratorio deve assumersi la responsabilità della gestione di tutte le informazioni ottenute o create durante l’esecuzione delle attività di laboratorio.”
In termini operativi: il personale deve essere vincolato per iscritto alla riservatezza, l’accesso alle informazioni deve essere controllato, e devono esserci procedure per gestire eventuali richieste di comunicazione a terzi (es. ordine del tribunale, autorità di vigilanza).
I 6 documenti che l’auditor cerca su questo capitolo
1. Analisi dei rischi di imparzialità
Un documento dedicato (o un capitolo del Manuale Qualità) che elenchi le situazioni potenzialmente lesive dell’imparzialità nel contesto specifico del laboratorio. Esempi:
- proprietà o partecipazione finanziaria del laboratorio in aziende che potrebbero essere clienti delle prove
- personale che svolge in parallelo attività di consulenza commerciale verso gli stessi clienti delle prove
- pressioni commerciali del responsabile vendite sul tecnico per “rivedere” un esito sfavorevole
- esistenza di gare o appalti in cui il laboratorio è coinvolto come parte interessata
Per ogni rischio identificato, deve esserci una misura di mitigazione documentata: separazione organizzativa, deleghe, controlli incrociati, ecc.
2. Dichiarazioni firmate di imparzialità del personale
Ogni persona che esegue o approva attività di laboratorio (tecnici CND, addetti alle prove meccaniche, responsabile tecnico, riesami dei rapporti) deve firmare una dichiarazione di imparzialità, di solito annuale o all’ingresso e poi rinnovata in caso di cambiamento di ruolo.
Il modulo deve coprire almeno:
- assenza di conflitti di interesse con i clienti delle attività di laboratorio
- assenza di pressioni o tentativi di condizionamento ricevuti
- impegno a segnalare prontamente eventuali situazioni che possano compromettere l’imparzialità
Le firme devono essere datate e archiviate. In audit l’auditor pesca a campione 2-3 persone e chiede la loro ultima dichiarazione firmata. QualityDesk gestisce le dichiarazioni firmate del personale come documenti tracciati per persona con data di firma e scadenza annuale: il cruscotto scadenze unificato segnala quelle in scadenza prima dell’audit, in modo che il registro sia sempre coperto al 100%. Vedi come gestiamo questa parte → /prodotto.
3. Patti di riservatezza con il personale
Tutti i contratti di lavoro o accordi collaborativi devono includere una clausola di riservatezza esplicita sulle informazioni del cliente. Non basta la clausola generale di riservatezza aziendale: deve essere specificamente riferita ai dati delle prove.
Per i collaboratori esterni (lab a contratto, consulenti, tirocinanti), è richiesto un NDA specifico prima dell’accesso alle informazioni.
4. Verbale del Comitato per la Salvaguardia dell’Imparzialità (se previsto)
In alcuni laboratori più strutturati esiste un Comitato per la Salvaguardia dell’Imparzialità (in inglese Impartiality Committee), composto da rappresentanti interni ed eventualmente esterni, che si riunisce periodicamente per esaminare i rischi e le segnalazioni.
Anche per i laboratori più piccoli, è buona pratica avere almeno un verbale annuale di riesame dell’imparzialità, integrato nel Riesame della Direzione o in un documento separato.
5. Registro delle segnalazioni di pressione/tentativi di condizionamento
Anche se vuoto, deve esistere. La norma prevede che il personale possa segnalare situazioni potenzialmente lesive dell’imparzialità, e il laboratorio deve avere un canale di segnalazione e un registro delle segnalazioni ricevute (con la relativa gestione).
Un registro vuoto è accettabile: dimostra solo che non sono state ricevute segnalazioni. Un registro inesistente è non conformità: la norma chiede la disponibilità del canale, non l’esistenza di problemi. Il modulo Comunicazioni di QualityDesk include nativamente il registro segnalazioni con tracciatura mittente, data, oggetto e gestione, esibibile in audit con un filtro.
6. Procedura di gestione delle richieste di accesso ai dati da parte di terzi
Deve esistere una procedura che descriva cosa fa il laboratorio se:
- riceve una richiesta di accesso ai dati da parte di un organismo terzo (es. ordine del tribunale, autorità di vigilanza, ente certificatore di un cliente)
- è obbligato per legge a comunicare informazioni (es. emergenze sanitarie, ordini giudiziali)
- deve gestire un cliente che chiede l’eliminazione dei propri dati storici
La procedura non deve essere complicata: di solito è una pagina con il flusso decisionale e l’identificazione della persona autorizzata a rispondere (tipicamente il Responsabile del Laboratorio o il Responsabile Qualità).
Errori frequenti che fanno emergere non conformità
Confondere imparzialità con indipendenza. Sono concetti diversi. L’imparzialità riguarda la gestione dei rischi specifici: un laboratorio può essere parte di un gruppo industriale e mantenere comunque l’imparzialità, se gestisce correttamente i rischi.
Avere dichiarazioni di imparzialità firmate solo dai dirigenti. Devono firmare anche gli operatori tecnici che eseguono le prove e i riesami.
Considerare la riservatezza solo come “non diffondere i risultati”. La riservatezza copre tutte le informazioni del cliente: dati anagrafici, dettagli del campione, processo produttivo del cliente, condizioni economiche del contratto.
Non aggiornare le dichiarazioni dopo cambiamenti. Un cambio di ruolo, un nuovo accordo commerciale con un cliente importante, l’ingresso di un nuovo socio: ognuno è un trigger per aggiornare l’analisi dei rischi di imparzialità.
Cosa fare la prossima settimana
Tre azioni concrete per arrivare preparati alla prossima sorveglianza:
- Verificare che ogni persona del laboratorio abbia una dichiarazione di imparzialità firmata negli ultimi 12 mesi. Se manca, farla firmare subito.
- Aggiornare l’analisi dei rischi di imparzialità se sono cambiati clienti significativi, ruoli, partecipazioni societarie nell’ultimo anno.
- Verificare l’esistenza del registro segnalazioni (anche vuoto). Se non esiste, crearlo immediatamente con un modulo semplice.
QualityDesk gestisce in modo strutturato le sezioni di Imparzialità e Riservatezza richieste da ISO/IEC 17025: dichiarazioni firmate del personale con scadenze tracciate, registro segnalazioni, archivio analisi dei rischi, riesami della direzione con sezione dedicata. Richiedi una demo per vederlo sui flussi reali di un laboratorio accreditato.
