Raccomandazioni ISO: la differenza con le non conformità
Una raccomandazione ISO è un suggerimento di miglioramento, formulato con il verbo “should” nella terminologia tecnica: descrive una buona pratica, non un obbligo. Una non conformità è il mancato soddisfacimento di un requisito espresso con “shall”, il verbo che nelle norme ISO indica ciò che l’organizzazione deve fare per essere conforme. È questa la differenza tra raccomandazioni ISO e non conformità che ogni responsabile qualità deve saper riconoscere durante un audit.
La conseguenza pratica è netta: una non conformità apre un’azione correttiva formale e può bloccare o ritardare la certificazione. Una raccomandazione no.
- Raccomandazione: opportunità di miglioramento, azione facoltativa, nessun impatto diretto sulla certificazione.
- Non conformità: violazione di un requisito, azione correttiva obbligatoria, possibile impatto sull’esito dell’audit.
Il glossario ufficiale della famiglia ISO 9000 chiarisce che “shall” indica un requisito vincolante mentre “should” esprime una raccomandazione: la distinzione terminologica non è stilistica, è normativa. Anche ISO 19011, la guida di riferimento per gli audit dei sistemi di gestione, e ISO 17021 per gli organismi di certificazione, si basano su questa stessa logica binaria quando qualificano un rilievo.
Punti chiave
La differenza tra raccomandazioni ISO e non conformità dipende dalla presenza di un requisito violato: senza requisito non c’è non conformità, solo un suggerimento di miglioramento.
| Punto | Dettagli |
|---|---|
| Criterio decisivo | Una non conformità esiste solo se un requisito scritto viene violato con evidenza oggettiva. |
| Obbligo di azione | Le non conformità richiedono azione correttiva formale; le raccomandazioni restano facoltative. |
| Gravità variabile | Le non conformità maggiori possono bloccare la certificazione, le minori no. |
| Wording preciso | Ogni rilievo va scritto citando il requisito e l’evidenza raccolta, mai con giudizi generici. |
| Supporto specialistico | Security Hub assiste nella preparazione di audit interni e nella chiusura delle non conformità per ISO 27001, 27017 e 27018. |
Indice
- Cosa sono le raccomandazioni ISO e le non conformità: le definizioni ufficiali
- Checklist per distinguere raccomandazioni e non conformità durante l’audit
- Impatto sulla certificazione: quando una non conformità blocca il processo
- Esempi pratici: qualità e sicurezza delle informazioni a confronto
- Come scrivere il verbale: esempi di wording per NC e raccomandazioni
- Consigli operativi per gestire i rilievi dopo l’audit
- Perché questa distinzione conta più di quanto sembri
- Come Security Hub supporta la gestione di non conformità e raccomandazioni
- Fonti
Cosa sono le raccomandazioni ISO e le non conformità: le definizioni ufficiali
Capire la differenza tra raccomandazioni ISO parte dal linguaggio delle norme stesse. Il glossario ISO 9000 e la struttura armonizzata (Annex SL) che accomuna gli standard di sistemi di gestione stabiliscono un vocabolario condiviso: ogni clausola che usa “shall” genera un requisito verificabile, ogni clausola con “should” resta un consiglio.
Le norme tecniche definiscono la raccomandazione come una possibile linea di condotta suggerita, senza obbligo di applicazione (definizione 3.3.4 secondo l’analisi di GT Engineering). Una non conformità, al contrario, nasce solo quando esiste un requisito scritto e l’evidenza raccolta durante l’audit dimostra che non è stato rispettato.
Il ruolo degli organismi di certificazione entra qui in gioco. ISO 17021 impone a chi conduce gli audit di terza parte principi di competenza, imparzialità e coerenza nel valutare i rilievi. In pratica:
- Una non conformità richiede: requisito identificabile + evidenza oggettiva della deviazione.
- Una raccomandazione richiede solo: osservazione di un’area migliorabile, senza violazione di clausola.
- ISO 19011 guida l’auditor nel distinguere i due casi durante la pianificazione e la conduzione dell’audit.
Checklist per distinguere raccomandazioni e non conformità durante l’audit
Sul campo, la teoria va tradotta in domande semplici. Prima di scrivere qualsiasi rilievo sul verbale, poniti tre domande in sequenza.
- Esiste un requisito scritto nella norma o nella documentazione interna che si applica a questo processo?
- L’evidenza raccolta (documento, intervista, osservazione diretta) mostra una deviazione reale da quel requisito?
- Il problema è isolato o rivela una debolezza sistemica del processo?
Se la risposta alle prime due domande è sì, sei davanti a una non conformità. Se manca un requisito esplicito, o l’evidenza mostra solo un margine di miglioramento senza violazione, stai osservando una raccomandazione. Un’osservazione segnala un’area di potenziale debolezza che non costituisce mancato rispetto di un requisito, come sottolinea Qualitiamo: non richiede sempre un trattamento formale, ma ignorarla sistematicamente è un errore di gestione.
Un consiglio: documenta sempre il “perché” della tua classificazione accanto al rilievo. Se un collega o un auditor esterno rilegge il verbale tra sei mesi, deve capire subito su quale requisito ti sei basato, senza dover ricostruire il ragionamento a memoria.
Impatto sulla certificazione: quando una non conformità blocca il processo
Non tutte le non conformità pesano allo stesso modo. La distinzione tra non conformità maggiori e minori, spiegata bene da Qualitiamo, determina se la certificazione può procedere subito o resta sospesa fino alla verifica delle azioni correttive.
- Non conformità maggiore: assenza totale di un processo richiesto, o accumulo di più non conformità minori sullo stesso requisito. Blocca l’emissione o il rinnovo del certificato fino a verifica.
- Non conformità minore: deviazione isolata, non sistemica. Richiede un piano di azione correttiva ma spesso non impedisce la chiusura positiva dell’audit.
- Raccomandazione: nessun impatto diretto sulla certificazione. Diventa input per il piano di miglioramento continuo.
Per una non conformità, l’organizzazione deve produrre un’analisi delle cause radice, un piano d’azione con responsabile e scadenza, e un’evidenza di verifica dell’efficacia, in genere entro 30-90 giorni a seconda della gravità e delle policy dell’organismo di certificazione. Per una raccomandazione, basta una nota nel piano di miglioramento, senza scadenza vincolante né verifica formale da parte dell’auditor.
Esempi pratici: qualità e sicurezza delle informazioni a confronto
Vedere i due concetti applicati a casi reali aiuta più di qualsiasi definizione astratta.
In un sistema di gestione qualità, la mancanza di un registro delle non conformità richiesto dalla procedura documentata è una non conformità: il requisito esiste, l’evidenza della sua assenza è oggettiva. Se invece il registro esiste ma potrebbe essere organizzato in modo più efficiente per ridurre i tempi di ricerca, quella è una raccomandazione.
Nell’ambito ISMS, la differenza è altrettanto netta:
- Un controllo di accesso richiesto dalla dichiarazione di applicabilità ma non implementato sui server di produzione è una non conformità: viola un controllo previsto.
- Suggerire un rafforzamento (hardening) aggiuntivo dei server cloud, non richiesto da nessun controllo applicabile, resta una raccomandazione.
Chi gestisce ambienti cloud multi tenant trova esempi utili nelle linee guida ISO per il cloud, dove la distinzione tra requisito contrattuale e buona pratica emerge spesso negli stessi termini.
Come scrivere il verbale: esempi di wording per NC e raccomandazioni
Il modo in cui formuli il rilievo determina quanto sarà facile gestirlo dopo. La regola d’oro: cita sempre il requisito violato, riporta l’evidenza raccolta, ed evita giudizi generici.
- Wording per una non conformità: «Il punto 8.5.1 della procedura richiede la verifica del prodotto prima della spedizione. L’evidenza raccolta (registro spedizioni del 12 marzo) mostra tre spedizioni senza verifica registrata.»
- Wording per una raccomandazione: «Si suggerisce di automatizzare l’invio dei promemoria di verifica scadenza documenti, per ridurre il rischio di ritardi nel controllo delle registrazioni.»
Indica sempre chi è responsabile della risposta e la data prevista di chiusura, anche per le raccomandazioni: la tracciabilità evita che finiscano dimenticate nel cassetto.
Consigli operativi per gestire i rilievi dopo l’audit
Non tutte le non conformità meritano la stessa urgenza. La prioritizzazione dipende da due fattori: la probabilità che il problema si ripeta e l’impatto che avrebbe se si ripetesse su un cliente o su un dato sensibile. Una non conformità legata alla protezione dei dati personali, per esempio, merita una risposta più rapida di un problema di archiviazione interna.
Le raccomandazioni, gestite bene, diventano una risorsa concreta: alimentano il piano di miglioramento continuo e possono trasformarsi in indicatori di prestazione (KPI) per il sistema qualità o per l’ISMS. Un’organizzazione che ignora sistematicamente le raccomandazioni tende a vedersele ripresentare, un audit dopo l’altro, fino a quando non maturano in non conformità vere e proprie.
- Raggruppa le raccomandazioni ricorrenti per area di processo, così emergono pattern che una singola osservazione isolata non mostrerebbe.
- Assegna una scadenza indicativa anche alle raccomandazioni: non vincolante, ma utile per non perderle di vista.
- Rivedi lo storico dei rilievi prima di ogni nuovo audit interno: riduce le sorprese e mostra all’auditor esterno un sistema che impara da sé stesso.
Un consiglio: se una stessa raccomandazione compare in due audit consecutivi senza azione, trattala come un segnale di rischio anche se formalmente non è ancora una non conformità: il pattern conta più della singola osservazione.
Chi gestisce audit interni ISMS su base regolare trova indicazioni operative aggiuntive nella checklist per la preparazione dell’audit ISO 27017.
Perché questa distinzione conta più di quanto sembri
La maggior parte dei responsabili qualità tratta la differenza tra raccomandazione e non conformità come una formalità burocratica del verbale. È un errore di prospettiva. La classificazione corretta è quello che decide se la vostra energia va spesa a inseguire scadenze di azioni correttive obbligatorie o a costruire miglioramento reale.
Ho visto troppe organizzazioni declassare non conformità sostanziali a semplici raccomandazioni per evitare la burocrazia dell’azione correttiva, e altrettante che gonfiano ogni raccomandazione a non conformità per apparire più rigorose. Entrambi gli approcci minano la credibilità del sistema di gestione nel tempo, perché un organismo di certificazione che rileva incoerenze nella classificazione dei rilievi comincia a dubitare della competenza interna dell’organizzazione, non solo del singolo processo.
La differenza tra raccomandazioni ISO e non conformità funziona bene solo quando chi audita internamente resiste alla tentazione di piegare la classificazione alle proprie comodità operative.
Come Security Hub supporta la gestione di non conformità e raccomandazioni
Distinguere correttamente un rilievo dall’altro è più semplice quando chi conduce l’audit interno ha già visto centinaia di verbali reali, non solo letto le definizioni sulla norma. Security Hub affianca aziende italiane del settore cloud e trattamento dati nella preparazione di audit interni, nella stesura della documentazione e nella gestione delle azioni correttive richieste dagli organismi di certificazione per ISO 27001, ISO 27017 e ISO 27018.
Il supporto copre l’intero ciclo: dall’identificazione dei requisiti applicabili alla redazione di verbali con wording corretto, fino alla verifica dell’efficacia delle azioni correttive prima dell’audit di certificazione esterno. Chi si occupa da poco di conformità evita così l’errore più comune, cioè arrivare all’audit di terza parte con un piano di azioni correttive incompleto o non tracciabile. Se stai pianificando il percorso verso la certificazione o devi gestire non conformità emerse in un audit recente, la guida alla certificazione ISMS ISO 27001 di Security Hub descrive come richiedere una valutazione iniziale della vostra situazione documentale.
Fonti
- Terminologia della famiglia ISO 9000 (ISO glossary)
- Terminologia delle norme tecniche — GT Engineering
- Audit interno – Non conformità e osservazioni: differenze nella gestione — Qualitiamo
Raccomandati
