Il paragrafo 8.5 della ISO 9001:2026 - Produzione ed erogazione dei servizi

di Stefania Cordiani

Hai già sentito parlare di Knight Capital? Nell'agosto del 2012 era uno dei più grandi operatori di Wall Street e i suoi sistemi instradavano ogni giorno una quota rilevante degli scambi sulle azioni americane. Una mattina la Borsa di New York avvia un nuovo programma di negoziazione e Knight aggiorna il proprio software per parteciparvi. Il rilascio era stato distribuito nei giorni precedenti, manualmente, sugli otto server che costituiscono, di fatto, la sua linea di produzione: le macchine che ricevono gli ordini dei clienti e li spezzettano in ordini più piccoli da mandare sul mercato.

Su sette server il nuovo codice è al suo posto ma sull'ottavo no perché un tecnico non lo ha copiato e nessuno ha verificato. Quel server monta ancora la versione precedente che contiene una funzione dismessa nel 2003 e mai rimossa dal codice, chiamato Power Peg. Il nuovo rilascio, riutilizza per un altro scopo proprio il segnale che un tempo attivava quella funzione. Alle 9:30 del primo agosto 2012, quando arrivano i primi ordini con quel segnale acceso, sette server fanno ciò che è previsto (la cosa nuova), mentre l'ottavo "resuscita" quella vecchia, mandando ordini sul mercato senza mai registrare quelli eseguiti, quindi senza mai avere un motivo per fermarsi.

In quarantacinque minuti quel server esegue milioni di transazioni, accumulando posizioni indesiderate per miliardi di dollari. Quando qualcuno capisce cosa sta succedendo e stacca la spina, la perdita è di circa 460 milioni di dollari: quasi tutto il capitale della società che sopravvive ancora pochi giorni grazie a un consorzio di soccorritori e viene assorbita da un concorrente in pochi mesi.

L'inchiesta dell'autorità di vigilanza americana, ricostruisce tre mancanze:

1. nessuna procedura formale di rilascio del software
2. nessun interruttore per fermare la macchina
3. il fatto che il sistema avesse inviato a un gruppo di tecnici novantasette messaggi automatici che segnalavano un'anomalia e che nessuno li avesse letti perché nessuno era stato formato per trattarli come allarmi.

La storia di Knight Capital è una storia di produzione in condizioni non controllate: una modifica rilasciata senza controllo, un'unità della linea di cui nessuno conosceva lo stato rispetto ai controlli previsti e un segnale di monitoraggio che non è arrivato a nessuno. Vi viene in mente un modo migliore per entrare nel punto 8.5 della ISO 9001:2026?

Nota terminologica

Un'osservazione che riguarda le "condizioni controllate" del punto 8.5.1. "Controllato" non significa sorvegliato ma reso prevedibile. Una condizione è controllata quando ciò che serve per ottenere l'output conforme (informazioni, strumenti, persone, ambiente, verifiche) è stato determinato prima e reso disponibile durante, in modo che il risultato non dipenda dalla fortuna o dall'iniziativa del singolo. L'ottavo server non era una macchina non sorvegliata ma una macchina in condizioni non controllate.

Lo scheletro che non cambia

Il motore operativo della norma è rimasto strutturalmente identico: la sequenza in sei punti, dal controllo del processo alla gestione delle modifiche, viene confermata per intero dalla ISO 9001:2026.

Chi ha costruito il proprio controllo operativo sulla ISO 9001:2015 non deve rifare nulla, ma sei punti sono troppi per una radiografia del punto davvero leggibile e nascondono una struttura più semplice: si tratta di controllare il processo (8.5.1), di custodire ciò che si produce e ciò che vi è affidato (8.5.2, 8.5.3, 8.5.4) e di accompagnare il prodotto oltre la consegna e attraverso il cambiamento (8.5.5, 8.5.6). Tre azioni semplici, ed è così che affronteremo questi requisiti.

Controllare: le condizioni che rendono prevedibile il risultato chiarito

Il punto 8.5.1 elenca cosa serve perché la produzione di un prodotto o l'erogazione di un servizio avvengano in condizioni controllate: la disponibilità delle informazioni documentate che definiscono le caratteristiche di ciò che si produce e i risultati da conseguire; le risorse di monitoraggio e misurazione e il loro uso nei punti appropriati; infrastrutture e ambiente adeguati; persone competenti, incluse le qualifiche richieste; la validazione dei processi il cui output non può essere verificato a valle; azioni per prevenire l'errore umano; attività di rilascio, consegna e post-consegna. L'elenco è identico a quello della norma del 2015 ma due lettere meritano una piccola sosta, perché è su di loro che interviene l'allegato A.

La prima è la lettera f), quella dei cosiddetti processi speciali: saldature, trattamenti termici, sterilizzazioni ma anche moltissimi servizi come una consulenza, una lezione, una diagnosi il cui risultato non si può ispezionare dopo o si può ispezionare solo quando è troppo tardi. Per questi processi la norma chiede la validazione: dimostrare in anticipo che il processo, eseguito così, produce il risultato atteso. L'allegato A chiarisce che, quando la verifica finale non è possibile, le informazioni documentate dettagliate del processo e le competenze di chi lo esegue diventano essenziali per garantire che il processo reale sia identico a quello validato. Non basta aver validato la saldatura una volta: bisogna poter dimostrare che questa saldatura, oggi, è stata fatta come quella validata: stesse istruzioni, stesso operatore qualificato, stessi parametri. La competenza diventa uno strumento di controllo operativo, non un capitolo a parte della norma.

La seconda lettera è la g), la prevenzione dell'errore umano. È il requisito che più spesso viene liquidato con un cartello "prestare attenzione", ed è esattamente il contrario di ciò che chiede. Don Norman, lo psicologo cognitivo che ha fondato la disciplina della progettazione centrata sull'utente, ha dedicato al tema il suo libro più celebre, che in Italia è arrivato con il titolo diLa caffettiera del masochista:

Errore umano? No, cattiva progettazione.

Don Norman, La caffettiera del masochista, 1988 (ed. riveduta 2013)

Per Norman, quando una persona sbaglia usando un sistema, la domanda giusta non è "perché non ha fatto attenzione?" ma "perché il sistema le ha permesso di sbagliare così facilmente?". Se rileggete con questa lente la vicenda della Knight Capital non si tratta di un errore umano ma di un processo di rilascio che ammette una copia manuale su otto macchine senza una lista di controllo, senza una verifica automatica delle versioni e senza un confronto finale tra ciò che doveva esserci e ciò che c'era. La prevenzione dell'errore umano del punto 8.5.1 g) non deve essere un appello alla diligenza ma la progettazione di condizioni in cui l'errore diventa difficile da commettere e facile da vedere (il principio che la tradizione giapponese chiamapoka-yoke).

Custodire: identificare, proteggere, preservare riformulato

I tre sotto-punti centrali servono a tenere sotto custodia ciò che state producendo e ciò che vi è stato affidato, sapendo in ogni momento cos'è, di chi è e in quale stato si trova. Ed è qui che la nuova ISO 9001:2026 interviene di più: portare la custodia dal mondo fisico a quello immateriale.

Cominciamo dal punto 8.5.2, l'unico dei sei con una modifica nel testo normativo. La ISO 9001:2015 chiedeva di identificare lo stato degli output durante la produzione; la nuova norma precisa: lo stato rispetto ai requisiti di monitoraggio e misurazione. Sembra un dettaglio ma è proprio la lezione dell'ottavo server: Knight Capital sapeva perfettamente "a che punto era" ogni macchina (accesa e collegata) ma non sapeva se ogni macchina avesse superato il controllo previsto, cioè se la versione installata fosse quella giusta. Identificare lo stato di un output non è sapere dov'è all'interno di un flusso ma sapere quali controlli ha passato e quali no.

Il punto 8.5.3 riguarda la proprietà dei clienti e dei fornitori esterni: ciò che vi viene affidato per essere usato o incorporato (materiali, componenti, attrezzature, locali) va identificato, verificato, protetto e salvaguardato e ogni perdita o danno va comunicato. Il testo è simile a quello del 2015 ma l'allegato A allarga esplicitamente la nozione di proprietà alla proprietà intellettuale e ai dati personali.

L'8.5.4, infine, chiede di preservare gli output durante la produzione e l'erogazione nella misura necessaria ad assicurare la conformità: identificazione, movimentazione, imballaggio, stoccaggio, trasporto, protezione. L'allegato A aggiunge che la preservazione si applica sia agli oggetti tangibili sia a quelli intangibili, informazioni comprese (integrità dei file, delle diverse versioni, dei backup di un servizio digitale in corso di produzione, ecc.).

Accompagnare: oltre la consegna e dentro il cambiamento chiarito

Gli ultimi due punti seguono il prodotto o il servizio fuori dalla linea. L'8.5.5 chiede di determinare l'estensione delle attività post-consegna (garanzie, manutenzione, assistenza, ritiro) in base ai requisiti cogenti, alle conseguenze indesiderate potenziali, alla natura e alla vita utile del prodotto, ai requisiti e al feedback del cliente. Il testo non cambia, ma l'allegato A estende gli esempi fino a servizi come il riciclo e lo smaltimento finale. È l'ingresso del ciclo di vita nella norma.

Il prodotto che consegnate non sparisce con la consegna: si trasforma in un oggetto usato, poi in un oggetto rotto, poi in un rifiuto. La ISO 9001:2026 non vi obbliga a gestire tutto questo ma comincia a chiedervi di considerarlo quando determinate cosa succede dopo la consegna (e in un contesto normativo europeo che, sul fine vita dei prodotti, sta diventando ogni anno più esigente, è un chiarimento che vale come un vero e proprio avvertimento).

Il punto 8.5.6 chiude il punto con il controllo delle modifiche: riesaminarle e tenerle sotto controllo, nella misura necessaria ad assicurare la continua conformità e a conservare le informazioni documentate sui risultati del riesame, sulle persone che le autorizzano e sulle azioni conseguenti.

Da dove viene tutto questo: la ISO 9004:2018 e i future concepts

L'analisi dell'evoluzione del punto 8.5 rivela che, sebbene il motore operativo della ISO 9001 sia rimasto strutturalmente identico, le interpretazioni e le sfumature si sono adattate a un contesto sempre più digitale, immateriale e orientato all'esperienza del cliente, recependo gli stimoli della ISO 9004:2018 e dei future concepts — in particolare quelli sull'esperienza del cliente, sulle tecnologie emergenti e sull'etica.

Abbiamo tre recepimenti parziali. Il primo va dalla soddisfazione alla customer experience: il future concept spinge verso la gestione dell'intera esperienza, reazioni emotive comprese; la ISO 9001:2026 non inserisce la customer experience come requisito nel punto 8.5.5 ma ne parla nell'allegato A, espandendo il concetto di post-consegna fino a riciclo e smaltimento e recependo l'attenzione della ISO 9004 (punto 9.7, risorse naturali) al ciclo di vita del prodotto. Il secondo riguarda validazione dei processi e competenze: la ISO 9004 sottolinea l'importanza di valutare conoscenze e abilità degli operatori; la norma mantiene il requisito di validazione dei processi speciali nell'8.5.1 f) ma l'allegato A chiarisce con forza che, quando la verifica finale non è possibile, informazioni documentate di dettaglio e competenze sono essenziali per garantire che il processo reale sia identico a quello validato. Il terzo è l'integrazione con sicurezza e ambiente: nell'allegato A (A.7.1.3 e A.7.1.4) si riconosce esplicitamente che la gestione dell'infrastruttura e dell'ambiente operativo può richiedere l'integrazione con altri sistemi di gestione.

I cambiamenti veri riguardano l'adattamento alla realtà digitale e immateriale, spinti dai future concepts sulle tecnologie emergenti e sulla gestione della conoscenza: lo stato degli output identificato "rispetto ai requisiti di monitoraggio e misurazione" (8.5.2), perché non basta sapere a che punto è il pezzo ma se ha superato i controlli previsti in quella fase; la proprietà del cliente che include proprietà intellettuale e dati personali (8.5.3), in linea con etica e integrità e con la protezione delle informazioni riservate nell'era digitale; la preservazione estesa agli oggetti intangibili e alle informazioni (8.5.4), che chiede implicitamente di preservare l'integrità dei dati durante la produzione di servizi digitali.

Come si verifica, in pratica

Possiamo tradurre questi elementi in quattro verifiche operative.

Test dell'ottavo server. Scegliete una linea, una postazione o un sistema che esiste in più esemplari (macchine, sportelli, sedi, tecnici sul campo) e chiedete: di ciascun esemplare, sappiamo quale versione delle istruzioni, dei parametri o del software sta usando e quali controlli ha superato? Se la risposta è "dovrebbero essere tutti uguali", state descrivendo lo stato rispetto al flusso, non rispetto ai requisiti di monitoraggio.

Test del processo speciale. Elencate gli output che non potete verificare prima della consegna o che potete verificare solo quando il danno è fatto. Per ciascuno: esiste una validazione del processo? E, soprattutto, cosa dimostra che il processo eseguito oggi è identico a quello validato? Se la validazione è un documento di tre anni fa e la competenza è "lo fa da sempre", l'allegato A vi sta indicando che dovete intervenire.

Test della custodia intangibile. Fate l'inventario di ciò che i clienti vi hanno affidato e che non occupa spazio: dati personali, disegni, specifiche riservate, credenziali, contenuti. Per ciascuna voce, applicate le quattro azioni dell'8.5.3 (identificare, verificare, proteggere, salvaguardare) e chiedetevi cosa succede e chi avvisa il cliente, in caso di perdita. Poi estendete la domanda ai vostri output digitali: quale informazione, se corrotta o persa a metà produzione, creerebbe problemi alla consegna e come la state preservando?

Test del fine vita. Prendete il vostro prodotto o servizio principale e seguitelo oltre la consegna: cosa succede quando si guasta, quando è obsoleto, quando viene dismesso? Chi lo ritira, chi lo ricicla, chi ne smaltisce le parti, chi cancella i dati? Se la risposta a tutte le domande è "se la vede il cliente", l'8.5.5 nella lettura della nuova norma vi chiede di verificare che questa sia una decisione determinata, sulla base dei requisiti cogenti e delle conseguenze, e non un'omissione.

Tutti gli articoli sulla ISO 9001