Il paragrafo 8.7 della ISO 9001:2026 - Il controllo degli output non conformi

di Stefania Cordiani

Il 2 settembre 2016 Samsung annunciò il richiamo mondiale del Galaxy Note 7: circa due milioni e mezzo di telefoni da ritirare perché alcune batterie prendevano fuoco ed è già di per sé un caso da manuale: identificazione del problema, contenimento su scala planetaria, informazione al cliente spinta fino agli annunci negli aeroporti di mezzo mondo, dove il nome del telefono veniva scandito dagli altoparlanti come quello di un passeggero in ritardo. La parte che si tende a dimenticare, però, viene dopo ed è quella che serve a noi.

Samsung fece esattamente quello che il punto 8.7 della ISO 9001:2026 chiede di fare: individuò la non conformità, la attribuì alla batteria del primo fornitore, corresse il prodotto sostituendo la batteria con quella di un secondo fornitore e rimise sul mercato i telefoni "sicuri", contrassegnati da un bollino verde per distinguerli da quelli difettosi. Il 5 ottobre 2016 uno di questi telefoni sostitutivi cominciò a emettere fumo a bordo di un volo Southwest in partenza da Louisville: aereo evacuato, passeggeri sulla pista. Nei giorni successivi altri telefoni "corretti" presero fuoco. L'11 ottobre Samsung interruppe per sempre la produzione del Note 7.

L'indagine indipendente, presentata nel gennaio 2017, rivelò qualcosa di incredibile: le batterie dei due fornitori avevano due difetti diversi. La ricostruzione più accreditata è che la produzione delle batterie sostitutive sia stata accelerata per rispondere alla sostituzione di massa e che la verifica finale che avrebbe dovuto chiudere il cerchio non sia mai stata fatta con la profondità necessaria.

Ecco perché questa storia è perfetta per il punto 8.7 della norma, non perché parla di segregazione, contenimento e informazione al cliente ma perché incarna il requisito più dimenticato dell'intero punto: dopo la correzione, la conformità va verificata di nuovo. La correzione non chiude la non conformità; la chiude la ri-verifica. Samsung trattò la correzione come se fosse essa stessa la prova della conformità.

Nota terminologica: due malintesi da sgombrare

"Output non conformi" non significa "prodotti difettosi". La norma parla di "output" proprio per coprire anche il servizio mentre viene erogato come, ad esempio, la pratica istruita con un documento scaduto.

Aggiungiamo che la "correzione" non è un'"azione correttiva". La correzione elimina il difetto rilevato: ad esempio, riparo il pezzo, rifaccio il documento o rierogo il servizio. L'azione correttiva serve, invece, a eliminare la causa che ha generato il difetto, perché non si ripresenti ed è materia del punto 10.2. Possiamo dire che il punto 8.7 gestisce il presente della non conformità; il 10.2 ne gestisce il futuro. Su QualitiAmo abbiamo dedicato al confine tra i due concetti due alberi decisionali per scegliere bene tra correzione, azione correttiva e monitoraggio, che di questo articolo sono il complemento operativo naturale.

Lo scheletro del punto: cosa resta e cosa cambia

Come per gli altri punti del capitolo 8 che abbiamo esaminato, mettiamo il testo della ISO 9001:2015 accanto a quello della ISO 9001:2026 e guardiamo cosa succede, requisito per requisito.

Il motore operativo, dunque, è intatto: chi ha costruito bene la propria gestione delle non conformità sulla ISO 9001:2015 non dovrà smontare nulla. Le novità vere non riguardano i requisiti e sono tre: le prime due stanno nell'allegato A. La prima è un'ammissione: l'allegato A riconosce esplicitamente che, anche quando i processi funzionano come pianificato, gli output possono comunque non soddisfare i requisiti: le non conformità sono un esito possibile del funzionamento reale dei processi, non un'anomalia scandalosa. La seconda riguarda i servizi: l'allegato ricorda che gli output non conformi possono riguardare il prodotto finale o il servizio erogato, ma anche le fasi intermedie, e che possono emergere dai controlli pianificati, da eventi accidentali o dalle segnalazioni di clienti e altre parti interessate. Nella pratica, correggere un servizio non conforme può significare fornirlo di nuovo, in tutto o in parte. La terza è l'allineamento della terminologia documentale del punto 8.7.2 al nuovo vocabolario comune della norma: le informazioni documentate non vanno più semplicemente "conservate" ma devono essere "disponibili come evidenza": stessi quattro contenuti da registrare, ma con l'accento spostato dall'archiviazione statica alla disponibilità del dato per la verifica e l'analisi.

L'ammissione: la non conformità come evento statistico, non come colpa chiarito

C'è una frase famosa che scrisse George Box, uno dei più grandi statistici del Novecento, genero di Ronald Fisher e collaboratore di Deming nei seminari sulla qualità:

Essenzialmente, tutti i modelli sono sbagliati, ma alcuni sono utili.

George Box e Norman Draper, Empirical Model-Building and Response Surfaces, 1987

Un sistema di gestione per la qualità è esattamente questo: un modello dei processi: utile ma sbagliato per costruzione, perché nessuna procedura descrive tutto quello che accade davvero tra le persone, le macchine e i fornitori. Se il modello è imperfetto per natura, allora lo scarto tra ciò che il processo promette e ciò che il processo produce non è un'anomalia ma una grandezza fisiologica, da conoscere, misurare e ridurre. La non conformità è la manifestazione puntuale di quello scarto.

Se la non conformità è un evento atteso entro certi limiti, allora rilevarla e registrarla è un segno che il sistema vede, non che qualcosa non funziona. Le organizzazioni che trattano ogni non conformità come una colpa da attribuire ottengono come unico risultato che le non conformità smettano di essere segnalate. Chi vuole approfondire come distinguere i due casi trova su QualitiAmo un confronto tra non conformità scritte bene e scritte male.

Attenzione, però: ammettere l'incertezza non significa fare spallucce davanti ai difetti, ma smettere di sprecare energie a fingere che non esistano, per investirle dove servono.

Correggere ciò che non si può toccare: il servizio rierogato e l'etica dell'informare chiarito

E quando l'output non conforme non è un pezzo ma un servizio? L'allegato A della nuova norma ricorda esplicitamente che gli output non conformi possono riguardare anche il servizio erogato; la risposta pratica è che correggere un servizio può significare fornirlo nuovamente, in tutto o in parte.

Nella produzione, la correzione avviene lontano dal cliente: il pezzo torna in officina, viene riparato e riconsegnato e, se tutto va bene, il cliente non vede nulla del processo. Nei servizi la correzione è un secondo atto che si svolge davanti al cliente e con il cliente: la nuova erogazione è essa stessa un'interazione, con tutto ciò che ne consegue in termini di relazione, fiducia e percezione. Trent'anni fa tre studiosi di Harvard, Christopher Hart, James Heskett ed Earl Sasser, diedero a questo secondo atto un nome che ha fatto scuola, service recovery, e ne misurarono l'effetto:

Un buon recupero può trasformare clienti arrabbiati e frustrati in clienti fedeli.

Christopher Hart, James Heskett, Earl Sasser, The Profitable Art of Service Recovery, Harvard Business Review, 1990

È il cosiddetto paradosso del recupero e va maneggiato con cura perché gli stessi autori avvertono che il recupero costa e che la fiducia non sopporta troppi secondi atti ma è la dimostrazione che la correzione nei servizi è un'occasione relazionale, forse la più intensa che un'organizzazione abbia a disposizione.

C'è però una condizione perché il rimedio possa essere avviato: il cliente deve sapere. Ed eccoci alla lettera c del punto 8.7.1, informare il cliente, che è l'unica delle quattro modalità a non avere nulla di tecnico. Segregare e correggere sono operazioni; informare è una scelta morale. La filosofa Sissela Bok, nel suo studio classico sulla menzogna, ha scritto una frase che spiega benissimo questo concetto:

La fiducia è l'atmosfera in cui prospera tutto ciò che conta.

Sissela Bok, Lying, 1978

Nascondere una non conformità a un cliente che ne subirà gli effetti è una forma di menzogna, anche quando nessuno pronuncia una parola falsa: è una menzogna per omissione. La leadership che la norma chiede al vertice non si misura solo nei riesami di direzione ben verbalizzati ma, soprattutto, nel momento in cui qualcuno chiede "lo diciamo al cliente?" e guarda il proprio responsabile negli occhi. La risposta a quella domanda è un pezzettino della cultura della qualità che vige in un'azienda..

L'evoluzione: dal collaudo che boccia al freno d'emergenza

Chi ha vissuto le edizioni precedenti della norma riconosce nel punto 8.7 una delle linee evolutive più coerenti dell'intera ISO 9001. L'obiettivo è lo stesso dal 1987: impedire che ciò che non è conforme arrivi al cliente o venga usato senza volerlo. Attorno a questo nucleo immutato, però, è cambiato tutto il resto. Il vecchio "controllo del prodotto non conforme" della ISO 9001:2008 parlava il linguaggio della fabbrica: il pezzo, il collaudo, il cartellino. La ISO 9001:2015 ha allargato l'inquadratura agli output, includendo i servizi mentre vengono erogati e ha spostato l'accento dalla bocciatura alla gestione: non basta scartare, bisogna decidere. La ISO 9001:2026 completa il percorso con l'ammissione che anche processi che funzionano come pianificato possono produrre output non conformi e con l'attenzione esplicita al servizio erogato: il punto diventa il presidio che protegge il cliente mentre il processo lavora, con i suoi limiti dichiarati.

Nei nostri articoli sul punto 8.7 della ISO 9001:2015 scrivevamo che il controllo dei non conformi, da solo, resta un approccio reattivo: il passaggio di maturità è quello che porta un'organizzazione — parole nostre di allora — da caserma dei pompieri che corre dietro alle emergenze ad azienda che imposta il proprio lavoro su una gestione intelligente. E analizzando la nuova norma avevamo condensato l'evoluzione del punto in un'immagine che qui vogliamo riprendere e portare fino in fondo: il punto 8.7 è il freno d'emergenza del sistema qualità. Nella ISO 9001:2015 quel freno serviva a fermare il treno quando c'era un problema sui binari, per decidere se riparare il guasto o far scendere i passeggeri: contenimento e segregazione del difetto. Nella nuova ISO 9001:2026 il freno è lo stesso ma si aziona con una filosofia nuova: si ammette che, per quanto bravi siano i macchinisti, l'imprevisto può succedere, anche quando tutto funziona come pianificato.

Quattro test per capire se il vostro 8.7 funziona davvero

Il test del cartellino rosso. Prendete un output non conforme segregato in questo momento, fisicamente o logicamente. La segregazione regge o un ordine urgente può scavalcarla, ad esempio nel gestionale?

Il test della ri-verifica. Andate all'ultima rilavorazione conclusa e cercate l'evidenza del ricontrollo: chi ha verificato la conformità dopo la correzione, rispetto a quali requisiti, e con quale esito registrato. Se trovate solo la chiusura della non conformità con la parola "risolto", c'è qualcosa che non va.

Il test del cliente informato. Prendete le ultime dieci non conformità rilevate dopo la consegna. In quante il cliente è stato informato?

Il test dell'autorità. Aprite l'ultima concessione registrata e cercate chi ha deciso. C'è un nome, una funzione precisa o una firma illeggibile sotto la dicitura "responsabile"? Il punto 8.7.2 chiede di identificare l'autorità che decide le azioni.

Tutti gli articoli sulla ISO 9001