Como funciona o processo de certificação em 5 etapas

Um edital exige certificado ISO, o prazo é curto e a primeira pergunta é sempre a mesma: por onde se começa. A segunda é mais incômoda — quase ninguém explica o que acontece entre assinar a proposta e receber o certificado. O caminho, porém, não é nebuloso nem discricionário: ele é definido pela ISO/IEC 17021-1, a norma que rege os organismos de certificação, e tem cinco etapas.

O que acontece antes da etapa 1

Antes de qualquer auditoria existe a análise da solicitação. É nela que se definem o escopo pretendido, as unidades envolvidas, o efetivo dentro do escopo e a complexidade dos processos — as variáveis que dimensionam os dias de auditoria segundo o IAF MD 5. Esse cálculo e sua justificativa ficam registrados e são informados ao cliente: proposta sem dimensionamento explícito é proposta incompleta.

Do lado da organização há um pré-requisito que não se negocia: o sistema precisa estar implementado e operando, com pelo menos um ciclo de auditoria interna concluído e uma análise crítica feita pela alta direção. E há uma separação de papéis que a ISO/IEC 17021-1 impõe: quem implanta o sistema não pode ser quem o certifica. A Normatizas audita, decide e emite — não presta consultoria a quem certifica.

As cinco etapas

1. Auditoria Fase 1 — verificação documental. O auditor analisa a informação documentada, confirma escopo e unidades, revisa os requisitos legais aplicáveis que a organização mapeou e avalia se auditoria interna e análise crítica foram planejadas e executadas. A conclusão é sobre prontidão para a Fase 2, não sobre aprovação.
2. Auditoria Fase 2 — avaliação no local. A equipe entrevista pessoas, acompanha processos e verifica desempenho frente aos objetivos, atendimento a requisitos legais e contratuais, controle operacional, auditoria interna, análise crítica e a responsabilidade da direção. É aqui que se mede a distância entre o que está escrito e o que acontece.
3. Relatório — registro do que foi auditado. Identifica escopo auditado, equipe, datas, constatações com referência às evidências, não conformidades e a recomendação da equipe. Traz também a ressalva de que auditoria é amostragem.
4. Carta de recomendação — tratadas as pendências, o auditor líder recomenda a certificação. A recomendação vai acompanhada dos comentários sobre as não conformidades, das correções apresentadas e da confirmação de que os objetivos da auditoria foram alcançados.
5. Decisão de certificação — a análise final cabe a quem tem competência e não participou da auditoria. Sem pendências, o certificado é emitido com a norma, o escopo, as unidades e as datas do ciclo.

Quanto tempo leva

Não existe um número único, e quem oferece um está descrevendo o cliente médio. O prazo depende do porte, do número de unidades e, principalmente, da maturidade do sistema. O intervalo entre as fases é definido pelas áreas de preocupação registradas na Fase 1: se forem pontuais, a Fase 2 é agendada na sequência; se forem estruturais, o razoável é dar tempo à organização — e, no limite, repetir a Fase 1.

Na prática, a etapa mais longa raramente é a auditoria: é o tratamento das não conformidades, que corre do lado do cliente. Sistemas que chegam à Fase 1 com auditoria interna e análise crítica bem feitas atravessam o ciclo sem sobressalto.

O certificado não encerra o processo

O ciclo é de três anos: certificação inicial, duas auditorias de manutenção e recertificação, conduzida a tempo de renovar o certificado antes do vencimento. As manutenções acontecem pelo menos uma vez por ano civil, exceto no ano da recertificação, e a primeira não pode ultrapassar doze meses da data da decisão de certificação.

Cada manutenção revisa auditorias internas e análise crítica, ações sobre não conformidades anteriores, reclamações, eficácia do sistema, controle operacional, mudanças na organização e o uso do certificado e das marcas. É por isso que certificado suspenso quase nunca é surpresa: os sinais aparecem na manutenção.