Por onde começar: o treinamento de interpretação das normas ISO

Implantações que patinam quase sempre nascem de leitura errada da norma: exige-se o que não é pedido e ignora-se o essencial. O sintoma é conhecido — procedimento escrito para tudo, indicador que ninguém usa, matriz de risco montada porque “a ISO manda”, e aí a auditoria abre não conformidade justamente no requisito que ficou de fora. Antes de implantar ou de auditar, vale ler a norma como ela foi escrita: requisito por requisito, separando o que obriga do que apenas orienta.

A espinha dorsal que se repete em toda norma de gestão

Desde 2012 a ISO padronizou a arquitetura das normas de sistemas de gestão — hoje chamada Estrutura Harmonizada, publicada no Anexo SL das Diretivas ISO/IEC. Quem entende essa espinha dorsal lê qualquer norma nova com metade do esforço, porque as seções são sempre as mesmas: contexto da organização, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria.

• Contexto — questões internas e externas, partes interessadas e suas necessidades, escopo do sistema. Em fevereiro de 2024, ISO e IAF publicaram emendas que incluíram a mudança climática entre as questões a considerar aqui, em mais de trinta normas de gestão;
• Liderança — comprometimento da alta direção, política e papéis com autoridade definida. Não é assinatura de documento: é decisão registrada;
• Planejamento — riscos e oportunidades, objetivos e como alcançá-los;
• Apoio — competência, conscientização, comunicação e informação documentada;
• Operação — a parte que muda de norma para norma, onde vive o assunto específico de cada uma;
• Avaliação e melhoria — monitoramento, auditoria interna, análise crítica, não conformidade e ação corretiva.

Ler requisito é diferente de ler recomendação

Boa parte do desperdício em implantação vem de uma confusão de verbo. Nas normas ISO, “deve” indica requisito — é o que a auditoria vai cobrar. “Convém que” indica recomendação, e sua ausência não gera não conformidade. Notas e anexos informativos explicam, exemplificam, ajudam a interpretar; não criam obrigação.

Dois exemplos que aparecem em quase toda turma. A ISO 9001 pede que a organização determine riscos e oportunidades, mas não exige matriz, metodologia formal nem registro específico — a forma é escolha da organização, desde que haja evidência de que a análise ocorreu e alimentou o planejamento. E “informação documentada” substituiu a antiga distinção entre procedimento e registro: o que a norma diz é onde é preciso manter e onde é preciso reter, não quantos documentos devem existir.

A leitura correta também define o que o auditor vai pedir. Para cada requisito há um conjunto razoável de evidências — atas, registros de competência, resultados de indicador, relatórios de auditoria interna, planos de ação com verificação de eficácia. Saber antecipar isso encurta a preparação e reduz o retrabalho de documentação inútil.

Onde as normas divergem

A estrutura é comum; a seção 8 e os anexos, não. É aí que estão as diferenças que causam confusão de escopo:

• ISO 9001 — qualidade, com foco em cliente, processos e melhoria;
• ISO 14001 — aspectos e impactos ambientais, requisitos legais aplicáveis e emergências;
• ISO 45001 — saúde e segurança ocupacional, com consulta e participação dos trabalhadores como requisito próprio;
• ISO/IEC 27001 — segurança da informação, com controles do Anexo A e a Declaração de Aplicabilidade;
• ISO 37001 — apenas suborno, e não fraude, cartel ou lavagem;
• ISO 37301 — compliance em sentido amplo, a partir das obrigações que a organização identifica;
• ISO/IEC 42001 — gestão de inteligência artificial, com avaliação de impacto dos sistemas de IA.

Para quem

Gestores da qualidade, consultores, equipes de implantação e quem vai assumir um sistema já certificado — inclusive auditores internos que precisam firmar a base normativa antes da parte técnica de auditoria. Turmas on-line na Plataforma de Educação e formato in-company. Ver o catálogo de treinamentos.