Auditoria de Qualidade: Auditorias Internas, de Segunda Parte e de Terceira Parte

Tipos de auditorias de qualidade

Os três tipos de auditoria têm diferentes propósitos, públicos e resultados:

Auditorias de primeira parte (internas): realizadas pelos próprios auditores treinados da organização em seu próprio sistema de gestão de qualidade, processos ou produtos. O propósito é verificar que o sistema de qualidade está implementado conforme planejado, que os procedimentos documentados estão sendo seguidos e identificar não conformidades e oportunidades de melhoria. As auditorias internas são um requisito obrigatório da ISO 9001, IATF 16949, AS9100 e todos os principais padrões de sistemas de gestão de qualidade.

Auditorias de segunda parte: realizadas por um cliente (ou um terceiro agindo em nome de um cliente) no sistema de gestão de qualidade de um fornecedor, processo de manufatura ou controles específicos de qualidade do produto. As auditorias de segunda parte são uma ferramenta padrão na gestão de qualidade de fornecedores: são usadas para qualificar novos fornecedores, verificar a conformidade dos fornecedores com os Requisitos Específicos do Cliente, investigar a resposta de um fornecedor a um escape de qualidade e monitorar fornecedores de alto risco ou com baixo desempenho.

Auditorias de terceira parte: realizadas por um organismo de certificação acreditado independente para avaliar a conformidade com um padrão de sistema de gestão de qualidade e emitir ou manter a certificação. ISO 9001, IATF 16949, AS9100, ISO 13485 (dispositivos médicos) e ISO 45001 (saúde e segurança ocupacional) são alguns dos padrões para os quais a certificação de terceira parte está disponível.

O processo de auditoria: planejamento, execução e relatório

Independentemente do tipo de auditoria, uma auditoria de qualidade segue um processo definido que inclui planejamento, reunião de abertura, coleta de evidências, análise, reunião de encerramento e relatório de auditoria:

Planejamento de auditoria: o plano de auditoria documenta o objetivo (o que está sendo determinado), escopo (quais processos, áreas ou cláusulas estão cobertos), critérios (os requisitos contra os quais o auditado será avaliado), métodos (revisão de documentos, entrevistas, observação, amostragem) e cronograma. O plano de auditoria é comunicado ao auditado com antecedência, tipicamente pelo menos uma semana antes da auditoria.

Reunião de abertura: a auditoria começa com uma reunião de abertura formal na qual o auditor-líder apresenta a equipe de auditoria, confirma o escopo e o objetivo, descreve o processo e o cronograma da auditoria e estabelece canais de comunicação.

Coleta de evidências: os auditores coletam evidências objetivas por meio de revisão de documentos (procedimentos, instruções de trabalho, registros, dados), entrevistas com pessoal em todos os níveis e observação direta de processos e condições de trabalho. A auditoria é uma atividade de amostragem: os auditores selecionam amostras representativas projetadas para fornecer evidências suficientes para chegar a uma conclusão objetiva.

Reunião de encerramento e relatório de auditoria: a auditoria conclui com uma reunião de encerramento na qual a equipe de auditoria apresenta as constatações à gestão do auditado. As constatações são classificadas como: conformidades (requisitos atendidos), não conformidades (requisitos não atendidos) e observações ou oportunidades de melhoria. O relatório de auditoria documenta as constatações, a evidência que suporta cada constatação e quaisquer recomendações.

Não conformidades e vinculação com a ação corretiva

O valor de uma auditoria é realizado não na reunião de encerramento, mas por meio do processo de ação corretiva que se segue. Cada não conformidade de auditoria deve ser tratada por meio de um processo formal de ação corretiva: o auditado investiga a causa raiz, implementa a ação corretiva e fornece evidências objetivas de eficácia ao auditor ou ao gerente do programa de auditoria.

As não conformidades das auditorias de qualidade são classificadas por gravidade. Uma não conformidade maior é uma falha sistemática de um requisito que representa um risco significativo para a qualidade dos produtos ou serviços, ou a ausência completa de um processo ou procedimento exigido. Uma não conformidade menor é uma instância isolada de um requisito não sendo atendido que não representa um padrão sistêmico.

Competência e independência do auditor

A credibilidade de uma auditoria depende da competência e independência dos auditores. A ISO 19011 define as competências genéricas exigidas de todos os auditores de sistemas de gestão: compreensão dos princípios e métodos de auditoria, capacidade de planejar e conduzir uma auditoria, capacidade de coletar e avaliar evidências objetivas, habilidades de comunicação suficientes para realizar entrevistas eficazes e apresentar constatações claramente, e julgamento profissional para avaliar evidências objetivamente.

A independência é a outra característica essencial de um auditor eficaz. Os auditores internos não devem auditar seu próprio trabalho: o proprietário de um processo não deve liderar a auditoria de seu próprio processo.

Gerenciamento de um programa de auditoria

Um programa de auditoria eficaz requer:

Programação de auditorias baseada em risco: a frequência e profundidade da auditoria devem ser proporcionais ao risco associado a cada processo ou fornecedor. Processos com histórico de não conformidades, processos vinculados a características críticas do produto e fornecedores com problemas de qualidade recentes justificam auditorias mais frequentes e mais profundas.

Rastreamento de cobertura de auditoria: o gerente do programa de auditoria deve rastrear quais processos e cláusulas da norma foram auditados dentro do ciclo de auditoria atual para garantir que todas as áreas exigidas recebam cobertura.

Análise de tendências: as constatações de auditoria devem ser analisadas em busca de padrões ao longo do tempo. Um aumento no número de não conformidades de controle de documentos em múltiplas auditorias pode indicar um problema sistêmico com o sistema de gestão de documentos.

Desenvolvimento e calibração de auditores: os auditores internos requerem treinamento inicial em um padrão reconhecido, calibração periódica para garantir a aplicação consistente dos critérios de auditoria e desenvolvimento contínuo para se manter atualizados.

Erros comuns na auditoria de qualidade

• Realizar auditorias de conformidade em vez de auditorias de eficácia. Uma auditoria que apenas verifica se os documentos existem e se os procedimentos estão escritos corretamente confirma a conformidade no papel, mas não determina se o sistema de qualidade está realmente controlando a qualidade do produto. A auditoria eficaz requer seguir a evidência.
• Comunicar constatações de auditoria informalmente antes da reunião de encerramento. Compartilhar constatações preliminares com a gestão do auditado antes da reunião de encerramento permite ao auditado corrigir evidências visíveis antes do encerramento formal, o que compromete a integridade da auditoria.
• Aceitar garantias verbais como evidências objetivas. Quando um auditado diz “sempre fazemos isso”, o auditor deve verificar a declaração com evidências documentais ou observáveis. As constatações de auditoria devem ser baseadas em evidências objetivas, não em afirmações.
• Permitir que as ações corretivas permaneçam abertas indefinidamente. Uma não conformidade de auditoria sem data de vencimento de resposta definida e sem mecanismo de acompanhamento muitas vezes nunca será encerrada.

Perguntas frequentes

Qual é a diferença entre uma auditoria de primeira, segunda e terceira parte?

Os três tipos de auditoria são definidos pela relação entre a organização auditora e a organização auditada. Uma auditoria de primeira parte (interna) é realizada por uma organização em seu próprio sistema de gestão de qualidade e processos, usando seus próprios auditores treinados. O propósito é verificar que o sistema está implementado conforme planejado e identificar oportunidades de melhoria. As auditorias internas são um requisito obrigatório da ISO 9001, IATF 16949 e outros padrões de qualidade. Uma auditoria de segunda parte é realizada por um cliente em um fornecedor, ou por uma parte agindo em nome do cliente. As auditorias de segunda parte são usadas para qualificar novos fornecedores, avaliar a conformidade dos fornecedores com os Requisitos Específicos do Cliente ou investigar problemas de qualidade dos fornecedores. Uma auditoria de terceira parte é realizada por um organismo de certificação acreditado independente para determinar se o sistema de gestão de qualidade de uma organização está em conformidade com um padrão como ISO 9001 ou IATF 16949, e para emitir ou manter a certificação.

O que é uma não conformidade maior versus uma não conformidade menor em uma auditoria de qualidade?

Uma não conformidade maior é uma constatação que representa uma falha sistemática e significativa de um requisito: a ausência de um processo exigido, um padrão de falha generalizada na implementação de um procedimento documentado, ou uma condição que ameaça diretamente a capacidade da organização de atender aos requisitos do cliente ou regulatórios. Para auditorias de certificação de terceira parte, uma não conformidade maior deve ser corrigida e verificada antes que a certificação possa ser emitida ou mantida. Uma não conformidade menor é uma instância isolada de um requisito não sendo atendido que não representa um padrão sistêmico. As não conformidades menores também devem ser tratadas por meio do processo de ação corretiva, mas o prazo para resolução é tipicamente mais longo do que para não conformidades maiores. A classificação de uma constatação como maior ou menor requer o julgamento do auditor: cinco instâncias do mesmo tipo de registro ausente em áreas diferentes provavelmente seriam classificadas como maior porque indicam um problema sistêmico.

O que é ISO 19011 e o que cobre?

ISO 19011 é a norma internacional que fornece diretrizes para auditar sistemas de gestão. Cobre: os princípios de auditoria (integridade, apresentação justa, devida diligência profissional, confidencialidade, independência, abordagem baseada em evidências, abordagem baseada em risco); o gerenciamento de um programa de auditoria (estabelecimento de objetivos, escopo, programação baseada em risco, competência do auditor, monitoramento e revisão do programa); a condução de auditorias individuais (planejamento, execução, coleta de evidências, conclusões de auditoria, reunião de encerramento, relatório de auditoria); e a competência e avaliação de auditores. ISO 19011 é uma norma de orientação, não uma norma de requisitos: fornece recomendações sobre como realizar auditorias e gerenciar programas de auditoria. A versão atual (ISO 19011:2018) introduziu uma abordagem baseada em risco para o planejamento de auditorias como uma melhoria significativa em relação a versões anteriores.

Com que frequência as auditorias internas de qualidade devem ser realizadas?

A ISO 9001 requer que a organização realize auditorias internas em intervalos planejados, mas não especifica uma frequência mínima. A organização deve definir seu próprio ciclo de auditoria com base na importância dos processos envolvidos, nas mudanças que afetam a organização e nos resultados de auditorias anteriores. Na prática, a maioria das organizações completa um ciclo de auditoria completo (cobrindo todos os processos e todas as cláusulas da norma aplicável) dentro de um a três anos. A IATF 16949 é mais prescritiva: requer um mínimo de uma auditoria de sistema completa, uma auditoria de processo de manufatura e uma auditoria de produto por ciclo de auditoria. Processos de alto risco, processos que geraram não conformidades recentes e processos que sofreram mudanças significativas devem ser auditados com mais frequência do que processos estáveis e de bom desempenho.

Quais qualificações um auditor interno precisa?

A ISO 19011 define as competências genéricas exigidas dos auditores de sistemas de gestão, mas não especifica uma qualificação mínima. A maioria das organizações define seus próprios requisitos de qualificação de auditores internos em seus procedimentos do sistema de gestão de qualidade. Os requisitos típicos incluem: conclusão de um curso de treinamento de auditor interno cobrindo a norma de gestão de qualidade aplicável, metodologia de auditoria e técnicas de coleta de evidências; um número definido de horas de auditoria como observador ou co-auditor sob um auditor-líder qualificado antes de realizar auditorias independentes; e conhecimento técnico dos processos e produtos sendo auditados. Para IATF 16949, a norma especifica que os auditores internos devem ser competentes para auditar as Ferramentas Principais (APQP, PPAP, FMEA, SPC, MSA e CP) e devem entender os Requisitos Específicos do Cliente do setor automotivo.

Qual é o propósito das reuniões de abertura e encerramento da auditoria?

A reunião de abertura inicia formalmente a auditoria e estabelece o contexto e as regras antes do início da coleta de evidências. O auditor-líder usa a reunião de abertura para: apresentar a equipe de auditoria e confirmar seus papéis; confirmar o objetivo, escopo, critérios e cronograma da auditoria com a gestão do auditado; explicar o processo de auditoria incluindo como as evidências serão coletadas e como as não conformidades serão classificadas; e convidar o auditado a levantar quaisquer preocupações. A reunião de encerramento é o ponto em que a equipe de auditoria apresenta suas constatações à gestão do auditado antes de deixar o local. O auditor-líder resume o escopo e os métodos da auditoria, apresenta cada constatação com sua evidência de suporte, esclarece quaisquer perguntas sobre a base das constatações e explica o processo de resposta de ação corretiva e os prazos. As constatações não devem ser negociadas na reunião de encerramento: se o auditado discordar de uma constatação, o processo para discordância formal deve ser explicado, mas as constatações não devem ser retiradas com base apenas em argumentos verbais.