Ações corretivas: fechar não conformidades para que não voltem
A diferença entre um sistema maduro e um formal vê-se melhor na forma como a empresa trata as não conformidades. O formal: «corrigimos e esquecemos». O maduro: encontrou a causa, eliminou-a e verificou que o problema não se repete.
Correção ≠ ação corretiva
Correção é apagar o fogo: bloquear a conta do ex-colaborador que ficou ativa. Ação corretiva é eliminar a causa: ligar o processo de saída dos RH à revogação automática de acessos, para que essas contas deixem de surgir. O auditor espera as duas.
Causa-raiz sem magia
Para a maioria dos casos bastam os «5 porquês». A conta não foi bloqueada — porquê? Ninguém avisou a TI — porquê? Falta o passo no offboarding — porquê? O processo não foi revisto após a mudança de sistema de RH. Eis a causa real — e não o «fator humano» com que se costuma fechar as análises.
O que registar
- Descrição da não conformidade e a fonte (auditoria, incidente, reclamação);
- a correção (o que se fez de imediato);
- a causa-raiz;
- a ação corretiva, o responsável, o prazo;
- a verificação de eficácia — um passo próprio, 1–3 meses depois: repete-se ou não.
Erros típicos
Causa «desatenção do colaborador» (é sintoma, não causa); ação «conversámos com a pessoa» (não muda o sistema); fecho da ação no dia da criação (impossível verificar a eficácia). Encontro estes registos em metade dos relatórios — a par das outras não conformidades comuns. Um registo vivo é a principal entrada para a revisão pela gestão.
Leia também
Autor — Kyrylo Proskurnya, Auditor Principal ISO e especialista internacional em sistemas de gestão. Realizo auditorias de certificação e auditorias internas ISO 27001, ISO 9001, ISO 27701 e ISO 42001 para empresas em Portugal, na Europa e nos EUA. Sobre mim · Pedir uma consulta