il Timone e la Lente – seconda edizione – Vol. 2b

Sottocapitolo 3.1 · Bardolino

Setting: Bardolino

Al banco del ricevimento di un albergo sul Garda, con le valigie di un arrivo appena posate e il giardino degli ulivi oltre la vetrata, Elisa Brunelli, vice responsabile del ricevimento al suo primo incarico di auditor interna, tiene aperto il contratto del tour operator e con la mano libera segue una riga della lista degli arrivi. La collega del ricevimento si sporge sul banco e guarda lo stesso punto. Nessuna delle due accusa l’altra: guardano due documenti scritti in uffici diversi che, per nove ospiti, non dicono la stessa cosa. La foto ferma l’istante in cui l’audit cambia oggetto, perché ciò che manca non è nel lavoro del banco ma nel sistema che avrebbe dovuto portarci il contratto.

L’albergo, il quattro stelle superior stagionale del Gruppo Ferrante a Bardolino, aveva firmato con un tour operator trenta camere in categoria vista lago per la settimana di Pentecoste. Nove ospiti di quel gruppo furono sistemati sul giardino. L’assegnazione era stata eseguita esattamente come diceva la procedura, le registrazioni erano corrette, i due reclami erano stati risolti con cortesia. Brunelli aveva una lista di controllo di quarantuno righe e nessuna riga su cui scrivere ciò che vedeva, perché nessuna procedura dell’albergo descriveva un risultato: descrivevano attività. Il requisito esisteva, firmato, nel fascicolo commerciale a due porte di distanza.

Le targhette in alto fissano il fatto: «Trenta camere vista lago promesse» e «Nove ospiti sul giardino». Quelle in basso ne traggono la lezione: «Il contratto è un criterio» e «Il rilievo va verso l’alto». In pratica ogni piano di audit si apre con tre righe scritte prima di entrare: a che cosa serve l’audit, rispetto a che cosa si giudica, dove si ferma. I contratti accettati e le promesse pubbliche sono il terreno meno contestabile su cui un auditor interno possa poggiare, perché li ha scritti l’albergo stesso. Dove un processo non ha criteri, l’assenza non è una colpa del reparto: appartiene a chi determina i processi e i loro criteri, e chi assegna l’audit dovrebbe dichiarare in anticipo, per iscritto, che riferirla alla direzione è un esito atteso e non un incidente. Con undici frasi di risultato scritte in cinque settimane, il secondo audit di luglio ha trovato la causa strutturale: l’ufficio commerciale contrattava i contingenti sul totale delle camere, non sul numero per categoria.

Sul piano normativo il punto è preciso. La ISO 9001:2026 chiede, alla 9.2.2, di definire obiettivi, criteri e campo per ogni singolo audit, non una volta per tutto il programma, e alla 9.2.1 di fornire informazioni sulla conformità sia ai requisiti dell’organizzazione sia a quelli della norma. Un impegno contrattuale diventa criterio quando fa parte dei requisiti accettati per il processo esaminato, secondo la logica del riesame dei requisiti della 8.2.3; i requisiti di legge applicabili lo sono in ogni caso. La ISO 19011:2026, che è una guida e non un requisito, descrive come stabilire i criteri e come trattare le evidenze che non trovano un riferimento. L’auditor non inventa il requisito mancante: registra il fatto e lo confronta con l’obbligo di determinare i criteri dei processi, previsto dalla 4.4. La raccolta di una frase di risultato per processo e la strada verso l’alto sono il metodo di questo libro, non il testo della norma.

Sottocapitolo 3.2 · Breuil-Cervinia

Setting: Breuil-Cervinia

In una sala riunioni rivestita di legno, con le piste innevate di Breuil-Cervinia oltre la finestra, il direttore dell’albergo tiene in mano un fascio spesso di fogli: il riepilogo dei quarantaquattro rilievi dell’ultimo audit. Li guarda senza ostilità, con la fatica di chi non sa da dove cominciare. Di fronte a lui l’auditor, Chiara Vuillermoz, ha chiuso il raccoglitore degli standard e lo ha spinto di lato; davanti a sé ha soltanto un foglio bianco e una penna, e con la mano aperta gli sta facendo una domanda. È il gesto che il libro considera l’inizio di ogni audit: prima di guardare, chiedere a che cosa serve guardare.

Vuillermoz è una delle quattro persone formate per fare audit nelle tre strutture di un piccolo gruppo familiare valdostano, e non lavora nell’albergo che verifica. Per due giorni aveva confrontato l’albergo con un manuale di seicento voci, e ogni rilievo era vero. Il direttore, Ettore Pession, alla riunione di chiusura le disse che non sapeva da quale cominciare. Aveva invece una domanda precisa, che nessuno gli aveva chiesto: il consorzio turistico gli proponeva quaranta camere da giugno a ottobre, e lui voleva sapere se il servizio dei piani avrebbe retto un ciclo di trenta giorni. Il secondo audit è partito da quella domanda.

Le targhette in alto fissano il fatto: «Seicento voci di manuale» e «Quarantaquattro rilievi veri». Quelle in basso ne traggono la lezione: «Prima la domanda del direttore» e «Obiettivo, criteri e campo». In pratica la prima riga del piano si scrive solo dopo una telefonata con chi deciderà sulla base del rapporto, e il campo si disegna all’indietro, partendo dalla decisione da prendere: a Cervinia ha incluso la dotazione di biancheria, il contratto con la lavanderia esterna e i turni stagionali, che nessun reparto avrebbe portato in un audit. Ne sono usciti quattro rilievi, messi in ordine di peso, il primo dei quali, un capitolato che prometteva il cambio settimanale su una tariffa calcolata su un cambio ogni due settimane, è servito a rinegoziare il contratto prima della firma. Il manuale non è stato buttato: è tornato a essere ciò che era, uno strumento di formazione e una buona specifica.

Programma e singolo audit sono due livelli diversi. La ISO 9001:2026, alla 9.2.2, chiede che il programma fissi frequenza, metodi, responsabilità, requisiti di pianificazione e modalità di riferimento dei risultati, e che per ogni audit si definiscano obiettivi, criteri e campo. La ISO 19011:2026 tratta l’obiettivo come la ragione per cui l’audit si fa, i criteri come il riferimento con cui si confrontano le evidenze, il campo come l’estensione e i confini dell’esame. Un audit con criteri ma senza obiettivo produce rilievi esatti e inutilizzabili, perché nessuno sa a quale decisione servano. Le tre domande che il libro propone come ossatura, conformità, efficacia e capacità sotto carico, sono un modello dell’autore e non una classificazione della norma. Quando i fatti più gravi cadono fuori campo, l’auditor li segnala come tali, senza allargare il campo a posteriori e senza tacerli.

Sottocapitolo 3.3 · Jesolo

Setting: Jesolo

In un ufficio d’inverno, con la spiaggia di Jesolo vuota e i lettini impilati oltre la finestra, Barbara Zamengo, coordinatrice qualità di un grande albergo balneare, cerchia con un pennarello rosso poche caselle di un foglio a griglia steso sul tavolo. Accanto a lei la calcolatrice e una tazza di caffè; dietro di lei il direttore, con il gilet imbottito e le braccia conserte, guarda la griglia con un misto di sorpresa e attenzione. È la scena in cui un programma di audit smette di essere un calendario e diventa una scelta: che cosa si esamina a fondo quest’anno, e che cosa aspetta, con una ragione scritta.

Per sei anni l’albergo aveva fatto ventidue audit di mezza giornata, uno per reparto, senza saltarne mai uno. Nel gennaio 2026 Zamengo sommò le ore: ottantotto, cioè meno di quattro ore effettive per processo una volta tolte apertura, chiusura e scrittura. Poi elencò i processi reali, trentacinque, e scoprì che ventidue non erano mai stati esaminati davvero, perché il programma seguiva l’organigramma e non i processi. Con le stesse ottantotto ore l’albergo è passato a sette audit da una giornata e mezza: due scelti per importanza, tre per i rilievi che si ripetevano, due per il cambiamento.

Le targhette in alto fissano il fatto: «Ventidue mezze giornate l’anno» e «Ventidue processi mai esaminati». Quelle in basso ne traggono la lezione: «Le ore si contano prima» e «Profondità dove serve, il resto aspetta». In pratica il programma si costruisce in quattro passi: si sommano le ore disponibili, si elencano i processi e non i reparti, si data l’ultimo audit vero di ciascuno, si scelgono pochi oggetti per ragioni dichiarate. La prova dell’irreparabile aiuta a riconoscere l’importanza: un gruppo congressuale arrivato male non si fa riarrivare. I rilievi letti per processo e non per data rivelano ciò che si ripete. Il cambiamento, un nuovo motore di prenotazione o un nuovo gestore della spiaggia, mette in discussione criteri che sembravano stabili. Ciò che aspetta va in una colonna con la sua motivazione, letta ai capireparto: non è un processo dimenticato, è un processo rinviato per scelta.

La ISO 9001:2026, alla 9.2.2, chiede di pianificare e mantenere un programma che consideri l’importanza dei processi coinvolti, i cambiamenti che riguardano l’organizzazione e i risultati degli audit precedenti. L’allegato informativo della norma chiarisce che tutti i processi del sistema vanno sottoposti ad audit, con una frequenza stabilita dall’organizzazione in base ai rischi, allo stato e al contributo dei processi. Ne discende una conseguenza spesso fraintesa: la copertura si valuta sull’arco del ciclo, non sull’anno solare, e un processo può legittimamente aspettare se la decisione è motivata e registrata. Il quoziente fra ore e processi non è un parametro della norma né un indice di settore: è una spia che il libro propone per vedere quando un programma distribuisce il tempo così sottile da non poter più trovare niente. Una copertura uniforme e superficiale soddisfa il calendario e non soddisfa lo scopo dell’audit, che è dare informazioni sull’efficacia del sistema.

Sottocapitolo 3.4 · Chianciano Terme

Setting: Chianciano Terme

In una piccola sala server, fra armadi di rete e cavi ordinati, Matteo Bindi, responsabile dei sistemi informatici di un albergo termale di Chianciano, scrive a penna le prime righe di un rapporto. Accanto a lui la direttrice, Laura Bianciardi, si china sul foglio e lo indica con la mano, come a dire che quelle righe vanno lì, in testa, prima di ogni rilievo. Il portatile è chiuso. La scena non mostra un controllo informatico: mostra il momento in cui un auditor dichiara per iscritto il proprio limite, ed è quella dichiarazione a rendere credibile ciò che seguirà.

Bindi risponde di tutto: gestionale, channel manager, motore di prenotazione, serrature, rete, cassa, agenda dei trattamenti. Ha configurato quasi tutto lui. Quando la direttrice gli chiese di fare l’audit della catena che va dalla prenotazione alla consegna della chiave, il processo con più conseguenze dell’albergo, disse due volte di no, perché avrebbe verificato il proprio lavoro. Poi accettò a una condizione. Trovò quattro rilievi che nessun altro avrebbe potuto trovare, fra cui un campo di testo troncato a sessanta caratteri che tagliava a metà le richieste su diete e intolleranze. Il quinto lo trovò in venti minuti un collega di un altro albergo, chiedendo perché l’assegnazione notturna girasse alle 2.10.

Le targhette in alto fissano il fatto: «Una sola persona competente» e «Ha configurato lui la catena». Quelle in basso ne traggono la lezione: «Dichiarare chi verifica» e «Uno sguardo esterno, scambiato». In pratica, quando la persona competente è una sola, l’albergo fa tre cose. Fa fissare obiettivo e campo da qualcun altro, perché la scelta di che cosa guardare è la prima fonte di distorsione. Scrive in testa al rapporto quattro righe: chi ha configurato il processo, chi ha fissato l’obiettivo, che cosa l’audit ha esaminato, cioè l’esecuzione, e che cosa non ha potuto esaminare, cioè le scelte di progetto. Infine cerca uno sguardo esterno a basso costo, come lo scambio di mezza giornata con un albergo vicino non concorrente, che porta proprio la domanda sulle premesse che chi ha costruito il sistema non sa più porsi.

La ISO 9001:2026, alla 9.2.2, chiede di scegliere gli auditor e condurre gli audit in modo da assicurare obiettività e imparzialità del processo di audit. Non chiede che ogni auditor interno sia organizzativamente indipendente dall’attività verificata. La ISO 19011:2026 mantiene l’indipendenza fra i principi dell’audit e riconosce che negli audit interni può non essere pienamente praticabile: in quel caso indica di fare ogni sforzo per eliminare le distorsioni e favorire l’obiettività, e di gestire i conflitti in modo trasparente. La distinzione fra esecuzione e progetto è il cuore del caso. Chi ha costruito un processo può verificare con competenza se viene eseguito come progettato; difficilmente può mettere in dubbio i presupposti che lui stesso ha scelto. Escludere dagli audit il processo più importante per mancanza di un auditor indipendente sarebbe una purezza formale pagata con l’ignoranza del sistema.

Sottocapitolo 3.5 · Ravello

Setting: Ravello

Nella sala banchetti di un albergo di Ravello, con le finestre ad arco aperte sul mare della Costiera e un carrello di coprisedie e sedie impilate accanto alla porta di servizio, il maître dei banchetti indica il corridoio con il braccio teso e con l’altra mano mostra l’orologio da polso. Teresa Ruocco, responsabile del personale e auditor interna, prende nota su un taccuino ascoltandolo con attenzione. Il maître non sta dando un ordine: sta raccontando un’aspettativa, l’ora in cui la sala avrebbe dovuto essere libera e quella in cui lo è stata davvero. È il momento in cui l’auditor prende in prestito ciò che non sa.

Ruocco aveva passato quattro ore nel reparto banchetti un sabato di giugno, nel giorno più difficile che quel reparto conosca: una riunione aziendale al mattino nella sala grande e, alle sette, il ricevimento di un matrimonio di centoquaranta persone nella stessa sala. Aveva criteri scritti e un obiettivo fissato da altri. Scrisse tre rilievi piccoli e veri. Solo dopo capì di essere stata nella stanza durante la parte interessante senza vederla, perché non sapeva che cosa aspettarsi. Il maître guardava l’orologio per una ragione che nessun criterio dell’albergo nominava.

Le targhette in alto fissano il fatto: «Sala pronta, ma all’ultimo» e «Il maître guardava l’orologio». Quelle in basso ne traggono la lezione: «Chiedere le aspettative del reparto» e «Ciò che non si sa, si compra». In pratica, prima di osservare un reparto che non conosce, l’auditor chiede al responsabile che cosa può andare storto, al suo assistente che cosa manca di solito, e al reparto a valle che cosa riceve quando le cose vanno male. A Ravello quelle domande hanno prodotto sei aspettative in undici minuti. L’audit le ha verificate tutte, e due erano guasti strutturali: l’orario di uscita dell’evento del mattino era concordato al telefono e non compariva in nessun documento, e i tempi di cambio sala erano ricordati, non misurati. Ciò che l’albergo non sa verificare da solo, come la sicurezza alimentare in cucina, si compra da un auditor esterno, e lo si dichiara.

La ISO 9001:2026, alla 7.2, chiede di determinare la competenza necessaria a chi svolge un lavoro che influenza le prestazioni del sistema, di assicurarla con istruzione, formazione o esperienza appropriate e di conservarne l’evidenza. Applicata all’audit interno, la competenza dipende dall’incarico: conoscere il metodo dell’audit non rende competenti su ogni argomento tecnico od operativo. La ISO 19011:2026 distingue fra conoscenze generiche dell’audit e conoscenze della disciplina e del settore, e ammette che queste ultime siano fornite da esperti tecnici affiancati al gruppo di audit. Il libro ne trae uno strumento semplice, la nota di competenza in tre righe: che cosa l’auditor sa, che cosa ha preso in prestito e da chi, che cosa non ha potuto verificare. Il fondamento cognitivo è noto agli studi sull’attenzione: si nota ciò che si sta cercando, e un osservatore senza aspettative vede soprattutto ciò che conferma che va tutto bene.

Sottocapitolo 3.6 · Pisa

Setting: Pisa

Nella hall di un albergo cittadino di Pisa, accanto a una colonna, una giovane auditor in camicia bianca tiene in mano un piccolo contatore meccanico e guarda il banco del ricevimento senza avvicinarsi. Dietro il bancone di marmo due addetti consegnano chiavi; un ospite con la valigia è appena tornato al banco con la tessera in mano. Giulia Cecchi, al suo undicesimo mese di formazione manageriale, ha capito che basta la sua presenza a cambiare il modo in cui il banco lavora, e si è messa dove non disturba. La foto mostra un metodo: osservare senza entrare nella scena, contare senza giudicare le persone.

L’obiettivo glielo aveva dato il direttore in due frasi: un lunedì di congresso fa passare dal banco centotrenta arrivi fra le tre e le sette, e lui voleva sapere se il processo reggeva. Cecchi osservò quarantuno arrivi. Nove ospiti tornarono al banco dopo aver ricevuto la chiave: sei per un cambio di camera, due per chiavi che non aprivano, uno per un errore di fatturazione. La mattina dopo estrasse dal gestionale le stesse quarantuno prenotazioni. Il sistema mostrava due cambi. Con quella configurazione, un cambio fatto nello stesso turno non creava un movimento: sovrascriveva l’assegnazione.

Le targhette in alto fissano il fatto: «Centotrenta arrivi in quattro ore» e «Nove ospiti tornati al banco». Quelle in basso ne traggono la lezione: «Osservare senza fermare» e «Contare, poi verificare a freddo». In pratica l’osservazione dal vivo segue regole precise: si sceglie un punto che non intralci, si contano passaggi e non persone, si esce quando la fila si allunga, si annota l’ora di ogni evento. Il giorno dopo, a servizio finito, si confronta ciò che si è visto con ciò che il sistema ha registrato. È la differenza fra i due a produrre il rilievo, che a Pisa non dice che il ricevimento lavora male: dice che il ventidue per cento degli arrivi osservati ha richiesto un secondo passaggio e che le registrazioni dell’albergo ne mostrano meno di un quarto, per una ragione di configurazione. Gli estratti usati per l’audit non riportano nomi di ospiti né di addetti.

La ISO 9001:2026 chiede che gli audit interni forniscano informazioni sulla conformità e sull’efficace attuazione del sistema, e possono farlo solo con evidenze sufficienti e appropriate. La ISO 19011:2026 riconosce tre famiglie di metodi: esame delle informazioni documentate, interviste, osservazione di attività e condizioni. Nei servizi, dove la produzione e il consumo coincidono, l’osservazione è spesso l’unico accesso al processo reale, e il suo limite metodologico è noto: l’osservatore modifica il comportamento osservato. Per questo il libro abbina l’osservazione dal vivo a una verifica a freddo su dati che l’osservatore non ha influenzato. L’uso di dati del gestionale e delle presenze per un audit è un trattamento di dati personali ai sensi del Regolamento (UE) 2016/679: richiede una finalità dichiarata, il minimo necessario e la consapevolezza che un estratto pseudonimizzato resta un dato personale.

Sottocapitolo 3.7 · Ischia

Setting: Ischia

Nel magazzino dei prodotti di pulizia di un albergo termale d’Ischia, fra scaffali di taniche bianche e flaconi tutti uguali, l’auditor, assistente di direzione in camicia azzurra, tiene in una mano la tavoletta con il foglio dei controlli e con l’altra indica una fila di taniche ancora sigillate. Accanto a lui la magazziniera tiene aperto il registro dei prelievi. Non c’è nessun bagno turco nella foto, ed è proprio il punto: il processo che l’auditor deve verificare si svolge di sera, a porte chiuse, senza testimoni. Le sue tracce stanno altrove, in ciò che il lavoro avrebbe dovuto consumare.

Il foglio dei controlli del bagno turco aveva undici mesi di firme, tre per sera, senza un giorno mancante, e quattro addetti raccontavano la procedura con le stesse parole. Ciro Mattera credeva a tutte. Poi calcolò quanto sanificante avrebbero consumato undici mesi di procedura svolta come diceva il foglio, e chiese i prelievi alla magazziniera, che li produsse in quattro minuti perché esistono per i riordini e sono quindi esatti. Il magazzino aveva consegnato circa un terzo del prodotto atteso. La spiegazione innocua c’era, e Mattera la cercò per prima; non bastava a colmare la differenza.

Le targhette in alto fissano il fatto: «Undici mesi di firme» e «Quattro racconti coerenti». Quelle in basso ne traggono la lezione: «Il magazzino non mente» e «Validare ciò che non si può vedere». In pratica, quando il servizio è già stato reso, l’auditor cerca le tracce indirette che un lavoro reale lascia: consumi di magazzino, aperture di porte, movimenti di sistema, lavaggi, scarti. Una differenza fra tracce non è una prova di frode: è una domanda, da porre senza accusa e dopo aver escluso le spiegazioni innocue. A Ischia la risposta più utile è venuta esaminando il modulo come oggetto: il controllo di metà pomeriggio era stato scritto nel 2019, quando alle piscine c’era un addetto in turno; il turno era stato soppresso nel 2021, e da allora qualcuno firmava ogni sera un lavoro che non esisteva più. Il rilievo più importante è andato alla direzione: nessuno aveva mai stabilito se la procedura di sanificazione fosse efficace, perché il suo risultato non si può verificare a occhio.

La ISO 9001:2026 chiede informazioni documentate appropriate, ma una registrazione compilata non prova da sola che l’attività si sia svolta come previsto: la registrazione è un’affermazione, e va trattata come tale. La clausola 8.5.1 richiede la validazione, e la rivalidazione periodica, dei processi il cui risultato non può essere verificato con successivi monitoraggi o misurazioni: in albergo la sanificazione di ambienti umidi, la pulizia di superfici a contatto con l’ospite, alcune fasi della cucina. La validazione si fa con prove indipendenti, come tamponi di superficie analizzati da un laboratorio, non con firme. La ISO 19011:2026 indica di valutare affidabilità e coerenza delle informazioni che vengono da fonti diverse. La triangolazione fra registro, magazzino e accessi è un metodo noto nella revisione contabile e nell’audit forense; qui serve a una domanda più modesta e più utile: se il processo funziona.

Sottocapitolo 3.8 · Cefalù

Setting: Cefalù

Nella sala colazioni di un albergo di Cefalù, dopo il servizio, con il mare oltre le vetrate e le maioliche bianche e blu alle pareti, l’auditor, Rosalia Cangemi, divide un mazzo di schede in cinque pile di altezza molto diversa. Un giovane addetto stagionale, con una tazza in mano, osserva incuriosito. La pila più alta e quella più bassa raccontano lo stesso errore da due lati: il campione del primo audit era esatto, ma era stato estratto da un albergo che non esiste, quello di novembre, senza gruppi, senza stagionali, senza arrivi all’alba.

Cangemi è responsabile del ristorante e degli eventi, e fa gli audit nelle settimane tranquille. Il suo audit del processo di arrivo e soggiorno era stato metodico: trenta soggiorni esaminati riga per riga, ventinove conformi, un rilievo minore. Sei mesi dopo arrivò il reclamo di un tour operator scandinavo: la disposizione delle camere prevista dal contratto non era stata rispettata per un gruppo di primavera. Nessun gruppo era nel campione. I trenta soggiorni erano stati estratti a novembre, quando i gruppi non ci sono, e quindi descrivevano con precisione la parte più comoda dell’anno.

Le targhette in alto fissano il fatto: «Trenta soggiorni estratti a novembre» e «Nessun gruppo nel campione». Quelle in basso ne traggono la lezione: «Un minimo in ogni strato» e «Scrivere che cosa non si è coperto». In pratica il campione si progetta partendo dalla popolazione: si dichiarano gli strati che contano, segmento, stagione, turno, orario, e si fissa un numero minimo di casi in ciascuno, proporzionato agli obblighi più che al volume. A Cefalù un pomeriggio sui contratti ha mostrato che il quindici per cento delle notti portava il settanta per cento degli impegni scritti, e il nuovo campione ha messo dodici soggiorni di gruppo su trenta. L’audit ha prodotto nove rilievi, fra cui un campo note troncato nella lista arrivi che gli stagionali usano in primavera. Il rapporto ha ora una quarta riga: che cosa questo campione non può dire.

La ISO 9001:2026 non prescrive dimensioni né percentuali di campione per gli audit interni: chiede evidenze sufficienti e appropriate per le conclusioni nel campo dichiarato. La ISO 19011:2026 riconosce il campionamento basato sul giudizio e quello statistico, e tratta il rischio di campionamento come un elemento da comprendere e gestire, non da ignorare. La teoria del campionamento stratificato spiega perché un campione casuale semplice possa mancare del tutto un sottogruppo piccolo e importante: la stratificazione garantisce la presenza dei gruppi che contano, a costo di una minore semplicità di lettura. Il libro non chiede agli alberghi di fare statistica: chiede di sapere da quale popolazione è stato estratto il campione e di scriverlo. Un campione presentato senza la sua popolazione autorizza conclusioni più ampie di quelle che può sostenere, ed è questo, più del numero di casi, il difetto che un lettore esperto riconosce.

Sottocapitolo 3.9 · Matera

Setting: Matera

In un ufficio amministrativo ricavato sotto una volta di tufo, nel centro di Matera, Angela Montemurro, responsabile della contabilità clienti e auditor interna da pochi mesi, tiene la cornetta del telefono all’orecchio e con l’altra mano gira lo schermo verso il collega: una colonna lunghissima di righe tutte uguali. Il collega dell’amministrazione vendite si sporge sulla scrivania con un mezzo sorriso imbarazzato. Le righe sono messaggi, e nessuno di essi ha un titolare. La telefonata è la parte meno ovvia dell’immagine: l’auditor sta parlando con il cliente, cosa che in quattro anni l’ufficio non aveva mai fatto.

Il primo atto di Montemurro come auditor fu leggere sei anni di calendari di audit. Vi comparivano quattordici reparti, tutti a contatto con l’ospite e tutti verificati più volte. Mancavano sei funzioni: contabilità clienti, amministrazione vendite, acquisti, gestione dei contratti, informatica e risorse umane amministrative. Partì dalla coda. La casella condivisa conteneva centottantasei messaggi più vecchi di trenta giorni, ventisette dei quali erano contestazioni. Le note di credito erano codificate «altro» nel settantuno per cento dei casi. E il cliente aziendale più importante chiedeva, in un allegato del 2022, un numero d’ordine in ogni fattura elettronica: l’albergo non lo sapeva.

Le targhette in alto fissano il fatto: «Sei uffici mai verificati» e «Centottantasei messaggi in attesa». Quelle in basso ne traggono la lezione: «Il back office è servizio» e «Una telefonata al cliente». In pratica un audit di back office si costruisce su tre tracce. La coda, cioè ciò che non ha un titolare e quindi resta fermo. I codici, perché la ragione per cui un albergo restituisce denaro è un dato sulla qualità del servizio, e una voce generica la cancella. Gli allegati ai contratti, dove stanno i requisiti che il cliente ha scritto e che nessuno ha portato nei processi. A Matera una telefonata di undici minuti alla responsabile fornitori del cliente ha ricostruito tutta la vicenda; il campo è stato corretto in tre settimane, prima che le fatture rifiutate arrivassero alla direzione come problema di cassa.

La ISO 9001:2026 chiede che l’audit interno dia informazioni sul sistema di gestione nel suo insieme, non sui soli reparti operativi. Il campo del sistema si determina dal contesto, dai requisiti dei clienti, dai prodotti e dai servizi, e la 8.2 chiede di determinare e riesaminare i requisiti relativi ai servizi, compresi quelli che il cliente formula in documenti accessori. Fatturazione, crediti, contratti e attività successive alla consegna rientrano quindi negli audit quando incidono sulla conformità del servizio o sulla soddisfazione del cliente. La revisione contabile non sostituisce questo esame: verifica che i numeri siano corretti, non che il processo serva il cliente. L’allegato informativo della norma ricorda che tutti i processi del sistema vanno sottoposti ad audit nel ciclo: un programma che esclude per sei anni le funzioni amministrative non è un programma prudente, è un programma incompleto.

Sottocapitolo 3.10 · Assisi

Setting: Assisi

Nel retro della portineria di un albergo di Assisi, con la parete delle caselle delle chiavi alle spalle, la prima portiera, Graziella Santucci, nominata auditor interna, tocca con un dito una pila minuscola di schede; accanto c’è una pila molto più alta. Il direttore, in giacca di tweed, guarda la differenza con la mano al mento, serio. Le due pile sono la cosa più eloquente che la foto contenga: tre problemi trovati dall’albergo da solo, quarantasette arrivati da fuori, dagli ospiti, dai portali, dalle agenzie. Non c’è un questionario sul tavolo. È stato messo da parte.

Santucci lavora in quell’albergo da ventidue anni ed è la persona a cui le cose vengono dette. Il direttore le aveva affidato l’incarico che nessuno voleva: verificare la cultura della qualità e il comportamento etico, entrati nei requisiti con la nuova edizione. Aveva preparato undici domande per le interviste e le stava rileggendo in autobus quando capì di aver scritto un questionario di gradimento. Lo lasciò da parte e contò le tracce: chi trova i problemi, dove finiscono i reclami, chi riceve la richiesta di giudizio dopo il soggiorno. Il quarantuno per cento dei reclami stava nella voce «varie».

Le targhette in alto fissano il fatto: «Tre problemi trovati in casa» e «Quarantasette ricevuti da fuori». Quelle in basso ne traggono la lezione: «Contare chi segnala» e «Dichiarare chi è l’auditor». In pratica la cultura si verifica con evidenze di comportamento e non con opinioni sul comportamento. Il rapporto fra problemi trovati internamente e problemi segnalati da fuori misura quanto il sistema veda da sé. La voce generica dei reclami mostra se l’albergo vuole sapere che cosa non va. La richiesta di giudizio inviata a tutti, o solo agli ospiti che il ricevimento ritiene soddisfatti, tocca direttamente il comportamento etico. E l’auditor dichiara in testa al rapporto chi è: una portiera a cui le cose vengono dette ha visto segnalazioni che il sistema non ha mai registrato, e il lettore deve saperlo. L’anno dopo i problemi trovati in casa sono stati centotrentuno.

La ISO 9001:2026 rafforza la leadership in materia di cultura della qualità e comportamento etico: la 5.1 chiede all’alta direzione di promuoverli, la 7.3 chiede che le persone ne siano consapevoli. Il requisito non prescrive questionari di clima, codici di condotta o programmi dedicati, e non rende applicabile la ISO 10010:2022, che resta una guida sulla comprensione e sullo sviluppo della cultura della qualità. Per l’auditor il problema è epistemologico prima che normativo: le dichiarazioni sulla propria disponibilità a segnalare sono soggette a desiderabilità sociale e dicono poco su ciò che le persone fanno davvero. Le tracce di comportamento, invece, sono osservabili e verificabili. La domanda che il libro suggerisce di sostituire alle interviste è semplice: che cosa è successo l’ultima volta che qualcuno ha detto di aver sbagliato. La risposta, documentata, è un’evidenza oggettiva nel senso della ISO 19011.

Sottocapitolo 3.11 · Viareggio

Setting: Viareggio

Nella hall di un albergo sul lungomare di Viareggio, poco dopo le quattro del mattino, il portiere di notte, capelli bianchi, occhiali e gilet bordeaux, alza lo sguardo dal centralino con un’espressione sorpresa. Accanto a lui il responsabile del ricevimento, Simone Pardini, auditor interno, tiene sollevato un foglietto e indica con l’altra mano l’apparecchio. Sul foglietto c’è una sveglia richiesta per le cinque e un quarto; nel centralino ne è stata appena inserita una per le sei e un quarto. Nessun controllo ha fermato l’errore. La prova era concordata, su una camera fuori servizio, e il portiere sapeva che sarebbe arrivata.

Le partenze all’alba sono il momento più delicato di quell’albergo: un ospite svegliato un’ora tardi perde il volo delle sette da Pisa, e non c’è recupero possibile. Pardini chiese al portiere di poter provare a sbagliare. L’errore attraversò l’intero processo senza incontrare un ostacolo, perché l’unica barriera prevista era l’attenzione di chi inseriva la sveglia. Quando l’audit spinse qualcuno a chiedere, il portiere più anziano ricordò due casi in tre anni, entrambi risolti da un tassista che aveva aspettato, entrambi mai registrati. E alla domanda su quali errori temesse di più, ne elencò undici in dodici minuti.

Le targhette in alto fissano il fatto: «Sveglia inserita un’ora dopo» e «Nessuno ha fermato l’errore». Quelle in basso ne traggono la lezione: «Una prova concordata e isolata» e «Un controllo, non un richiamo». In pratica l’audit delle azioni contro l’errore umano chiede, per ogni errore prevedibile, in quale momento verrebbe visto, da chi, e guardando che cosa. Se la risposta è che qualcuno deve stare attento, l’azione non esiste. A Viareggio la soluzione ha richiesto undici giorni e nessuna spesa: alle due il centralino stampa l’elenco delle sveglie inserite e il portiere lo confronta riga per riga con il quaderno delle richieste scritte; le sveglie chieste al telefono si inseriscono con l’ospite in linea e si ripetono ad alta voce. La prova si fa solo con il consenso del reparto, su dati isolati, e mai dove l’errore potrebbe raggiungere un ospite.

La ISO 9001:2026 mantiene, alla 8.5.1, fra le condizioni controllate di erogazione del servizio, l’attuazione di azioni per prevenire l’errore umano. La norma non prescrive un metodo, ma la letteratura sui fattori umani offre una gerarchia consolidata, che il libro traduce in quattro famiglie: togliere l’occasione di sbagliare, rendere visibile l’errore prima che raggiunga l’ospite, fermarlo a valle, e solo per ultimo ricordare e formare. I richiami e la formazione agiscono sulla memoria e sull’attenzione, che sono proprio le funzioni che cedono di notte, sotto carico e nella ripetizione. Una seconda firma che guarda la stessa schermata della prima non è un controllo indipendente. L’inventario degli errori temuti, chiesto a chi fa il lavoro, è anche un indicatore di cultura: un reparto che sa nominarli è un reparto che li vede.

Sottocapitolo 3.12 · Orvieto

Setting: Orvieto

In una camera di un albergo nel centro storico di Orvieto, con le pareti di pietra e la valle oltre la finestra, la vicedirettrice, Chiara Fumi, tiene in mano un taccuino e apre il cassetto di una scrivania: è vuoto, mai usato. Seduto sul bordo del letto, un ospite di lungo soggiorno, direttore tecnico di un cantiere della zona, con il casco giallo e il portatile accanto, le spiega come lavora davvero in camera: sul letto, con il computer sulle ginocchia. La camera è una delle nove riconfigurate come camere da lavoro diciotto mesi prima. Nessuno era mai tornato a chiedersi se servissero allo scopo.

Il registro delle opportunità che Fumi ricevette aveva quattordici voci, scritte in un pomeriggio undici settimane prima dell’audit, in vista della nuova edizione della norma. Nessuna voce dichiarava una fonte, un obiettivo o un metodo di valutazione. Fumi capì presto di non avere il diritto di giudicare il merito delle idee: appartengono alla direzione. Poteva invece fare l’audit all’indietro, sulle sette azioni che l’albergo aveva davvero intrapreso in due anni. Lì stava la sostanza: azioni fatte con cura, mai valutate, e un dato favorevole, l’occupazione della domenica sera stabilmente sopra il mercato, che nessuno aveva mai indagato.

Le targhette in alto fissano il fatto: «Quattordici voci in un pomeriggio» e «Nove camere mai riguardate». Quelle in basso ne traggono la lezione: «Chiedere che cosa è cambiato» e «Cercare anche ciò che va meglio». In pratica l’audit delle opportunità ha due direzioni. In avanti verifica che ogni opportunità perseguita abbia una fonte, uno scopo dichiarato prima e un modo per sapere se ha funzionato. All’indietro parte da ciò che l’albergo ha fatto, chiede che cosa è cambiato e se qualcuno lo ha guardato. La seconda direzione è la più produttiva, perché lavora su fatti e non su intenzioni. Lo scostamento favorevole merita la stessa indagine di quello negativo: un risultato migliore del previsto ha una causa, e se nessuno la conosce l’albergo non sa proteggerla né replicarla.

La ISO 9001:2026 tratta le opportunità separatamente dai rischi più nettamente della versione precedente: alla 6.1 l’organizzazione determina le opportunità da affrontare e pianifica le azioni, alla 9.1.3 analizza e valuta l’efficacia delle azioni intraprese, alla 9.3.2 il riesame ne considera i risultati. Non sono richiesti un registro, una matrice di punteggio o un metodo di priorità. Il confine dell’auditor è netto: non valuta se un’idea commerciale sia buona, valuta se l’organizzazione sa che cosa voleva ottenere e se l’ha verificato. La letteratura sull’apprendimento organizzativo descrive bene l’asimmetria che il caso mostra: le organizzazioni indagano gli insuccessi e attribuiscono i successi alla propria competenza, perdendo così proprio le informazioni che spiegherebbero perché qualcosa funziona.

Sottocapitolo 3.13 · Trieste

Setting: Trieste

Attorno a un tavolo rotondo, in una sala di un albergo sulle Rive di Trieste con le gru del porto oltre la finestra, il delegato sindacale, che lavora al ricevimento, appoggia sul tavolo un telefono capovolto e tiene due dita sopra, mentre parla con fermezza. Di fronte a lui l’auditor, Tatiana Zerjal, responsabile della formazione, tiene in mano la bozza del rilievo e lo ascolta con un’espressione seria e aperta. Fra i due la responsabile del ricevimento, con le mani giunte, guarda il telefono. Nel telefono ci sono due messaggi della sera prima, e cambiano il soggetto del rilievo.

L’audit riguardava un gruppo di diciotto delegati di una conferenza scientifica: sei erano stati sistemati in una categoria diversa da quella contrattata. Il rilievo di Zerjal era esatto, fondato su evidenze, classificato correttamente e scritto in tre parti, e attribuiva la non conformità all’addetto che aveva fatto l’assegnazione. Alla riunione di chiusura il delegato mostrò i messaggi: alle 21.40 l’addetto aveva segnalato al responsabile di turno che mancavano sei camere della categoria; alle 22.15, senza risposta, aveva chiesto di nuovo. La risposta era arrivata: «metti dove c’è posto».

Le targhette in alto fissano il fatto: «Sei delegati in un’altra categoria» e «Due messaggi la sera prima». Quelle in basso ne traggono la lezione: «Il fatto completo, non il colpevole» e «Né difendere né ritirare». In pratica un rilievo regge quando descrive il fatto completo: che cosa aveva ricevuto chi era di turno, chi aveva l’autorità di decidere e con quali informazioni. Zerjal non ha difeso la bozza e non l’ha ritirata: ha chiesto due giorni, ha percorso la catena all’indietro e ha riemesso il rilievo sul punto in cui la decisione era stata presa senza registrare né il conflitto né la comunicazione al cliente. Il rilievo si è spostato di un passo e regge di più. Un test utile prima della firma: togliendo il nome della persona, il rilievo resta? Le due versioni sono conservate e servono a formare i nuovi auditor.

La ISO 9001:2026 chiede che i risultati degli audit siano riferiti ai responsabili pertinenti; la ISO 19011:2026 indica di formulare i rilievi confrontando le evidenze con i criteri, di riesaminarli con chi è stato verificato perché siano compresi ed esatti, e di registrare le divergenze non risolte invece di negoziarle. L’accordo di chi è verificato non è una condizione per emettere un rilievo, ma l’ascolto lo è per emetterne uno esatto. La letteratura sulla sicurezza dei sistemi complessi ha un nome per l’errore della prima bozza: attribuire alla persona all’estremità della catena un esito prodotto da condizioni a monte. Un rilievo personale invita alla difesa, e la difesa produce spiegazioni; un rilievo sul processo invita alla correzione. La classificazione resta compito dell’auditor, mentre correzione e azione correttiva le decide la direzione.

Sottocapitolo 3.14 · Lignano Sabbiadoro

Setting: Lignano Sabbiadoro

Nel corridoio delle camere di un albergo di Lignano Sabbiadoro, un sabato di cambio, con i carrelli della biancheria in attesa davanti alle porte, la governante generale, Lorena Tonon, chignon biondo e divisa grigia da supervisora, tiene aperto il registro delle azioni correttive. Accanto a lei una collega in tunica bianca indica il fondo del corridoio, dove il lavoro si sta accumulando. Il registro dice che tutto è chiuso. Il corridoio dice che il rischio per cui quelle azioni erano state aperte è tornato, puntuale, con la stagione. La foto mette a confronto le due fonti, ed è l’unico confronto che conta.

Tonon fece l’audit del programma di audit perché continuava a trovare cose familiari. Prese il registro di diciotto mesi: ventiquattro azioni, tutte chiuse, ventuno entro trenta giorni. Collegò cinque rilievi minori di stagioni diverse e trovò un’unica condizione: liste nominative dei gruppi arrivate dopo il termine e caricate in ritardo. Trovò anche nove azioni chiuse in inverno su rischi che si presentano solo d’estate, due delle quali, riguardanti proprio il cambio del sabato, si rivelarono inefficaci appena la stagione riaprì. Il direttore descrive la riapertura delle nove azioni come la decisione meno popolare mai presa dalla funzione qualità.

Le targhette in alto fissano il fatto: «Ventuno su ventiquattro in trenta giorni» e «Due chiuse a gennaio, inefficaci». Quelle in basso ne traggono la lezione: «Verificare quando torna il rischio» e «Una scala con una domanda». In pratica il registro delle azioni distingue due tempi: quello di attuazione, che può essere breve, e quello di verifica dell’efficacia, che dipende da quando il rischio si ripresenta. Per ogni azione si scrive, prima di chiuderla, che cosa dovrà essere vero e quando lo si potrà sapere; la colonna «quando lo sapremo» rende visibili le azioni in attesa di verifica. La classificazione interna si ricostruisce attorno a una domanda sola, decisa dalla direzione: che cosa deve significare un rilievo minore in questo albergo. I minori si rileggono periodicamente insieme, perché è nell’insieme che si vede una condizione comune.

La ISO 9001:2026, alla 10.2, chiede di attuare le azioni necessarie, di riesaminarne l’efficacia e di valutare se esistono o possono verificarsi non conformità simili. Non impone termini di trenta giorni, non prescrive scale di gravità per gli audit interni e non usa l’osservazione come categoria formale. La scala dell’albergo è sua e non vincola nessuno fuori dall’edificio; l’ente di certificazione classifica i propri rilievi secondo la ISO/IEC 17021-1, dove maggiore e minore hanno conseguenze precise sul certificato. La distinzione fra chiusura ed efficacia è un problema di misura: una verifica fatta prima che il rischio torni non può osservare l’effetto dell’azione, quindi non ne verifica l’efficacia, ne verifica soltanto l’attuazione. Un registro senza azioni aperte, in un albergo stagionale, è più spesso il segno di verifiche anticipate che di un sistema senza problemi.

Sottocapitolo 3.15 · Lecce

Setting: Lecce

In un ufficio di un palazzo barocco di Lecce, con la pietra dorata e un balcone scolpito oltre la finestra, Rosanna De Giorgi, responsabile qualità che sta per lasciare l’albergo dopo undici anni, porge alla collega che la sostituirà un unico foglio diviso in due colonne. La collega, giovane, in giacca blu, lo prende con una mano; l’altra resta appoggiata sui raccoglitori degli audit, chiusi e impilati. Il passaggio di consegne avviene lì: non nel manuale di quattordici pagine che De Giorgi aveva cominciato a scrivere e ha fermato, ma in una lettura dell’albergo che solo lei poteva fare.

Il programma di audit interno aveva prodotto duecentotrentuno audit in undici anni, tutti condotti o seguiti da lei. Il manuale spiegava come si fa un audit e non diceva niente di ciò che aveva imparato facendone duecentotrentuno. Così prese un foglio e lo divise: a sinistra ciò che era cambiato nell’albergo, a destra che cosa aveva fatto il programma. A sinistra nove voci: un nuovo gestionale, i piani affidati a una cooperativa, una nuova ala di trentaquattro camere, il cambio di proprietà con l’uscita da un marchio di catena, i matrimoni stranieri, la terrazza con piscina ricostruita, la lavanderia riportata in casa, due direttori. A destra, il programma si era mosso una volta sola, nel 2019, con una riga per l’appaltatore.

Le targhette in alto fissano il fatto: «Duecentotrentuno audit» e «Nove cambiamenti in undici anni». Quelle in basso ne traggono la lezione: «Che cosa è cambiato, e se l’abbiamo visto» e «Una lettura invece di un manuale». In pratica la rilettura pluriennale di un programma fa quattro domande. Che cosa è cambiato, e il programma lo ha seguito. I criteri usati sono ancora validi, o si verifica su documenti superati: a Lecce il servizio dei piani era stato verificato quattro volte sulla procedura interna precedente all’appalto, e gli standard del marchio, criteri dal 2019, erano rimasti nel programma dopo la fine dell’adesione. Quali cause, ordinate per causa e non per data, spiegano la parte maggiore dei rilievi. Quante azioni hanno prodotto un effetto misurabile. La lettura di undici pagine che ne è uscita è il documento che la nuova responsabile usa per costruire il suo primo programma.

La ISO 9001:2026, alla 9.2.2, chiede di stabilire il programma considerando l’importanza dei processi, i cambiamenti che riguardano l’organizzazione e i risultati degli audit precedenti, e di conservare informazioni documentate come evidenza della sua attuazione. La ISO 19011:2026 dedica una parte specifica al monitoraggio e al riesame del programma: risultati, tendenze, rischi, opportunità e lezioni apprese. La norma non prescrive un periodo di conservazione né una data annuale di riesame. Il caso tocca un tema noto agli studi sulla gestione della conoscenza: la conoscenza tacita accumulata da chi ha condotto per anni un processo non si trasferisce con le procedure, che descrivono il metodo, ma con la lettura dei casi, che descrive l’organizzazione. Un archivio di audit non letto è un costo; letto con la domanda giusta, è la memoria del sistema.

Sottocapitolo 4.1 · Trapani

Setting: Trapani

In una sala al primo piano di un palazzo di Trapani, sotto un soffitto affrescato, l’auditor dell’ente, capelli grigi e occhiali, tiene sollevato un tablet su cui ha passato quaranta minuti a leggere il sito dell’albergo. Di fronte a lei il direttore, Vito Ingrassia, in giacca di lino chiaro, spiega con le mani aperte, fiero, come è nato il programma «Le notti dei Misteri». Sul tavolo due cartelle e una tazza di caffè che l’auditor ha rifiutato finché non avesse finito di leggere. La foto mostra un ordine di lavoro preciso: l’estraneo legge ciò che l’albergo vende prima di leggere ciò che l’albergo dichiara.

L’albergo, sessantaquattro camere in un palazzo del centro, era certificato da nove anni e aveva dichiarato non applicabile la progettazione e sviluppo dal 2016. Nel frattempo aveva creato quattro servizi che prima non esistevano: le notti della Settimana Santa, un pacchetto matrimoni rifatto, un corso di cucina per gli ospiti stranieri, un percorso nel centro benessere. Il primo anno dei Misteri era fallito in modo costoso, sessantadue ospiti per una cena pensata per quaranta, e l’albergo lo aveva assorbito e dimenticato. L’auditor non sollevò una non conformità sulla progettazione: la sollevò sulla giustificazione dell’esclusione, che non era più vera.

Le targhette in alto fissano il fatto: «Progettazione esclusa da nove anni» e «Un pacchetto costruito in otto mesi». Quelle in basso ne traggono la lezione: «Creare un’offerta è progettare» e «Il campo dice che cosa copre». In pratica l’albergo dovrebbe fare prima dell’ente ciò che l’ente farà comunque: leggere il proprio sito, i portali e le offerte, elencare ciò che il ciclo ha creato e confrontarlo con il campo e con le esclusioni. A Trapani l’esclusione è stata ritirata, e non è servito un processo complicato: due pagine da usare per ogni servizio nuovo, con gli elementi in ingresso, lo scopo, il criterio per considerarlo pronto alla vendita e la prova prima del lancio, compresa la capacità della cucina. Il campo del certificato è passato da una riga a quattro, e per la prima volta un cliente aziendale lo ha letto.

La ISO 9001:2026, alla 4.3, chiede di determinare il campo di applicazione del sistema e di giustificare ogni requisito dichiarato non applicabile; la conformità può essere dichiarata solo se i requisiti esclusi non incidono sulla capacità di assicurare la conformità dei prodotti e dei servizi. La 8.3 si applica a chiunque determini le caratteristiche di un servizio nuovo, a prescindere dal vocabolario che usa. La ISO/IEC 17021-1:2015 chiede all’ente di verificare il campo e di riportarlo nei documenti di certificazione in modo che il lettore sappia che cosa il certificato copre. Il materiale di vendita è un’evidenza pubblica che l’albergo ha scritto di suo pugno, ed è per questo la fonte più difficile da contestare. Un’esclusione non è una decisione presa una volta per sempre: è un’affermazione sull’albergo, e invecchia con l’albergo.

Sottocapitolo 4.2 · Fiuggi

Setting: Fiuggi

Nell’ufficio di un grande albergo termale e congressuale di Fiuggi, con i pini oltre la finestra, la responsabile qualità, Silvana Celani, seduta alla scrivania, tiene la mano su un raccoglitore aperto; davanti a lei un foglio con un grafico. In piedi accanto agli scaffali il direttore amministrativo, con le braccia conserte, la guarda con lo scetticismo misurato di chi ha il compito di tenere sotto controllo i costi. La conversazione riguarda tre offerte di tre enti di certificazione, e Celani sta per difendere la più cara. Non perché costa di più, ma perché è l’unica che ha accettato di spiegare come conta i giorni.

L’albergo, duecentoventi camere, un centro congressi di quattro sale, un reparto termale e i piani affidati da tre anni a una cooperativa, rinnovava il contratto con l’ente dopo due cicli. Celani chiese a tutti e tre gli enti il calcolo da cui veniva il numero di giornate. Il punto di partenza contava le persone, duecentodiciotto, e non contava i processi, trentuno, né i tre turni sulle ventiquattro ore, né la cooperativa. Scrisse una pagina di quattrocento parole che diceva su che cosa chiedeva di spendere il tempo. Il primo audit con il nuovo contratto ha passato una sera nel centro congressi e una mattina con la cooperativa, e ha trovato due rilievi in aree mai esaminate in tre anni.

Le targhette in alto fissano il fatto: «Tre offerte, un calcolo riservato» e «Il personale contato, i processi no». Quelle in basso ne traggono la lezione: «Chiedere come si contano i giorni» e «Una sera nel centro congressi». In pratica un albergo che sceglie l’ente confronta calcoli e non totali. Chiede a ciascun ente il conteggio documentato, verifica che consideri turni, siti, processi affidati all’esterno e complessità, e dice per iscritto dove vuole che il tempo sia speso. Un ente che rifiuta di mostrare il calcolo dice qualcosa di sé. La decisione finale non è dell’ufficio qualità da solo: a Fiuggi l’argomento che convinse la direzione fu commerciale, perché i clienti multinazionali verificano il certificato nella banca dati e uno aveva già chiesto se il campo comprendesse i congressi.

La ISO/IEC 17021-1:2015, alla 9.1.4, chiede all’ente di determinare il tempo di audit per ogni cliente e di documentarne la giustificazione. Il documento obbligatorio sul tempo di audit, oggi Global ACI TECH-3-004 (ex IAF MD 5), parte da una tabella basata sul numero effettivo di persone e prevede fattori di aumento e di riduzione, anch’essi da giustificare per iscritto: turni, siti, attività affidate, complessità, rischi. Le riduzioni sono le più note, ma gli aumenti stanno nello stesso documento, con lo stesso obbligo. Il calcolo è il punto in cui il prezzo di un certificato incontra la sua sostanza: i giorni che non si comprano non mancano a caso, mancano di notte, presso i fornitori e durante il servizio, cioè dove un albergo si rompe più spesso. Contare il personale di bassa stagione per ridurre i giorni non è un risparmio: è una scelta su che cosa il certificato non vedrà.

Sottocapitolo 4.3 · Olbia

Setting: Olbia

In un ufficio commerciale ricavato in un ex magazzino portuale di Olbia, con i mattoni a vista e un traghetto oltre la vetrata, la responsabile vendite, Giovanna Murgia, esamina con una lente d’ingrandimento un certificato incorniciato su cui stanno, accanto al marchio dell’ente, due piccoli emblemi rotondi. Il direttore si china alle sue spalle e guarda con lei. La lente è letterale e metaforica insieme: due marchi che per sei anni erano stati letti come accreditamento vanno finalmente identificati uno per uno, perché un committente ha escluso l’albergo da una gara proprio su quella domanda.

La domanda 6.4 del questionario chiedeva se il sistema fosse certificato da un ente accreditato per quello schema da un organismo riconosciuto attraverso gli accordi internazionali. Murgia aveva risposto sì, come quattro volte prima, perché uno dei due marchi, pensava, era l’accreditamento. Il committente controllò, non trovò il certificato nella banca dati cercando il nome commerciale dell’albergo, e registrò la risposta come non dimostrabile. L’offerta fu esclusa nella fase di conformità. Dopo l’esclusione Murgia passò una mattina sulla catena: era tutta in ordine. L’ente era accreditato da ACCREDIA per lo schema giusto; il certificato si trovava cercando la ragione sociale della società di gestione; il secondo marchio era quello di un’associazione a cui l’ente aderisce.

Le targhette in alto fissano il fatto: «Due marchi accanto all’ente» e «Esclusi alla domanda di conformità». Quelle in basso ne traggono la lezione: «Seguire la catena fino in fondo» e «Una pagina per ogni offerta». In pratica l’albergo tiene nell’archivio delle offerte una pagina con tre fatti verificati alla fonte: chi ha accreditato l’ente e per quale schema, quale accordo internazionale riconosce quell’accreditamento, e con quale nome e numero il certificato compare nella banca dati pubblica. Ogni risposta di conformità si scrive da quella pagina e non dalla risposta precedente. Una volta l’anno qualcuno controlla nell’elenco dell’organismo di accreditamento che lo stato dell’ente non sia cambiato: due minuti, e una perdita che altrimenti arriverebbe sotto forma di una lettera cortese.

La catena dietro un certificato ha più anelli. In Europa il Regolamento (CE) 765/2008 prevede un unico organismo nazionale di accreditamento per Stato, in Italia ACCREDIA, che valuta la competenza degli enti secondo la ISO/IEC 17021-1:2015 per schemi precisi. Il riconoscimento internazionale passa per gli accordi di mutuo riconoscimento: dal 1° gennaio 2026 le due organizzazioni che li gestivano a livello mondiale sono state sostituite da un unico organismo, Global ACI, e i documenti obbligatori hanno preso nuove sigle senza cambiare contenuto. Marchio di certificazione, marchio di accreditamento e marchio associativo hanno regole d’uso diverse, e l’uso scorretto di un marchio è motivo di rilievo e, nei casi gravi, di sospensione. Un sì indimostrabile, per un committente pubblico o privato, vale meno di un no documentato.

Sottocapitolo 4.4 · Bormio

Setting: Bormio

In una sala riunioni di un albergo di Bormio, con i larici dorati di ottobre oltre la finestra, l’auditor dell’ente, capelli bianchi e barba curata, indica con la penna una pagina del raccoglitore aperto sul tavolo: una griglia di caselle quasi vuota. Accanto a lui Elisa Pedranzini, responsabile del progetto di certificazione, legge la stessa pagina. Il gesto è calmo e non ha niente di punitivo. L’auditor non sta indicando un errore di lavoro, sta indicando una cosa che non poteva ancora esistere: la storia di un sistema costruito in otto mesi.

Pedranzini aveva costruito un buon sistema, con un consulente serio e con procedure che le persone usavano davvero. A ottobre tutto era documentato, compreso e funzionante. Quando l’auditor chiese le tendenze, la pagina mostrava dodici indicatori con un numero ciascuno. Le tendenze richiedono mesi, e i mesi non si comprimono. Lo Stage 2 è stato rinviato e l’albergo ha perso la finestra dell’accordo quadro di novembre, che tornerà fra tre anni. Gli otto mesi successivi hanno fatto la differenza: analisi mensile dei dati, opportunità ricostruite con un metodo fissato prima, sei audit interni su processi scelti. Lo Stage 2 si è svolto nel giugno 2026, con due non conformità minori.

Le targhette in alto fissano il fatto: «Dodici indicatori, un numero ciascuno» e «Una scadenza a novembre». Quelle in basso ne traggono la lezione: «Le tendenze chiedono mesi» e «L’anteprima si usa». In pratica il calendario di una prima certificazione si costruisce all’indietro, partendo dalla data che conta, e si cercano le catene di attesa: determinare, pianificare, attuare, aspettare che i dati si formino, valutare. Ogni attesa fissa la data più vicina possibile, e nessuno sforzo la anticipa. Il rapporto dello Stage 1 va trattato per ciò che è: un’anteprima gratuita scritta da chi condurrà lo Stage 2. Se una data non regge, il committente va avvisato presto. Fabbricare una valutazione che non può ancora esistere è un problema molto più grave della sua assenza.

La ISO/IEC 17021-1:2015 descrive lo Stage 1 come la verifica della preparazione allo Stage 2: documentazione, comprensione dei requisiti, campo, processi, e lo stato di pianificazione e svolgimento di audit interni e riesame della direzione. La ISO 9001:2026, alla 9.1.3, chiede di analizzare e valutare dati e informazioni, e alla 9.3 tratta le tendenze come elemento in ingresso del riesame. La norma non fissa un numero minimo di mesi di dati; un ente ragionevole può accettare un riesame che dichiari la propria giovinezza. Il punto, però, non è normativo ma logico: una tendenza è una relazione fra più osservazioni nel tempo, e un indicatore calcolato una volta è un valore. Il tempo di un sistema non si misura nei documenti, che rispondono allo sforzo, ma nelle registrazioni, che rispondono al calendario.

Sottocapitolo 4.5 · Salerno

Setting: Salerno

Nell’office accanto alla sala banchetti di un grande albergo sul lungomare di Salerno, fra pile di piatti bianchi e posate arrotolate nei tovaglioli, l’auditor dell’ente, capelli raccolti e tailleur scuro, tiene un taccuino contro il petto e ascolta. Davanti a lei un uomo in giacca nera spiega con le mani aperte, ricordando una sera di due anni prima: è Raffaele Avallone, che lavora in quell’albergo dodici turni l’anno tramite un’agenzia. Due passi indietro, vicino al muro, la responsabile qualità, Valeria Senatore, ha le mani giunte e non dice niente. Ha costruito il sistema, e in questo momento non è lei a parlare.

La seconda mattina dello Stage 2 l’auditor smise di fare domande a Senatore e chiese un cliente: il fascicolo di un congresso di due anni prima, da seguire dalla prima richiesta all’ultimo pagamento. La traccia resse per quattro passi e si ruppe alle modifiche: nove cambiamenti fra firma ed evento, fra cui la cena spostata dalla terrazza a una sala interna per il vento di libeccio. Per sapere chi l’avesse autorizzata servirono tre persone e quaranta minuti. Poi parlò Avallone: quando qualcosa va storto lo dice al responsabile di turno, lo scrive sul foglio dell’evento e, se si ripeterà, lo dice al capo dei banchetti, perché i responsabili di turno cambiano.

Le targhette in alto fissano il fatto: «Un cliente seguito dall’inizio alla fine» e «Un extra da dodici turni l’anno». Quelle in basso ne traggono la lezione: «Chi non ha costruito il sistema» e «Che cosa si chiede a chi trova un problema». In pratica il secondo giorno di uno Stage 2 parla chi fa il lavoro, e prepararlo vuol dire percorrere ogni anno, in casa, la traccia di un cliente scelto a caso, registrando chi autorizza ogni modifica e quando il cliente ne è stato informato. La consapevolezza deve arrivare anche agli occasionali, che fanno il servizio nelle settimane che contano: a Salerno l’inserimento è passato da quaranta a cinquantacinque minuti e oggi dice che cosa l’albergo si aspetta da chi trova un problema. Il rilievo principale dell’auditor era proprio questo: la cultura c’era, ma per caso, nella testa di un uomo che poteva smettere di venire.

La ISO/IEC 17021-1:2015 descrive lo Stage 2 come la valutazione dell’attuazione e dell’efficacia del sistema, con evidenze raccolte su tutto il campo, anche attraverso interviste al personale. La traccia di un cliente è un metodo classico dell’audit per processi, perché attraversa i confini fra reparti dove le responsabilità si perdono. La ISO 9001:2026, alla 7.3, chiede che le persone che lavorano sotto il controllo dell’organizzazione, quindi anche gli occasionali e il personale d’agenzia, siano consapevoli della politica, degli obiettivi pertinenti, del proprio contributo e, novità dell’edizione, della cultura della qualità e del comportamento etico. La 8.5.6 chiede di controllare le modifiche all’erogazione del servizio e di conservarne evidenza. Preparare cinquanta persone a recitare la politica produce una rappresentazione che dura un giorno, e un auditor esperto la riconosce in pochi minuti.

Sottocapitolo 4.6 · Gubbio

Setting: Gubbio

In una sala di pietra e travi di un albergo nel centro medievale di Gubbio, con i tetti in pendenza oltre la finestra stretta, l’auditor dell’ente, capelli grigi e giacca di tweed, tiene in mano tre documenti aperti a ventaglio e appoggia l’altra mano su un lungo foglio stampato disteso sul tavolo. Accanto a lui Margherita Rampini, responsabile di turno del ricevimento, scrive veloce su un taccuino, con gli occhi sui documenti più che sull’auditor. Le era stato chiesto di accompagnarlo per cortesia. Dopo venti minuti aveva smesso di annotare ciò che lui diceva e aveva cominciato ad annotare ciò che chiedeva.

I suoi appunti dei primi novanta minuti sono un elenco di nove richieste: il campo del certificato, i tre accordi più importanti con i clienti, le pagine del sito su eventi e gruppi, il registro dei reclami di dodici mesi esportato in un foglio di calcolo, l’elenco dei fornitori che consegnano qualcosa direttamente all’ospite, e altre quattro. L’auditor ordinò da sé i reclami: il sessantuno per cento stava in tre categorie su diciannove, e le camere non pronte all’arrivo si concentravano nelle settimane di dicembre dell’albero di Natale, quando la città si riempie. Due dei tre accordi fissavano orari d’ingresso per delegazioni che arrivano proprio in quelle settimane.

Le targhette in alto fissano il fatto: «Nove richieste in novanta minuti» e «Accordi, sito, reclami». Quelle in basso ne traggono la lezione: «Prima ciò che l’albergo promette» e «La pagina degli impegni». In pratica un estraneo competente comincia dalle promesse, non dalla mappa dei processi: individua gli impegni più pesanti, guarda dove si concentrano i reclami, cerca ciò che non si può recuperare e le giunture con i fornitori che arrivano all’ospite. L’albergo può fare lo stesso lavoro prima di lui, ed è il lavoro più economico che un sistema qualità conosca: una pagina degli impegni tenuta aggiornata e il registro dei reclami ordinato ogni trimestre invece di essere letto riga per riga ogni settimana. A Gubbio il rilievo è caduto sul riesame del contratto, i due accordi sono stati rinegoziati con un orario che l’albergo può rispettare, e il dicembre successivo i reclami sulle camere non pronte sono scesi a meno di un terzo.

La ISO/IEC 17021-1:2015 chiede all’ente di pianificare ogni audit considerando i processi, i rischi e la complessità del cliente, e il tempo disponibile in un audit di sorveglianza è sempre poco: per questo l’auditor sceglie dove guardare. La ISO 9001:2026 offre gli appigli per quella scelta: la 8.2 sui requisiti accettati nei contratti, la 9.1.2 sulla soddisfazione del cliente, la 8.4 sui fornitori esterni i cui prodotti arrivano direttamente al cliente. La mappa dei processi prevista dalla 4.4 nomina e collega i processi, ma non li pesa, e attribuire punteggi in riunione per compensare produce una graduatoria di opinioni. Il metodo dell’estraneo funziona per una ragione statistica semplice: i requisiti accettati e i reclami non sono distribuiti in modo uniforme, e la loro coincidenza indica dove il sistema è più esposto.

Sottocapitolo 4.7 · Madonna di Campiglio

Setting: Madonna di Campiglio

In un ufficio rivestito di legno di un albergo di Madonna di Campiglio, con la pista illuminata e gli abeti innevati oltre la finestra e un paio di scarponi da sci nell’angolo, Chiara Bonapace, responsabile vendite e tariffe, si appoggia al tavolo con le mani su una grande griglia colorata e guarda il collega con un mezzo sorriso. Nicola Pretti, responsabile qualità, seduto, la guarda con la mano al mento, mentre capisce. Sulla griglia il verde intenso si addensa tutto in una parte dell’anno: l’estate. L’inverno, che porta quasi due terzi dei ricavi, è rimasto in colori pallidi, senza una sola visita.

Ogni febbraio arrivava la stessa mail: quattro camere per gli auditor dell’ente, seconda settimana di luglio. Bonapace chiese perché sempre quella settimana, e Pretti, che aveva ereditato il calendario, rispose che l’ente era sempre venuto a luglio. Lei mise su un foglio i nove audit esterni dal 2017 al 2025: diciotto giorni di audit, nessuno d’inverno. Poi Pretti aggiunse gli audit interni e i riesami, sui dodici mesi e sui sette giorni della settimana: tutto fra metà giugno e metà luglio, quasi tutto fra martedì e giovedì. Il sistema non aveva mai visto un sabato di cambio settimana a febbraio, quando l’albergo fa ciò che fa per la maggior parte dei suoi ricavi.

Le targhette in alto fissano il fatto: «Nove audit, tutti d’estate» e «L’inverno porta i due terzi dei ricavi». Quelle in basso ne traggono la lezione: «La data non è immobile» e «Almeno una visita per anno solare». In pratica l’albergo mette tutti gli audit su due griglie, i mesi e i giorni della settimana, e cerca la parte dell’anno che nessuno ha mai guardato. Prima di chiedere qualcosa all’ente sistema gli anelli suoi: stacca gli audit interni dalla data dell’ente e li fa ruotare sulle coordinate scoperte, chiede al riesame dati divisi per stagione e per giorno. Poi scrive all’ente una lettera di dieci righe chiedendo di dividere la sorveglianza: la parte documentale in un giorno tranquillo, mezza giornata nel picco. A Campiglio quella mezza giornata di febbraio ha trovato le venti persone a chiamata senza evidenze di competenza né di consapevolezza.

La ISO/IEC 17021-1:2015, alla 9.6.2, prevede audit di sorveglianza almeno una volta per anno solare, esclusi gli anni di ricertificazione, e richiede che la prima sorveglianza dopo la certificazione iniziale non cada oltre dodici mesi dalla decisione di certificazione. Entro questi vincoli la data è una scelta, non un anniversario: l’ente può e deve tenere conto della stagionalità del cliente, perché il campionamento nel tempo è parte del campionamento delle attività. La sorveglianza verifica a rotazione parti del sistema, la gestione dei reclami, le azioni sui rilievi precedenti e l’uso dei marchi. Un audit sempre nella stessa settimana non campiona l’intervallo fra due visite: ne fotografa ogni anno lo stesso punto, e lascia fuori dal sistema proprio le condizioni operative più difficili.

Sottocapitolo 4.8 · Bellagio

Setting: Bellagio

In un piccolo ufficio di un albergo sul lago di Como, di notte, con le luci delle ville riflesse nell’acqua oltre la finestra e una lampada da tavolo accesa, il tecnico informatico, Davide Gilardoni, allinea con un righello tre stampe affiancate: su ciascuna, fra righe grigie tutte uguali, una sola riga è evidenziata in giallo, alla stessa altezza. Alle sue spalle la responsabile qualità, ancora in impermeabile e con la borsa sulla spalla, si china a guardare. Il righello è il dettaglio che conta: tre registri tenuti da tre reparti diversi descrivono la stessa sera, la stessa camera, lo stesso ospite.

Gilardoni stava mappando le vecchie tabelle per la migrazione a un nuovo gestionale, di notte, quando l’albergo è tranquillo. Trovò un doppione: lo stesso inconveniente nel registro del ricevimento e nella tabella dei giudizi degli ospiti, con identificativi diversi. Poi un terzo, nel foglio dell’ufficio commerciale dove si annotavano le lamentele degli organizzatori di viaggi incentive. Era la camera non pronta all’arrivo per i gruppi del sabato. In tre anni era stata risolta trentasei volte, al ricevimento, in sala e in ufficio commerciale, ogni volta con cortesia e nei tempi, e ogni volta a valle della causa.

Le targhette in alto fissano il fatto: «Tre registri, la stessa sera» e «Trentasei volte risolto». Quelle in basso ne traggono la lezione: «Il ciclo si legge come un documento» e «La causa stava nella vendita». In pratica, tre mesi prima della ricertificazione, l’albergo esporta ogni canale che riceve segnali dei clienti, li unisce in un file ordinato per data e camera, toglie i nomi e cerca le ripetizioni. A Bellagio ne sono uscite quattro condizioni ripetute in un pomeriggio, senza comprare nessuna piattaforma. La decisione sulla camera non pronta è stata portata dove stava, nella vendita: l’ufficio commerciale non promette più l’accesso alle camere all’arrivo per i gruppi del sabato e lo vende come servizio a parte. La mappa dei processi è stata riletta sull’albergo di oggi, quattordici processi sono diventati diciassette, e il calcolo dei giorni è stato chiesto all’ente prima dell’offerta.

La ISO/IEC 17021-1:2015, alla 9.6.3, chiede che l’audit di ricertificazione valuti la conformità e l’efficacia continua del sistema nel suo insieme, comprese le prestazioni nel periodo di certificazione e i rapporti degli audit di sorveglianza. È l’unico audit del ciclo il cui oggetto è il ciclo stesso. La ISO 9001:2026 chiede, alla 10.2, di determinare se esistono o possono verificarsi non conformità simili, e alla 9.1.3 di analizzare i dati per valutare le prestazioni: sono gli strumenti con cui l’albergo può fare la stessa lettura prima dell’ente. Il caso illustra un limite strutturale dei registri per canale: misurano la chiusura delle singole voci, non la ripetizione delle condizioni. Una condizione distribuita su più canali è invisibile a ciascuno di essi, ed esiste solo nell’insieme.

Sottocapitolo 4.9 · Riccione

Setting: Riccione

Nell’ufficio di un grande albergo sul lungomare di Riccione, con il mare d’autunno e la spiaggia vuota oltre la vetrata, la responsabile qualità, Lucia Semprini, parla al telefono e con la penna indica una linea orizzontale tracciata su un foglio bianco, con tre piccole tacche. Il direttore, in piedi accanto alla finestra, le mani in tasca, la osserva con attenzione. Sul tavolo, chiuso e messo da parte, c’è un volume rilegato: un’analisi delle lacune di quarantuno pagine. La linea con le tre tacche è il calendario delle date in cui la transizione si può fare davvero, e vale più del volume.

L’analisi era arrivata in ottobre, tre settimane dopo la pubblicazione della nuova edizione, da un consulente serio: clausola per clausola, una colonna per il 2015, una per il 2026, una per le azioni. Nessuna riga era sbagliata, e nessuna diceva quando. Semprini la mise da parte per una settimana e scrisse ogni data di audit fino al 30 settembre 2029, cancellando quelle in cui l’ente non poteva ancora fare la transizione. Restavano la sorveglianza di febbraio 2028 e la ricertificazione di luglio 2029. Poi scoprì che il contratto con un tour operator tedesco chiedeva la certificazione sulla nuova edizione entro dodici mesi dalla pubblicazione: una data impossibile.

Le targhette in alto fissano il fatto: «Quarantuno pagine, nessuna data» e «Due date utili fino al 2029». Quelle in basso ne traggono la lezione: «Chiedere all’ente da quando» e «Tenere solo ciò che è nuovo». In pratica una transizione si pianifica partendo dal calendario e non dal testo: si scrivono le date di audit disponibili, si chiede all’ente per iscritto da quando potrà fare l’audit sulla nuova edizione, quanto tempo in più servirà e che cosa succede al certificato se la transizione non si chiude nella data scelta. Poi si riducono le pagine a ciò che è davvero nuovo o rafforzato, e lo si attua: un auditor cerca il funzionamento, non la numerazione. A Riccione le risposte dell’ente sono arrivate in dieci giorni, e la lettera al tour operator con il calendario ha spostato la clausola a marzo 2028.

La transizione è governata da un documento obbligatorio di Global ACI, TECH-3-TR 2029-09-30 (M): i certificati sulla ISO 9001:2015 cessano di valere al 30 settembre 2029, e l’audit di transizione può essere fatto solo da un ente che abbia completato la propria transizione e ottenuto l’estensione dell’accreditamento; in Italia le regole applicative sono fissate da ACCREDIA, con la circolare DC 41/2026. I requisiti davvero nuovi o rafforzati della ISO 9001:2026 sono pochi: cultura della qualità e comportamento etico con la relativa consapevolezza, opportunità trattate e valutate distintamente dai rischi, nuovi fattori nella pianificazione delle modifiche, comunicazione ai fornitori esterni. Dichiarare una certificazione sulla nuova edizione prima di averla ottenuta è un’informazione ingannevole e un uso scorretto del marchio. Transitare presto o tardi è legittimo, purché sia una scelta.

Sottocapitolo 4.10 · Urbino

Setting: Urbino

Nella cucina di un albergo in un palazzo rinascimentale di Urbino, fra un servizio e l’altro, con le pentole di rame appese alla parete e i banchi d’acciaio puliti, il direttore della ristorazione, Marco Bacchiocchi, in giacca da cuoco, tiene sollevate due pinze e spiega. Di fronte a lui l’auditor dell’ente, Anna Ferri, capelli grigi ricci e cardigan blu, ascolta appoggiata al banco, con il quaderno chiuso. Sullo sfondo un giovane cuoco si asciuga le mani e segue la conversazione. Le pinze sono l’oggetto del caso: una per il pane, una per il piatto senza glutine, e un commis che aveva detto di averle scambiate.

Ferri faceva audit da ventidue anni e per la prima volta non sapeva che cosa avrebbe contato come evidenza: sul suo piano c’era una riga per la cultura della qualità e il comportamento etico. L’albergo le aveva preparato un codice di comportamento firmato da tutti e una procedura contro l’errore umano emessa undici giorni prima. Lei li lesse e li mise da parte, e chiese quando fosse stata l’ultima volta che qualcuno aveva detto di aver sbagliato. A marzo un commis era andato dal direttore, la mattina dopo, a dire di aver usato le stesse pinze per il pane e per un piatto senza glutine. Il servizio successivo era stato fermato, la postazione rifatta, l’episodio registrato. Il quaderno della cucina conteneva sei segnalazioni in dodici mesi.

Le targhette in alto fissano il fatto: «Un codice firmato da tutti» e «Le pinze del senza glutine». Quelle in basso ne traggono la lezione: «L’evidenza è un comportamento» e «Proteggere chi segnala, giudicare i fatti». In pratica, sui requisiti mai verificati prima, l’albergo non compra un modello per ciascuno: prepara le tracce di ciò che succede davvero. Il registro delle segnalazioni, con ciò che è seguito a ciascuna, mostra che dire una cosa scomoda non costa niente. Ma l’auditor ha fatto anche la seconda domanda: proteggere chi segnala non basta a giudicare la risposta all’episodio, e l’ospite del piatto senza glutine non era stato informato. Oggi i piatti senza glutine escono da una postazione separata con pinze di un altro colore, e un contatto fa partire una telefonata all’ospite. L’unico rilievo, minore, ha riguardato le opportunità perseguite senza un criterio scritto prima.

La ISO 9001:2026 introduce, alla 5.1 e alla 7.3, la promozione e la consapevolezza della cultura della qualità e del comportamento etico, mantiene alla 8.5.1 le azioni contro l’errore umano e chiede, alla 6.1 e alla 9.1.3, di valutare l’efficacia delle azioni sulle opportunità. Per un ente sono requisiti nuovi, senza una prassi consolidata di audit, e le interpretazioni del primo anno tendono a stabilizzarsi. La ISO/IEC 17021-1:2015 chiede che ogni rilievo sia scritto come requisito, evidenza e distanza: una conclusione sulla cultura che non si lascia scrivere così non è un rilievo. L’assenza di segnalazioni è una pista, non una prova, perché può indicare un processo sicuro o un ambiente in cui nessuno parla. Sul piano della sicurezza alimentare valgono in ogni caso il Regolamento (CE) 852/2004 e il Regolamento (UE) 1169/2011 sugli allergeni: la norma volontaria non li sostituisce.

Sottocapitolo 4.11 · Catania

Setting: Catania

In una sala riunioni di un albergo di Catania, con il profilo dell’Etna oltre la finestra, l’auditor dell’ente, giacca blu e camicia azzurra, tiene una mano su una pila alta di fatture e con l’altra indica una pagina di un registro aperto. Al centro il responsabile del ricevimento, Salvatore Musumeci, allarga le mani in un gesto di spiegazione. A destra la responsabile del questionario di soddisfazione, Giulia Pappalardo, si porta la mano alla bocca: ha appena capito la seconda metà del problema. La pila di fatture è quella dell’albergo convenzionato che accoglieva gli ospiti trasferiti.

L’auditor aveva passato la mattina sui dati: indice di soddisfazione alto e stabile, pochi reclami, obiettivi raggiunti. Poi chiese che cosa succedesse a un ospite con prenotazione confermata in una notte senza camera. Musumeci rispose bene, perché l’albergo trasferiva gli ospiti con vera abilità, nelle notti di Sant’Agata, dei congressi e dei voli dirottati per la cenere del vulcano. L’anno precedente era successo duecentoquattordici volte. Nessun caso era registrato come servizio non conforme: stavano in una voce di bilancio. E nessun ospite trasferito riceveva il questionario, quindi l’indice era esatto per tutti, tranne che per chi non aveva avuto la camera.

Le targhette in alto fissano il fatto: «Duecentoquattordici trasferimenti» e «Nessuno nel registro qualità». Quelle in basso ne traggono la lezione: «Il trasferimento è un servizio non consegnato» e «Misurare anche chi non è arrivato». In pratica l’albergo distingue la correzione dall’azione correttiva. La correzione è il registro dei trasferimenti, costruito in nove giorni e riempito all’indietro dalle fatture e dal quaderno della notte, con chi autorizza, il motivo e ciò che si dà all’ospite. L’azione correttiva risponde alla domanda che il rilievo pone: quali altre categorie di servizio non consegnato stanno fuori dal sistema. A Catania ne sono emerse altre due, le camere declassate all’arrivo registrate solo come sconto e le camere guaste registrate solo come ordine di manutenzione. Un questionario breve ai trasferiti ha abbassato l’indice di tre decimi, e nessuno lo ha letto come un peggioramento.

La ISO 9001:2026, alla 8.7, chiede di identificare e controllare gli output non conformi, compresi i servizi non conformi rilevati dopo l’erogazione; alla 9.1.2 chiede di monitorare la percezione dei clienti; alla 10.2 di agire sulla causa e di cercare non conformità simili. La ISO/IEC 17021-1:2015 definisce maggiore una non conformità che incide sulla capacità del sistema di conseguire i risultati attesi, e un guasto di servizio ricorrente e sistematicamente invisibile al sistema rientra in quella definizione. La norma non vieta la sovrapprenotazione, che è una politica commerciale legittima: chiede che le sue conseguenze siano governate. Il caso mostra un errore di misura noto come distorsione da selezione: un indice calcolato solo su chi ha ricevuto il servizio non può, per costruzione, rilevare chi non l’ha ricevuto.

Sottocapitolo 4.12 · Positano

Setting: Positano

Nell’ufficio commerciale di un albergo sui terrazzamenti di Positano, con la buganvillea e il mare oltre la finestra, la responsabile delle vendite, Ilaria Fusco, è seduta al portatile e alza lo sguardo allarmata. In piedi accanto a lei il direttore tiene in una mano una lettera appena estratta da una cartella e nell’altra la cartella stessa; alle sue spalle un cassetto dell’archivio è aperto. Fusco ha aperto la banca dati pubblica dei certificati soltanto per copiare un collegamento in un’offerta, e in fondo alla riga ha letto una parola: sospeso. La lettera che il direttore tiene in mano lo diceva da agosto.

L’albergo, novanta camere in un gruppo di sette strutture, era certificato dal 2016. In primavera la sorveglianza aveva sollevato una non conformità maggiore sulla lavanderia esterna: nessun requisito dichiarato, nessun controllo, nessuna valutazione del fornitore da tre anni. L’albergo aveva risposto nei tempi mandando un nuovo contratto firmato. L’ente aveva chiesto la dimostrazione che il controllo funzionasse, e, non avendola, aveva sospeso il certificato con una lettera di due pagine arrivata in alta stagione e archiviata con la posta dell’ente. Intanto la gara più importante della storia dell’albergo chiedeva il numero del certificato e il collegamento alla banca dati.

Le targhette in alto fissano il fatto: «Sospeso, scoperto per una gara» e «La lettera archiviata in agosto». Quelle in basso ne traggono la lezione: «Si trasferisce solo un certificato valido» e «Pensare alla porta quando è aperta». In pratica, davanti a una sospensione, l’albergo fa quattro cose nello stesso giorno. L’inventario dei luoghi in cui dice di essere certificato: a Positano trentaquattro, undici modificabili da soli, diciotto nei sistemi di altri, cinque già stampati. Il fermo della promozione della certificazione. Una lettera ai clienti che hanno la certificazione nel contratto, prima che la scoprano dalla banca dati. La chiusura della maggiore con evidenze di funzionamento, non con documenti: requisiti scritti alla lavanderia, venti capi controllati ogni settimana, una valutazione trimestrale. Dopo due mesi di controlli registrati l’ente ha revocato la sospensione. La gara, quel ciclo, è andata persa, con una lettera onesta al committente.

La ISO/IEC 17021-1:2015, alla 9.6.5, disciplina sospensione, revoca e riduzione del campo: durante la sospensione il certificato è temporaneamente non valido, l’ente rende pubblico lo stato e il cliente deve astenersi dal promuovere la certificazione; se le cause non vengono risolte nel tempo stabilito, segue la revoca o la riduzione del campo. Il ciclo di certificazione continua a scorrere durante la sospensione, e la scadenza non si sposta. Il trasferimento fra enti accreditati è regolato da Global ACI TECH-3-002 (ex IAF MD 2): si trasferisce solo un certificato accreditato valido, e un certificato sospeso non si trasferisce. Ne discende una regola di prudenza: il cambio di ente si valuta quando il certificato è in ordine, e la posta dell’ente si legge anche in agosto.

Sottocapitolo 4.13 · Aosta

Setting: Aosta

In una sala con pareti di pietra e travi a vista nella sede di un gruppo alberghiero familiare in Valle d’Aosta, con le montagne oltre le finestre, la responsabile degli affari societari, Paola Jorioz, capelli grigi corti e occhiali, appoggia una mano su una pila alta di contratti e con l’altra fa scivolare verso il direttore generale del gruppo un unico foglio. Sul foglio sette righe, tre delle quali spuntate. Il direttore, seduto, capelli e baffi bianchi, giacca di loden, guarda il foglio con una serietà che cresce. Le tre spunte sono gli alberghi su cui il centro del gruppo ha davvero il potere di imporre un cambiamento.

Il gruppo aveva sette alberghi, sette certificati, tre enti diversi. Il consiglio aveva già approvato il passaggio a un unico certificato multisito, e il risparmio, cinquantacinquemila euro in tre anni, era già stato annunciato. A Jorioz fu chiesto soltanto di confermare la struttura societaria per la domanda all’ente, che conteneva una domanda precisa: la funzione centrale ha l’autorità di imporre azioni correttive in ogni sito? Jorioz era l’unica persona ad aver letto per intero ogni contratto. Due alberghi erano gestiti da un operatore internazionale che si riservava gli standard operativi; uno era in affiliazione, con diritto di ispezione ma non di imporre azioni correttive; uno dipendeva da un patto parasociale che richiedeva l’unanimità. Come entità capace di imporre come si rifà un letto a Champoluc, il gruppo era un gruppo di tre.

Le targhette in alto fissano il fatto: «Un risparmio già annunciato» e «Tre alberghi su sette sotto il centro». Quelle in basso ne traggono la lezione: «Prima l’autorità, poi la somiglianza» e «Un certificato, un’esposizione sola». In pratica la decisione sul multisito comincia da una pagina: per ogni albergo la società proprietaria, quella che gestisce, chi decide gli standard operativi e la clausola con cui il centro può esigere un cambiamento. Poi si affianca al risparmio l’esposizione: che cosa significherebbe una maggiore nell’albergo più debole per tutti gli altri. Il gruppo ha certificato insieme i tre alberghi che controlla, ha lasciato gli altri quattro con i propri certificati, ha trattato gli alberghi gestiti da terzi come processi esterni e ha dato alla funzione centrale una persona e mezza, un piano e un audit interno che copre ogni sede ogni anno. Il risparmio è sceso a circa ventimila euro, e nessuno in consiglio lo ha rimpianto.

La certificazione multisito è disciplinata da Global ACI TECH-3-001 (ex IAF MD 1), applicato insieme alla ISO/IEC 17021-1:2015. Il documento chiede una funzione centrale identificata, con l’autorità di imporre azioni correttive in tutti i siti, un sistema di gestione unico e audit interni che coprano tutti i siti; il campionamento dei siti da parte dell’ente è ammesso solo dove i processi sono sostanzialmente simili. Una non conformità trovata in un sito si tratta come un rilievo di sistema, con la verifica dell’estensione agli altri siti, e può incidere sul certificato di tutti. Aggiungere un albergo acquisito richiede un’estensione del campo decisa dall’ente; una cessione va comunicata. La prova della somiglianza viene dopo quella dell’autorità: lo stesso manuale dimostra soltanto che gli alberghi si somigliano, non che il centro possa costringerli a cambiare.

Sottocapitolo 4.14 · Portofino

Setting: Portofino

Nell’ufficio del direttore di un piccolo cinque stelle sulla collina sopra il porto di Portofino, la sera, con le luci del porto lontane oltre la finestra, il pannello di legno scuro e una lampada d’ottone accesa, il direttore, Giorgio Schiaffino, legge un foglio tenendo la penna sospesa, senza firmare. In piedi accanto a lui Chiara Ottonello, che ha preparato l’offerta, tiene stretta una cartella nera e aspetta. Il foglio è la risposta alla domanda ventidue di una gara. Schiaffino la leggerà quattro volte, e non la firmerà, perché ogni parola è vera e la risposta, nel complesso, non lo è.

Una grande compagnia assicurativa milanese rimetteva a gara il suo programma di incentivi e riunioni del consiglio in Liguria. La domanda ventidue chiedeva se il fornitore fosse certificato ISO 9001 e, in caso affermativo, di confermare che la certificazione attestasse una soddisfazione degli ospiti pari o superiore a 8,5. L’albergo era certificato e il suo indice dell’anno era 8,7. Ottonello voleva rispondere sì a entrambe le parti, con un ragionamento non disonesto. Ma la domanda non chiedeva se le due cose fossero vere: chiedeva se la prima garantisse la seconda. E tre servizi che l’ospite percepisce come dell’albergo, la spa, i motoscafi e lo stabilimento balneare, erano gestiti da altri e fuori dal campo.

Le targhette in alto fissano il fatto: «Letta quattro volte, non firmata» e «Tre servizi fuori dal campo». Quelle in basso ne traggono la lezione: «Certifica il sistema, non il livello» e «La correzione insieme alle prove». In pratica la risposta onesta va scritta in modo che l’onestà non costi il cliente. Schiaffino l’ha riscritta in due paragrafi: nel primo il sì alla certificazione, con ente e campo, e la frase che il certificato non attesta un livello di servizio; nel secondo il dato di soddisfazione con metodo, popolazione e andamento, e le ultime tre azioni correttive su disservizi. Ne è nata una pagina fissa a tre colonne, che dice che cosa attesta il certificato, che cosa attesta il dato e che cosa copre il contratto con i gestori esterni. La brochure non parla più di «garanzia dell’eccellenza», e l’ente, in sorveglianza, ha chiuso un’osservazione aperta proprio su quella frase.

Un certificato ISO 9001 attesta che un sistema di gestione, in un campo definito e a una data, è stato trovato conforme ai requisiti della norma da un ente accreditato, attraverso un campionamento. Non è una classificazione del servizio come le stelle, che in Italia sono attribuite secondo la normativa regionale sulle strutture ricettive, e non certifica un livello di soddisfazione. La ISO/IEC 17021-1:2015 impone all’ente di controllare l’uso che il cliente fa del certificato e dei marchi, e un’affermazione che lasci intendere una qualità del prodotto certificata è un uso scorretto. Sul piano del diritto dei consumatori, un’affermazione ingannevole sulle caratteristiche del servizio ricade nella disciplina delle pratiche commerciali scorrette del Codice del consumo (D.Lgs. 206/2005), vigilata dall’AGCM. Il valore reale del certificato è più modesto e più utile: dice che, quando l’albergo non è buono, qualcuno se ne accorge e agisce.

Sottocapitolo 4.15 · Milano

Setting: Milano

Nella sala del consiglio al primo piano dell’albergo di Porta Nuova, a Milano, una sera di dicembre, con la pioggia che riga la vetrata e le luci della città sfocate dietro, la presidente del Gruppo Ferrante, capelli argento e filo di perle, si china sul tavolo e appoggia l’indice su un unico foglio diviso in due colonne. Accanto al foglio è aperto il raccoglitore del budget. Il direttore finanziario, Roberto Galli, seduto, la penna in mano, segue il suo dito con l’espressione di chi sta concedendo un punto. Il foglio ha sostituito una riga del budget: da una parte il costo vero, dall’altra l’esposizione.

La proposta di Galli era ragionevole: far uscire l’albergo di Bardolino dal certificato di gruppo, con un risparmio di 6.800 euro l’anno, perché nessun ricavo si poteva attribuire con certezza a quella spesa. Ma 6.800 euro erano solo la quota dell’ente. Il costo vero, con le ore di ogni reparto, era di circa 16.400 euro l’anno, poco più di 180 euro per camera. Dall’altro lato, il diciotto per cento delle notti dell’albergo veniva da operatori che chiedono la certificazione, circa 600.000 euro di ricavi netti del canale, con il rinnovo del contratto più grande previsto nell’autunno 2027. L’albergo del Garda è rimasto nel certificato.

Le targhette in alto fissano il fatto: «La riga diceva 6.800 euro» e «Il costo vero, ore di reparto comprese». Quelle in basso ne traggono la lezione: «Il certificato è la ricevuta» e «Decide chi porta l’esposizione». In pratica la decisione si prende su una pagina uguale per ogni albergo: quote, ore per reparto, costo per camera, quota di ricavi esposta, costo del rientro. Le ore dell’audit entrano nei budget dei reparti con il loro nome, perché è lì che i sistemi decadono in silenzio quando nessuno le conta: la governante di Bardolino ha oggi nove ore l’anno scritte accanto al suo obiettivo di produttività. Le prove generali prima dell’audit sono state tolte, perché erano l’unica parte dell’esercizio che non produceva niente di utilizzabile. Ogni dicembre la certificazione torna al consiglio come voce di un bene, con costo ed esposizione affiancati.

La ISO 9001:2026 non obbliga nessuno a certificarsi, e non esiste un obbligo generale di certificazione per gli alberghi italiani: la decisione è economica e di governo. Il documento Global ACI TECH-3-004 (ex IAF MD 5) spiega perché la quota dell’ente sia la parte minore del costo: l’ente fattura giorni di audit, mentre il sistema lo mantengono le ore dei reparti. Il ritorno di una certificazione non si misura con precisione, e chi pretende una cifra ottiene un numero inventato; si può invece stimare l’esposizione, cioè la quota di ricavi che dipende da clienti che chiedono il certificato, e il costo di un rientro, che richiede una nuova valutazione dell’ente e lascia un vuoto nella storia del certificato. La distinzione che il libro propone è contabile prima che normativa: il certificato è la ricevuta, il bene è la capacità che il sistema lascia nell’albergo.