„Am ascultat înțelepciunea unei vechi maxime rusești. Și sunt sigur că vă este familiară, domnule secretar general, deși pronunția mea s-ar putea să vă dea bătăi de cap. Maxima este: Dovorey no provorey — ai încredere, dar verifică.”Ronald Reagan · Remarks on Signing the Intermediate-Range Nuclear Forces Treaty · 1987 · Ronald Reagan, cuvântare la semnarea Tratatului privind forțele nucleare cu rază intermediară, Casa Albă, 8 decembrie 1987 — arhiva Bibliotecii Prezidențiale Reagan
Etapa 1 judecă documentele, etapa 2 judecă dovezile, iar acreditarea judecă organismul care le judecă pe amândouă.
Auditul de certificare vine în două etape. Etapa 1 se uită la documentație și la gradul de pregătire: domeniul de aplicare, politica, evaluarea și tratarea riscului, declarația de aplicabilitate, dovada că auditul intern și analiza de management chiar au avut loc. Rezultatul ei nu e o notă, ci planul etapei 2 și lista lucrurilor care ar bloca-o. Etapa 2 verifică implementarea: se cer înregistrări din perioada scursă, se intervievează oameni din procese, se compară ce scrie cu ce se face. După certificat urmează supravegherea anuală, pe un eșantion de procese și controale, și recertificarea completă la trei ani. Organismul care emite certificatul e el însuși acreditat după ISO/IEC 17021-1, în România de organismul național de acreditare RENAR; un certificat fără acreditare în spate e o hârtie, nu o recunoaștere. Din același motiv de independență, cine a implementat sistemul nu îl poate și audita.
Reagan a împrumutat de la ruși o maxima despre încredere și verificare. Ideea merge mai departe: verificarea nu e un gest unic, ci un ritm. Certificarea unui sistem de management funcționează la fel. Nu te uiți o dată la ceva și gata, ci stabilești un ciclu cu termene cunoscute din start. Gândește-te la vizita medicală pentru permisul de conducere: nu dovedești o dată pentru totdeauna că vezi bine, ci revii la intervale fixate. Diferența e că aici ciclul are structură: etape pregătitoare, apoi verificări anuale, apoi reluarea completă. Ritmul există tocmai pentru că încrederea se uzează, iar sistemele se schimbă. Întrebarea firească este ce se întâmplă de fapt în fiecare dintre aceste momente ale ciclului.
Ciclul începe cu o divizare pe care mulți o ratează: certificarea nu se cere dintr-o dată, ci în două etape. Prima nu caută defecte în practică, ci citește hârtiile și pregătirea. Verifică dacă domeniul e definit, dacă politica și evaluarea riscurilor există, dacă auditul intern și analiza managementului chiar s-au ținut. Rezultatul nu e o notă, ci un plan: ce se verifică în etapa a doua și ce ar putea s-o blocheze. E ca vizita la arhitect înainte de renovare: nu demolăm nimic, dar aflatăm unde sunt pereții portanți. Cine sare peste etapa 1 intră în etapa 2 orb. Iar etapa 2 cere altceva: înregistrări din perioada scursă și oameni care povestesc cum lucrează. Ce urmează după ce certificatul ajunge pe perete?
De ce contează Ordinea etapelor spune unde se pierde timpul: cine intră în etapa 2 fără înregistrări din perioada scursă amână certificatul, nu îl grăbește.