Gestão da qualidade e soberania digital

Muitas empresas buscam a certificação de seu sistema de gestão da qualidade. Trata-se de uma decisão estratégica sólida, pois a certificação atesta que um avaliador independente examinou o sistema e que determinados requisitos mínimos foram atendidos.

Para poucas empresas isso é um fim em si mesmo. As motivações variam:

• Um sistema de gestão da qualidade certificado é exigência mandatória do cliente – no setor automotivo, tipicamente a IATF 16949
• Um SGQ certificado viabiliza a participação em concorrências, concedendo acesso a determinados mercados e clientes – em muitos setores, a ISO 9001 é o padrão de referência.
• Existem também diversos requisitos legais que demandam certificações como a ISO 14001 para a gestão ambiental – estas são tipicamente conduzidas em um "SGI" – "Sistema de Gestão Integrado".

ISO 9001, IATF 16949, … Motivações para um sistema de gestão da qualidade certificado

Quando uma empresa decide certificar seu sistema de gestão da qualidade, a reação inicial de muitos colaboradores costuma ser de resistência. Espera-se a criação de burocracias excessivas ou "cemitérios de documentos", e teme-se a sobrecarga de trabalho. Identificar o valor desse processo torna-se ainda mais complexo quando o único objetivo declarado é a obtenção do "certificado" para fins de marketing.

Contudo, há argumentos contundentes a favor de um sistema de gestão da qualidade certificado:

• A norma evoluiu ao longo de décadas, incorporando continuamente exigências do cotidiano operacional e propondo uma estrutura que orienta as empresas na implementação efetiva desses requisitos e necessidades.
• A norma reconhece a influência de múltiplos fatores – pessoas, equipamentos, ambiente, entre outros – e fornece diretrizes para a gestão dos riscos e oportunidades decorrentes.
• O foco não é a geração excessiva de documentação, mas sim a estrutura organizacional. A norma auxilia na identificação de quais "processos centrais" atuam diretamente para converter uma solicitação de cliente em plena satisfação. O princípio fundamental: um cliente satisfeito gera novos pedidos, o que estabiliza a relação comercial e, consequentemente, a saúde financeira da empresa. Complementarmente, existem os "processos de apoio", que garantem a execução fluida dos processos centrais. Já os processos de gestão formam a base da organização, assegurando estratégia clara, financiamento sustentável, entre outros aspectos. Esta segmentação estrutural facilita a definição e a atribuição de tarefas e responsabilidades.
• A propósito de tarefas e responsabilidade: o princípio „A-K-V“ (tarefa, competência, responsabilidade) é mais do que um mero jargão. Em resumo, ele estabelece que apenas quem possui a devida competência para uma tarefa pode assumir a responsabilidade por ela. Mas onde já vimos isso antes? No Direito Civil e no Direito das Obrigações. Nessas áreas também está claramente definido que a responsabilidade recai sobre quem delega uma função a alguém não qualificado para exercê-la. Isso impõe ao empresário o dever de assegurar uma organização estruturada, alocar os colaboradores de acordo com suas competências e capacitá-los sempre que o escopo de atuação sofrer alterações.
• Adicionalmente, há a governança documental. Por que é indispensável que os colaboradores utilizem apenas modelos de documentos formalmente aprovados? Porque estes incorporam formatos e diretrizes de relevância jurídica, desonerando o colaborador individual dessa verificação. Isso inclui requisitos para o arquivamento do documento gerado. A responsabilidade pelo cumprimento dessas diretrizes recai, portanto, sobre a empresa, permitindo ao colaborador focar estritamente no conteúdo técnico. Dessa forma, chega-se ao arquivamento documental (quando mandatório): aqui são geradas as evidências que comprovam a conformidade das ações da empresa e de seus profissionais.
• Do ponto anterior deriva-se a relevância do "controle de informação documentada". Sob a perspectiva da soberania digital, constata-se que o escopo abrange não apenas modelos, descrições de processos, instruções de trabalho e registros de evidência, mas também as plataformas nas quais essas informações são gerenciadas e armazenadas. Soluções como o MS SharePoint auxiliam na criação, edição e aprovação de documentos mediante fluxos de trabalho definíveis. No entanto, o simples armazenamento em tais sistemas não cumpre os requisitos rigorosos de um arquivo definitivo e inviolável. Cumpre também analisar criteriosamente se tais plataformas atendem aos requisitos e expectativas contratuais dos clientes.

Riscos e oportunidades

Riscos e oportunidades constituem um componente elementar de um sistema de gestão da qualidade. As normas não prescrevem o método exato para identificar, avaliar e tratar riscos e oportunidades, tampouco delimitam quais categorias devem ser analisadas. Recomendamos uma abordagem abrangente, que contemple todos os níveis e processos corporativos.

A própria continuidade dos negócios pode ser ameaçada: eventos climáticos severos que danifiquem instalações, paralisações produtivas, saídas planejadas ou imprevistas de profissionais-chave, ou litígios de responsabilidade civil pelo produto que comprometam a solvência da empresa.

Os processos centrais também estão sujeitos a vulnerabilidades: requisitos de clientes levantados de maneira incompleta, resultando em desconformidade do produto com as especificações exigidas, ou sanções econômicas que restrinjam o fornecimento de matérias-primas e insumos essenciais.

Na engenharia de desenvolvimento, a avaliação sistemática de falhas potenciais e seus efeitos é padrão consolidado há décadas – a metodologia FMEA é amplamente dominada pelos engenheiros. Contudo, qual é o cenário nas demais áreas operacionais? E, primordialmente, na rotina diária? A análise de riscos é conduzida como uma mera formalidade burocrática para atender a auditorias ou como etapa indispensável do planejamento estratégico?

O mesmo se aplica às oportunidades. Se elas não forem identificadas, avaliadas e aproveitadas, o concorrente que trabalha de forma estruturada e sabe utilizar suas vantagens assumirá a liderança.

ISO 9001 e IATF 16949: complementação, não substituição

No setor automotivo, depara-se com a IATF 16949:2016. Ela não é uma norma autônoma, mas baseia-se na ISO 9001:2015, complementando-a com requisitos específicos do segmento automotivo. Quem se certifica de acordo com a IATF 16949 é, portanto, sempre auditado também em relação aos requisitos da ISO 9001.

Para o planejamento de uma certificação, essa relação é determinante. A base da ISO 9001 sustenta a estrutura, sobre a qual a IATF se estabelece. Compreender isso evita tanto a duplicidade de esforços quanto lacunas no sistema de gestão.

A análise das entidades emissoras também é esclarecedora. A ISO 9001 provém da International Organization for Standardization, enquanto a IATF 16949 é emitida pela International Automotive Task Force, uma associação de grandes montadoras de veículos e suas respectivas entidades de classe. Disso decorrem os diferentes focos de ambos os níveis.

Risco de cibersegurança

Um risco do qual todas as empresas têm consciência é o de ataques cibernéticos. Uma infraestrutura de TI resiliente, contudo, deve ir além, pois não é apenas o chantagista que criptografa ou extrai dados que representa uma ameaça. Existe uma variedade de riscos internos com consequências comparáveis. Isso começa já na seleção dos sistemas de TI, na localização dos servidores e nas diretrizes para o trabalho com essas soluções tecnológicas.

Riscos típicos:

• Pessoas não autorizadas (internas ou externas) obtêm acesso a dados ou documentos.

• Dados ou documentos são "perdidos".

• Os sistemas operam com restrições, não atendem aos requisitos ou sofrem interrupções.

• Os custos evoluem de forma descontrolada.

Cabe agora avaliar quais consequências derivam desses riscos caso medidas adequadas não sejam adotadas. Disposições legais serão violadas? Acordos contratuais serão descumpridos? Surgirão riscos de responsabilidade civil? E como esses riscos podem ser mitigados?

No desenvolvimento de um sistema de gestão da qualidade, esses riscos devem ser considerados, inclusive porque regulamentações como o controle de informação documentada só são eficazes se o sistema de TI for estruturado de acordo.

Não obrigatória – mas indispensável para o sucesso sustentável

Nem a IATF 16949 nem a ISO 9001 são exigidas por lei. O cumprimento desses requisitos, contudo, abre inúmeros caminhos. Para empresas que pretendem se tornar detentoras de homologações, a avaliação inicial com um certificado válido torna-se consideravelmente mais simples de gerenciar. Além disso, em muitos projetos e concorrências, o certificado é pré-requisito mandatório para a submissão de propostas.

Um SGQ consistente é reconhecido e utilizado pelos colaboradores como uma ferramenta de excelência. Para isso, é imprescindível envolvê-los ativamente desde o desenvolvimento do sistema.

Certificação: voluntária, porém frequentemente exigida

A ISO 9001 e a IATF 16949 podem ser aplicadas sem que a organização seja formalmente certificada. Na prática, contudo, clientes e contratantes exigem a comprovação com frequência, sendo a certificação por um organismo acreditado a via mais direta. Em diversos processos de licitação, ela constitui requisito de habilitação.

O ciclo é padronizado: à auditoria inicial sucedem-se auditorias anuais de monitoramento e, após três anos, a recertificação. Essa rotina mantém o sistema ativo. O olhar externo identifica fragilidades antes que sejam detectadas pelo cliente.

Um certificado afixado na parede enquanto a rotina de trabalho adota práticas distintas não possui valor e será apontado, no mais tardar, durante a auditoria de monitoramento. O benefício concreto surge quando o sistema é vivenciado na prática: nesse cenário, a certificação abre mercados e estabelece o rigor estrutural sobre o qual os seus comprovantes de conformidade se sustentam.

Perguntas frequentes sobre a ISO 9001

Minha empresa necessita de uma certificação?

Inverta a perspectiva da pergunta: minha empresa atua de forma estruturada o suficiente para se submeter a um processo de certificação a qualquer momento? Caso contrário, recomendamos avaliar, estruturar e otimizar processos e fluxos organizacionais. Apenas a clareza dessas definições já trará benefícios imediatos aos seus colaboradores.

A ISO 9001 é mandatória por lei?

Não. A ISO 9001 é uma norma voluntária. Contudo, pode ser utilizada como evidência reconhecida em contextos regulatórios, como na avaliação inicial de Conformidade de Produção (CoP) segundo o Anexo IV do Regulamento (UE) 2018/858, bem como em questões de responsabilidade civil pelo produto e responsabilidade do fabricante em geral. E, naturalmente, para o cumprimento de obrigações contratuais.

A IATF 16949 substitui a ISO 9001?

Não. A IATF 16949 é construída sobre a base da ISO 9001:2015, complementando-a com requisitos específicos da indústria automotiva. Ambas são auditadas de forma integrada.

Qual a relação entre a ISO 9001 e a Conformidade de Produção (CoP)?

Uma certificação válida na ISO 9001 pode simplificar expressivamente a avaliação inicial de um futuro detentor de homologação (Anexo IV do Regulamento (UE) 2018/858), desde que o escopo seja compatível.

Qual é o prazo de validade de uma certificação ISO 9001?

Geralmente três anos, sujeita a auditorias periódicas de monitoramento realizadas anualmente pelo organismo de certificação acreditado. Após esse período, procede-se à recertificação.