Come leggere un VPAT (e un ACR): una guida per chi acquista

Chiedi a qualsiasi fornitore di software prove di accessibilità e ti verrà inviato un VPAT. Chiedi a tre fornitori e riceverai tre documenti che sembrano quasi identici, tutti che affermano una conformità quasi totale, e nessun modo ovvio per capire quale sia vero. Questo è il problema con il VPAT: è un modello, non un certificato. Nessuno lo valuta, nessuno lo approva, e un fornitore può compilarlo in un pomeriggio senza mai utilizzare un lettore di schermo. Eppure è l'artefatto più richiesto nell'acquisto di accessibilità — richiesto dagli acquirenti federali degli Stati Uniti ai sensi della Sezione 508, atteso in tutte le gare pubbliche europee attraverso l'EN 301 549, e sempre più richiesto dalle università prima che un contratto venga portato in ambito legale. Questa guida spiega cos'è il documento, come leggere onestamente i quattro livelli di conformità, quali schemi dovrebbero preoccuparti, e le cinque domande che trasformano un modulo in prova.

VPAT o ACR? La distinzione che confonde tutti

Le due parole sono usate in modo intercambiabile nella conversazione, e la differenza è più semplice di quanto suggerisca la confusione. Il VPAT (Voluntary Product Accessibility Template) è il modulo vuoto, mantenuto dall'Information Technology Industry Council (ITI). L'ACR (Accessibility Conformance Report) è il documento completato che un fornitore produce compilando quel modulo. Quindi, quando un ufficio acquisti chiede il tuo “VPAT”, ciò che vogliono è il tuo ACR.

ITI pubblica il modello in quattro edizioni, e quale ricevi è più importante di quanto la maggior parte degli acquirenti realizzi:

• Edizione WCAG — solo criteri di successo WCAG. Buono per un prodotto web del settore privato; scarso per l'acquisto pubblico.
• Edizione Sezione 508 — WCAG più i capitoli della Sezione 508 revisionati. Il default per gli acquirenti federali e del settore pubblico degli Stati Uniti.
• Edizione UE — WCAG più EN 301 549. Cosa dovrebbero richiedere gli enti pubblici europei.
• Edizione INT (Internazionale) — tutte e tre in un documento. La versione più utile da ricevere, perché consente a un rapporto di soddisfare gli acquirenti in diverse giurisdizioni.

La revisione attuale del modello è VPAT 2.5. Se un fornitore ti invia un rapporto 2.0 o 2.1, il documento è precedente a WCAG 2.2 e non può riferirsi ai nove criteri di successo aggiunti nell'ottobre 2023 — inclusa l'autenticazione accessibile, l'aiuto coerente e la dimensione minima del target. Questo non è automaticamente disqualificante, ma ti dice quando il fornitore ha preso sul serio l'esercizio l'ultima volta.

I quattro livelli di conformità, e cosa significano realmente

Ogni riga di un ACR porta uno dei quattro termini. Il loro significato semplice è più ristretto di quanto sembri:

• Supporta — la funzionalità soddisfa il criterio senza difetti noti. Non significa “testato in modo esaustivo”; significa che il fornitore non è a conoscenza di un fallimento.
• Supporta Parzialmente — una parte del prodotto non soddisfa il criterio. Questa è la riga più informativa dell'intero documento, perché la nota accompagnatoria ti dice quale parte e quanto è grave.
• Non Supporta — la maggior parte della funzionalità non soddisfa il criterio.
• Non Applicabile — il criterio è irrilevante per il prodotto, ad esempio un criterio riguardante audio preregistrato in un prodotto che non contiene audio.

Leggi prima la colonna osservazioni e poi la colonna di stato. Una riga contrassegnata come “Supporta Parzialmente” con la nota “il selettore di data nel modulo di reporting intrappola il focus della tastiera; correzione programmata per il Q4” vale di più per te di dieci righe di “Supporta” non qualificate. Ti dice che il fornitore ha testato, ha trovato qualcosa, l'ha compreso e se ne assume la responsabilità.

Fai attenzione anche alla dichiarazione di ambito, di solito un breve paragrafo vicino alla parte superiore. Un rapporto che valuta “l'applicazione web rivolta agli studenti” non ha detto nulla sulla console amministrativa in cui il tuo personale vivrà, sugli strumenti di authoring che il tuo personale docente utilizzerà, o sull'esperienza mobile. L'ambito è dove le parti scomode di un prodotto scompaiono silenziosamente, e restringerlo è del tutto legale.

Sei segnali di allerta in un rapporto di conformità all'accessibilità

La maggior parte dei rapporti deboli fallisce negli stessi modi riconoscibili. Cerca questi prima di guardare qualsiasi altra cosa:

1. “Supporta” in ogni singola riga. Un software reale di qualsiasi dimensione ha lacune. Una colonna perfetta non è un segno di eccellenza; è un segno che nessuno ha testato, o che qualcuno ha deciso che il modulo fosse un asset di marketing. Tratta la conformità totale come un'affermazione che richiede più prove, non meno.
2. Nessuna data, o una data più vecchia di 12 mesi. Un ACR descrive una versione del prodotto in un momento specifico. Un rapporto del 2023 descrive un software che non esiste più.
3. Nessuna versione del prodotto. Senza di essa non puoi dire se il rapporto copre ciò che ti viene venduto.
4. Osservazioni vuote. Una colonna di “Supporta” senza note esplicative è un modulo che è stato compilato, non un prodotto che è stato valutato.
5. Nessuna metodologia di valutazione. Un rapporto credibile nomina cosa è stato fatto: quale strumento automatizzato, quali lettori di schermo e versioni, quali browser, se sono stati coinvolti utenti disabili. “Revisione interna” non è una metodologia.
6. Un overlay nella risposta. Se la risposta a un criterio è che un widget o una barra degli strumenti di accessibilità lo risolve, il prodotto sottostante non lo soddisfa. Gli overlay si trovano sopra markup che non possono riparare, e diversi fornitori di overlay sono stati nominati in cause legali per accessibilità.

Gli strumenti automatizzati rilevano solo un stimato 30–40% dei problemi WCAG. Quindi un rapporto la cui metodologia è “abbiamo eseguito una scansione automatizzata” ha, al massimo, controllato un terzo dello standard — e specificamente il terzo che non include se un utente di lettore di schermo può effettivamente completare un compito.

Un ulteriore schema vale la pena nominare perché è facile da perdere: il rapporto che risponde a una domanda diversa da quella che hai posto. Un fornitore che vende una piattaforma di apprendimento può inviarti un ACR che copre il loro sito web di marketing pubblico, che è un prodotto genuinamente diverso con una base di codice genuinamente diversa. Il documento sarà accurato, attuale e completamente irrilevante. Controlla che il nome e la versione del prodotto nell'intestazione corrispondano a ciò che è presente nel preventivo.

Cinque domande che trasformano un modulo in prova

L'ACR è l'inizio della conversazione. Questi cinque follow-up fanno più per separare la vera conformità dalla burocrazia di qualsiasi lettura:

1. “Chi ha effettuato la valutazione e sono stati coinvolti persone disabili?” L'auto-valutazione è normale e accettabile — la maggior parte degli ACR pubblicati sono auto-valutazioni — ma la risposta dovrebbe essere specifica. Un audit di terze parti indipendente è più forte; un fornitore che ne rivendica uno dovrebbe essere in grado di nominare l'auditor e condividere il rapporto.
2. “Mostrami il piano di rimedio per ogni riga Supporta Parzialmente.” Date e responsabili, per iscritto. Questa è la domanda che i fornitori si aspettano di meno ed è la più rivelatrice.
3. “L'ambito copre le interfacce amministrative e di authoring?” Il tuo personale e il personale docente sono utenti anche loro, e nell'istruzione sono spesso gli utenti con i flussi di lavoro più complessi.
4. “Cosa succede quando segnaliamo una barriera?” Chiedi per iscritto la finestra di riconoscimento e la classificazione della gravità, poi mettila nel contratto. Un difetto di accessibilità che è classificato come un bug cosmetico non sarà mai risolto.
5. “Possiamo testarlo noi stessi durante il periodo di prova?” Un fornitore fiducioso nel rapporto ti darà un account e ti incoraggerà a farlo. Trenta minuti con la tastiera scollegata e un lettore di schermo in funzione ti dicono di più dell'intero documento.

Metti le risposte nel contratto piuttosto che nel file di valutazione. Un impegno di conformità, una finestra di rimedio per le barriere segnalate e un diritto di ri-test al rinnovo valgono più di qualsiasi rapporto, perché sopravvivono ai prossimi tre rilasci di prodotto. La nostra checklist per acquirenti di LMS accessibili in 25 domande standardizza questa conversazione tra i fornitori selezionati.

Cosa c'è di diverso nell'istruzione superiore

Le università applicano un ulteriore livello, ed è utile sapere prima di iniziare. Insieme all'ACR, la maggior parte delle istituzioni esegue una valutazione della sicurezza utilizzando l'HECVAT di EDUCAUSE, e le istituzioni più grandi allegano un rider di accessibilità al contratto — una clausola che impegna il fornitore a un livello di conformità, a un rimedio entro una finestra definita, e talvolta a indennizzare l'istituzione contro le richieste di accessibilità derivanti dal prodotto. Harvard è tra le istituzioni che richiedono uno.

Il contesto normativo si è indurito anche. La regola del Dipartimento di Giustizia degli Stati Uniti ai sensi dell'ADA Title II e la regola della Sezione 504 del Dipartimento della Salute e dei Servizi Umani stabiliscono entrambe la conformità WCAG come un obbligo esplicito per le istituzioni pubbliche a date fisse, il che trasforma “dovremmo esaminare l'accessibilità” in una scadenza per una persona nominata. Copriamo i tempi e cosa significa per i corsi online nella nostra guida ai termini di ADA Title II e Sezione 504.

Una conseguenza pratica: acquista per l'intero obbligo, non solo per la piattaforma. Un'istituzione può avere un ACR del fornitore impeccabile e comunque non essere conforme, perché i corsi pubblicati all'interno della piattaforma contengono video senza sottotitoli e PDF non taggati. La piattaforma è la metà facile. Vedi cosa far funzionare insieme a Canvas per come le due metà si incastrano.

Se sei il fornitore a cui viene chiesto

Il consiglio si inverte facilmente. Pubblica l'ACR a un URL pubblico stabile piuttosto che inviare un PDF su richiesta — gli acquirenti selezionano prima di contattarti, e un rapporto pubblico ti porta nella lista dei fornitori selezionati. Usa l'edizione INT in modo che un documento serva gli acquirenti in diverse giurisdizioni. Nomina la tua metodologia con precisione, inclusi le versioni di lettori di schermo e browser.

Soprattutto, divulga le tue lacune con date. Sembra rischioso commercialmente e in realtà è l'opposto. Un revisore di accessibilità esperto legge un rapporto tutto verde come prova di un programma immaturo; un rapporto con undici righe oneste “Supporta Parzialmente” e un piano di rimedio datato legge come un team che conosce il proprio prodotto. Rigenera il rapporto con ogni rilascio in modo che la sua data non ti imbarazzi mai, e mantieni un cambiamento di accessibilità pubblico in modo che la rivendicazione sia verificabile tra i rapporti.

Eduspera pubblica il proprio Rapporto di Conformità all'Accessibilità contro WCAG 2.2 AA, EN 301 549 e Sezione 508, generato da un file versionato nel repository del prodotto in modo che venga ripubblicato con ogni rilascio piuttosto che scritto una volta e lasciato invecchiare. Le limitazioni note sono elencate apertamente, axe-core viene eseguito nella pipeline di distribuzione, e le nostre risposte HECVAT sono pubbliche in modo che un revisore della sicurezza possa qualificarci prima che il questionario venga inviato. Le istituzioni possono partire dal kit pilota di 12 settimane.

Domande frequenti

Un VPAT è una certificazione?

No. È un modello di auto-valutazione senza ente certificatore, senza requisito di audit e senza scadenza. Qualsiasi fornitore può compilarne uno. Il suo valore deriva interamente dalla rigorosità che lo sostiene, ed è per questo che la dichiarazione della metodologia e la colonna delle osservazioni contano più della colonna di stato.

Con quale frequenza dovrebbe essere aggiornato un VPAT?

Almeno annualmente, e in pratica con ogni rilascio significativo. Un rapporto più vecchio di 12 mesi descrive un software che è cambiato nel frattempo. L'approccio più forte è generare il rapporto da un file versionato nel repository del prodotto in modo che venga ripubblicato automaticamente con ogni rilascio.

Chi può creare un VPAT?

Chiunque — il team del fornitore, una consulenza di accessibilità, o un auditor indipendente. L'auto-valutazione è la norma ed è accettabile purché venga dichiarata. Una valutazione di terze parti indipendente ha un peso considerevolmente maggiore negli acquisti di istruzione superiore e governativi.

Un VPAT prova la conformità all'ADA o alla Sezione 508?

No. Documenta la valutazione di conformità di un fornitore rispetto a uno standard tecnico. Non solleva l'istituzione dai suoi obblighi legali, e non copre il contenuto che pubblichi all'interno del prodotto. Un ACR della piattaforma perfetto e una biblioteca di corsi senza sottotitoli ti lasciano comunque non conforme.

Cosa dovrei fare se un fornitore non ha affatto un VPAT?

Tratta la rivendicazione di accessibilità come non verificata e chiedi di averne uno con una scadenza. Per un fornitore più piccolo, un'alternativa credibile è una dichiarazione di accessibilità datata che nomina lo standard, la metodologia di test e le lacune note. Ciò che non dovresti accettare è un'assicurazione verbale senza nulla di scritto dietro.