Certificazione ISO 9001: quanto costa e da cosa dipende

La risposta breve: la certificazione ISO 9001 non ha un prezzo di listino, perché il conto dipende da quante persone lavorano nel perimetro, da quante sedi hai, dal rischio della tua attività e da quanto sistema qualità esiste già. C'è però una parte che non si negozia: le giornate di audit, che un organismo accreditato calcola con le tabelle del documento IAF MD 5 e non a occhio. Il resto del preventivo (preparazione, tempo interno, mantenimento) si gioca sulle tue scelte.

Sapere com'è fatto il conto serve a una cosa precisa: capire se l'offerta che hai sul tavolo è alta, bassa o semplicemente incompleta. In questo articolo vediamo le voci di costo, come si calcolano le giornate di audit, quanto pesano le sedi, cosa succede nei tre anni di validità del certificato, cosa ti restituisce la ISO 9001 nelle gare pubbliche e le domande da fare prima di firmare.

Da cosa è fatto il costo della certificazione ISO 9001?

Il totale non è una fattura sola. Sono voci diverse, pagate a soggetti diversi, e tenerle separate è il primo modo per confrontare due offerte.

• Preparazione del sistema di gestione per la qualità. Gap analysis, mappatura dei processi, documentazione, indicatori, formazione, audit interno e riesame della direzione. Puoi affidarla a un consulente o farla in casa: la norma non impone nessuna delle due strade. Se scegli il consulente, i criteri per confrontare le proposte sono in consulenza ISO 9001: come scegliere il consulente.
• Audit dell'organismo di certificazione. È la parcella dell'ente accreditato che verifica il sistema e rilascia il certificato. Si misura in giornate di audit, ed è la voce più prevedibile.
• Mantenimento. Il certificato vale tre anni, con audit di sorveglianza annuali e un audit di rinnovo. È una spesa ricorrente, e va messa a budget da subito.
• Tempo interno. Chi scrive le procedure, chi raccoglie le registrazioni, chi accompagna l'auditor lo fa al posto del proprio lavoro. Non arriva come fattura, ma è spesso la voce più grande.

Consulenza e certificazione restano sempre due incarichi distinti: il regolamento con cui Accredia accredita gli organismi di certificazione dei sistemi di gestione (RG-01-01, par. 2.4) chiede all'organismo di dimostrare l'assoluta separazione tra le attività di certificazione e le eventuali attività di consulenza svolte da soggetti a esso collegati. Chi ti prepara e chi ti certifica, quindi, non sono la stessa parte, e le fatture sono due.

Come si calcolano le giornate di audit

Qui c'è l'unico numero del preventivo che ha una regola scritta. Per i sistemi di gestione per la qualità il riferimento è l'IAF MD 5:2023, il documento obbligatorio pubblicato dall'International Accreditation Forum che gli organismi accreditati applicano per determinare la durata degli audit ISO 9001 (vale anche per ambiente e salute e sicurezza). Dal 1° gennaio 2026 l'IAF ha cessato l'attività e il suo lavoro è passato alla Global Accreditation Cooperation Incorporated, nata per riunire IAF e ILAC; il regolamento con cui Accredia accredita gli organismi di certificazione dei sistemi di gestione (RG-01-01, revisione di aprile 2026) continua a richiamare l'IAF MD 5. Il punto di partenza è il numero effettivo di addetti nel perimetro della certificazione, poi si corregge in base al rischio e alla complessità.

La tabella QMS 1 dell'allegato A fissa la durata di riferimento dell'audit iniziale, Stage 1 più Stage 2. Va letta come una linea continua e non a gradini: il valore di ogni fascia si raggiunge al suo limite superiore. Qualche punto della tabella:

• 5 addetti effettivi: 1,5 giornate;
• 65 addetti: 5 giornate;
• 275 addetti: 9 giornate;
• 625 addetti: 11 giornate.

Altre regole dello stesso documento che spiegano il preventivo:

• una giornata di audit dura normalmente 8 ore, e le giornate previste non si possono ridurre allungando l'orario;
• la durata dell'audit vero e proprio, dalla riunione di apertura a quella di chiusura, non dovrebbe scendere sotto l'80% del tempo calcolato, e i viaggi non entrano in quella durata;
• la riduzione rispetto alla tabella non può superare il 30%;
• l'organismo deve darti il calcolo delle giornate e la sua giustificazione come parte del contratto: puoi chiederlo, e confrontarlo.

Chi conta come addetto effettivo

Tutto il personale coinvolto nel perimetro, compresi temporanei, part time e ogni turno, e anche i collaboratori non permanenti quando rientrano nel perimetro. Il part time si converte in equivalenti a tempo pieno: l'esempio dell'IAF MD 5 è 30 persone a 4 ore al giorno che valgono 15 addetti. Quando una quota alta del personale svolge attività ripetitive (pulizie, vigilanza, trasporto, vendita, call center) è ammessa una riduzione del conteggio, purché documentata.

Cosa aumenta o riduce le giornate

Il documento elenca i fattori che l'organismo deve considerare. Fanno salire il tempo, tra gli altri:

• più edifici o sedi dove si svolge il lavoro, per esempio un centro di progettazione separato;
• personale che parla più lingue, se servono interpreti;
• settori molto regolati, come alimentare, farmaceutico, aerospazio;
• processi complessi o numerosi, e processi affidati all'esterno;
• attività ad alto rischio: per la qualità l'IAF MD 5 usa tre categorie di rischio, e nucleare, medicale, farmaceutico, alimentare e costruzioni richiedono di norma più tempo.

Lo fanno scendere, invece, un perimetro che non comprende la progettazione, un sistema di gestione maturo, un'organizzazione già certificata dallo stesso organismo per un'altra norma, e il personale che lavora fuori sede quando le sue attività si verificano sulle registrazioni. Due aziende con lo stesso organico possono quindi avere preventivi di audit diversi, e nessuno dei due è sbagliato.

Quanto pesano le sedi

Se il sistema qualità copre più siti, non sempre l'organismo li visita tutti. Le regole stanno nell'IAF MD 1:2023, il documento obbligatorio sulle organizzazioni multi-sito. Quando il campionamento è ammesso, il numero minimo di siti da visitare si calcola così:

• all'audit iniziale, la radice quadrata del numero di siti, arrotondata all'intero superiore;
• a ogni sorveglianza, la radice quadrata moltiplicata per 0,6;
• al rinnovo, di nuovo la radice quadrata, che può scendere a 0,8 volte la radice quadrata se il sistema si è dimostrato efficace nel ciclo.

Con 9 sedi, per esempio, all'audit iniziale se ne visitano almeno 3. La funzione centrale entra in ogni audit iniziale e di rinnovo, e almeno una volta per anno solare nelle sorveglianze. Il campionamento però non è automatico: non è appropriato, per esempio, se i siti svolgono processi molto diversi tra loro. In quel caso all'audit iniziale e al rinnovo si visitano tutti i siti, e in sorveglianza almeno il 30% ogni anno, sempre insieme alla funzione centrale. Il tempo di ogni sito si calcola poi con le regole dell'IAF MD 5 viste sopra.

Il conto vero è il ciclo di tre anni

Il primo audit è quello che si guarda, il triennio è quello che si paga. L'IAF MD 5 fissa le proporzioni: nel ciclo triennale il tempo dedicato ogni anno alla sorveglianza è circa un terzo di quello dell'audit iniziale, e difficilmente una sorveglianza dura meno di una giornata. Il rinnovo vale di norma circa due terzi del tempo che servirebbe per un audit iniziale fatto al momento del rinnovo, sui dati aggiornati dell'organizzazione e non su quelli di tre anni prima.

Tradotto in un ordine di grandezza, a organico invariato: un'organizzazione da 275 addetti effettivi parte da 9 giornate per l'audit iniziale, circa 3 all'anno per le due sorveglianze e circa 6 per il rinnovo. Sono una ventina di giornate nel ciclo, prima dei correttivi. È il numero da chiedere quando confronti due offerte, non quello del primo anno.

Accanto alla parcella dell'organismo c'è il lavoro che resta a te ogni anno: audit interno, riesame della direzione, gestione delle non conformità e delle azioni correttive.

La preparazione: la voce che decidi tu

Qui la spesa si muove davvero. Pesano tre cose.

1. Il punto di partenza. Chi ha già procedure scritte, indicatori e un minimo di registrazioni parte con meno lavoro. La gap analysis serve a misurarlo prima di spendere.
2. Il perimetro. Certificare una linea di prodotto o un servizio costa meno che certificare tutta l'azienda, e riduce anche gli addetti effettivi su cui si calcola l'audit.
3. Come tieni vive le evidenze. Un sistema qualità gestito a cartelle condivise e fogli di calcolo va ricostruito prima di ogni sorveglianza. Collegare i controlli agli strumenti che usi già sposta lavoro dalle persone ai sistemi: è l'idea dietro la compliance automation, e dietro il nostro percorso ISO 9001 accelerato.

Sui tempi vale la stessa logica: la sequenza è gap analysis, costruzione del sistema, audit interno e riesame, poi Stage 1 e Stage 2. La durata dipende quasi tutta dalle prime due fasi, cioè da quanto lavoro c'è da fare in casa.

Cosa ti restituisce la ISO 9001 nelle gare pubbliche

Per chi partecipa a gare c'è una voce che torna indietro. L'art. 106, comma 8, del Codice dei contratti pubblici (D.Lgs. 36/2023) riduce del 30% la garanzia provvisoria per gli operatori economici che hanno, rilasciata da organismi accreditati, «la certificazione del sistema di qualità conforme alle norme europee della serie UNI CEI ISO 9000». L'art. 117 applica le stesse riduzioni alla garanzia definitiva, che è pari al 10% dell'importo contrattuale e aumenta in caso di ribassi superiori al 10%.

Una precisazione che molti preventivi non fanno: lo stesso comma prevede per micro, piccole e medie imprese una riduzione del 50%, non cumulabile con quella del 30%. Per chi rientra in quella definizione, quindi, il vantaggio sulle garanzie c'è già senza certificato, e il valore della ISO 9001 in gara dipende da cosa chiede il singolo bando.

Cinque domande da fare prima di firmare

1. Quante giornate sono previste per Stage 1 e Stage 2, e su quanti addetti effettivi sono calcolate? Posso vedere la giustificazione del calcolo?
2. Quale categoria di rischio è stata attribuita alla mia attività, e quali fattori hanno aumentato o ridotto il tempo?
3. Quante sedi saranno visitate all'audit iniziale e a ogni sorveglianza?
4. Qual è il costo del ciclo completo di tre anni, sorveglianze e rinnovo compresi? Trasferte e spese di emissione sono incluse?
5. L'organismo è accreditato per la ISO 9001? Si verifica nelle banche dati di Accredia, l'ente unico nazionale di accreditamento designato dal Governo in applicazione del Regolamento CE 765/2008, dove si possono cercare anche le certificazioni di sistema di gestione rilasciate.

Se un fornitore risponde a tutte senza girarci intorno, il preventivo è confrontabile. Se non risponde, il totale in fondo alla pagina dice poco.

Se dopo la 9001 arriva la 27001

Molte aziende arrivano alla ISO 9001 per una gara e scoprono al bando successivo che serve anche la ISO/IEC 27001. Il lavoro fatto sul sistema qualità non va perso: struttura dei documenti, audit interno e riesame della direzione hanno la stessa impostazione. I costi della 27001 hanno però regole di audit proprie, che trovi in quanto costa la ISO 27001, e il quadro della norma è nella guida completa alla ISO 27001.

In sintesi: la ISO 9001 costa quanto sono grandi il perimetro e il lavoro da fare. Le giornate di audit seguono una tabella pubblica, le sedi una formula, il triennio proporzioni di riferimento; la preparazione è la voce su cui hai margine. Se vuoi una stima costruita sul tuo organico, sulle tue sedi e sul tuo punto di partenza, guarda il nostro percorso di certificazione ISO 9001 e chiedi un assessment.