Consulenza e certificazione ISO 9001

Cosa chiede la ISO 9001 e cosa attesta il certificato

La ISO 9001 specifica i requisiti di un sistema di gestione per la qualità per l'organizzazione che deve dimostrare di fornire con regolarità prodotti o servizi conformi ai requisiti del cliente e a quelli di legge applicabili, e che vuole accrescere la soddisfazione del cliente. È lo scopo dichiarato al punto 1 della UNI EN ISO 9001:2026, che precisa anche due cose utili a chi si chiede se la norma faccia al caso suo: i requisiti sono di carattere generale, e valgono per qualsiasi organizzazione, di qualunque tipo e dimensione.

In pratica la norma non dice come produrre o come erogare un servizio. Chiede di sapere quali sono i processi, chi ne risponde, come si misura se funzionano e cosa succede quando qualcosa va storto. I requisiti stanno nei punti dal 4 al 10: contesto dell'organizzazione, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni, miglioramento. La differenza fra il sistema e la norma che lo descrive la trovi nella guida al sistema di gestione della qualità, e quella fra le due sigle che si confondono più spesso in ISO 9000 e ISO 9001.

Il certificato lo rilascia un organismo di certificazione accreditato, dopo un audit di terza parte. In Italia l'ente unico di accreditamento è Accredia, designato dal Governo in applicazione del Regolamento CE 765/2008. Accredia precisa anche cosa il certificato non dice: non garantisce la conformità legale dell'organizzazione, né che un prodotto o un servizio sia conforme a uno standard di riferimento. Attesta un sistema di gestione. Le altre norme certificabili, e chi le rilascia, sono nella panoramica sulle certificazioni ISO.

Il documento di transizione di Global ACI, l'organizzazione internazionale degli enti di accreditamento, conta più di un milione di certificati ISO 9001 accreditati nel mondo, e ricorda che la norma è adottata anche da schemi di settore come IATF 16949 per l'automotive e la famiglia AS/EN 91XX per aerospazio e difesa. Per un cliente o una stazione appaltante, quindi, è un linguaggio comune: dice come lavori senza bisogno di spiegarlo da capo.

ISO 9001:2026: cosa cambia per chi si certifica adesso

Il 16 settembre 2026 è uscita la sesta edizione della norma. In Italia è la UNI EN ISO 9001:2026, in vigore da quella data secondo la scheda UNI Store; la UNI EN ISO 9001:2015+A1:2024 risulta ritirata con sostituzione dallo stesso giorno. La premessa ISO, nell'anteprima ufficiale pubblicata da UNI, dice che la nuova edizione sostituisce la 2015, revisionata tecnicamente, e incorpora l'emendamento del 2024. Le modifiche principali elencate dalla premessa e dettagliate da Global ACI:

• cultura della qualità e comportamento etico entrano nei requisiti su leadership (5.1.1), ambiente per il funzionamento dei processi (7.1.4) e consapevolezza (7.3);
• rischi e opportunità sono separati: la 6.1 ha tre sottopunti, con azioni distinte per affrontare i rischi e per affrontare le opportunità;
• la pianificazione delle modifiche (6.3) chiede anche come si monitora l'efficacia della modifica, come la si comunica e come se ne riesaminano i risultati;
• il riesame di direzione (9.3.2) ha input che il riesame deve includere, fra cui i cambiamenti nelle esigenze e aspettative delle parti interessate;
• il punto 3 include alcuni termini dei sistemi di gestione, l'appendice A è rivista senza requisiti aggiuntivi, l'appendice B è eliminata.

Global ACI giudica minime le modifiche complessive. Le date le fissa il suo documento Global ACI-TECH-3-TR del 4 settembre 2026, obbligatorio per gli enti di accreditamento firmatari e per gli organismi accreditati:

• 30 settembre 2027: entro questa data gli enti di accreditamento completano le decisioni di transizione sugli organismi. Prima di quella decisione un organismo non può emettere certificati accreditati sulla 2026.
• 31 marzo 2028: da questa data le certificazioni nuove e iniziali si rilasciano solo sulla 2026.
• 30 settembre 2029: le certificazioni accreditate sulla 2015 non sono più valide.

Cosa vuol dire, in pratica. Se parti oggi da zero, costruiamo il sistema sui requisiti della 2026 e verifichiamo con l'organismo da quando potrà certificare sulla nuova edizione: un certificato iniziale sulla 2015 è ancora possibile fino a marzo 2028, ma andrà portato sulla 2026 entro settembre 2029, con un audit di transizione in mezzo. Se il certificato ce l'hai già, la transizione si può fare dentro un audit di sorveglianza o di rinnovo oppure in un audit speciale, anche da remoto se l'organismo dimostra che gli obiettivi dell'audit sono raggiunti, e l'organismo valuta se servono giornate aggiuntive. In Italia le disposizioni operative passano da Accredia, come è successo per la ISO 14001:2026 con la circolare DC N° 14/2026.

Il dettaglio clausola per clausola è nell'articolo sulla ISO 9001:2026. I due punti che cambiano di più il lavoro quotidiano sono il risk based thinking, a cui l'introduzione della 2026 affianca l'opportunity-based thinking, e l'analisi del contesto, da cui dipende tutto il resto.

Come lavoriamo: il percorso fase per fase

Le fasi sono le stesse per ogni azienda, cambia quanto lavoro c'è in ciascuna. Le descriviamo come le facciamo noi: un advisor italiano dedicato che segue il progetto dall'analisi iniziale all'audit, documenti ed evidenze tenuti su Vanta, l'audit con un organismo accreditato che scegli tu.

1. Analisi iniziale

Confrontiamo come lavori oggi con i requisiti della norma, punto per punto: cosa esiste ed è usato, cosa esiste solo sulla carta, cosa manca. Ne esce un piano con le azioni in ordine di priorità, chi le fa e cosa si consegna alla fine di ogni fase. È anche il momento in cui si decide il perimetro: tutta l'azienda, una sede, una linea di servizio. Il perimetro pesa due volte, perché determina il lavoro di preparazione e il numero di addetti su cui l'organismo calcola le giornate di audit.

2. Contesto, parti interessate e processi

Si mettono per iscritto i fattori interni ed esterni che pesano sui risultati, le parti interessate e cosa si aspettano, la mappa dei processi con le loro interazioni. Su questa base la direzione scrive la politica per la qualità e fissa obiettivi misurabili. È la fase che condiziona tutte le altre: un perimetro o una mappa scritti male producono documenti che nessuno usa.

3. Rischi, opportunità e documenti

Con la 2026 rischi e opportunità hanno azioni separate, quindi il registro va costruito con due logiche diverse. Poi la documentazione. L'introduzione della norma dice che non serve allineare i documenti alla struttura dei suoi punti: i documenti seguono i tuoi processi, non l'indice della ISO. Quali procedure ISO 9001 servono davvero e che fine ha fatto il manuale della qualità lo spieghiamo in due articoli dedicati.

4. Il sistema al lavoro

Un sistema si dimostra con le registrazioni: non conformità aperte e chiuse, azioni correttive, reclami gestiti, indicatori misurati, fornitori valutati. Prima dell'audit esterno il sistema deve aver prodotto evidenze vere, non moduli compilati la settimana prima. Su Vanta ogni evidenza ha un responsabile e una scadenza, e lo stato di preparazione si legge punto per punto della norma. Come si gestiscono le non conformità e i reclami lo trovi nel dettaglio, e il filo che tiene insieme tutto è il ciclo PDCA.

5. Audit interno e riesame della direzione

Prima dell'organismo, il sistema si verifica da sé: audit interno sui processi del perimetro e riesame della direzione con gli input che la 9.3.2 rende obbligatori. Il tuo advisor fa un pre-audit sulle evidenze, poi si chiudono i rilievi prima di presentarsi. Conviene che l'audit interno non lo conduca chi ha scritto le procedure da verificare. Programma, checklist e verbale sono nella guida all'audit interno ISO 9001; la differenza fra audit interno, audit del cliente e audit dell'organismo è in audit di prima, seconda e terza parte.

6. Audit di certificazione: Stage 1 e Stage 2

L'audit iniziale dell'organismo si svolge in due fasi, Stage 1 e Stage 2, ed è su questa coppia che l'IAF MD 5 calcola il tempo di audit iniziale. Di norma lo Stage 1 guarda soprattutto documenti, perimetro e preparazione; lo Stage 2 verifica nei processi che il sistema sia applicato ed efficace. Seguono la gestione degli eventuali rilievi, la decisione di certificazione e il certificato. Noi prepariamo con te le evidenze e ti affianchiamo nella gestione dei rilievi; durante l'audit parla l'azienda, perché l'organismo valuta l'organizzazione e non il consulente.

7. Dopo il certificato

Il certificato vale per un ciclo di tre anni, con audit di sorveglianza annuali e un audit di rinnovo. Secondo l'IAF MD 5, nel primo ciclo il tempo dedicato ogni anno alla sorveglianza è circa un terzo di quello dell'audit iniziale. L'obiettivo del nostro lavoro è un referente qualità che sa mantenere il sistema senza chiamare il consulente a ogni modifica, con le evidenze aggiornate durante l'anno invece che ricostruite prima di ogni visita.

Da cosa dipendono i tempi

Non esiste una durata standard. La parte fissa è l'audit dell'organismo, in giornate calcolate su tabelle pubbliche. La parte variabile sono le fasi da 1 a 5, e dipende da tre cose: quanto sistema esiste già, quanto è ampio il perimetro, quanto tempo ti dedicano le persone chiave. Tenere documenti ed evidenze su una piattaforma invece che in cartelle condivise e fogli di calcolo accorcia la raccolta; non accorcia le decisioni che spettano alla direzione, ed è lì che di solito si perdono le settimane.

Cosa serve dalla tua azienda

La parte che nessun consulente può fare al posto tuo è anche quella che decide i tempi. Prima di partire, conviene avere chiaro chi mette cosa.

• Un referente qualità con tempo vero. Non serve un ruolo dedicato a tempo pieno, serve una persona che abbia ore riservate al progetto e l'autorità per chiedere dati ai colleghi.
• La direzione dentro il progetto. La norma dedica un punto intero alla leadership, e con la 2026 la direzione risponde anche di cultura della qualità e comportamento etico. In audit le domande arrivano a chi decide, non solo a chi compila.
• I responsabili di processo. Poche ore ciascuno per descrivere come lavorano davvero e per validare le procedure che li riguardano.
• I dati che esistono già. Reclami, resi, ritardi di consegna, problemi con i fornitori, organigramma, contratti tipo. Diventano gli indicatori del sistema, invece di inventarne di nuovi.
• L'accesso agli strumenti. Gestionale, ticketing, cartelle condivise: collegare le evidenze a dove nascono evita di copiarle a mano.

Da cosa dipende il costo della certificazione ISO 9001

Non pubblichiamo un listino, perché il conto dipende da variabili che si vedono solo sul caso. Possiamo però dire com'è fatto. Le voci sono quattro, pagate a soggetti diversi: preparazione del sistema (con un consulente o in casa), audit dell'organismo di certificazione, mantenimento nel triennio, tempo delle tue persone. Quest'ultima non arriva come fattura, ma spesso è la più grande.

La voce con una regola scritta è l'audit. Le giornate le calcola l'organismo con l'IAF MD 5:2023, che Global ACI oggi identifica anche come TECH-3-004: si parte dal numero effettivo di addetti nel perimetro, si corregge per rischio e complessità, e la riduzione rispetto alla tabella non può superare il 30%. L'organismo deve consegnarti il calcolo del tempo di audit e la sua giustificazione come parte del contratto, ed è il dato giusto per confrontare due offerte.

• Fanno salire il costo: più sedi, più processi, progettazione interna, processi affidati all'esterno, settori molto regolati, un punto di partenza lontano dalla norma.
• Lo fanno scendere: un perimetro ben definito, un sistema già maturo, le evidenze tenute vive tutto l'anno invece che ricostruite prima di ogni audit.

Sulle offerte di certificazione low cost, due controlli bastano: che le giornate di audit siano giustificate rispetto alla tabella, e che l'organismo sia accreditato per la ISO 9001 e per il tuo settore nelle banche dati Accredia. Le voci una per una, la tabella delle giornate e l'effetto delle sedi sono nell'articolo su quanto costa la certificazione ISO 9001. Dopo un assessment ti diamo una stima che tiene separato il nostro supporto dal costo dell'organismo.

ISO 9001 e gare d'appalto

Molte aziende arrivano alla 9001 per una gara. Nel Codice dei contratti pubblici, il D.Lgs. 36/2023, la certificazione compare in due punti che conviene conoscere prima di pianificare.

• Lavori pubblici e attestazione SOA. L'allegato II.12, all'articolo 4, chiede alle imprese, ai fini della qualificazione, il sistema di qualità aziendale conforme alle norme europee della serie UNI EN ISO 9000, a esclusione delle classifiche I e II. La certificazione deve essere rilasciata da organismi accreditati, e il suo possesso è attestato dalle SOA.
• Garanzia provvisoria. L'art. 106, comma 8, riduce del 30% la garanzia per gli operatori economici con la certificazione del sistema di qualità rilasciata da organismi accreditati. Lo stesso comma prevede una riduzione del 50%, non cumulabile con quella del 30%, «nei confronti delle micro, delle piccole e delle medie imprese»: per chi rientra in quella categoria il vantaggio sulla garanzia c'è già senza certificato.

Per servizi e forniture il peso della 9001 lo decide il singolo bando: requisito di partecipazione, criterio premiante, oppure nessuno dei due. Tre cose da verificare nel disciplinare prima di partire: che il campo di applicazione del certificato copra l'attività oggetto della gara, che l'organismo sia accreditato, e la data. Con la transizione in corso, un certificato sulla 2015 non vale oltre il 30 settembre 2029, e per le gare dei prossimi anni conviene arrivare già sulla 2026.

Gli errori che vediamo più spesso

• Il manuale prima dell'analisi. Documenti pronti prima di aver visto i processi descrivono un'azienda generica, e sono il primo punto debole in audit.
• Il perimetro scelto per l'audit e non per il mercato. Un perimetro stretto rende l'audit più leggero, poi il bando successivo chiede proprio l'attività rimasta fuori.
• Il sistema in mano a una persona sola. Se solo il consulente, o solo il referente, sa come funziona, alla prima assenza il sistema si ferma.
• La colonna delle opportunità vuota. Le opportunità erano già nella 6.1 della 2015; con la 2026 hanno un sottopunto e azioni proprie, e un registro con i soli rischi resta incompleto.
• Le evidenze ricostruite prima della sorveglianza. Un auditor riconosce le registrazioni scritte tutte nello stesso pomeriggio.
• Partire sulla 2015 senza un piano per la 2026. Si paga due volte lo stesso lavoro, a distanza di poco tempo.
• L'organismo scelto solo sul prezzo. Senza controllare l'accreditamento per la norma e per il settore, il certificato rischia di non essere accettato proprio da chi lo chiedeva.

Consulente e organismo: due ruoli, due scelte

Il consulente ti aiuta a costruire il sistema e a prepararti all'audit; il certificato accreditato lo rilascia solo l'organismo. I due ruoli restano separati per regola: il regolamento Accredia RG-01-01, al paragrafo 2.4, chiede all'organismo di tenere evidenze oggettive dell'assoluta separazione tra le attività di certificazione e le eventuali attività di consulenza svolte da soggetti a esso collegati. Per questo noi non certifichiamo: ti prepariamo, ti aiutiamo a leggere le offerte, e l'organismo lo scegli e lo contratti tu.

Per scegliere il consulente contano esperienza sul tuo tipo di processo, un metodo dichiarato prima di iniziare, persone con nome che restano fino all'audit, documentazione che resta tua, indipendenza dall'organismo e passaggio di competenze al tuo team. I sette criteri e le domande da fare al primo incontro sono in consulenza ISO 9001: come scegliere il consulente. Per l'organismo il filtro che non si negozia è l'accreditamento per la norma e per il settore, e il resto lo trovi in come scegliere l'ente di certificazione.

Oggi c'è una domanda in più da fare a entrambi: su quale edizione lavorano e quando. Il consulente deve saperti dire se costruisce il sistema sulla 2026; l'organismo deve saperti dire da quando potrà emettere certificati accreditati sulla nuova edizione.

Dopo la 9001: integrare le altre norme

La ISO 9001:2026 applica l'approccio armonizzato delle Direttive ISO/IEC, la struttura comune alle norme sui sistemi di gestione. Per questo ISO 14001, ISO 45001 e ISO/IEC 27001 condividono con la 9001 contesto, leadership, rischi, audit interno, riesame e miglioramento, e un sistema progettato bene li accoglie senza rifare il lavoro. Come si costruisce un sistema unico, e come si arriva a un audit integrato, lo spieghiamo nella guida al sistema di gestione integrato.

Capita spesso con la sicurezza delle informazioni: la 9001 arriva per una gara, e il bando successivo chiede anche la ISO/IEC 27001 o requisiti di sicurezza informatica. Il lavoro fatto sul sistema qualità resta, e su Vanta le evidenze comuni si collegano a entrambe le norme. Il punto di partenza, lato sicurezza, è un audit di sicurezza informatica; il percorso completo è nella pagina sulla certificazione ISO 27001.