Certificazioni ISO: Cosa Sono, Come si Ottengono e Quando Convengono

Alla certificazione ISO si arriva quasi sempre per una spinta esterna: un cliente che la richiede, un capitolato che la impone, una gara che le assegna punteggio. È il motivo per cui molte aziende la vivono come un adempimento, e la ottengono nel modo più rapido possibile per poi dimenticarsene.

Questa guida raccoglie le domande che ci vengono fatte prima di iniziare un percorso: che cosa certifica davvero una ISO, come funziona l'iter, da cosa dipendono i costi, se conviene a un'impresa piccola e che peso ha nelle gare d'appalto.

Che cosa certifica una norma ISO

Una certificazione ISO attesta che l'azienda lavora secondo un sistema di gestione documentato, e che un ente terzo lo ha verificato. Il punto da chiarire subito è che non certifica il prodotto: certifica il modo in cui l'organizzazione tiene sotto controllo i propri processi.

Un'azienda certificata può produrre un pezzo difettoso. La differenza è che deve essere in grado di accorgersene, registrarlo, analizzarne la causa e dimostrare cosa ha fatto perché non si ripeta. È questa capacità che viene verificata, non l'assenza di errori.

Ne deriva una conseguenza pratica: un sistema costruito su procedure che nessuno applica supera l'audit una volta e poi si sgretola, perché alla prima verifica di sorveglianza mancano le registrazioni che avrebbero dovuto prodursi da sole lavorando.

Le norme più diffuse nelle PMI

Le tre norme condividono la stessa struttura di alto livello: analisi del contesto, parti interessate, rischi e opportunità, gestione documentale, audit interni, riesame della direzione. È il motivo per cui, quando ne servono due o più, conviene impostarle come sistema integrato anziché costruirne due paralleli: la documentazione comune si scrive una volta sola e il lavoro di mantenimento negli anni si riduce sensibilmente.

Come funziona l'iter di certificazione

Il percorso è sempre lo stesso, indipendentemente dalla norma. Cambia la quantità di lavoro, non la sequenza.

1. Analisi dello stato iniziale

Si confronta l'organizzazione attuale con i requisiti della norma e si misura lo scarto. In quasi tutte le aziende una parte dei requisiti è già soddisfatta senza essere documentata: riconoscerla riduce in modo significativo il lavoro successivo, ed è la ragione per cui questa fase non va saltata.

2. Progettazione del sistema

Si definiscono contesto, parti interessate, processi e rischi, e si scrivono le procedure. Il criterio che fa la differenza è partire da come l'azienda lavora davvero e scrivere quello, correggendo dove la norma richiede qualcosa che manca. Un sistema costruito così risulta più corto e più difficile da abbandonare, perché descrive il lavoro invece di affiancarlo.

3. Formazione e audit interni

Il personale viene formato sui punti che lo riguardano concretamente e si avviano le registrazioni. Gli audit interni sono il collaudo vero del sistema: servono a trovare i problemi quando correggerli non ha ancora conseguenze.

4. Audit dell'ente di certificazione

L'ente accreditato verifica il sistema, di norma in due fasi: un esame documentale e una verifica sul campo. Se emergono non conformità si presentano azioni correttive documentate, e alla loro accettazione il certificato viene rilasciato.

Chi rilascia il certificato

Il certificato lo rilascia un ente di certificazione accreditato, che è un soggetto terzo e indipendente sia dall'azienda sia dal consulente che l'ha assistita. Nessun consulente può certificare le aziende che segue: sarebbe un conflitto di interessi incompatibile con l'accreditamento.

È una distinzione che vale la pena tenere presente quando si valutano offerte: chi propone di occuparsi sia della consulenza sia della certificazione non sta offrendo una certificazione accreditata.

Da cosa dipendono i costi

Il costo complessivo si compone di voci diverse, e solo una parte è fissa.

• L'ente di certificazione: tariffa calcolata sulle giornate di audit, che dipendono dal numero di addetti, dai siti e dalla complessità dei processi
• Il mantenimento: le verifiche di sorveglianza nel triennio e l'audit di rinnovo alla scadenza
• La consulenza, se l'azienda non ha risorse interne per costruire il sistema
• Il tempo interno: la voce più sottovalutata, perché il coinvolgimento dei responsabili di processo non è delegabile

La variabile che sposta di più il totale non è la dimensione dell'azienda, è quanto è già formalizzato. Un'impresa con procedure scritte anche parziali parte da una posizione molto diversa da chi ha tutto nella memoria delle persone. Chi ha molta documentazione costruita male può addirittura trovarsi svantaggiato rispetto a chi parte da zero, perché prima va smontato un impianto che non descrive il lavoro reale.

Conviene a un'impresa piccola?

Non esiste una soglia dimensionale sotto la quale la certificazione sia inutile, ma la domanda va posta diversamente: a che cosa serve in questo momento?

Ha senso quando risponde a un'esigenza concreta: accedere a clienti o gare che la richiedono, oppure strutturare un'organizzazione cresciuta più in fretta della sua capacità di coordinarsi. In entrambi i casi il beneficio è misurabile.

Ha meno senso quando viene presa come obiettivo in sé. Un sistema pensato per un'azienda più grande di quella che lo deve usare produce un carico documentale che nessuno sostiene, e alla prima sorveglianza il divario fra ciò che è scritto e ciò che si fa diventa evidente.

Per una PMI il criterio di progettazione corretto è la sostenibilità: il sistema deve reggersi con le persone che l'azienda ha davvero, non con quelle che dovrebbe avere.

Il peso nelle gare d'appalto

Nelle gare la certificazione può comparire in due modi diversi, e la differenza è sostanziale. Può essere un requisito di partecipazione, e allora senza non si entra; oppure un criterio premiante, che assegna punteggio nella valutazione dell'offerta.

Nel primo caso la decisione è già presa dal mercato. Nel secondo va valutata sul valore delle commesse a cui dà accesso, confrontato con il costo di ottenerla e mantenerla.

Va aggiunto che la certificazione ha effetti anche fuori dalle gare: molte imprese la richiedono ai propri fornitori come condizione di qualifica, e in quel caso non c'è un bando che la renda esplicita, semplicemente si viene esclusi dalla lista.

Obbligo o scelta

Le norme ISO sono volontarie: nessuna legge impone di certificarsi. Diventano un requisito di fatto quando sono richieste da un capitolato, da un bando o da un cliente come condizione di fornitura.

Questo va tenuto distinto dagli obblighi normativi in materia di sicurezza sul lavoro, che esistono indipendentemente da qualunque certificazione e vanno assolti comunque. La ISO 45001 aiuta a gestirli in modo sistematico e verificabile, ma non li sostituisce, non li riduce e non ne crea di nuovi.

Cosa succede dopo il rilascio

Il certificato ha validità triennale, con verifiche di sorveglianza nel periodo intermedio e un audit di rinnovo alla scadenza. Non è quindi un traguardo che si raggiunge una volta sola, ed è la parte che le aziende sottovalutano di più.

Un sistema abbandonato dopo il rilascio si nota già alla prima sorveglianza: mancano i verbali degli audit interni, il riesame della direzione non è stato fatto, le non conformità non sono state registrate. A quel punto si rincorre, con un costo superiore a quello di mantenerlo.