Una struttura comune
Le norme ISO sui sistemi di gestione seguono tutte la stessa struttura, la struttura armonizzata definita dall'ISO: dopo scopo, riferimenti e definizioni, i requisiti si articolano negli stessi sette capitoli, cioè contesto dell'organizzazione, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni e miglioramento. Cambiano i contenuti propri di ciascuna disciplina, non l'impianto.
Il metodo è il ciclo pianificare, attuare, verificare e agire: l'organizzazione analizza il contesto e le parti interessate, valuta rischi e opportunità, fissa obiettivi e processi, li attua, li misura con indicatori, audit interni e riesame della direzione, e corregge ciò che non funziona. Per questo più sistemi si integrano facilmente fra loro: manuale, analisi dei rischi, audit e riesame possono essere unici.
Di seguito, per ciascuna norma, ciò che la distingue.
ISO 9001: qualità
Definisce i requisiti di un sistema di gestione per la qualità: la capacità di fornire con regolarità prodotti e servizi conformi ai requisiti del cliente e a quelli cogenti, e di accrescere la soddisfazione del cliente. È la sola norma della famiglia ISO 9000 che si certifica. La sesta edizione, ISO 9001:2026, è stata pubblicata il 16 settembre 2026: insiste sulla cultura della qualità e sulla leadership, tratta separatamente rischi e opportunità e si allinea meglio alle altre norme. I certificati secondo l'edizione 2015 vanno portati alla nuova entro il periodo di transizione.
Nel Codice dei contratti pubblici la certificazione riduce la garanzia richiesta per partecipare alle gare (art. 106 D.Lgs. 36/2023).
ISO 14001: ambiente
Definisce i requisiti di un sistema di gestione ambientale: l'individuazione degli aspetti ambientali di attività, prodotti e servizi e dei relativi impatti, in una prospettiva di ciclo di vita; il rispetto degli obblighi di conformità, cioè delle autorizzazioni e delle prescrizioni ambientali; il controllo operativo; la preparazione e la risposta alle emergenze. La nuova edizione, ISO 14001:2026, è stata pubblicata ad aprile 2026 e sostituisce quella del 2015. Il sistema è un presidio dei reati ambientali dell'art. 25-undecies del D.Lgs. 231/2001.
ISO 45001: salute e sicurezza sul lavoro
Definisce i requisiti di un sistema di gestione per la salute e sicurezza sul lavoro: la consultazione e la partecipazione dei lavoratori, l'identificazione dei pericoli e la valutazione dei rischi, l'applicazione della gerarchia delle misure di controllo, la gestione degli appalti e dei fornitori, l'indagine su incidenti e non conformità. L'edizione vigente è la ISO 45001:2018, integrata nel 2024 da un emendamento sui cambiamenti climatici. Per i reati di omicidio colposo e lesioni gravi o gravissime commessi con violazione delle norme antinfortunistiche (art. 25-septies D.Lgs. 231/2001), l'art. 30 del D.Lgs. 81/2008 indica i requisiti del modello di organizzazione e gestione idoneo ad avere efficacia esimente.
ISO/IEC 27001: sicurezza delle informazioni
Definisce i requisiti di un sistema di gestione per la sicurezza delle informazioni: la valutazione e il trattamento dei rischi per la riservatezza, l'integrità e la disponibilità delle informazioni, con la scelta dei controlli fra i 93 dell'Allegato A, raggruppati in organizzativi, relativi alle persone, fisici e tecnologici, e la Dichiarazione di applicabilità che motiva inclusioni ed esclusioni. L'edizione vigente è la ISO/IEC 27001:2022, integrata nel 2024 da un emendamento sui cambiamenti climatici. Il sistema sostiene gli adempimenti della NIS2, le misure di sicurezza dell'art. 32 GDPR e il presidio dei delitti informatici (art. 24-bis D.Lgs. 231/2001).
ISO 37001: prevenzione della corruzione
Definisce i requisiti di un sistema di gestione per prevenire, rilevare e affrontare la corruzione, attiva e passiva, nel settore pubblico e in quello privato. L'edizione vigente è la ISO 37001:2025, pubblicata a febbraio 2025 e recepita in Italia come UNI ISO 37001:2025. La norma chiede, tra l'altro: una politica per la prevenzione della corruzione approvata dal vertice; una funzione di conformità dotata di autorità e indipendenza; la valutazione del rischio corruttivo; la due diligence sul personale nelle posizioni esposte e sui soci in affari; controlli finanziari e non finanziari; regole su omaggi, ospitalità, donazioni e benefici simili; canali per segnalare i sospetti; audit interni e riesami della direzione e dell'organo direttivo.
Con il Modello 231 condivide la mappatura dei rischi, le procedure e la due diligence sui terzi: separati funzionano, insieme creano un sistema più forte, coerente e credibile. L'adozione di modelli di prevenzione della corruzione è anche fra i requisiti premiali del rating di legalità.
ISO 14064-1: inventario dei gas a effetto serra
Non è una norma di sistema di gestione, ma ne segue la logica: specifica come un'organizzazione quantifica e rendiconta le proprie emissioni e rimozioni di gas a effetto serra, e come progetta, gestisce e sottopone a verifica il relativo inventario. L'edizione vigente è la ISO 14064-1:2018, recepita in Italia come UNI EN ISO 14064-1:2019.
Definiti i confini organizzativi e l'anno di riferimento, le emissioni si classificano in sei categorie: dirette; indirette da energia importata; indirette da trasporto; indirette da prodotti e servizi utilizzati dall'organizzazione; indirette associate all'uso dei suoi prodotti; altre indirette. Le prime due corrispondono agli Scope 1 e 2 del GHG Protocol, le altre allo Scope 3. Per ogni fonte si documentano dati di attività e fattori di emissione e si valuta l'incertezza; l'inventario può essere verificato da un organismo accreditato secondo la ISO 14064-3.
SA8000: responsabilità sociale
Lo standard SA8000 riguarda le condizioni di lavoro: lavoro infantile e lavoro forzato, salute e sicurezza, libertà di associazione e contrattazione collettiva, discriminazione, pratiche disciplinari, orario di lavoro, retribuzione. Richiede un sistema di gestione che coinvolge i lavoratori attraverso un comitato dedicato, il Social Performance Team, e che si estende al controllo dei fornitori. È apprezzato da committenti e stazioni appaltanti attenti alla filiera.
UNI/PdR 125:2022: parità di genere
È una prassi di riferimento UNI, non una norma ISO, ma ha la logica di un sistema di gestione e si certifica allo stesso modo. Su di essa si fonda la certificazione della parità di genere istituita dall'art. 46-bis del D.Lgs. 198/2006, introdotto dalla L. 162/2021. La prassi misura la parità su sei aree, ciascuna con indicatori e con un proprio peso: cultura e strategia; governance; processi di gestione delle risorse umane; opportunità di crescita e inclusione delle donne in azienda; equità remunerativa per genere; tutela della genitorialità e conciliazione dei tempi di vita e di lavoro. Per la certificazione serve un punteggio complessivo di almeno il 60%, con indicatori modulati secondo la dimensione dell'organizzazione. Il sistema comprende una politica, un comitato guida, un piano strategico e procedure, fra cui quella per prevenire ogni forma di abuso fisico, verbale e digitale nei luoghi di lavoro.
La certificazione dà diritto a un esonero contributivo nei limiti fissati dall'art. 5 della L. 162/2021, a un punteggio premiale nella concessione di aiuti di Stato e a un maggior punteggio nelle gare pubbliche (art. 108, comma 7, D.Lgs. 36/2023).
Sistemi integrati e Modello 231
Quando i sistemi sono più d'uno, li integriamo in un unico impianto documentale, con un solo riesame e un solo programma di audit. Ciascun sistema ben costruito è anche un presidio del Modello 231 per l'area di reati che gli corrisponde: sicurezza sul lavoro, ambiente, delitti informatici, corruzione.
Cosa facciamo
- Analisi iniziale del contesto, dei processi e dei requisiti già soddisfatti.
- Redazione della documentazione: manuale, politica, analisi dei rischi e delle opportunità, procedure, moduli; per la ISO 14064-1, definizione dei confini, raccolta dei dati, calcolo e report dell'inventario.
- Avvio del sistema con il personale: formazione, prime registrazioni, indicatori.
- Audit interno e riesame della direzione prima della verifica di certificazione.
- Assistenza durante le verifiche dell'organismo di certificazione, di prima certificazione, di sorveglianza e di rinnovo, e gestione delle eventuali non conformità.
- Mantenimento: audit interni periodici e audit di seconda parte sui fornitori.
Cosa consegneremo
- Manuale e politica del sistema
- Elenco dei documenti e delle registrazioni
- Analisi del contesto, delle parti interessate, dei rischi e delle opportunità
- Procedure e moduli operativi
- Cruscotto degli indicatori ed elenco dei fornitori qualificati
- Piano, check list e rapporti di audit interno
- Registro delle non conformità e delle azioni correttive
- Verbale di riesame della direzione
- Documenti propri di ciascuna norma: per la ISO/IEC 27001 la Dichiarazione di applicabilità; per la ISO 37001 la nomina della funzione di conformità e i moduli di due diligence; per la UNI/PdR 125 la nomina del comitato guida, il piano strategico e il regolamento contro abusi e molestie; per la ISO 14064-1 il report dell'inventario, il file di calcolo e la valutazione dell'incertezza
Code4Com è a sua volta certificata ISO 9001 per le attività di consulenza e formazione nei settori della compliance normativa e dei sistemi di gestione aziendali.
Come lavoriamo
Ogni materia ha la sua disciplina, ciò che si ripete è il modo di arrivarci: parliamo con chi lavora, guardiamo come funziona l'impresa, scriviamo la compliance su misura per voi. Dove due sistemi si toccano, creiamo sinergia e forza comune.
Domande frequenti
La certificazione è obbligatoria?
No, di regola è volontaria. È però spesso richiesta da committenti e stazioni appaltanti, e il Codice dei contratti pubblici ne tiene conto, ad esempio nella riduzione delle garanzie (art. 106 D.Lgs. 36/2023) e nei punteggi per la parità di genere (art. 108).
Quanto dura un certificato?
Di regola tre anni, con verifiche di sorveglianza annuali da parte dell'organismo di certificazione e una verifica di rinnovo alla scadenza.
Cosa cambia con la ISO 9001:2026?
La nuova edizione, pubblicata il 16 settembre 2026, rafforza i temi della cultura della qualità e della leadership, tratta separatamente rischi e opportunità e migliora l'allineamento con le altre norme. I certificati secondo l'edizione 2015 vanno portati alla nuova entro il periodo di transizione.
La ISO 37001:2016 è ancora valida?
È stata sostituita dall'edizione 2025. Chi è certificato secondo l'edizione 2016 deve passare alla nuova nei tempi fissati per la transizione dall'organismo di certificazione e dagli enti di accreditamento.
Qual è il punteggio minimo per la certificazione della parità di genere?
Il 60% del punteggio complessivo, calcolato sugli indicatori delle sei aree della UNI/PdR 125:2022 secondo i rispettivi pesi.
Si possono integrare più sistemi?
Sì. Le norme ISO condividono la stessa struttura: manuale, analisi dei rischi, audit e riesame possono essere unici per qualità, ambiente, sicurezza, informazioni e prevenzione della corruzione, con risparmio di tempo per l'organizzazione e per le verifiche.
Chi svolge l'audit interno?
Personale interno formato e indipendente dall'area verificata, oppure un auditor esterno. Svolgiamo audit interni per conto dei clienti e audit di seconda parte sui loro fornitori.