In breve
La ISO 9001 chiede di mantenere solo quattro documenti: campo di applicazione, informazioni a supporto dei processi, politica e obiettivi per la qualità.
Le registrazioni obbligatorie sono le prove che ciò che hai pianificato è stato fatto; molte valgono solo se l'attività ti riguarda, come la progettazione.
Manuale della qualità e procedure "una per clausola" non sono più richiesti: tienili solo se servono davvero ai tuoi processi.
Ogni documento deve avere un responsabile, una versione valida e un motivo per esistere: è questo che l'auditor verifica, non il numero di pagine.
La clausola 7.5 è comune a tutte le norme ISO sui sistemi di gestione: con più certificazioni puoi gestire un solo controllo documentale.
La ISO 9001 non chiede un manuale da 80 pagine. Chiede poche informazioni documentate obbligatorie, più quelle che servono davvero a far funzionare la tua azienda. Il resto è carta che nessuno legge, che invecchia in un server condiviso e che, il giorno dell'audit, diventa un rischio invece che una tutela.
Molte PMI arrivano alla certificazione con l'idea opposta: più documenti produci, più sei al sicuro. È un'idea comprensibile, spesso ereditata da sistemi qualità nati decenni fa, quando la norma prescriveva procedure specifiche. Oggi non è più così. Il messaggio della guida del comitato ISO/TC 176 sulla documentazione è chiaro: serve un sistema di gestione documentato, non un sistema di documenti.
In questa guida trovi l'elenco delle informazioni documentate richieste dalla ISO 9001, distinte tra documenti da mantenere e registrazioni da conservare. Vedi poi quali documenti puoi eliminare senza rischi, come decidere cosa scrivere oltre il minimo, come tenere tutto sotto controllo e cosa verifica davvero l'auditor. Se vuoi prima ripassare come si costruisce un sistema qualità dalle fondamenta, parti dalla guida sul sistema di gestione della qualità ISO 9001.
Cosa sono le informazioni documentate nella ISO 9001?
Le informazioni documentate sono le informazioni che l'azienda deve tenere sotto controllo, insieme al supporto che le contiene. Il termine è stato introdotto con la struttura armonizzata, comune a tutte le norme ISO sui sistemi di gestione, e definito nella ISO 9000. Sostituisce le vecchie parole "documenti", "procedure documentate" e "registrazioni".
Il supporto non fa differenza. Secondo la ISO 9000, un'informazione documentata può avere qualsiasi formato e provenire da qualsiasi fonte: un file, una pagina web, un gestionale, una fotografia, perfino un campione di riferimento conservato in reparto. Un video che mostra come si attrezza una macchina vale quanto un'istruzione scritta, se è controllato.
Mantenere e conservare: documenti e registrazioni
La norma usa due verbi diversi, e capirli ti fa risparmiare molto lavoro. Mantenere un'informazione documentata significa tenerla aggiornata: vale per ciò che può cambiare nel tempo, come la politica per la qualità, il campo di applicazione o un'istruzione di lavoro. È quello che un tempo chiamavi "documento".
Conservare un'informazione documentata significa invece custodirla come prova di qualcosa che è già successo: un verbale di riesame, l'esito di un controllo, un attestato di formazione. È la vecchia "registrazione". Le FAQ ufficiali del comitato ISO/TC 176 chiariscono questa distinzione: ciò che può cambiare va mantenuto, ciò che di norma non cambia va conservato. In pratica, una registrazione non si "aggiorna": se cambia qualcosa, ne crei una nuova.
Cosa chiede la clausola 7.5 della struttura armonizzata
La clausola 7.5 è il cuore delle regole sulla documentazione, ed è la stessa in tutte le norme ISO sui sistemi di gestione. Dice che il sistema deve includere due sole categorie: le informazioni documentate richieste dalla norma e quelle che l'azienda ritiene necessarie per l'efficacia del proprio sistema.
La nota a questa clausola spiega che l'estensione della documentazione può variare da un'azienda all'altra in base a tre fattori: dimensione e tipo di attività, complessità dei processi e delle loro interazioni, competenza delle persone. Le altre due parti della 7.5 riguardano come si creano e aggiornano i documenti (identificazione, formato, riesame e approvazione) e come si tengono sotto controllo (disponibilità, protezione, distribuzione, versioni, conservazione ed eliminazione). Ne parliamo più avanti.
Quali informazioni documentate sono obbligatorie per la ISO 9001?
Le informazioni documentate obbligatorie sono poche: quattro documenti da mantenere e una serie di registrazioni da conservare, molte delle quali solo se l'attività è pertinente. L'elenco che segue riprende la guida ufficiale del comitato ISO/TC 176 sui requisiti di documentazione della ISO 9001:2015.
Un'avvertenza utile: a settembre 2026 è stata pubblicata la nuova edizione, ISO 9001:2026. Mantiene la struttura armonizzata, ma può cambiare la formulazione o la numerazione di alcune sotto-clausole. Quando aggiorni il sistema, verifica i riferimenti sul testo dell'edizione su cui sei certificato o ti stai certificando.
I documenti da mantenere
Sono i documenti "alti" del sistema, quelli che ne definiscono confini e direzione:
il campo di applicazione del sistema di gestione per la qualità (clausola 4.3);
le informazioni documentate necessarie a supportare il funzionamento dei processi (clausola 4.4);
la politica per la qualità (clausola 5.2);
gli obiettivi per la qualità (clausola 6.2).
Nota la formulazione della 4.4: non dice quali documenti servono, ma lascia a te decidere cosa serve davvero per far funzionare i processi. Per un'azienda può essere una mappa dei processi e cinque istruzioni operative; per un'altra, un insieme di schede nel gestionale.
Le registrazioni da conservare
Le registrazioni sono le prove che ciò che hai pianificato è stato fatto. Questa tabella le raccoglie, con il riferimento di clausola dell'edizione 2015.
Registrazione da conservare | Clausola | Quando si applica |
|---|---|---|
Evidenze che i processi sono eseguiti come pianificato | 4.4 | Sempre, nella misura necessaria |
Idoneità delle risorse per monitoraggio e misurazione | 7.1.5.1 | Se usi strumenti di misura o controllo |
Base usata per taratura o verifica, se non esistono campioni internazionali o nazionali | 7.1.5.2 | Solo in quel caso |
Evidenze di competenza del personale | 7.2 | Sempre |
Esito del riesame dei requisiti di prodotti e servizi | 8.2.3 | Sempre |
Registrazioni di progettazione e sviluppo (pianificazione, input, controlli, output, modifiche) | 8.3.2–8.3.6 | Solo se progetti prodotti o servizi |
Valutazione, selezione, monitoraggio e rivalutazione dei fornitori esterni | 8.4.1 | Sempre |
Identificazione univoca degli output | 8.5.2 | Se la rintracciabilità è un requisito |
Proprietà del cliente o del fornitore persa, danneggiata o inutilizzabile | 8.5.3 | Se gestisci beni di terzi |
Riesame delle modifiche alla produzione o all'erogazione | 8.5.6 | Quando ci sono modifiche |
Rilascio di prodotti e servizi, con chi lo ha autorizzato | 8.6 | Sempre |
Output non conformi e azioni intraprese | 8.7 | Quando si verificano |
Risultati di monitoraggio, misurazione e valutazione | 9.1.1 | Sempre |
Programma di audit interno e risultati | 9.2.2 | Sempre |
Risultati del riesame di direzione | 9.3.3 | Sempre |
Non conformità, azioni conseguenti e risultati delle azioni correttive | 10.2.2 | Quando si verificano |
Il caso della progettazione
La riga più pesante della tabella è quella della progettazione e sviluppo. Se la tua azienda lavora su disegno del cliente e non progetta nulla, puoi dichiarare il requisito non applicabile, motivandolo nel campo di applicazione. Un'officina conto terzi, un'impresa di pulizie che eroga un servizio standard o un distributore spesso rientrano in questa situazione. Attenzione però: la non applicabilità è accettabile solo se non incide sulla capacità di garantire la conformità di prodotti e servizi. Se adatti, personalizzi o sviluppi soluzioni per il cliente, quasi sempre stai progettando.
Quali documenti puoi eliminare senza rischi?
Puoi eliminare tutto ciò che la norma non chiede e che non serve a far funzionare i processi. Le FAQ ufficiali del comitato ISO/TC 176 sono chiare su due punti: le procedure documentate specifiche non sono più menzionate e il manuale della qualità non è più espressamente richiesto. Questo non significa che vadano buttati, ma che vanno giustificati dalla loro utilità.
Il manuale della qualità
Il manuale della qualità non è obbligatorio. Se ti è utile per spiegare il sistema a un cliente, a un nuovo assunto o all'auditor, puoi tenerlo. Ma un manuale che ricopia la norma clausola per clausola, con frasi come "l'azienda assicura che…", non aggiunge nulla: l'auditor lo legge e poi va comunque a cercare le prove nei reparti.
Un'alternativa che funziona in molte PMI è un documento di sistema di poche pagine. Contiene campo di applicazione, politica, mappa dei processi e un indice di dove trovare il resto. Copre tre obblighi su quattro tra i documenti da mantenere ed è facile da aggiornare.
Le procedure "una per clausola"
Molti sistemi hanno ancora una procedura per ogni capitolo della norma: gestione documenti, audit interni, non conformità, azioni correttive, formazione, acquisti. Nessuna di queste è un obbligo come documento. Sono obbligatorie le registrazioni che quei processi producono, come il programma di audit o il registro delle non conformità.
Il criterio da usare è semplice: una procedura scritta serve dove la costanza del risultato dipende da passaggi che non si possono lasciare all'esperienza individuale. Una taratura delicata, il rilascio di un lotto, la gestione di un reclamo grave. Dove il processo è semplice e le persone sono competenti, spesso basta il modulo che ne registra l'esito.
Moduli e registri che nessuno compila
Il terzo blocco da tagliare sono i moduli creati "perché potrebbero servire". Un modulo vuoto non è un problema finché resta vuoto; lo diventa quando il sistema lo richiama e nessuno lo compila. In audit, un modulo previsto e non usato è una prova che il sistema scritto non corrisponde a quello reale. Meglio eliminarlo che giustificarlo.
Come decidere cosa documentare oltre il minimo?
La documentazione oltre il minimo si decide partendo dai processi, non dalla norma. La guida del comitato ISO/TC 176 lo dice esplicitamente: è l'analisi dei processi che deve determinare la quantità di documentazione, non la documentazione a guidare i processi.
Anche la clausola 8.1 sulla pianificazione operativa lascia a te stabilire quali informazioni documentate servono per avere fiducia che i processi siano eseguiti come previsto e per dimostrare la conformità di prodotti e servizi. È uno spazio di libertà, ma anche di responsabilità: devi saper spiegare perché un documento c'è o non c'è.
Tre domande per ogni documento
Prima di creare o tenere un documento, poniti tre domande. La prima: se la persona che oggi svolge questa attività si assentasse per un mese, chi la sostituisce saprebbe farla bene senza questo documento? Se la risposta è no, il documento serve, perché protegge la conoscenza organizzativa.
La seconda: il documento riduce un rischio concreto, come un errore costoso, un reclamo, un problema di sicurezza del prodotto? Se sì, va tenuto e curato. La terza: qualcuno lo usa davvero, almeno ogni tanto? Se nessuno lo apre da anni, probabilmente è il candidato ideale per essere eliminato o accorpato a un altro.
Un esempio: un'azienda di 25 persone
Prendi un'officina meccanica conto terzi con 25 dipendenti, certificata da anni. Il suo sistema conta un manuale di 80 pagine, una ventina di procedure e oltre 50 moduli. Il Responsabile Qualità passa le settimane prima dell'audit ad aggiornare revisioni e firme.
Dopo una revisione ragionata, l'azienda tiene un documento di sistema di sei pagine, quattro istruzioni operative per le lavorazioni critiche e i moduli che producono registrazioni obbligatorie o utili. Le attività semplici sono descritte nella mappa dei processi. Il risultato è un sistema più snello, in cui ogni documento ha un responsabile e un motivo per esistere. All'audit successivo l'auditor trova meno carta, ma più coerenza tra ciò che è scritto e ciò che accade in reparto.
Come tenere sotto controllo documenti e registrazioni?
Tenere sotto controllo le informazioni documentate significa garantire che siano disponibili, adeguate e protette quando servono. La clausola 7.5 chiede che siano disponibili e idonee all'uso dove e quando necessario, protette da perdita di riservatezza, uso improprio o perdita di integrità.
Versioni, approvazioni e accessi
Ogni documento da mantenere deve avere un'identificazione chiara (titolo, data, revisione o autore) ed essere riesaminato e approvato prima dell'uso. L'errore classico è la copia stampata della versione vecchia ancora appesa in reparto. Il controllo delle modifiche serve proprio a garantire che chi lavora usi sempre la versione valida.
Anche gli accessi vanno decisi. La norma considera che l'accesso possa essere solo in lettura oppure anche in modifica: un operatore deve poter consultare un'istruzione, non correggerla di sua iniziativa. Con un sistema digitale questo controllo diventa quasi automatico, mentre con le cartelle condivise richiede disciplina.
Conservazione e documenti di origine esterna
Per le registrazioni la regola chiave è che non devono essere alterate in modo involontario. Devi anche decidere per quanto tempo conservarle e come eliminarle quando non servono più. La norma non fissa una durata unica: la stabilisci tu, tenendo conto di obblighi di legge, contratti, garanzie e del ciclo di certificazione.
Non dimenticare i documenti di origine esterna: disegni e specifiche del cliente, schede tecniche dei fornitori, norme di prodotto. Vanno identificati e tenuti sotto controllo come i tuoi, perché un disegno superato usato in produzione genera una non conformità esattamente come un'istruzione interna obsoleta.
Dove aiuta una piattaforma
È su questo punto che una piattaforma fa la differenza rispetto alle cartelle condivise. Nella piattaforma Complaion gestisci documenti e versioni in un unico spazio, raccogli le evidenze man mano che si producono e tieni sotto controllo le scadenze con lo scadenziario: rinnovo delle tarature, rivalutazione dei fornitori, riesame annuale dei documenti. Così le registrazioni obbligatorie si accumulano durante l'anno, invece di essere ricostruite in fretta prima dell'audit.
Cosa verifica davvero l'auditor sulle informazioni documentate?
L'auditor non conta le pagine: cerca evidenze oggettive che il sistema funzioni. La ISO 9000 definisce l'evidenza oggettiva come un dato che dimostra l'esistenza o la veridicità di qualcosa, ottenuto con osservazione, misura, prova o altri mezzi. Quindi non solo documenti, ma anche interviste, visite in reparto, dati nei gestionali.
Nella prima fase dell'audit di certificazione l'auditor esamina la documentazione per capire se il sistema è pronto: campo di applicazione, politica, obiettivi, processi, prime registrazioni. Nella seconda fase verifica sul campo che ciò che è scritto corrisponda a ciò che si fa. Se vuoi capire nel dettaglio come funzionano le due fasi, trovi tutto nella guida su audit di Stage 1 e Stage 2.
Evidenze senza documenti
La guida del comitato ISO/TC 176 contiene un passaggio poco conosciuto. Dove non hai informazioni documentate specifiche per un'attività e la norma non le richiede, è accettabile svolgerla usando come riferimento la clausola della norma stessa. Gli auditor, interni ed esterni, possono valutare la conformità direttamente sul testo della ISO 9001.
In pratica: se il processo di gestione dei reclami è semplice e lo gestisce sempre la stessa persona competente, non serve una procedura. Serve che i reclami siano registrati, analizzati e chiusi, e che la persona sappia spiegare come lavora.
Cosa succede se manca una registrazione
Se manca una registrazione obbligatoria, per esempio l'evidenza del riesame di direzione o della competenza di un addetto, l'auditor rileva una non conformità. La gravità dipende da quanto la mancanza mette in discussione il funzionamento del sistema. Una firma dimenticata su un verbale è diversa da un riesame mai fatto. Il modo migliore per non arrivarci è verificare le registrazioni durante l'audit interno, che è a sua volta una registrazione obbligatoria.
Con Complaion il controllo delle registrazioni lo fa il tuo Lead Auditor durante l'audit interno, che conduce per te: le mancanze emergono mesi prima dell'organismo, quando si possono ancora produrre evidenze vere e non ricostruite.
Quali sono gli errori più comuni con le informazioni documentate?
Gli errori più comuni nascono da un sistema scritto per l'auditor invece che per l'azienda. Questi sono quelli che si incontrano più spesso nelle PMI:
Copiare un modello generico, con procedure che citano reparti, ruoli o processi che l'azienda non ha.
Tenere il manuale come documento principale e non aggiornarlo quando cambiano organizzazione o processi.
Confondere documenti e registrazioni, "aggiornando" un verbale o un rapporto invece di crearne uno nuovo.
Disperdere le evidenze tra email, chiavette, cartelle personali e fogli di calcolo con nomi diversi.
Dimenticare i documenti di origine esterna, come disegni del cliente o norme di prodotto non più valide.
Creare documenti in blocco nelle settimane prima dell'audit, con date e firme tutte uguali.
L'ultimo errore è il più rischioso. Un auditor esperto riconosce subito le registrazioni prodotte a posteriori: stessa penna, stessa data, nessuna correzione. Oltre a non dimostrare nulla, minano la fiducia nell'intero sistema.
Le stesse regole valgono per le altre norme ISO?
Sì, la logica è la stessa. La clausola 7.5 fa parte della struttura armonizzata, il testo comune alle norme ISO sui sistemi di gestione: ISO 14001, ISO 27001, ISO 45001 e le altre la ripetono in modo identico o quasi. Ogni norma aggiunge poi i propri requisiti di documentazione specifici del settore.
La ISO 27001, per esempio, richiede tra l'altro la dichiarazione di applicabilità dei controlli di sicurezza. La ISO 14001 chiede di documentare gli aspetti ambientali significativi e gli obblighi di conformità. Se ti stai orientando tra le norme, la guida su cosa sono le certificazioni ISO ti aiuta a capire cosa copre ciascuna.
Per chi ha più certificazioni, la struttura comune è un vantaggio concreto. Campo di applicazione, politica, obiettivi, controllo dei documenti, audit interni e riesame possono essere gestiti una sola volta per tutte le norme, in un sistema di gestione integrato. Il controllo documentale diventa uno solo, con le stesse regole di versione, approvazione e conservazione.
Come Complaion ti aiuta a tenere solo la documentazione che serve
Complaion ti aiuta a costruire e mantenere un sistema qualità con la documentazione che serve davvero, né più né meno. Il tuo Lead Auditor dedicato segue la tua azienda: analizza la documentazione esistente, indica cosa è obbligatorio, cosa è utile e cosa puoi eliminare, conduce l'audit interno e ti prepara all'audit di certificazione con lo sguardo di chi gli audit li conduce.
Nella piattaforma raccogli le evidenze durante l'anno, gestisci documenti e versioni, tieni lo scadenziario di tarature, fornitori e riesami e prepari l'audit con tutto in ordine. Ti proponiamo il percorso più adatto alle esigenze della tua azienda: prima certificazione ISO 9001, semplificazione di un sistema già certificato o integrazione con altre norme. Oltre 1.000 clienti hanno già scelto Complaion.
Vuoi capire quanta documentazione puoi togliere dal tuo sistema? Parla con il nostro team e ricevi un preventivo su misura.
Domande frequenti sulle informazioni documentate ISO 9001
Il manuale della qualità è obbligatorio per la ISO 9001?
No. Le FAQ ufficiali del comitato ISO/TC 176 confermano che il manuale della qualità non è più espressamente richiesto. Puoi tenerlo se ti è utile per descrivere il sistema, ma non è un requisito. Molte PMI lo sostituiscono con un documento di sistema di poche pagine che riunisce campo di applicazione, politica e mappa dei processi.
Quante procedure scritte servono per la certificazione ISO 9001?
La norma non impone un numero di procedure. Chiede di mantenere le informazioni documentate necessarie a supportare il funzionamento dei processi, e lascia all'azienda decidere quali. Le procedure servono dove il processo è critico o complesso, o dove le persone ruotano spesso. Per le attività semplici possono bastare un modulo e una persona competente.
Che differenza c'è tra mantenere e conservare informazioni documentate?
Mantenere significa tenere aggiornato un documento che può cambiare, come la politica o un'istruzione di lavoro. Conservare significa custodire una prova immutabile di qualcosa già avvenuto, come un verbale di riesame o l'esito di un controllo. In sostanza corrispondono ai vecchi concetti di documento e registrazione. Una registrazione non si modifica: se cambia qualcosa, se ne crea una nuova.
Posso gestire tutta la documentazione ISO 9001 in digitale?
Sì. Secondo la ISO 9000 le informazioni documentate possono avere qualsiasi formato e supporto: file, gestionali, piattaforme, fotografie, video. Ciò che conta è che siano controllate: identificate, approvate, disponibili dove servono, protette da modifiche non autorizzate e conservate per il tempo stabilito. Un sistema digitale ben impostato rende questi controlli più semplici.
Per quanto tempo devo conservare le registrazioni?
La ISO 9001 non fissa una durata unica di conservazione. La stabilisci tu, tenendo conto di obblighi di legge e contratti, delle garanzie sui prodotti e della durata del ciclo di certificazione. Una regola pratica è definire i tempi per ogni tipo di registrazione in un unico elenco, così l'auditor vede subito che la scelta è stata fatta in modo consapevole.
L'analisi dei rischi deve essere documentata?
Nella guida del comitato ISO/TC 176 sull'edizione 2015, rischi e opportunità non compaiono tra le informazioni documentate obbligatorie. Devi però dimostrare di averli considerati e affrontati, e un registro dei rischi semplice è il modo più comodo per farlo. Se passi alla ISO 9001:2026, pubblicata a settembre 2026, verifica i requisiti sul testo della nuova edizione.
Cosa succede se all'audit manca una registrazione obbligatoria?
L'auditor rileva una non conformità, la cui gravità dipende dall'impatto sul sistema. Una firma mancante pesa meno di un riesame di direzione mai svolto. Dovrai analizzare la causa e definire un'azione correttiva entro i tempi concordati con l'organismo di certificazione. Il modo migliore per prevenire il problema è controllare le registrazioni durante l'audit interno.
