Quanto tempo serve per ottenere una certificazione ISO: i fattori che contano

Dimensione, perimetro, punto di partenza e tempo dedicato dal team interno: sono queste le variabili che allungano o accorciano il percorso. Chi chiede "quanto tempo serve per ottenere una certificazione ISO?" di solito cerca un numero di mesi. La risposta onesta è che nessun numero vale per tutti: due aziende con la stessa norma e lo stesso fatturato possono impiegare tempi molto diversi, perché partono da situazioni diverse e dedicano al progetto energie diverse.

In questa guida ti spieghiamo da cosa dipende davvero la durata. Separiamo i due "orologi" del percorso: il tempo di preparazione, che dipende soprattutto da te, e il tempo di audit, che l'organismo di certificazione calcola con regole internazionali pubbliche. Vediamo come pesano numero di persone, sedi e turni, processi esternalizzati, maturità del sistema, settore e norma scelta. Alla fine trovi un esempio concreto, gli errori che fanno perdere settimane e una checklist per stimare il tuo percorso prima di chiedere un preventivo. Se ti servono prima le basi su cosa sia una certificazione e come si svolge, parti dalla guida su cosa sono le certificazioni ISO.

Da cosa dipende quanto tempo serve per una certificazione ISO?

Il tempo complessivo è la somma di due durate diverse: preparazione e audit. La prima la governi tu, la seconda la stabilisce l'organismo di certificazione secondo criteri definiti.

Confonderle è l'origine di molte aspettative sbagliate. Per stimare in modo realistico conviene ragionare sulle due parti separatamente e poi aggiungere i tempi di attesa tra l'una e l'altra.

Il tempo di preparazione: dipende da te

La preparazione va dalla prima analisi della situazione fino al momento in cui il sistema di gestione è operativo e dimostrabile. Comprende la gap analysis, la definizione di processi, ruoli e documenti, la formazione delle persone, la raccolta delle prime registrazioni, l'audit interno e il riesame della direzione.

Questa fase non ha una durata standard perché dipende da variabili tutte interne: quante persone e attività rientrano nel sistema, quanto di ciò che la norma chiede esiste già, quanto tempo le persone chiave possono dedicare ogni settimana.

Il tempo di audit: lo calcola l'organismo con regole pubbliche

La durata degli audit non è una scelta commerciale libera. La ISO/IEC 17021-1, la norma che regola gli organismi che certificano i sistemi di gestione, impone di avere procedure documentate per determinare il tempo di audit e di registrarne la giustificazione. Tra gli aspetti da considerare elenca la complessità dell'organizzazione e del sistema, il contesto tecnologico e normativo, le attività esternalizzate, i risultati di audit precedenti, dimensione e numero dei siti, i rischi legati a prodotti e processi e l'eventuale integrazione di più norme.

Per qualità, ambiente e salute e sicurezza, il calcolo segue il documento mandatorio IAF MD 5, pubblicato dall'IAF, il forum internazionale degli enti di accreditamento. Per altri schemi valgono criteri specifici: per la ISO 27001, ad esempio, la stessa 17021-1 rimanda alla ISO/IEC 27006. Per gli schemi coperti da IAF MD 5, l'organismo deve comunicarti la durata stabilita e la sua giustificazione come parte del contratto.

Quanto conta la dimensione dell'azienda?

La dimensione è il punto di partenza del calcolo, ma non coincide con il numero di dipendenti in busta paga. IAF MD 5 parla di "numero effettivo di personale" e lo definisce con regole precise.

Nel numero effettivo rientrano tutte le persone coinvolte nel perimetro di certificazione: dipendenti fissi, temporanei e part-time, compresi quelli che lavorano su turni. Se nel perimetro ci sono collaboratori non permanenti, ad esempio personale di appaltatori, vanno contati anche loro. Per la salute e sicurezza il perimetro è ancora più ampio e include il personale di appaltatori e subappaltatori che lavora sotto il controllo o l'influenza dell'azienda.

Part-time, turni e stagionalità

Il numero effettivo si adatta alla realtà organizzativa. I part-time possono essere convertiti in equivalenti a tempo pieno: il documento fa l'esempio di 30 persone che lavorano 4 ore al giorno, conteggiate come 15. Per le attività stagionali, come agricoltura o strutture turistiche, il conteggio si basa invece sul personale presente nel periodo di picco.

Quando una quota alta del personale svolge attività ripetitive, come pulizie, vigilanza, trasporti o call center, per qualità e ambiente è ammessa una riduzione coerente e documentata. La stessa logica vale per i turni: l'organismo deve decidere come coprirli e almeno un turno va verificato. Per questo un'azienda con produzione su tre turni deve aspettarsi un piano di audit diverso da un ufficio con orario unico, anche a parità di persone.

Quando chiedi un preventivo, fornisci dati di organico precisi, suddivisi per sede, turno e tipo di contratto. Un dato approssimativo porta a una stima sbagliata dei giorni di audit, che poi va corretta.

Perché il perimetro della certificazione cambia i tempi?

Il perimetro, cioè lo scopo di certificazione, decide quali sedi, processi e attività entrano nel sistema. Più è ampio, più lavoro serve per prepararlo e più tempo serve all'organismo per verificarlo.

Puoi certificare l'intera azienda oppure una linea di prodotto, una sede o un servizio, purché il perimetro sia coerente e non escluda in modo artificiale attività rilevanti. Restringerlo per "fare prima" può rivelarsi una falsa economia se il cliente che ti chiede il certificato si aspetta di vedere coperta proprio l'attività esclusa.

Più sedi, cantieri e logistica complessa

Tra i fattori che IAF MD 5 indica come motivo di aumento del tempo di audit ci sono la logistica complessa su più edifici, il personale che parla più lingue, siti molto estesi rispetto al numero di persone e attività che richiedono visite a siti temporanei.

Per le organizzazioni con più sedi esiste un documento dedicato, IAF MD 1, che stabilisce a quali condizioni è possibile verificare un campione di sedi invece di tutte. Il campionamento non è automatico: l'organismo deve stabilire caso per caso se è ammesso. In fase di preparazione, quindi, avere regole comuni tra le sedi fa risparmiare tempo due volte.

Progettazione, outsourcing e attività escluse

Alcune caratteristiche del perimetro riducono il lavoro di verifica. IAF MD 5 cita il caso dell'azienda che non è responsabile della progettazione (per la qualità), dei siti piccoli rispetto all'organico, dell'alto livello di automazione e del personale che lavora fuori sede, come agenti o tecnici, quando le loro attività sono verificabili dalle registrazioni.

Altre caratteristiche lo aumentano. Per la qualità, i processi esternalizzati e le attività considerate ad alto rischio richiedono più tempo. Esternalizzare non significa togliere il processo dal sistema: l'organismo deve verificare che l'azienda controlli in modo efficace ciò che affida a terzi. Un'azienda che esternalizza produzione, logistica o sviluppo software deve quindi preparare criteri di valutazione dei fornitori concreti, non un elenco di nomi.

Quanto pesa il punto di partenza?

Il punto di partenza è spesso la variabile più sottovalutata. Due aziende identiche per dimensione e perimetro possono avere percorsi molto diversi se una ha già processi documentati e l'altra lavora ancora "a memoria".

La gap analysis misura questa distanza: confronta ciò che fai oggi con ciò che la norma richiede, requisito per requisito, e produce un elenco di attività da completare. Senza questo passaggio ogni stima dei tempi è una supposizione. Se la norma è la ISO 9001, trovi i requisiti principali spiegati nella guida sul sistema di gestione qualità ISO 9001.

Cosa accorcia la preparazione

Accorcia il percorso tutto ciò che esiste già e funziona: procedure operative davvero applicate, ruoli chiari, registrazioni di controlli e formazione, un'analisi dei rischi aggiornata. Anche altre certificazioni contano. IAF MD 5 prevede una riduzione del tempo di audit legata alla maturità del sistema e alla conoscenza pregressa da parte dell'organismo, ad esempio se l'azienda è già certificata su un'altra norma.

Un'azienda certificata ISO 9001 che punta alla ISO 27001 parte con processi già familiari: audit interno, riesame della direzione, gestione delle non conformità, controllo dei documenti. Le norme ISO sui sistemi di gestione condividono infatti la stessa struttura armonizzata, e quando si integrano più norme l'organismo applica il documento IAF MD 11 per calcolare la durata in base al livello di integrazione. Ne parliamo nella guida sul sistema di gestione integrato.

Le registrazioni non si scrivono in un giorno

Un sistema di gestione si dimostra con le evidenze di funzionamento, non con i documenti. Procedure e politiche si possono scrivere in poche settimane, ma l'auditor vuole vedere che vengono applicate: controlli registrati, formazione erogata, fornitori valutati, obiettivi misurati.

Per questo serve un periodo minimo di "vita" del sistema prima dell'audit. La ISO/IEC 17021-1 indica tra gli obiettivi dello Stage 1 la verifica che audit interni e riesami della direzione siano pianificati e svolti, e che il livello di attuazione dimostri che l'azienda è pronta per lo Stage 2. Un audit interno svolto il giorno prima, senza azioni conseguenti, è un segnale debole. Pianifica quindi il calendario all'indietro: prima l'audit dell'organismo, poi il riesame, prima ancora l'audit interno, e prima di tutto qualche ciclo di registrazioni reali.

Quanto tempo deve dedicare il team interno?

Il tempo interno è il fattore che decide il ritmo del progetto. Nessun supporto esterno può sostituire le persone che conoscono i processi, prendono le decisioni e producono le evidenze.

Servono almeno tre contributi. La direzione deve definire politica, obiettivi e risorse e partecipare al riesame: la norma chiede un impegno esplicito della leadership e l'auditor lo verifica parlando con chi guida l'azienda. Un referente interno deve coordinare il lavoro, raccogliere informazioni e seguire le scadenze. I responsabili di reparto devono descrivere come lavorano, applicare le regole concordate e registrare ciò che fanno.

Il collo di bottiglia più comune

Nella maggior parte dei percorsi che si allungano, il problema non è la norma ma la disponibilità del referente interno. È una persona che ha già un altro lavoro a tempo pieno e che dedica al sistema i ritagli di tempo. Ogni settimana in cui non riesce a farlo, il progetto si ferma.

La soluzione non è chiedere eroismi, ma pianificare. Conviene fissare uno slot settimanale protetto, distribuire le attività ai responsabili di area invece di concentrarle su una sola persona e decidere in anticipo chi approva cosa, per evitare che i documenti restino in attesa di una firma.

È qui che il modello di Complaion lavora in modo concreto. Il Lead Auditor dedicato imposta il piano, scrive e valida le procedure sui processi reali e dice con chiarezza cosa serve e cosa no. La piattaforma raccoglie le evidenze e gestisce i documenti con le versioni, assegna ogni attività a un responsabile e tiene lo scadenziario, così il referente sa sempre cosa manca invece di ricostruirlo a fine mese. Anche l'audit interno non pesa sul referente: lo conduce il Lead Auditor Complaion, con il metro di un audit di certificazione, e lo pianifica con l'anticipo necessario per chiudere le azioni prima dello Stage 1.

Settore, rischio e norma: perché lo stesso organico non dà gli stessi tempi?

A parità di persone, il settore e la norma scelta cambiano sia la preparazione sia la durata degli audit. IAF MD 5 lo prevede in modo esplicito con categorie di rischio e complessità.

Per la qualità il documento usa tre categorie di rischio, legate alle conseguenze di un difetto del prodotto o del servizio. Le attività ad alto rischio, come nucleare, medicale, farmaceutico, alimentare e costruzioni, richiedono normalmente più tempo di audit; quelle a rischio medio, come la produzione semplice, si collocano nella media; quelle a basso rischio richiedono meno tempo.

Ambiente, salute e sicurezza, sicurezza delle informazioni

Per l'ambiente IAF MD 5 usa cinque categorie di complessità, basate su natura, numero e gravità degli aspetti ambientali. Possono aumentare il tempo anche la sensibilità del territorio circostante, le aspettative delle parti interessate e i rischi di incidenti ambientali.

Per la salute e sicurezza le categorie di complessità sono tre e dipendono dai rischi del settore. Pesano anche fattori come un tasso di infortuni superiore alla media, la presenza di pubblico in sede o di molti appaltatori. Per la sicurezza delle informazioni, invece, la durata dell'audit segue la ISO/IEC 27006 e il percorso di preparazione dipende molto da quanti sistemi, fornitori IT e dati rientrano nel perimetro: ne parliamo nella guida completa alla ISO 27001.

La tabella riassume come ogni fattore incide sulle due durate.

Cosa succede tra Stage 1, Stage 2 e il rilascio del certificato?

Anche dopo la preparazione ci sono tempi che dipendono dagli esiti. L'audit iniziale si svolge sempre in due fasi, e il passaggio dall'una all'altra non è automatico.

Lo Stage 1 verifica la documentazione, le condizioni specifiche del sito e la prontezza per lo Stage 2. Secondo la ISO/IEC 17021-1, nel fissare l'intervallo tra le due fasi l'organismo considera il tempo che ti serve per risolvere le criticità emerse nello Stage 1, e i risultati dello Stage 1 possono portare a rinviare o annullare lo Stage 2. Lo Stage 2 valuta l'attuazione e l'efficacia del sistema presso l'azienda. Trovi il dettaglio nella guida su audit di Stage 1 e Stage 2.

Non conformità e decisione di certificazione

Il certificato non viene emesso alla chiusura dello Stage 2. Prima l'organismo deve prendere la decisione di certificazione, e per farlo deve aver verificato correzioni e azioni correttive per ogni non conformità maggiore e accettato il piano d'azione per quelle minori. Se non riesce a verificare le azioni sulle maggiori entro sei mesi dall'ultimo giorno dello Stage 2, la 17021-1 impone di ripetere lo Stage 2.

Ecco perché arrivare all'audit preparati conta più che arrivarci presto. La differenza tra maggiori e minori è spiegata nella guida sulle non conformità maggiori e minori.

Dalla decisione di certificazione parte il ciclo triennale. La 17021-1 prevede audit di sorveglianza almeno una volta per anno solare, con il primo entro 12 mesi dalla decisione, e un audit di rinnovo nel terzo anno. Secondo IAF MD 5, ogni anno la sorveglianza dura circa un terzo dell'audit iniziale e il rinnovo circa due terzi dell'audit iniziale ricalcolato sulla situazione aggiornata. Il tempo, quindi, non finisce con il certificato: va pianificato anche per gli anni successivi.

Come stimare i tempi del tuo percorso: un esempio concreto

Il modo più affidabile per stimare i tempi è partire dalle tue variabili, non da una media di mercato. Proviamo con un'azienda tipo.

Immagina un'officina meccanica con 45 persone, una sola sede, produzione su due turni e una parte delle lavorazioni affidata a terzisti. Punta alla ISO 9001 perché lo chiede un cliente importante. Ha disegni tecnici e controlli in accettazione, ma registra i controlli in modo discontinuo, non ha mai fatto un audit interno e la persona designata come referente è anche responsabile acquisti.

Due scenari per la stessa azienda

Nel primo scenario il referente lavora al sistema quando può, i documenti girano via email e la direzione rimanda la definizione degli obiettivi. Le settimane si accumulano su attese e rifacimenti. Quando finalmente arriva lo Stage 1, emergono criticità sulla valutazione dei terzisti e sulle registrazioni dei controlli del secondo turno, e lo Stage 2 slitta.

Nel secondo scenario l'azienda fa subito la gap analysis, fissa mezza giornata a settimana per il referente, assegna i controlli ai capiturno e definisce come valutare i terzisti. L'audit interno si svolge con qualche settimana di anticipo e lascia il tempo di chiudere le azioni. Il percorso diventa prevedibile e governabile, perché ogni attività ha un responsabile e una scadenza.

Prima di chiedere un preventivo, prepara queste informazioni: ti serviranno per una stima seria della preparazione e per il calcolo dell'organismo.

• Numero di persone per sede, turno e tipo di contratto, inclusi part-time e stagionali.

• Sedi, cantieri o siti temporanei e attività svolte in ciascuno.

• Processi esternalizzati e fornitori critici.

• Norma o norme da certificare e scadenza esterna, se c'è.

• Procedure, registrazioni e certificazioni già presenti.

• Nome del referente interno e tempo che può dedicare ogni settimana.

Quali errori allungano il percorso di certificazione?

Gli errori che fanno perdere più tempo sono errori di pianificazione, non di interpretazione della norma.

Il primo è partire dalla scadenza invece che dalla gap analysis: fissare una data di audit perché lo chiede un cliente, senza sapere quanto lavoro manca. Il secondo è scrivere documenti generici copiati da modelli, che poi vanno riscritti perché non descrivono l'organizzazione reale. Il terzo è concentrare tutto su una persona sola, che diventa il collo di bottiglia di ogni decisione.

Fare l'audit interno e il riesame a ridosso dello Stage 1 lascia evidenze troppo deboli e nessun tempo per correggere. Dare all'organismo dati di organico o di perimetro incompleti porta a un piano di audit da rifare. Infine, considerare il certificato come un traguardo fa arrivare impreparati alla prima sorveglianza, quando il sistema dovrebbe essere più solido, non più fragile.

Come Complaion ti aiuta a governare i tempi del percorso

Complaion non promette tempi uguali per tutti: costruisce un piano sulla tua realtà. Con oltre 1.000 clienti, sappiamo che dimensione, perimetro, punto di partenza e tempo interno vanno valutati prima di fissare una data.

Un Lead Auditor dedicato ti segue dalla gap analysis all'audit dell'organismo: ti propone il percorso più adatto alle esigenze della tua azienda, definisce il perimetro, scrive e valida le procedure, conduce l'audit interno e ti prepara alle domande dell'auditor. La piattaforma raccoglie le evidenze, gestisce i documenti, tiene lo scadenziario e prepara l'audit, così il lavoro del referente interno è ordinato e visibile. Lo stesso metodo vale per sorveglianze e rinnovi e per tutte le certificazioni e normative che seguiamo. La certificazione resta in capo a un organismo indipendente e accreditato.

Vuoi capire quanto lavoro serve nel tuo caso? Parla con un Lead Auditor e ricevi una proposta costruita sulla tua azienda.

Domande frequenti sui tempi della certificazione ISO

Esiste una durata standard per ottenere una certificazione ISO?

No. Nessuna norma o documento ufficiale fissa una durata standard del percorso di preparazione, perché dipende da dimensione, perimetro, punto di partenza e tempo dedicato dal team interno. Esistono invece regole per calcolare il tempo degli audit dell'organismo, come IAF MD 5 per qualità, ambiente e salute e sicurezza. Per una stima affidabile serve una gap analysis sulla tua azienda.

Chi decide quanti giorni dura l'audit di certificazione?

Lo decide l'organismo di certificazione, che secondo la ISO/IEC 17021-1 deve avere procedure documentate e registrare la giustificazione della durata. Per qualità, ambiente e salute e sicurezza il punto di partenza è il numero effettivo di personale, corretto con fattori di aumento o riduzione previsti da IAF MD 5. La durata e la sua motivazione ti vengono comunicate come parte del contratto.

Posso accorciare l'audit dichiarando meno dipendenti?

No, e non conviene. Il numero effettivo di personale include fissi, temporanei, part-time e chi lavora su turni nel perimetro, e l'organismo deve poter giustificare il calcolo all'ente di accreditamento. Un dato sbagliato emerge durante l'audit e porta a rivedere il piano. Fornisci dati precisi: le riduzioni ammesse esistono già e vengono applicate con regole documentate.

Avere già una certificazione ISO accorcia i tempi per la seconda?

Di solito sì, sia nella preparazione sia nell'audit. Processi come audit interno, riesame e gestione delle non conformità sono comuni alle norme ISO sui sistemi di gestione, grazie alla struttura armonizzata. IAF MD 5 considera la maturità del sistema e la conoscenza pregressa tra i possibili fattori di riduzione, e per gli audit integrati si applica IAF MD 11. Resta da costruire la parte specifica della nuova norma.

Quanto tempo passa tra Stage 1 e Stage 2?

Dipende dalle criticità emerse nello Stage 1. La ISO/IEC 17021-1 chiede all'organismo di considerare il tempo necessario all'azienda per risolvere le aree di attenzione prima di fissare lo Stage 2. Se nel frattempo il sistema cambia in modo significativo, l'organismo può dover ripetere in tutto o in parte lo Stage 1.

Cosa succede se nello Stage 2 emerge una non conformità maggiore?

Il certificato non può essere rilasciato finché l'organismo non ha verificato correzioni e azioni correttive. Se la verifica non avviene entro sei mesi dall'ultimo giorno dello Stage 2, la ISO/IEC 17021-1 prevede che si ripeta lo Stage 2. Per questo conviene arrivare all'audit con un audit interno già svolto e le azioni chiuse.

Dopo la certificazione quanto tempo richiede il mantenimento?

Il ciclo dura tre anni dalla decisione di certificazione, con sorveglianze almeno una volta per anno solare e un rinnovo nel terzo anno. Secondo IAF MD 5 la sorveglianza annuale vale circa un terzo dell'audit iniziale. Il tempo interno dipende da quanto il sistema è integrato nel lavoro quotidiano: se le evidenze si raccolgono durante l'anno, la preparazione della sorveglianza è molto più leggera.