In breve
Un sistema di gestione integrato è un unico sistema che soddisfa i requisiti di due o più norme ISO: non è una norma né un certificato a sé.
L'integrazione è possibile perché le norme ISO sui sistemi di gestione condividono la struttura armonizzata dell'Annex SL: stessi capitoli, stesso testo base, termini comuni.
Contesto, politica, rischi, documenti, audit interni, riesame e azioni correttive si gestiscono una volta sola, mentre i requisiti specifici di ogni norma restano tracciabili.
Secondo IAF MD 11 il tempo dell'audit integrato parte dalla somma dei tempi delle singole norme e può essere ridotto al massimo del 20%, in base all'integrazione confermata in Stage 1.
Gli errori più comuni sono dichiarare un'integrazione che non c'è e unificare così tanto da perdere i requisiti specifici.
Le norme ISO hanno la stessa struttura. Gestirle insieme significa un solo audit interno, un solo riesame e meno documenti doppi. È questa l'idea alla base del sistema di gestione integrato: un unico sistema che risponde ai requisiti di più norme, invece di tanti sistemi paralleli con manuali, responsabili e scadenze diversi.
Il problema si presenta quasi sempre allo stesso modo. Un'azienda ottiene la ISO 9001, poi un cliente chiede la ISO 14001, poi arriva la ISO 45001 o la ISO/IEC 27001. Ogni certificazione porta con sé le sue procedure, i suoi moduli e il suo audit interno, e dopo qualche anno ci si ritrova a gestire tre sistemi che si parlano poco: la stessa informazione registrata in tre posti, tre riesami della direzione in tre mesi diversi, tre persone che inseguono le stesse evidenze.
In questa guida vedi cos'è un sistema di gestione integrato, perché le norme ISO si possono integrare, quali vantaggi concreti porta, come funziona l'audit di certificazione quando le norme sono più di una e come costruire il sistema passo per passo, con un esempio pratico e gli errori da evitare. Se ti servono prima le basi su norme, certificati e audit, parti dalla nostra guida su cosa sono le certificazioni ISO.
Cos'è un sistema di gestione integrato?
Un sistema di gestione integrato è un unico sistema che soddisfa i requisiti di due o più norme sui sistemi di gestione. Non è una norma a sé e non esiste un "certificato integrato" con requisiti propri: è un modo di organizzare il lavoro.
La definizione più chiara viene dal mondo della certificazione. Il documento obbligatorio IAF MD 11, che gli organismi accreditati applicano agli audit dei sistemi integrati, lo descrive come un solo sistema di gestione che governa più aspetti delle prestazioni dell'organizzazione per rispondere ai requisiti di più norme. Qualità, ambiente, salute e sicurezza, sicurezza delle informazioni: ambiti diversi, gestiti con lo stesso impianto di politiche, processi, responsabilità e controlli.
Sistema combinato o sistema integrato: la differenza
Lo stesso documento IAF chiarisce che l'integrazione non è "sì o no", ma una scala. A un estremo c'è il sistema combinato, cioè la semplice somma di sistemi separati costruiti per ciascuna norma: magari certificati insieme, ma con documenti, responsabilità e strumenti distinti. All'altro estremo c'è il sistema davvero integrato, in cui documentazione, elementi del sistema e responsabilità sono gestiti in un'unica struttura.
Tra i due estremi ci sono molte sfumature, e IAF le chiama "livello di integrazione". Secondo IAF MD 11, un sistema è tanto più integrato quanto più condivide alcuni elementi: una documentazione unica, istruzioni operative comprese dove servono; un riesame della direzione che tiene conto della strategia complessiva dell'azienda; un approccio integrato agli audit interni, alla politica e agli obiettivi, ai processi e ai meccanismi di miglioramento (azioni correttive, misurazioni); un supporto e responsabilità della direzione unificati. È una lista utile anche per te, perché ti dice esattamente dove guardare quando valuti quanto è integrato il tuo sistema oggi.
Quali norme si possono integrare
In teoria qualsiasi norma sui sistemi di gestione. Nella pratica, le combinazioni più frequenti nelle PMI sono qualità e ambiente (ISO 9001 e ISO 14001), a cui spesso si aggiunge la ISO 45001 per salute e sicurezza: è il classico sistema qualità-ambiente-sicurezza. Nelle aziende digitali o che trattano dati per conto dei clienti, alla ISO 9001 si affianca invece la ISO/IEC 27001.
Possono entrare nello stesso sistema anche norme come ISO 50001 (energia), ISO 22301 (continuità operativa), ISO 37001 (anticorruzione) o ISO/IEC 42001 (intelligenza artificiale). La scelta non dipende da quali norme "stanno bene insieme", ma da cosa ti chiedono clienti, gare e settore. La ISO stessa, nel manuale The integrated use of management system standards, sottolinea che l'approccio integrato si applica a qualsiasi norma sui sistemi di gestione, non solo a quelle ISO.
Perché le norme ISO si possono integrare?
Le norme ISO sui sistemi di gestione si integrano facilmente perché condividono la stessa ossatura: la struttura armonizzata. È un modello comune definito dalla ISO stessa, che ogni comitato tecnico deve seguire quando scrive o revisiona una norma certificabile sui sistemi di gestione.
La struttura armonizzata è descritta nell'Annex SL delle ISO/IEC Directives, Part 1 (Consolidated ISO Supplement), il regolamento che disciplina il lavoro tecnico della ISO. Prevede numeri di capitolo identici nella stessa sequenza, titoli identici, testo di base identico e termini e definizioni comuni. Le direttive ISO dicono esplicitamente che questo approccio è pensato anche per le organizzazioni che scelgono di gestire un unico sistema, "a volte chiamato integrato", in grado di soddisfare più norme contemporaneamente.
I capitoli comuni e cosa puoi unificare
Dopo i capitoli introduttivi (scopo, riferimenti, termini e definizioni), tutte le norme costruite sulla struttura armonizzata seguono gli stessi sette capitoli. Ecco cosa contengono e cosa puoi gestire una volta sola.
Capitolo | Cosa chiede (testo comune) | Cosa puoi unificare |
|---|---|---|
4 Contesto dell'organizzazione | Fattori interni ed esterni, parti interessate, campo di applicazione | Un'unica analisi del contesto e un unico registro delle parti interessate |
5 Leadership | Impegno della direzione, politica, ruoli e responsabilità | Una politica integrata e un solo organigramma delle responsabilità |
6 Pianificazione | Rischi e opportunità, obiettivi, pianificazione delle modifiche | Un metodo unico di valutazione dei rischi e un unico piano obiettivi |
7 Supporto | Risorse, competenze, consapevolezza, comunicazione, informazioni documentate | Un solo sistema documentale, un solo piano formazione |
8 Attività operative | Pianificazione e controllo dei processi | Processi descritti una volta, con i controlli specifici di ogni norma |
9 Valutazione delle prestazioni | Monitoraggio, audit interno, riesame della direzione | Un programma di audit interni e un riesame unico |
10 Miglioramento | Non conformità, azioni correttive, miglioramento continuo | Un solo registro delle non conformità e delle azioni |
Cosa resta specifico di ogni norma
La struttura comune non rende le norme uguali. Ogni comitato aggiunge al testo base i propri requisiti specifici di disciplina, e sono proprio questi a fare la differenza.
La ISO 14001 chiede di individuare gli aspetti ambientali e gli obblighi di conformità; la ISO 45001 chiede di identificare i pericoli e di coinvolgere i lavoratori; la ISO/IEC 27001 chiede una valutazione dei rischi per la sicurezza delle informazioni e la dichiarazione di applicabilità dei controlli. Questi contenuti non si fondono: si collocano dentro la stessa cornice. Il registro dei rischi può essere uno solo, ma con sezioni dedicate ai rischi ambientali, ai pericoli per la salute e ai rischi sulle informazioni, ognuna valutata con i criteri che la norma richiede.
Quali vantaggi concreti porta un sistema integrato?
Il vantaggio principale è fare una volta sola ciò che è comune. Meno attività ripetute, meno documenti da tenere allineati, una sola visione dei rischi e delle priorità per la direzione.
Un solo audit interno e un solo riesame
Il testo comune della struttura armonizzata chiede a ogni norma le stesse cose: audit interni a intervalli pianificati, un programma che ne definisca frequenza, metodi e responsabilità, auditor scelti in modo da garantire obiettività e imparzialità, risultati riferiti alla direzione e conservati come evidenza. Con un sistema integrato puoi costruire un unico programma di audit interni che copre tutte le norme, con verifiche organizzate per processo invece che per norma. Ne parliamo nel dettaglio nella guida all'audit interno ISO.
Lo stesso vale per il riesame della direzione. Gli input previsti dal testo comune sono identici: stato delle azioni precedenti, cambiamenti del contesto e delle parti interessate, andamento di non conformità, monitoraggi e audit, opportunità di miglioramento. Fare un riesame unico significa che la direzione guarda qualità, ambiente e sicurezza nella stessa riunione e prende decisioni coerenti, invece di approvare tre verbali scollegati. Trovi come impostarlo nella guida al riesame della direzione.
Meno documenti doppi, meno contraddizioni
Nei sistemi separati la stessa informazione vive in più posti: tre procedure di gestione documentale, tre moduli per le non conformità, tre elenchi della formazione. Quando qualcosa cambia, bisogna ricordarsi di aggiornare tutto, e prima o poi una versione resta indietro. È una delle cause più comuni di rilievi in audit.
Con un sistema integrato la procedura per controllare i documenti è una, il registro delle non conformità è uno, la matrice delle competenze è una. Ogni dato ha un solo posto e un solo responsabile. Il risultato non è solo meno carta: è un sistema più facile da spiegare alle persone, perché chi lavora in produzione non deve sapere quale procedura appartiene a quale norma.
Decisioni più coerenti e meno tempo di audit esterno
Un sistema integrato fa emergere i collegamenti tra i temi. Un cambio di fornitore incide sulla qualità del prodotto, sugli impatti ambientali e magari sulla sicurezza dei dati: se lo valuti una volta, con tutti i punti di vista, eviti decisioni che risolvono un problema creandone un altro.
C'è poi un effetto sull'audit di certificazione. Come vedi nella prossima sezione, le regole IAF consentono all'organismo di ridurre il tempo complessivo di audit quando il sistema è davvero integrato. Non è un automatismo, ma è un beneficio concreto per chi ha lavorato bene.
Come funziona l'audit di certificazione di un sistema integrato?
Quando un organismo verifica più norme nello stesso momento, svolge un audit di sistema integrato. Le regole sono fissate da IAF MD 11, che si applica insieme alla ISO/IEC 17021-1 senza sostituirne alcun requisito.
Come si calcola il tempo di audit
Secondo IAF MD 11, l'organismo calcola prima il tempo di audit necessario per ciascuna norma, come se fosse certificata da sola. Poi somma i tempi e ottiene un punto di partenza. Su questa somma applica fattori che possono aumentarla o ridurla. Tra i fattori di riduzione ci sono il grado di integrazione del sistema, la capacità del personale di rispondere a domande che riguardano più norme e la disponibilità di auditor competenti su più norme. Il fattore che può aumentarla è la maggiore complessità dell'audit integrato.
La riduzione ha un limite preciso: non può superare il 20% del tempo di partenza. L'organismo deve documentare il calcolo e le motivazioni. Il livello di integrazione lo dichiari tu nella domanda di certificazione, ma va confermato dagli auditor durante lo Stage 1, e il tempo di audit può essere rivisto se la realtà non corrisponde a quanto dichiarato. Per questo conviene descrivere il sistema per quello che è davvero. La verifica continua anche negli anni successivi: l'organismo deve confermare a ogni audit di sorveglianza e rinnovo che il livello di integrazione non è cambiato. Su come si svolgono le due fasi trovi una spiegazione completa nella guida all'audit di certificazione Stage 1 e Stage 2.
Chi fa l'audit e cosa succede con le non conformità
IAF MD 11 chiede che il gruppo di audit, nel suo insieme, abbia le competenze richieste per ciascuna norma e per ciascun settore tecnico, e che l'audit sia guidato da un Lead Auditor competente su almeno una delle norme verificate. Tutti i requisiti applicabili di ogni norma devono essere verificati: l'integrazione non consente di saltare parti.
Il rapporto di audit può essere unico o separato per norma, ma ogni rilievo deve essere collegato alla norma o alle norme a cui si riferisce. E c'è un punto che molte aziende sottovalutano: l'organismo deve considerare l'effetto di una non conformità rilevata per una norma sulla conformità alle altre. Se il tuo controllo dei documenti non funziona, il problema non riguarda solo la ISO 9001. Allo stesso modo, se una certificazione viene sospesa o revocata, l'organismo deve valutare l'impatto sulle altre. L'integrazione porta efficienza, ma rende anche le debolezze più visibili.
Come costruire un sistema di gestione integrato passo per passo
Il modo più efficace per costruire un sistema integrato è partire da ciò che hai già e unificare prima gli elementi comuni, poi quelli specifici. Non serve riscrivere tutto da zero.
I passaggi per integrare le norme
Questa è la sequenza che funziona nella maggior parte delle PMI.
Mappa ciò che esiste: per ogni norma già attiva elenca procedure, moduli, registri, responsabili e scadenze, e segna dove la stessa informazione compare più volte.
Definisci il campo di applicazione comune: sedi, attività e processi coperti da ciascuna norma, perché non sempre coincidono.
Unifica gli elementi della struttura armonizzata: contesto, parti interessate, politica, rischi e opportunità, obiettivi, documenti, competenze, audit interni, riesame, non conformità.
Inserisci i requisiti specifici di ogni norma dentro la cornice comune, senza perderli: aspetti ambientali, pericoli, controlli di sicurezza delle informazioni.
Organizza un unico programma di audit interni per processo e un unico riesame della direzione.
Forma le persone sul sistema come insieme, non norma per norma.
Cosa unificare subito e cosa tenere separato
Gli elementi che conviene unificare per primi sono quelli che generano più doppioni: gestione dei documenti, non conformità e azioni correttive, audit interni, riesame della direzione, formazione. Sono identici nel testo comune e quasi sempre gestiti con strumenti diversi in sistemi separati.
Tieni invece distinti, pur dentro lo stesso sistema, i contenuti che hanno criteri propri: l'analisi degli aspetti ambientali, la valutazione dei pericoli, la dichiarazione di applicabilità della ISO/IEC 27001. Unificare non significa annacquare: ogni requisito deve restare riconoscibile e tracciabile alla sua norma, perché è così che l'auditor lo verificherà.
Come ti aiuta Complaion
Integrare più norme è soprattutto un lavoro di metodo e di ordine, ed è qui che lavora Complaion. Un Lead Auditor dedicato segue la tua azienda: analizza i sistemi esistenti, ti propone il percorso più adatto (quali norme integrare, in che ordine, con quale campo di applicazione) e conduce l'audit interno integrato, processo per processo, su tutte le norme del perimetro. La piattaforma raccoglie in un unico posto le evidenze di tutte le norme, gestisce i documenti, tiene lo scadenziario di audit interni, riesami, formazione e sorveglianze, e ti aiuta ad arrivare all'audit con tutto in ordine. È l'approccio con cui seguiamo oltre 1.000 clienti, molti dei quali gestiscono più di una certificazione.
Esempio: un'azienda che passa da tre sistemi a uno
Prendi un'azienda metalmeccanica di 60 dipendenti, certificata ISO 9001 da anni. Un cliente importante le chiede la ISO 14001, e per partecipare ad alcune gare le serve anche la ISO 45001. La prima idea è costruire due nuovi sistemi accanto a quello esistente.
Prima: tre sistemi paralleli
Con tre sistemi separati, la responsabile qualità gestisce il manuale qualità, il consulente ambientale tiene un registro degli aspetti ambientali in un file a parte, l'RSPP aggiorna il documento di valutazione dei rischi con il suo calendario. Gli audit interni sono tre, in tre periodi dell'anno, con gli stessi reparti interrogati tre volte. Il riesame della direzione si fa tre volte, e il titolare firma tre verbali che non si citano a vicenda.
Il risultato tipico è che la stessa non conformità compare in un registro e non negli altri. Un fornitore di vernici viene qualificato per la qualità del prodotto ma nessuno verifica le schede di sicurezza o la gestione dei rifiuti dei contenitori. In audit, l'auditor nota la contraddizione.
Dopo: un solo sistema
Con un sistema integrato, l'azienda ha una politica unica per qualità, ambiente e sicurezza, un'unica analisi del contesto, un registro dei rischi con sezioni distinte per i rischi di processo, gli aspetti ambientali e i pericoli per la salute. La qualifica dei fornitori diventa una sola valutazione con criteri di qualità, ambiente e sicurezza. Il programma di audit interni è organizzato per processo: quando l'auditor interno visita la verniciatura, verifica nello stesso giro controlli di qualità, gestione dei rifiuti e uso dei dispositivi di protezione.
Il riesame della direzione diventa una riunione all'anno con un solo verbale, in cui il titolare vede insieme reclami, consumi, infortuni e mancati infortuni. L'audit di certificazione può essere svolto in un'unica visita, con il tempo calcolato secondo le regole IAF sul livello di integrazione realmente raggiunto.
Quali errori evitare quando integri più norme?
L'errore più comune è pensare che integrare significhi mettere i documenti nella stessa cartella. Un sistema combinato con un indice comune resta un sistema combinato, e l'auditor se ne accorge allo Stage 1.
Dichiarare un'integrazione che non c'è
Dichiarare nella domanda di certificazione un livello di integrazione più alto di quello reale non conviene. IAF MD 11 prevede che il livello sia confermato in Stage 1 e che il tempo di audit venga rivisto se necessario. Meglio descrivere onestamente il sistema e far crescere l'integrazione nel tempo, ciclo dopo ciclo.
Perdere i requisiti specifici
Il secondo errore è l'opposto: unificare così tanto da cancellare ciò che ogni norma chiede di specifico. Una "valutazione dei rischi integrata" che non contiene gli aspetti ambientali significativi o la valutazione dei pericoli è un sistema più snello solo in apparenza. In audit, ogni rilievo viene collegato alla sua norma, e un requisito non coperto resta una non conformità anche se il sistema è elegante.
Gli altri errori ricorrenti sono pratici. Integrare tutto in un colpo solo, invece di procedere per elementi. Affidare il sistema a una sola persona senza responsabili chiari per ambiente e sicurezza. Dimenticare che il campo di applicazione può essere diverso per ciascuna norma: una sede può essere coperta dalla ISO 9001 ma non dalla ISO 45001, e il sistema deve renderlo evidente.
Come Complaion ti aiuta a gestire più norme in un solo sistema
Un sistema di gestione integrato ti fa lavorare meno sui doppioni e di più su ciò che conta: un solo audit interno, un solo riesame, un solo registro per rischi, documenti e azioni. Ma richiede metodo, soprattutto quando le norme si aggiungono una alla volta.
Con Complaion hai un Lead Auditor dedicato che conosce la tua azienda, valuta i sistemi che hai già e ti propone il percorso più adatto alle tue esigenze, dall'ordine delle norme al campo di applicazione. La piattaforma raccoglie le evidenze di tutte le norme in un unico posto, gestisce i documenti, tiene lo scadenziario e prepara gli audit, mentre l'audit interno lo conduce il tuo Lead Auditor. Oltre 1.000 clienti lavorano già così.
Vuoi capire come integrare le norme che hai già con quelle che ti servono? Contattaci per un confronto sul tuo caso e un preventivo su misura.
Domande frequenti sul sistema di gestione integrato
Cos'è un sistema di gestione integrato?
Un sistema di gestione integrato è un unico sistema che risponde ai requisiti di due o più norme sui sistemi di gestione, per esempio ISO 9001, ISO 14001 e ISO 45001. Politica, rischi, documenti, audit interni, riesame e azioni correttive sono gestiti una volta sola, mentre i requisiti specifici di ogni norma restano riconoscibili. Non è una norma separata: è un modo di organizzare il sistema.
Esiste una certificazione del sistema integrato?
Non esiste una norma ISO "sistema integrato" con requisiti propri. Si ottengono le certificazioni delle singole norme, che possono essere verificate con un audit integrato dallo stesso organismo, nello stesso momento. Il rapporto può essere unico, ma ogni rilievo resta collegato alla norma a cui si riferisce.
Quali norme ISO si possono integrare?
Tutte le norme sui sistemi di gestione costruite sulla struttura armonizzata della ISO, come ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001, ISO 50001, ISO 22301, ISO 37001 e ISO/IEC 42001. La combinazione più diffusa è qualità, ambiente e sicurezza, ma la scelta dipende da cosa ti chiedono clienti, gare e settore.
Un audit integrato dura meno?
Può durare meno, ma non è automatico. Secondo IAF MD 11 l'organismo somma i tempi di audit delle singole norme e può ridurli in base al livello di integrazione e alle competenze degli auditor, fino a un massimo del 20%. Il livello di integrazione viene verificato in Stage 1.
Posso integrare una nuova norma in un sistema già certificato?
Sì, ed è il caso più frequente. Si parte dagli elementi comuni già attivi, come documenti, audit interni, riesame e azioni correttive, e si aggiungono i requisiti specifici della nuova norma. Il campo di applicazione va definito per ciascuna norma, perché sedi e attività coperte possono essere diverse.
Serve un auditor interno per ogni norma?
Non necessariamente. Il testo comune chiede che gli audit interni siano svolti in modo obiettivo e imparziale da persone competenti. Un auditor interno può coprire più norme se ha le competenze necessarie, oppure si può formare un piccolo gruppo con competenze complementari e un unico programma di audit.
Se perdo una certificazione, perdo anche le altre?
Non automaticamente. IAF MD 11 prevede che, se una certificazione viene sospesa o revocata, l'organismo valuti l'impatto sulle altre. In un sistema integrato molti elementi sono condivisi, quindi un problema serio su un processo comune può avere conseguenze su più norme.
