Certificazione ISO 9001: quanto tempo serve e come funziona l'iter

"Ci serve il certificato ISO 9001 per la gara di marzo: facciamo in tempo?" È una delle domande che arrivano più spesso, di solito con un bando già in mano e una scadenza già fissata. La risposta è: dipende da quanto è pronta l'azienda, e da un iter che ha passaggi e tempi stabiliti dalle regole di accreditamento, non dall'ente o dal consulente.

Qui trovi l'iter completo, fase per fase: cosa succede, chi lo fa, quanto dura e dove di solito si perde tempo. Vale per la ISO 9001 e, con le stesse regole, per la ISO 14001 e la ISO 45001.

L'iter in sintesi

La parte che dipende davvero da te è la prima. Il resto segue regole fisse, e conoscerle evita di promettere al cliente una data che non si può rispettare.

Prima dell'ente: preparare il sistema

L'ente di certificazione non costruisce il sistema: lo verifica. Prima di chiamarlo il sistema deve esistere e soprattutto deve funzionare, cioè produrre registrazioni. Una procedura scritta ma mai applicata, all'audit, vale quanto una procedura che non c'è.

In concreto, prima dello stage 1 servono:

• il campo di applicazione definito, con processi, sedi e attività coperte;
• l'analisi del contesto e delle parti interessate, e la valutazione di rischi e opportunità;
• politica, obiettivi misurabili e responsabilità assegnate;
• le procedure e i moduli dei processi, già in uso da qualche settimana;
• almeno un audit interno completo e un riesame della direzione.

L'ultimo punto è quello che più spesso fa slittare i tempi. Le regole di accreditamento prevedono che già nello stage 1 l'ente verifichi che audit interni e riesame della direzione siano pianificati ed eseguiti: se mancano, l'azienda non è pronta, e lo stage 2 si sposta.

Sull'analisi dei rischi, che è il documento su cui l'ente si sofferma di più, trovi il metodo in Analisi dei rischi aziendali: metodo step by step per ogni processo.

Stage 1: l'ente guarda se sei pronto

Lo stage 1 serve a capire se ha senso andare avanti. L'auditor:

• esamina le informazioni documentate del sistema;
• verifica che i requisiti della norma siano stati compresi e coperti;
• raccoglie le informazioni sul campo di applicazione: sedi, processi, attrezzature, requisiti di legge applicabili;
• controlla che audit interni e riesame della direzione siano stati fatti;
• pianifica con l'azienda i dettagli dello stage 2.

L'esito è un rapporto con le eventuali aree di preoccupazione: punti deboli che, se non sistemati, nello stage 2 diventeranno non conformità. È il momento più utile di tutto l'iter, perché ti dice esattamente cosa correggere prima della verifica vera.

Quanto tempo passa fra stage 1 e stage 2

La norma che regola gli enti di certificazione, la ISO/IEC 17021-1, non fissa un intervallo: dice che va considerato il tempo necessario all'azienda per risolvere le aree di preoccupazione emerse nello stage 1. Se i problemi sono molti, l'ente può chiedere di ripetere lo stage 1 in tutto o in parte.

Nella pratica dipende da cosa è uscito. Con un sistema pronto, stage 1 e stage 2 possono stare a poco tempo di distanza. Con lacune serie, servono di più, e a quel punto tanto valeva prepararsi meglio prima. Ogni ente fissa comunque un intervallo massimo nel proprio regolamento: chiedilo in fase di offerta.

Stage 2: la verifica sul campo

Lo stage 2 si svolge in azienda e verifica che il sistema sia applicato ed efficace. L'auditor intervista le persone, segue i processi, controlla le registrazioni: obiettivi e loro monitoraggio, rispetto dei requisiti di legge e contrattuali, controllo operativo, audit interni, riesame della direzione, impegno della direzione.

Qui non conta quanto è curata la documentazione. Conta che quello che c'è scritto corrisponda a quello che succede.

Quanti giorni di audit servono

La durata degli audit non la decide liberamente l'ente: è calcolata con una tabella internazionale, il documento IAF MD 5, in base al numero effettivo di addetti. Per la ISO 9001, la certificazione iniziale (stage 1 più stage 2) prevede come base:

Una giornata di audit è normalmente di 8 ore. I valori si correggono in base alla complessità dell'azienda, ma la riduzione non può superare il 30%. Ogni sorveglianza vale indicativamente un terzo del tempo dell'audit iniziale, la ricertificazione circa due terzi.

Questa tabella spiega anche buona parte della differenza fra i preventivi degli enti: se un'offerta prevede molte meno giornate di quelle che la tabella indica per la tua dimensione, chiedi come sono state calcolate. Quanto pesa questa voce sul costo complessivo lo trovi in quanto costa la certificazione ISO 9001 per una PMI.

Le non conformità: dove si perde più tempo

Dallo stage 2 possono uscire due tipi di non conformità:

• minori: l'azienda presenta un piano di azioni correttive, e il certificato può essere rilasciato;
• maggiori: vanno chiuse prima della decisione di certificazione. Se l'ente non riesce a verificarne la correzione entro 6 mesi dall'ultimo giorno dello stage 2, deve ripetere lo stage 2.

Il calcolo da fare prima di promettere una data. Una sola non conformità maggiore può spostare il certificato di settimane: il tempo di correggere, di mandare le evidenze, di farle verificare. Se hai una scadenza di gara, la data utile è quella dello stage 2 più un margine, non quella dello stage 2.

Dopo il certificato: il ciclo di tre anni

Il certificato vale tre anni, ma non si chiude il cassetto:

• la prima sorveglianza va fatta entro 12 mesi dalla data della decisione di certificazione;
• la seconda l'anno successivo;
• la ricertificazione nel terzo anno, in tempo per decidere il rinnovo prima della scadenza.

Se la ricertificazione non si completa in tempo, il certificato scade. Le regole permettono di ripristinarlo entro 6 mesi completando le attività in sospeso; oltre, serve almeno un nuovo stage 2.

In tutto il triennio, l'azienda continua a fare audit interni e riesami. Sono le stesse attività che l'ente verifica ogni anno.

Se ti certifichi adesso: edizione 2015 o 2026?

La ISO 9001:2026 è stata pubblicata il 16 settembre 2026, e le regole di transizione internazionali sono state fissate:

• i certificati ISO 9001:2015 non saranno più validi dal 30 settembre 2029;
• dal 31 marzo 2028 le nuove certificazioni accreditate si potranno rilasciare solo sulla 2026;
• prima, gli enti devono essere accreditati sulla nuova edizione: in Italia si attende la circolare Accredia con le modalità operative.

Quindi oggi è ancora possibile certificarsi sulla 2015, ma un certificato rilasciato adesso andrà portato sulla 2026 entro tre anni. Se parti ora, conviene costruire il sistema già sui requisiti della nuova edizione: la transizione diventa un passaggio formale invece di un secondo progetto. Le novità della norma sono in ISO 9001:2026 pubblicata: cosa cambia e cosa devi fare adesso.

Si può fare più in fretta?

Fino a un certo punto. La preparazione si accorcia se l'azienda è già organizzata, se c'è una persona interna che segue il progetto con continuità e se le decisioni della direzione arrivano in fretta. Le regole dell'ente invece non si comprimono: stage 1, stage 2, chiusura delle non conformità, decisione.

Diffida dei certificati "in quindici giorni". Un sistema che non ha mai prodotto un audit interno e un riesame non può superare uno stage 1 fatto secondo le regole. Se qualcuno ti promette il certificato in due settimane, verifica che l'ente sia accreditato: su un certificato non accreditato il tuo cliente o la stazione appaltante possono non riconoscerlo.

Quando non serve correre

Se nessun cliente, nessun bando e nessun capitolato ti chiede la certificazione entro una data precisa, non c'è motivo di comprimere i tempi. Un sistema costruito in tre o quattro mesi, con il tempo di usarlo davvero, supera l'audit con meno non conformità e, soprattutto, ti serve a qualcosa anche dopo.

Domande frequenti

Quanto tempo serve in tutto per avere il certificato ISO 9001?

La preparazione richiede indicativamente da 1 a 2 mesi per una piccola azienda e da 1 a 4 mesi per una più strutturata. A questo si aggiungono stage 1, stage 2, l'eventuale chiusura delle non conformità e la decisione dell'ente, che dipendono dall'esito degli audit e dai tempi dell'ente scelto.

Stage 1 e stage 2 si possono fare lo stesso giorno?

Le regole prevedono due fasi con obiettivi diversi, e fra le due va lasciato il tempo per risolvere quello che emerge nello stage 1. In aziende molto piccole possono essere ravvicinate, ma restano due momenti distinti.

Gli audit si possono fare a distanza?

Lo stage 1 può svolgersi in tutto o in parte a distanza, se l'ente lo prevede. Lo stage 2 verifica l'applicazione del sistema sul campo e si svolge di norma in azienda.

Cosa succede se l'ente trova una non conformità maggiore?

Il certificato non viene rilasciato finché la non conformità non è chiusa e verificata. Se la verifica non avviene entro 6 mesi dall'ultimo giorno dello stage 2, l'ente deve ripetere lo stage 2.

Se ho già la ISO 9001, quanto tempo serve per aggiungere la ISO 14001 o la ISO 45001?

Meno che per partire da zero: documentazione, audit interni e riesame sono in gran parte condivisi, e gli audit si possono svolgere in forma integrata. I tempi dipendono da quanto i nuovi requisiti, ambientali o di salute e sicurezza, sono già presidiati in azienda.

Vuoi capire quanto tempo serve alla tua azienda?

Se hai una scadenza, un bando o un cliente che ti chiede il certificato, partiamo da lì: guardiamo insieme a che punto è l'organizzazione e costruiamo un calendario realistico, stage 1 e stage 2 compresi. Puoi partire da una consulenza sui sistemi di gestione ISO oppure scriverci per una prima valutazione.

Aggiornato al 22 ottobre 2026