Nel precedente articolo di questa serie abbiamo esaminato il punto 4, Contesto dell’organizzazione, e il modo in cui la comprensione del proprio contesto, delle parti interessate e del proprio ruolo nell’ecosistema dell’IA getta le basi per un’IA responsabile. Conoscere il proprio contesto, tuttavia, è solo il primo passo. Qualcuno deve agire di conseguenza e, nella ISO/IEC 42001, tale responsabilità parte dal vertice.

Il punto 5, Leadership, stabilisce ciò che l’alta direzione deve fare per rendere concreto un sistema di gestione dell’intelligenza artificiale (AIMS). Comprende la leadership e l’impegno, la politica per l’IA e l’assegnazione di ruoli, responsabilità e autorità. Nel loro insieme, tali requisiti rispondono a una domanda che ogni programma di autoregolamentazione deve affrontare: chi risponde quando l’IA sbaglia? 

Perché l’autoregolamentazione richiede una leadership visibile 

La supervisione interna funziona solo quando le persone credono che sia importante. Se la governance dell’IA viene considerata un’attività marginale, delegata a un team di conformità, verrà aggirata non appena una scadenza o un obiettivo di fatturato ne ostacoleranno il percorso. Quando i dirigenti se ne fanno carico in modo visibile, la finanziano e ne chiedono conto, la governance diventa parte integrante del modo in cui l’organizzazione opera. 

La ISO/IEC 42001 ne tiene conto attribuendo i requisiti di leadership direttamente all’alta direzione, ossia alle persone che guidano e tengono sotto controllo l’organizzazione al livello più alto. Le responsabilità sui singoli compiti possono essere delegate. La responsabilità ultima del sistema di gestione, invece, non può esserlo. 

5.1 Leadership e impegno 

L’alta direzione deve dimostrare leadership e impegno nei confronti dell’AIMS. In pratica, ciò significa: 

• Definizione dell’orientamento: garantire che la politica sull’IA e gli obiettivi relativi all’IA siano stabiliti e risultino compatibili con l’orientamento strategico dell’organizzazione. 
• Integrare la governance: inserire i requisiti dell’AIMS nei processi aziendali quotidiani anziché gestirli in parallelo. 
• Mettere a disposizione le risorse: assicurare che siano disponibili le persone, il budget, gli strumenti e il tempo necessari all’AIMS. 
• Comunicarne l’importanza: spiegare perché una gestione efficace dell’IA è importante e perché è richiesto il rispetto dei requisiti AIMS. 
• Ottenere i risultati: garantire che l’AIMS consegua i risultati prefissati, oltre che a dirigere e sostenere le persone che vi contribuiscono. 
• Promuovere il miglioramento: incoraggiare il miglioramento continuo e sostenere gli altri manager nel dimostrare la propria leadership nelle rispettive aree di responsabilità. 

Ai fini dell’autoregolamentazione, è questa la differenza tra un programma che esiste solo sulla carta e uno realmente incisivo. Quando i vertici impegnano risorse e si aspettano risultati, è molto più probabile che le misure di controllo interne vengano applicate, rispettate e migliorate. 

5.2 Politica per l’IA 

L’alta direzione deve stabilire una politica per l’IA appropriata alle finalità dell’organizzazione, che fornisca un quadro di riferimento per fissare gli obiettivi per l’IA e che includa l’impegno a soddisfare i requisiti applicabili e a migliorare in modo continuo l’AIMS. La politica deve essere disponibile come informazione documentata, comunicata all’interno dell’organizzazione e resa disponibile alle parti interessate, per quanto appropriato. 

Una solida politica sull’intelligenza artificiale costituisce il regolamento interno dell’organizzazione. Essa definisce, in termini chiari, cosa l’organizzazione intende fare – e non intende fare – con l’IA. Una buona politica  definisce solitamente i principi che orientano l’uso dell’IA, quali equità, trasparenza, responsabilità, privacy e sicurezza, e si collegano alle politiche correlate in materia di sicurezza delle informazioni, protezione dei dati e qualità. La politica dovrebbe essere sufficientemente specifica da orientare decisioni concrete e sufficientemente flessibile da evolvere con il mutare della tecnologia e della normativa. 

5.3 Ruoli, responsabilità e autorità 

Infine, l’alta direzione deve garantire che le responsabilità e le autorità relative ai ruoli pertinenti siano assegnate e comunicate. Come minimo, deve essere prevista una figura responsabile di assicurare che l’AIMS sia conforme alla norma e di riferire all’alta direzione in merito alle sue prestazioni. 

È in questo requisito che l’autodisciplina diventa una questione personale. Ogni sistema di IA dovrebbe avere un responsabile chiaramente definito. Ogni decisione sui rischi dovrebbe avere un approvatore designato. Ogni percorso di escalation dovrebbe portare auna conclusione precisa. Senza ruoli definiti, i problemi restano sospesi tra un team e l’altro e nessuno si sente autorizzato a fermare un sistema che si comporta in modo scorretto. 

Mettere in pratica il punto 5: passi concreti 

1. Individua uno sponsor esecutivo. Scegli un dirigente di alto livello che promuova l’AIMS, rimuova gli ostacoli e risponda delle sue prestazioni. 
2. Redigi la politica per l’IA con contributi concreti. Coinvolgi i responsabili delle funzioni legale, IT, dati, operations e business, affinché la politica rifletta l’uso effettivo dell’IA.
3. Collega la politica agli obiettivi. Assicurati che ogni impegno contenuto nella politica sia riconducibile a obiettivi per l’IA misurabili, definiti ai sensi del punto 6.
4. Crea una matrice delle responsabilità. Utilizza una matrice RACI o uno strumento analogo per indicare chi esegue, chi ne risponde, chi viene consultato e chi viene informato per ciascun sistema e processo di IA. 
5. Dai alle persone l’autorità di dire stop. Chiarisci chi può sospendere o ritirare un sistema di IA quando produce risultati dannosi o inattesi. 
6. Inserisci la governance dell’IA nell’agenda della direzione. Pianifica report periodici sulle prestazioni dell’AIMS, affinché i vertici vedano i risultati e non solo le attività. 

Errori comuni da evitare 

• Delegare la responsabilità ultima. Affidare interamente la governance dell’IA a un unico reparto segnala che la direzione non è realmente coinvolta. 
• Una politica che nessuno legge. Una politica per l’IA generica, copiata e incollata, mai comunicata né applicata, non fornisce alcun orientamento reale. 
• Responsabilità senza autorità. Incaricare persone di supervisionare l’IA senza conferire loro il potere di intervenire su ciò che rilevano compromette l’intero programma. 
• Ignorare la Shadow AI (IA ombra). I vertici che non si chiedono come venga utilizzata l’IA all’interno dell’azienda potrebbero non accorgersi dei punti in cui la loro politica viene aggirata. 

In sintesi 

Il punto 4 indica a un’organizzazione qual è la sua posizione. Il punto 5 stabilisce chi la guida. L’autoregolamentazione dell’IA dipende da vertici che impegnano risorse, fissano regole chiare attraverso la politica per l’IA e si assicurano che ogni ruolo all’interno del sistema sappia di che cosa è responsabile. Quando la responsabilità è visibile al vertice, tende a essere presa sul serio a tutti i livelli. Nel prossimo articolo esamineremo il punto 6, Pianificazione, in cui tale leadership si traduce in valutazioni dei rischi, valutazioni d’impatto e obiettivi per l’IA concreti. Per ulteriori informazioni scriveteci a italy@pjr.com oppure, per richiedere un preventivo per la certificazione ISO 42001, cliccate qui: https://pjritaly.wpenginepowered.com/contattateci/preventivo-gratuito 

Mentre gli strumenti di intelligenza artificiale passano dai progetti pilota alle attività operative quotidiane, sempre più organizzazioni si pongono la stessa domanda: come possiamo tenere sotto controllo la nostra IA prima che siano un’autorità di regolamentazione, un cliente o la cronaca a farlo al posto nostro? La norma internazionale ISO/IEC 42001, relativa ai sistemi di gestione dell’intelligenza artificiale (AIMS), offre una risposta strutturata. E tale risposta non parte dagli algoritmi o dagli audit, bensì dalla consapevolezza. 

Il punto 4, “Contesto dell’organizzazione”, costituisce la base su cui poggia il resto della norma. Richiede all’organizzazione di esaminare con obiettività il proprio contesto, le parti interessate e il proprio ruolo nell’ecosistema dell’IA, per poi definire con chiarezza l’ambito di applicazione del sistema di gestione. Se questa fase viene affrontata correttamente, l’autoregolamentazione si trasforma in una pratica rigorosa e ripetibile; se invece viene trascurata, ogni misura di controllo successiva si baserà su mere congetture. 

Perché l’autoregolamentazione parte dal contesto 

L’autoregolamentazione implica che un’organizzazione stabilisca le proprie regole per un’IA responsabile, monitori le proprie eventuali criticità e vi ponga rimedio senza attendere pressioni esterne. Ciò è possibile solo se l’organizzazione comprende cosa significhi “responsabile” nel proprio contesto specifico. Un ospedale che utilizza l’IA per il triage dei pazienti affronta rischi ben diversi rispetto a un rivenditore che la impiega per suggerire prodotti. Un’azienda che sviluppa modelli di IA ha obblighi differenti rispetto a una che si limita ad acquistarli. 

La Clausola 4 porta tali distinzioni allo scoperto. Trasforma vaghe buone intenzioni in un quadro documentato della situazione dell’organizzazione; tale quadro diventa poi il parametro di riferimento rispetto al quale viene valutata ogni decisione successiva, dalla valutazione dei rischi all’audit interno. 

4.1 Comprendere l’organizzazione e il Suo contesto 

Il primo requisito consiste nell’individuare le questioni esterne e interne rilevanti per le finalità dell’organizzazione e che incidono sulla sua capacità di conseguire i risultati previsti dal proprio AIMS. Nel caso dell’IA, tale elenco tende a essere ampio.. 

Questioni esterne: le leggi e i regolamenti applicabili (come l’EU AI Act), le aspettative del settore, la pressione competitiva, l’atteggiamento dell’opinione pubblica nei confronti dell’IA e la maturità della tecnologia disponibile. 

Questioni interne: struttura di governance, cultura organizzativa, politiche interne, obblighi contrattuali, competenze disponibili e propensione al rischio dell’organizzazione. 

La Clausola 4.1 chiede inoltre all’organizzazione di determinare il proprio ruolo rispetto ai sistemi di IA. È un produttore, un fornitore o un utilizzatore di IA, oppure una combinazione di questi ruoli? Ciascun ruolo comporta responsabilità diverse, e molte organizzazioni ne ricoprono più di uno. È inoltre necessario considerare la finalità prevista dei sistemi di IA che l’organizzazione sviluppa, fornisce o utilizza. 

Per quanto riguarda l’autoregolamentazione, è qui che l’organizzazione definisce la propria sfera di competenza. Non è possibile esercitare un controllo su ciò che non è stato individuato, né ritenersi responsabili di obblighi che non sono stati riconosciuti. 

4.2 Comprendere le esigenze e le aspettative delle parti interessate 

Successivamente, l’organizzazione deve individuare le parti interessate rilevanti per il proprio AIMS, determinarne i requisiti pertinenti e decidere quali di tali requisiti soddisfare attraverso il sistema di gestione. Nel contesto dell’IA, le parti interessate vanno ben oltre i clienti e gli azionisti: possono includere dipendenti il cui lavoro viene modificato dall’automazione, utenti finali che interagiscono con gli output dell’IA, persone oggetto di decisioni basate sull’IA senza mai interagire direttamente con il sistema, autorità di regolamentazione, fornitori di dati e la collettività in senso più ampio. 

Questo requisito rappresenta la coscienza di un programma di autoregolamentazione. Ponendosi la domanda “chi potrebbe esserne coinvolto e cosa si aspetta ragionevolmente da noi?”, l’organizzazione integra una prospettiva esterna nelle proprie regole interne. È proprio in questa fase che spesso emergono per la prima volta le aspettative relative a equità, trasparenza, privacy e supervisione umana, ben prima che si trasformino in reclami formali. 

4.3 Determinare il Campo di Applicazione dell’AIMS 

Compresi il contesto e le parti interessate, l’organizzazione definisce i confini e l’applicabilità del proprio AIMS. Il campo di applicazione deve tenere conto delle questioni individuate al punto 4.1 e dei requisiti individuati al punto 4.2, e deve essere disponibile come informazione documentata. 

Un campo di applicazione ben definito risponde a domande pratiche: Quali sistemi di IA sono coperti? Quali unità aziendali, sedi e processi? Quali fasi del ciclo di vita, dalla progettazione e acquisizione dei dati fino alla messa in produzione e alla dismissione? Un campo di applicazione troppo ristretto lascia i sistemi ad alto rischio privi di governance. Un perimetro troppo ristretto lascia privi di governance i sistemi ad alto rischio; uno eccessivamente ampio disperde le risorse e indebolisce la responsabilità. L’obiettivo è definire un ambito che rifletta realisticamente dove risiedono effettivamente i rischi legati all’IA. 

4.4 Il sistema di gestione dell’IA 

Infine, la Clausola 4.4 richiede all’organizzazione di istituire, attuare, mantenere e migliorare continuamente un AIMS, inclusi i processi necessari e le modalità della loro interazione. Questo è l’impegno che trasforma l’analisi in azione. Il contesto non è un esercizio da svolgere una tantum: alimenta direttamente la leadership (Clausola 5), la pianificazione dei rischi e la valutazione d’impatto (Clausola 6), nonché il ciclo di monitoraggio e miglioramento delle Clausole 9 e 10. 

Mettere in pratica la clausola 4: passi concreti 

Crea un inventario dell’IA. Elenca tutti i sistemi di IA che l’organizzazione sviluppa, fornisce o utilizza, inclusi gli strumenti integrati in software acquistati. La “Shadow AI” (IA ombra) rappresenta una delle lacune di visibilità più comuni. 

Definisci il tuo ruolo per ciascun sistema. Registra se agisci in qualità di produttore, fornitore o utilizzatore e annota i casi in cui le responsabilità sono condivise con i fornitori. 

Conduci un’analisi strutturata del contesto. Utilizza metodologie come PESTLE, SWOT o simili per individuare fattori interni ed esterni, e aggiorna l’analisi al variare di normative, tecnologie o strategie aziendali. 

Mappa le parti interessate. Identifica i soggetti coinvolti o influenzati da ciascun sistema, le loro aspettative e quali di tali aspettative ti impegni a soddisfare. 

Redigi una dichiarazione del campo di applicazione che sia sostenibile. Documenta cosa è incluso, cosa è escluso e le relative motivazioni. Le esclusioni devono essere giustificate, non semplicemente dettate dalla comodità. 

Collega il contesto al rischio. Integra le problematiche e i requisiti delle parti interessate nelle valutazioni dei rischi e di impatto dei sistemi di IA, assicurandoti che nulla di quanto emerso nella Clausola 4 vada perso. 

Insidie comuni da evitare 

Trattare il contesto come mera burocrazia. Un documento di contesto redatto una sola volta e poi archiviato diventa rapidamente obsoleto in un campo che evolve rapidamente come l’IA. 

Trascurare gli stakeholders indiretti. Spesso, le persone interessate dalle decisioni dell’IA non sono quelle che utilizzano il sistema. 

Escludere dal campo di applicazione le parti più complesse. Escludere sistemi ad alto rischio o ad alta visibilità per semplificare la certificazione mina la credibilità dell’intero programma. 

Ignorare l’IA di terze parti. Acquistare una capacità di IA non trasferisce la responsabilità su come essa venga utilizzata. 

In Sintesi 

L’autoregolamentazione di un sistema di IA è, in ultima analisi, un esercizio di autoconsapevolezza. Il punto 4 della norma ISO/IEC 42001 offre alle organizzazioni un metodo rigoroso per comprendere il proprio contesto, le parti interessate, il proprio ruolo e i limiti della propria responsabilità. È proprio questa comprensione a conferire significato a ogni misura di controllo successiva. Le organizzazioni che investono nell’analisi accurata del proprio contesto sono più preparate a individuare tempestivamente eventuali problemi, a conquistare la fiducia delle parti interessate e a dimostrare – a se stesse e agli altri – che la propria IA è gestita in modo consapevole e intenzionale.

Per ulteriori informazioni, scriveteci all’indirizzo italy@pjr.com o richiedete un preventivo per la certificazione ISO 42001.

Il boom dei data center deve fare i conti con il problema del vicinato

L’ascesa del cloud computing e dell’intelligenza artificiale ha spinto la costruzione di data center in aree mai pensate per infrastrutture di scala industriale: parchi commerciali suburbani, snodi stradali rurali e siti a breve distanza da zone residenziali. Per chi vive nelle immediate vicinanze di questi impianti, le preoccupazioni sono rilevanti. I sistemi di raffreddamento e i generatori di emergenza sono in funzione 24 ore su 24, producendo un ronzio meccanico costante che non si attenua nemmeno di notte. Le torri di raffreddamento a evaporazione attingono pesantemente alle risorse idriche locali, talvolta in regioni già soggette a restrizioni per siccità. I generatori diesel, sottoposti a test periodici per garantirne l’operatività in caso di emergenza, contribuiscono ulteriormente alle emissioni e all’inquinamento acustico. Nulla di tutto ciò compare nel materiale di marketing di un data center, ma è una realtà concreta per i quartieri limitrofi.

Cosa richiede davvero la ISO 14001: tutto parte dal nominare l’impatto

La ISO 14001 non consente a un’organizzazione di decidere autonomamente quali aspetti ambientali includere o escludere. La clausola 6.1.2, Aspetti Ambientali, richiede che l’organizzazione determini formalmente tutti gli aspetti ambientali, e i relativi potenziali impatti, tenendo conto del proprio specifico sistema di gestione e del campo di applicazione operativo, in altre parole “le proprie attività, i prodotti e i servizi che può controllare e quelli su cui può esercitare un’influenza”. Questo processo deve essere documentato con evidenze oggettive e deve adottare una prospettiva legata al ciclo di vita. Per un data center, ciò significa che impatti quali la generazione di rumore, il consumo e lo scarico di acqua, e le emissioni dei sistemi di alimentazione di emergenza devono essere tutti identificati e documentati. Un data center non può semplicemente ignorare questi aspetti se intende ottenere la certificazione secondo la norma.

La Norma dà voce ai vicini

La clausola 4.2, Comprendere le Esigenze e le Aspettative delle Parti Interessate, richiede che l’organizzazione identifichi le parti interessate rilevanti per il proprio sistema di gestione ambientale e determini quali delle loro esigenze e aspettative si traducano in obblighi di conformità. Le comunità locali e il vicinato sono esplicitamente riconosciuti come una categoria di parte interessata ai sensi di questa clausola, al pari di autorità di controllo, clienti e dipendenti. Ciò significa che un data center certificato deve accertare cosa si aspetti la comunità locale, in quanto parte interessata rilevante, in merito alle condizioni ambientali, come l’inquinamento acustico e l’uso o lo scarico dell’acqua, andando oltre i semplici requisiti imposti dalle autorizzazioni. La clausola 6.1.4, Rischi e Opportunità, sviluppa ulteriormente tali aspetti, richiedendo che l’organizzazione prenda in considerazione tali questioni esterne – unitamente ai rischi ambientali, agli obblighi di conformità e agli altri elementi a esse correlati –, affinché vengano formalmente gestite all’interno del del sistema di gestione.

Dalla carta alla pratica: controlli operativi

L’identificazione di un impatto è rilevante solo se modifica il funzionamento dell’impianto. La clausola 8.1, Pianificazione e Controllo Operativo, richiede che l’organizzazione stabilisca criteri operativi e implementi controlli per i propri aspetti ambientali significativi, utilizzando una gerarchia di controlli che spazia dall’eliminazione e sostituzione fino a misure ingegneristiche e amministrative. Per le problematiche legate al rumore, le cabine acustiche, le barriere fonoassorbenti e le decisioni sul posizionamento delle apparecchiature possono essere integrate in procedure standard anziché lasciate al giudizio individuale. Per l’acqua, la progettazione del sistema di raffreddamento e i controlli sullo scarico diventano criteri operativi documentati anziché prassi informali.

Prove, non promesse: monitoraggio e misurazione

La clausola 9.1, Monitoraggio, Misurazione, Analisi e Valutazione, richiede che l’organizzazione monitori e misuri le proprie prestazioni ambientali utilizzando metodi definiti e apparecchiature tarate (ove applicabile), e che valuti i risultati rispetto a criteri stabiliti. Nella pratica, ciò può tradursi in rilevazioni del rumore ambientale e dati su consumo o scarico idrico, sotto forma di misurazioni ricorrenti e documentate, anziché rassicurazioni una tantum fornite a una commissione urbanistica. È questa la clausola che trasforma una generica dichiarazione di gestione dell’impatto ambientale in un insieme di evidenze a cui un auditor di certificazione, e di conseguenza la comunità circostante, può fare riferimento come garanzia.

Responsabilità integrata nel sistema

La ISO 14001 richiede inoltre che l’organizzazione risponda delle proprie azioni. Le clausole 9.2, Audit Interno, e 9.3, Riesame della Direzione, richiedono una valutazione interna periodica per verificare se il sistema di gestione ambientale funzioni effettivamente; ad esempio, se vengano rispettati obiettivi e requisiti e se vengano evitati impatti ambientali negativi. Eventuali lacune individuate richiedono una risoluzione, e la norma attribuisce alla direzione la responsabilità di garantirla. La clausola 10, Miglioramento, richiede che le non conformità siano gestite attraverso un processo di risoluzione definito per l’azione correttiva e il miglioramento continuo. Una segnalazione per disturbo della quiete o un superamento dei limiti di consumo idrico non si risolvono con un singolo intervento; diventano invece un input che rafforza i controlli operativi descritti in precedenza per affrontare le cause di fondo. È proprio questo meccanismo a trasformare la certificazione in qualcosa di più di una semplice ispezione una tantum: si tratta di un obbligo continuo a individuare e correggere eventuali carenze.

È proprio questo meccanismo a trasformare la certificazione in qualcosa di più di una semplice ispezione una tantum: si tratta di un obbligo continuo a individuare e correggere eventuali carenze.

Una nota sulle persone all’Interno del perimetro

La ISO 14001 è una norma ambientale, pertanto riguarda l’impatto di un data center sull’ambiente circostante: rumore, acqua, emissioni e rifiuti. La salute e sicurezza sul lavoro– ovvero la tutela delle persone che operano all’interno della struttura – sono invece disciplinate da una norma distinta, la ISO 45001. Alcuni operatori di data center perseguono entrambe le certificazioni contemporaneamente, poiché le due norme condividono una struttura simile e possono essere integrate in un unico sistema di gestione. Una struttura dotata di entrambe le certificazioni affronta il quadro completo: sia il contesto esterno al perimetro aziendale, sia il personale che vi opera all’interno.

In sintesi: la ISO 14001 non si limita a documentare l’impatto ambientale di un data center. Richiede che l’organizzazione lo identifichi, lo controlli, lo misuri e dimostri un miglioramento nel tempo, integrando fin dall’inizio nel processo le aspettative della comunità circostante.

Domande frequenti

D: La ISO 14001 copre il rumore prodotto da un data center?
R: Sì. L’inquinamento acustico è un potenziale aspetto ambientale, e un’organizzazione certificata deve prenderlo in considerazione, controllandolo eventualmente attraverso procedure operative documentate e monitorandolo rispetto a criteri definiti.

D: La ISO 14001 prende in considerazione l’acqua utilizzata da un data center per il raffreddamento?
R: Sì. Il consumo e lo scarico dell’acqua rientrano negli stessi requisiti relativi a contesto, rischio, aspetti e impatti, e qualsiasi autorizzazione correlata o restrizione idrica locale diventa un obbligo di conformità tracciato ai sensi della clausola 6.1.3.

D: La ISO 14001 è la stessa norma che copre la salute e sicurezza dei dipendenti?
R: No. La ISO 14001 è una norma di gestione ambientale. La salute e sicurezza sul lavoro dei dipendenti è disciplinata dalla ISO 45001, che gli operatori di data center possono adottare insieme alla ISO 14001.

D: Come può una comunità sapere se un data center sta effettivamente rispettando i propri impegni ISO 14001?
R: La certificazione richiede audit interni continui, riesami della direzione e registrazioni di monitoraggio ai sensi delle clausole da 9.1 a 9.3, oltre ad audit di terza parte annuali condotti da un auditor obiettivo e competente dell’organismo di certificazione. Lo stato della certificazione è generalmente verificabile tramite l’organismo di certificazione.

I data center non scompariranno, e nemmeno le comunità che li circondano. La certificazione ISO 14001 offre agli operatori un modo documentato e verificabile per dimostrare di prendere sul serio questa relazione, nonché la propria capacità di incidere sulle comunità limitrofe e sull’ambiente circostante. Contattateci per discutere della certificazione ISO 14001 o per informazioni sulla sua integrazione con la norma ISO 45001, al fine di ottenere un programma completo per la tutela dell’ambiente e la sicurezza dei lavoratori..

Come ben sa chiunque operi nel settore della qualità, è ora disponibile una nuova versione della norma ISO 9001. Gli standard ISO interessano quasi ogni aspetto delle nostre attività e contribuiscono a rendere il mondo un luogo più sicuro ed efficiente. Ciò rende necessario valutarne l’efficacia e apportare modifiche volte a promuovere il miglioramento continuo, sia all’interno delle nostre organizzazioni che nell’intero settore.Comprendere l’impatto della norma revisionata sulla propria organizzazione può rivelarsi un compito arduo. Noi di PJR desideriamo accompagnare i nostri clienti – attuali e potenziali – verso questo nuovo standard; a tal fine, abbiamo elaborato una serie di FAQ semplificate per rispondere alle domande più frequenti e illustrare le misure da adottare fin da subito in vista dell’imminente cambiamento.. Oltre a queste FAQ, PJR offre anche una panoramica delle modifiche tramite il webinar dedicato alla norma ISO 9001:2026; è possibile iscriversi facilmente all’indirizzo http://www.pjr.com/upcoming-webinars.

Domande Frequenti sulla ISO 9001:2026

Perché la norma ISO 9001 sta cambiando di nuovo?

Il motivo principale di questa revisione della ISO 9001 è l’aggiornamento precedentemente apportato dall’ISO allo Schema di Alto Livello (Annex SL). Il cambiamento più importante avvenuto a quel livello è stata l’introduzione del concetto di “cultura”. Nella ISO 9001 questo concetto si manifesta come “Cultura della Qualità”. Questo requisito è stato inserito in diversi punti della ISO 9001 (comparendo 13 volte in totale, inclusi 4 riferimenti nella parte soggetta ad audit). Il concetto di base può essere riassunto nell’idea che un’azienda certificata ISO 9001 debba puntare a trasformare le proprie attività di gestione della qualità in una  “cultura”, ossia in una parte integrante della vita aziendale. L’altro aggiornamento significativo di questa revisione è l’introduzione del tema del cambiamento climatico nello schema di alto livello. Abbiamo incluso qui sotto una sezione di Domande e Risposte dedicata a questo argomento.

Qual è la tempistica prevista?

La nuova norma è stata pubblicata il 16 settembre 2026. Il GAC (l’organizzazione che gestisce le certificazioni ISO 9001 a livello generale) ha indicato che concederà un periodo di transizione di tre anni e utilizzerà i marcatori di “fine mese” per le scadenze importanti. Questo significa che la norma ISO 9001:2015 diventerà obsoleta il 30 settembre 2029. Di conseguenza, tutte le certificazioni ISO 9001:2015 rilasciate dalla fine del 2026 in poi dovranno riportare una data di scadenza fissata al 30 settembre 2029.

Le aziende potranno ottenere una nuova certificazione (tramite un audit di Stage 2 o di Rinnovo) secondo la ISO 9001:2015 fino al 30 marzo 2028 (che rappresenta il punto intermedio della tempistica di transizione). Le aziende saranno tecnicamente autorizzate a effettuare audit di sorveglianza secondo la ISO 9001:2015 fino al 30 settembre 2029, ma PJR cesserà di offrire audit di qualsiasi tipo secondo la ISO 9001:2015 a partire dal 30 giugno 2029.

I nostri audit sono normalmente previsti per fine luglio, e il periodo di transizione termina a settembre. Perché la nostra azienda non può svolgere il proprio audit di transizione a fine luglio 2029?

Sebbene sia vero che il periodo di transizione non termini fino al 30 settembre 2029, non è sufficiente che l’audit venga condotto entro tale data. Se durante l’audit vengono rilevate non conformità, queste devono essere gestite con azioni correttive, e il Comitato Esecutivo di PJR (organo decisionale) deve esaminare e approvare il fascicolo di audit entro la scadenza di transizione. Un audit svolto a fine luglio 2029 probabilmente non lascerebbe tempo sufficiente per completare questo processo. Pertanto, la vostra organizzazione potrebbe scegliere di effettuare la transizione a luglio 2027, luglio 2028, oppure optare per un audit anticipato nel 2029, ad esempio a maggio o giugno, per lasciare tempo sufficiente al completamento del processo post-audit.

Tutti gli audit di transizione devono essere completati entro 90 giorni dalla data finale di transizione del 30 settembre 2029. Pertanto, tutti gli audit di transizione devono essere completati entro il 30 giugno 2029.

La nostra organizzazione non è ancora certificata. Stiamo lavorando all’implementazione della ISO 9001:2015 da un po’ di tempo. Possiamo comunque richiedere la certificazione secondo la versione 2015 della norma ed effettuare la transizione in seguito?

PJR comprende che potrebbe essere stato svolto molto lavoro in preparazione alla certificazione secondo la ISO 9001:2015. Conformemente ai requisiti del GAC, consentiremo audit iniziali secondo la versione 2015 della norma fino a diciotto mesi dopo l’inizio del periodo di transizione, ovvero fino al 30 marzo 2028.

Tenete presente che la ISO 9001:2015 diventerà obsoleta il 30 settembre 2029. Pertanto, la data di scadenza di qualsiasi certificato 2015 rilasciato dopo la pubblicazione della ISO 9001:2015 sarà il 30 settembre 2029. Potrebbe quindi sembrare che alla vostra organizzazione non venga concesso un certificato completo di tre anni. Tuttavia, dopo una transizione riuscita alla ISO 9001:2026, la data di scadenza del vostro certificato verrà modificata per riflettere una certificazione completa di tre anni.

Se abbiamo un audit di Rinnovo all’inizio del 2027, dovremmo semplicemente pianificare di svolgere quell’audit secondo la ISO 9001:2026?

Si tratta di una decisione strategica che ogni azienda deve prendere autonomamente, ma vi sono alcuni punti chiave da tenere presenti.

• Se avete avuto modo di esaminare il vostro sistema di gestione rispetto ai requisiti rivisti e vi sentite pronti, potete certamente richiedere che il vostro prossimo audit di rinnovo venga svolto secondo la ISO 9001:2026.
• Far coincidere la transizione con il normale audit di rinnovo è la soluzione ideale, ma non è in alcun modo obbligatorio.
• Potete certamente svolgere il vostro Audit di Rinnovo 2027 secondo la ISO 9001:2015 e completare successivamente un audit di transizione alla ISO 9001:2026 nel 2028 o nel 2029.

È meglio iniziare la transizione prima??

Come descritto nella domanda precedente, è importante evitare di aspettare fino all’ultimo momento. Tuttavia, non vi è alcuna differenza tra effettuare la transizione, ad esempio, ad aprile 2027, aprile 2028 o aprile 2029. Un certificato ISO 9001:2015 resta valido fino alla fine del periodo di transizione. Un certificato ISO 9001:2026 non deve in alcun modo essere percepito come migliore rispetto a un certificato ISO 9001:2015 prima della data di obsolescenza di quest’ultima norma.

Cosa succede se la nostra organizzazione non effettua la transizione in tempo?

Se la vostra organizzazione non svolge un audit di transizione prima della fine del periodo di transizione/data di obsolescenza della ISO 9001:2015, non sarete più certificati a partire dalla fine del periodo di transizione. Per ottenere la certificazione secondo la ISO 9001:2026, dovrete ricominciare con un audit iniziale (Stage 1 e Stage 2).

Se la vostra organizzazione svolge l’audit di transizione ma il fascicolo di audit non viene chiuso prima della fine del periodo di transizione/data di obsolescenza della ISO 9001:2015, un certificato ISO 9001:2026 verrà rilasciato non appena sarà possibile chiudere il fascicolo. Ciò significa che vi sarà un’interruzione nello stato della vostra certificazione. Il nostro Ufficio Pianificazione Audit lavorerà con voi per garantire la tempestiva programmazione di eventuali audit di transizione che si svolgano nella parte finale del periodo di transizione, al fine di evitare questa spiacevole situazione.

Quali sono i cambiamenti critici?

PJR ha predisposto una presentazione separata che offre una panoramica delle modifiche alla norma. La sintesi di tale documento può essere riassunta così: “nulla di significativo”. Gli aggiornamenti relativi alla Cultura della Qualità e al Cambiamento Climatico sono, francamente, gli unici  a comportare un impatto, seppur minimo. Vi sono altre modifiche più sottili, ma nessuna di esse dovrebbe avere un impatto significativo per un’azienda già certificata secondo la ISO 9001:2015.

Che cos’è l’Annex SL, e cosa ha a che fare con la ISO 9001?

L’Annex SL è una parte del documento ” Direttive ISO/IEC Parte 1 – Procedure per i lavori tecnici – Supplemento ISO consolidato – Procedure specifiche per l’ISO”. Questa norma regola e controlla il processo di sviluppo, aggiornamento ed emissione delle norme pubblicate dall’ISO.

Il testo completo della Directives Part 1, inclusa la sezione Annex SL, è disponibile qui: https://www.iso.org/sites/directives/current/consolidated/index.html

L’Annex SL può essere considerato come uno schema articolato in dieci sezioni, utilizzato per tutte le norme ISO. Promuove (tra le altre cose) l’adozione di termini comuni e definizioni fondamentali per mole delle voci utilizzate nella famiglia di norme ISO. È proprio grazie alla struttura obbligatoria dell’Annex SL che le organizzazioni potranno ottenere più facilmente certificazioni multiple, come ISO 9001, ISO 14001 e ISO 45001, poiché ciascuna di queste norme avrà le stesse 10 sezioni e gli stessi termini e definizioni fondamentali.

Siamo certificati già da molto tempo e le nostre procedure sono ben consolidate: dobbiamo comunque modificarle?

L’analisi di PJR ha concluso che, per la maggior parte delle aziende certificate secondo la ISO 9001:2015, l’impatto della norma revisionata sarà minimo e facilmente gestibile. È importante tenere presente che l’ISO mira a  rendere la norma ISO 9001 ancora più inclusiva. Si desidera che continui a diffondersi in nuovi settori e diventi ancora più semplice da utilizzare rispetto ad oggi. Imporre a un’azienda di ristrutturare radicalmente il proprio attuale sistema ISO 9001:2015 non è coerente con questo obiettivo.

Ditemi di più sul nuovo requisito relativo al “Cambiamento Climatico”

In realtà, questo requisito non è nuovo. È stato originariamente pubblicato come emendamento ufficialmente vincolante alla ISO 9001:2015 nel 2024. Nonostante quanto affermato da alcune fonti, i requisiti relativi al “cambiamento climatico” nella ISO 9001:2026 sono molto limitati. Possono essere riassunti così:

Tutte le aziende certificate ISO 9001 devono considerare il cambiamento climatico come una questione potenzialmente rilevante per il proprio sistema di gestione della qualità e agire di conseguenza.

Va notato che è assolutamente possibile per un’organizzazione concludere che il cambiamento climatico non abbia alcuna rilevanza per essa o per le proprie parti interessate; PJR ha semplicemente bisogno di poter visionare le evidenze di come si sia giunti a tale conclusione.

Il nostro personale dovrà completare una formazione particolare per la  transizione?

Dipenderà dall’entità delle modifiche apportate al vostro sistema di gestione per la qualità, ma in linea di massima sì, sarà necessario fornire una qualche forma di formazione specifica per la transizione al vostro personale.

Come minimo, PJR si aspetta che venga fornita una formazione di sensibilizzazione sulla nuova norma, oltre a una valutazione dell’impatto della nuova norma sui vari processi e sul personale. Tuttavia, è del tutto plausibile che la maggior parte del vostro personale non avverta alcun effetto derivante dalla transizione della vostra azienda alla ISO 9001:2026.

E per quanto riguarda i nostri auditor interni? Dovranno completare una formazione di transizione?

L’audit interno è considerato alla stregua di qualsiasi altra competenza richiesta all’interno di un sistema di gestione per la qualità. Nello specifico, spetta all’organizzazione determinare le competenze necessarie per i propri auditor interni, nonché le modalità per acquisirle.

In termini più semplici, ciascuna organizzazione dovrà decidere autonomamente in che misura sarà necessaria la formazione per la transizione. È del tutto plausibile che un team esperto di auditor interni possa completare un periodo di autoformazione e transitare con successo verso l’audit ISO 9001:2026. Come è sempre stato, la competenza dei vostri auditor interni sarà valutata in base all’efficacia complessiva del vostro processo di audit interno.

Anche le altre norme (AS9100, IATF 16949, ecc.) verranno aggiornate?

Tutte le principali norme specifiche di settore, tra cui IATF 16949, AS9100 e TL9000, hanno manifestato l’intenzione di effettuare la transizione e mantenere l’allineamento con la ISO 9001. Le tempistiche per questi altri aggiornamenti normativi non sono ancora del tutto note al momento, ma per tutte e tre sembra probabile una data di pubblicazione nel 2026 o nel 2027. Attualmente, l’unica norma importante che non prevede un aggiornamento è la ISO 13485:2016.

Quali passi possiamo intraprendere fin da subito?

PJR raccomanda di adottare le seguenti misure per la transizione alla norma ISO 9001:2026:

• L’Alta Direzione deve effettuare una revisione completa della norma ISO 9001:2026 per individuare le lacune da colmare.
• Deve essere sviluppato un piano di attuazione che definisca le responsabilità.
• Tutti i documenti del sistema di gestione per la qualità (incluso il manuale della qualità e leprocedure, se applicabili) devono essere aggiornati per riflettere eventuali processi nuovi o revisionati.
• È necessario completare tutta la formazione di sensibilizzazione e transizione.
• Deve essere stato completato un audit interno dell’intero sistema, seguito da un Riesame della Direzione.
• Le Azioni Correttive relative a tutti i rilievi dell’audit interno devono essere in corso o completate.
• Coordinarsi con PJR per la pianificazione delle modalità di transizione.

Sarà necessario del tempo di audit aggiuntivo per il mio audit di transizione?

Potenzialmente sì, ma solo se prevedete di effettuare la transione in occasione di un audit di sorveglianza. Ciò si basa sulle indicazioni fornite dal GAC, che stabiliscono quanto segue: “Nel determinare se sia necessario del tempo di audit aggiuntivo, l’organismo di certificazione deve considerare, come minimo, l’entità del cambiamento apportato al sistema di gestione del cliente.”

Se prevedete di effettuare la transizione durante un audit di sorveglianza, riceverete da PJR un breve questionario preliminare; questo ci consentirà di valutare l’impatto della norma ISO 9001:2026 sul vostro sistema di gestione qualità. Poiché gli audit di sorveglianza hanno generalmente una durata inferiore rispetto agli audit di rinnovo, e sulla base di quanto emerso dal questionario, potremmo concludere che sia necessario aggiungere  del tempodi audit.

Se prevedete di effettuare la transizione nell’ambito di un audit di rinnovo, PJR ha stabilito che non sarà necessario alcun tempo aggiuntivo.

La nostra organizzazione sta valutando di trasferire a PJR la nostra certificazione accreditata ISO 9001:2015. In che modo la tempistica di transizione influisce sui nostri piani di trasferimento?

I requisiti saranno gli stessi sia che siate già clienti certificati PJR sia che siate candidati al trasferimento. PJR trasferirà un certificato ISO 9001:2015 fino al 30 marzo 2028. Dopo questa data, non possiamo garantire che tutte le attività di transizione vengano completate prima della scadenza di transizione.

Queste utili domande frequenti sulla transizione alla ISO 9001 sono disponibili anche per il download (disponibili solo in lingua inglese).

Per ulteriori domande o per richiedere assistenza, vi preghiamo di contattare PJR per un Project Manager.

Come i materiali riciclati stanno rimodellando le catene di approvvigionamento

Cosa significa per la qualità e la certificazione

Le catene di approvvigionamento globali stanno subendo una trasformazione silenziosa ma potente. Man mano che i produttori di vari settori rispondono alle pressioni sui costi, agli obiettivi di sostenibilità e all’incertezza delle forniture, i materiali riciclati e recuperati stanno diventando una parte sempre più importante delle strategie produttive.

Questo cambiamento non è solo una tendenza ambientale, è una modifica strutturale nel modo in cui i materiali vengono reperiti, convalidati e integrati nei processi produttivi critici. Per le organizzazioni focalizzate sulla qualità, sulla coerenza e sulla conformità, introduce sia opportunità che responsabilità.

Presso Perry Johnson Registrars (PJR), osserviamo questa evoluzione direttamente attraverso le organizzazioni che certifichiamo nei settori della produzione, automobilistico, aerospaziale e industriale.

I materiali riciclati stanno diventando sempre più comuni input nella produzione

I materiali riciclati non sono più limitati a programmi di sostenibilità di nicchia. Ora sono integrati nelle principali catene di approvvigionamento industriali, in particolare nei metalli, nelle plastiche e negli imballaggi.

Ad esempio, i metalli riciclati — in particolare l’acciaio e l’alluminio — vengono impiegati in misura crescente come materia prima primaria, grazie alla loro efficienza in termini di costi e al minore impatto ambientale rispetto all’estrazione di materiali vergini. Molti produttori si affidano oggi a modelli di approvvigionamento ibridi, che combinano materiali vergini e riciclati al fine di stabilizzare l’offerta, soddisfacendo al contempo le aspettative in ambito ambientale.

Questo cambiamento aiuta le aziende a:

• Ridurre l’esposizione alla volatilità delle materie prime.
• Ridurre il consumo di energia nella produzione.
• Supportare gli impegni aziendali per la sostenibilità.
• Migliorare la circolarità all’interno delle loro operazioni.

Tuttavia, una maggiore dipendenza da materiali riciclati introduce anche una nuova variabilità che deve essere attentamente gestita.

La coerenza della qualità diventa una sfida maggiore

A differenza delle materie, i materiali riciclati possono variare in funzione dei metodi di raccolta, delle tecnologie di lavorazione e del controllo delle contaminazioni. Anche lievi incongruenze possono influire sulle prestazioni del prodotto, specialmente in settori altamente regolamentati come quello automobilistico, aerospaziale e dei dispositivi medici.

Di conseguenza, i produttori stanno dando maggiore importanza a:

• Qualificazione e monitoraggio dei fornitori.
• Sistemi di tracciabilità dei materiali.
• Protocolli di ispezione e prova in ingresso.
• Controlli di processo basati sul rischio.

È qui che i sistemi di gestione della qualità strutturati diventano essenziali.

La resilienza della catena di approvvigionamento dipende dalla trasparenza dei materiali

Uno dei fattori più significativi che spingono all’adozione di materiali riciclati è la resilienza della catena di approvvigionamento. Le interruzioni globali degli ultimi anni hanno messo in luce le vulnerabilità derivanti dall’eccessiva dipendenza da materie prime provenienti da una sola fonte o concentrate geograficamente.

I materiali riciclati aiutano a diversificare l’approvvigionamento, ma solo quando le organizzazioni hanno una chiara visibilità su:

• Origine e composizione del materiale.
• Metodi di lavorazione e raffinazione.
• Documentazione della catena di custodia.
• Conformità ai requisiti normativi e dei clienti.

Senza questa trasparenza, i materiali riciclati, in quanto input, possono introdurre incertezza invece di ridurla.

Il ruolo delle norme dei sistemi di gestione in un’economia circolare

Con l’espansione delle catene di approvvigionamento circolari, le norme internazionali dei sistemi di gestione svolgono un ruolo cruciale nel garantire coerenza e fiducia.

Quadri dei sistemi di gestione come:

• ISO 9001 (Sistemi di Gestione per la Qualità).
• ISO 14001 (Sistemi di Gestione Ambientale).
• Standard specifici per settore come IATF 16949 o AS9100.

aiutano le organizzazioni a integrare materiali riciclati senza compromettere l’integrità del prodotto.

Queste norme supportano:

• La standardizzazione dei processi tra i fornitori.
• Il miglioramento continuo nella gestione dei materiali.
• La documentazione verificabile e la sua tracciabilità.
• La mitigazione del rischio nelle complesse reti di approvvigionamento.

La certificazione fornisce una convalida esterna che i sistemi sono progettati per gestire la variabilità mantenendo la conformità e le aspettative di prestazione.

Sostenibilità e qualità stanno convergendo

Storicamente, sostenibilità e qualità sono state trattate come funzioni aziendali separate. Oggi, esse sono sempre più interconnesse.

I materiali riciclati sono al centro di questa convergenza. Ora ci si aspetta che le aziende dimostrino non solo che i loro prodotti soddisfano i requisiti di prestazione, ma anche che le loro pratiche di approvvigionamento siano in linea con le aspettative di governance ambientale e sociale.

Ciò significa che i sistemi di qualità devono evolversi per incorporare:

• Metriche di sostenibilità nelle valutazioni dei fornitori.
• Considerazioni sul ciclo di vita nella selezione dei materiali.
• Documentazione a supporto dei requisiti di rendicontazione ESG.
• Maggiore collaborazione tra i team di qualità e di approvvigionamento.

Costruire catene di approvvigionamento più forti e responsabili

La crescita dei materiali riciclati nella produzione non è una moda passeggera; è un cambiamento strutturale a lungo termine. Le organizzazioni che si adattano precocemente saranno in una posizione migliore per gestire il rischio, soddisfare le aspettative normative e competere in mercati sempre più orientati alla sostenibilità.

Tuttavia, il successo dipende da più delle sole decisioni di approvvigionamento. Richiede sistemi disciplinati, dati affidabili e solidi quadri di certificazione che garantiscano coerenza attraverso catene di fornitura complesse ed in evoluzione.

Presso Perry Johnson Registrars (PJR), continuiamo a supportare le organizzazioni mentre rafforzano i loro sistemi di gestione per affrontare queste sfide; garantendo che qualità e sostenibilità procedano insieme.

---