La ISO 9001 si rivolge a qualsiasi tipologia di organizzazione pubblica o privata, di qualsiasi settore e dimensione, manifatturiera o di servizi.

E’ lo standard di riferimento internazionalmente riconosciuto per la gestione della Qualità di qualsiasi organizzazione che intenda rispondere contemporaneamente:

• all’esigenza dell’aumento dell’efficacia ed efficienza dei processi interni –quale strumento di organizzazione per raggiungere i propri obiettivi-
• alla crescente competitività nei mercati attraverso il miglioramento della soddisfazione e della fidelizzazione dei clienti.

Scopo primario dell’ISO 9001  è il perseguimento della soddisfazione del proprio cliente in merito ai prodotti e serzizi forniti, nonché il miglioramento continuo delle prestazioni aziendali, permettendo all’azienda certificata di assicurare ai propri clienti il mantenimento e il miglioramento nel tempo della qualità dei propri beni e servizi.

Da questo punto di vista il modello ISO 9001 rappresenta uno strumento strategico in quanto mirato a:

• valutazione del contesto e parti interessate
• analisi di rischi ed opportunità come base per definire opportune azioni
• controllo dei costi,
• aumento della produttività
• riduzione degli sprechi.

Dal punto di vista sostanziale ciò si traduce nella riduzione del rischio di non rispettare quanto promesso ai clienti e nella capacità di tenere sotto controllo i processi tramite la misurazione delle prestazioni e l’individuazione di adeguati indicatori.

Inoltre viene spesso richiesta dai bandi di gara pubblici.

La ISO 9001 fornisce infine un modello organizzativo  di base che può essere completato con dei requisiti specifici peculiari di alcuni ambiti, descritti in norme di settore, ed è facilmente integrabile con altri sistemi di gestione, ISO 14001 (gestione ambientale) e ISO 27001 (sicurezza delle informazioni).

Alcuni esempi di linee guide settoriali sono rappresentate da norme UNI rivolte a:

• Servizi all’infanzia,
• Assistenza residenziale agli anziani,
• Organizzazione congressuale e di eventi aggregativi,
• Servizi di call center, e così via.

La ISO 14001 è una norma internazionale ad adesione volontaria, applicabile a qualsiasi tipologia di Organizzazione pubblica o privata, che specifica i requisiti di un sistema di gestione ambientale.

Questa norma, oltre ad avere il pregio di essere facilmente integrabile con altri sistemi di gestione conformi a norme specifiche come ISO 9001.

PUNTI CHIAVE

Per definire il sistema di gestione conforme alla ISO 14001 è necessario:

• realizzare un’analisi ambientale, cioè raggiungere un’approfondita conoscenza degli aspetti ambientali (emissioni, uso risorse etc) che una organizzazione deve effettivamente gestire, capire il quadro legislativo e le prescrizioni applicabili all’azienda e valutare la significatività degli impatti;
• definire una Politica aziendale
• definire responsabilità specifiche in materia ambientale
• definire, applicare e mantenere attive le attività, le procedure e le registrazionipreviste dai requisiti della 14001

VANTAGGI

Un sistema di gestione ambientale certificato consente:

• Controllo e mantenimento della conformità legislativa e monitoraggio delle prestazioni ambientali.
• Riduzione degli sprechi (consumi idrici, risorse energetiche, ecc.).
• Agevolazioni nelle procedure di finanziamento e semplificazioni burocratiche/amministrative.
• Strumento di supporto nelle decisioni di investimento o di cambiamento tecnologico.
• Strumento di creazione e mantenimento del valore aziendale.
• Strumento di salvaguardia del patrimonio aziendale e di trasparenza in operazioni di acquisizioni/fusioni (gestione dei rischi).
• Garanzia di un approccio sistematico e preordinato alle emergenze ambientali.
• Migliore rapporto e comunicazione con le autorità.
• Miglioramento dell’immagine e della reputazione aziendale
• Attuazioni di modalità definite per la prevenzione dei reati ambientali

Dal 12 marzo 2018 è in vigore la nuova norma UNI ISO 45001: 2018 sui Sistemi di Gestione per la Salute e la Sicurezza sul Lavoro.

La UNI ISO 45001 specifica i requisiti per un sistema di gestione per la salute e sicurezza sul lavoro (SSL) e fornisce una guida per il suo utilizzo, al fine di consentire alle organizzazioni di predisporre luoghi di lavoro sicuri e salubri, prevenendo lesioni e malattie correlate al lavoro, nonché migliorando proattivamente le proprie prestazioni relative alla SSL.

La norma è applicabile a qualsiasi organizzazione, indipendentemente dalle dimensioni, tipo e attività, che desideri creare, attuare e mantenere un sistema di gestione per migliorare la salute e la sicurezza sul lavoro, eliminare i pericoli e minimizzare i rischi per la SSL. 

La norma è  stata sviluppata adottando il testo della struttura ad alto livello (High-Level Structure – HLS), comune ad altre norme ISO sui sistemi di gestione, come la UNI ISO 9001:2015 e la UNI ISO 14001:2015, con lo scopo di favorire l’integrazione tra le stesse.

La UNI ISO 45001 include un’appendice informativa nazionale contenente alcune note riguardanti la corretta collocazione della norma rispetto al quadro legislativo vigente (D.Lgs. 81/2008).

Principali novità

Nella messa a punto della nuova norma ISO 45001 l’attenzione è stata rivolta ad alcuni capisaldi:

• Costruzione della norma tenendo a riferimento la HLS Struttura di alto livello implementata per tutte le norme ISO aventi carattere gestionale
• Maggiore integrabilità con ISO 9001 e ISO 14001 in edizione 2015
• Attenzione al contesto e alla valutazione di rischi e opportunità
• Riferimento al business aziendale
• Coinvolgimento e sensibilizzazione di tutte le parti in gioco (management, operatori, parti interessate)
• Maggiore coinvolgimento e considerazione dei processi affidati in outsourcing

Lo standard ISO/IEC 27001 è l’unica norma internazionale soggetta a verifica e certificabile che definisce i requisiti per un SGSI (Sistema di Gestione della Sicurezza delle Informazioni) ed è progettata per garantire la selezione di controlli di sicurezza adeguati e proporzionati.

In questo modo è possibile proteggere le informazioni e dare fiducia agli stakeholder, in particolare ai propri clienti.

La famiglia delle norme ISO 27000, ad oggi pubblicate, si può raggruppare nelle seguenti aree tematiche:

1. Terminologia
   • ISO/IEC 27000 – “Information technology — Security techniques — Information security management systems — Overview and vocabulary “
2. Requisiti generali
   • ISO/IEC 27001 – “Information security management system – Requirements”.  È il documento normativo al quale un’organizzazione che intenda certificarsi deve far riferimento.
   • ISO/IEC 27006 – “Information technology — Security techniques — Requirements for bodies providing audit and certification of information security management systems “. È lo standard di riferimento per gli organismi di certificazione.
3. Linee guida generali
   • ISO/IEC 27002 – “Information technology — Security techniques — Code of practice for information security management”. Fornisce delle indicazioni non prescrittive per proteggere il patrimonio informativo di un’azienda
   • ISO/IEC 27003 – “Information technology — Security techniques — Information security management system implementation guidance “. Fornisce le linee guida per definire un progetto di implementazione di un sistema di gestione della Sicurezza delle informazioni in conformità allo standard ISO 27001
   • ISO/IEC 27004 – “Information technology — Security techniques — Information security management — Measurement “. Fornisce le modalità e gli esempi di costrutti per definire e misurare l’efficacia del Sistema di Gestione della Sicurezza delle Informazioni adottato dall’organizzazione e dei relativi controlli dell’Annex A
   • ISO/IEC 27005 – “Information technology — Security techniques — Information security risk management “. Fornisce indicazioni sulle modalità e le fasi da adottare per una corretta valutazione del rischio aziendale, in particolare sul rischio inerente la sicurezza delle informazioni. Tale standard, nella versione 2011, è stato allineato con la norma ISO/IEC 31000 “Risk management — Principles and guidelines “
   • ISO/IEC 27007 – “Information technology — Security techniques — Guidelines for information security management systems auditing”. E’ una linea guida per Organismi di Certificazione (OdC) accreditati, per internal auditors, auditors esterni/terza parte per verificare la conformità ai requisiti di un Sistema di Gestione della Sicurezza delle Informazioni secondo la norma ISO/IEC 27001
   • ISO/ IEC TR 27008 – “Information technology — Security techniques — Guidelines for auditors on information security controls”. Supporta la pianificazione ed esecuzione degli audit SGSI aggiungendo ulteriore valore chiudendo il gap tra revisione del Sistema e, se necessario, implementando prove di verifica dei controlli previsti dall’annex A della ISO/IEC 27001.
4. linee guida specifiche per settore
   • ISO/IEC 27010 – “Information technology — Security techniques — Information security management for inter-sector and inter-organizational communications”
   • ISO/IEC 27011 – “Information technology — Security techniques — Information security management guidelines for telecommunications organizations based on ISO/IEC 27002 “
   • ISO/IEC 27014 – “Information technology — Security techniques — Governance of information security”
   • ISO/IEC 27013 – “Information technology — Security techniques — Guidance on the integrated implementation of ISO/IEC 27001 and ISO/IEC 20000-1 “
   • ISO/IEC TR 27015 – “Information technology — Security techniques — Information security management guidelines for financial services”ISO/IEC 27031 – “Information technology — Security techniques — Guidelines for information and communication technology readiness for business continuity “
   • ISO/IEC 27032 – “Information technology — Security techniques — Guidelines for cybersecurity”
   • ISO/IEC 27033-1 – “Information technology — Security techniques — Network security — Part 1: Overview and concept”
   • ISO/IEC 27033-2 – “ Information technology — Security techniques — Network security — Part 2: Guidelines for the design and implementation of network security
   • ISO/IEC 27033-3 – “Information technology — Security techniques — Network security — Part 3: Reference networking scenarios — Threats, design techniques and control issues”
   • ISO/IEC 27034-1 – “Information technology — Security techniques — Application security — Part 1: Overview and concepts”
   • ISO/IEC 27035 – “Information technology — Security techniques — Information security incident management”
   • ISO/IEC 27036-3 – “Information technology — Security techniques — Information security for supplier relationships — Part 3: Guidelines for information and communication technology supply chain security”
   • ISO/IEC 27037 – “Information technology — Security techniques — Guidelines for identification, collection, acquisition and preservation of digital evidence”
   • ISO 27799 – “Health informatics — Information security management in health using ISO/IEC 27002″

Lo standard  ISO 20000 promuove l’utilizzo di un modello integrato a processi di IT Service Management.

Nell’ambiente aziendale attuale, caratterizzato da forte dinamicità, la modalità di erogazione dei servizi è in continua evoluzione e presenta nuove opportunità e sfide per il business. Come fornitori di servizi, è importante assicurarsi che l’Organizzazione fornisca servizi efficienti rispetto agli obiettivi di business.

Le imprese di qualsiasi settore e dimensione possono contare su un’efficace gestione dei servizi abilitati dall’IT grazie allo standard internazionale ISO/IEC 20000.
In tal senso ISO 20000 costituisce lo strumento adeguato sia per la gestione dei servizi erogati ai clienti, sia per la gestione dei servizi informatici interni che necessitino di un livello di strutturazione consistente.

Lo standard promuove l’utilizzo di un modello integrato a processi di gestione dei servizi IT che trova corrispondenza nel framework ITIL® (IT Infrastructure Library). In tal senso familiarizzare con ITIL è fortemente consigliato alle organizzazioni che sono interessate a certificarsi ISO 20000 per dimostrare la conformità alle best practice di IT Service Management.

o standard ISO 22301 “Societal security – Business Continuity Management Systems – Requirements” è stato sviluppato per aiutare ogni tipo di organizzazione a ridurre al minimo il rischio di interruzioni.

PUNTI CHIAVE

Rispetto alla precedente norma BS25999 “Business Continuity Management”, lo standard ISO/IEC 22301pone l’attenzione ai seguenti aspetti:

• richiesta di una maggiore attenzione all’intera filiera produttiva
• analisi del rischio
• coinvolgimento del Top Management in tutte le fasi della BCM;
• identificazione del livello minimo accettabile di operatività in caso di disastro.
• migliore definizione della terminologia utilizzata.

VANTAGGI

La corretta implementazione di un sistema di gestione della continuità operativa consente all’organizzazione di rispondere in modo reattivo ed efficace a eventi catastrofici in modo tale da ridurre drasticamente il danno potenziale di tali eventi.

1. migliorare le condizioni del personale
2. promuovere trattamenti etici ed equi del personale
3. includere le convenzioni internazionali dei diritti umani