ISO 9001:2026: non è la qualità che cambia le altre norme, è la qualità che le raggiunge

Il 16 settembre 2026 UNI mette a catalogo la nuova edizione della UNI EN ISO 9001, in italiano e in inglese, con le versioni redline che evidenziano le modifiche rispetto all'edizione precedente. È l'occasione per una lettura che nella comunicazione di queste settimane si vede poco, perché ribalta il modo consueto di raccontare una revisione.

Il racconto consueto suona così: la ISO 9001 è la norma madre dei sistemi di gestione, quindi quando cambia il suo impianto la modifica si propaga a valle, verso la sicurezza delle informazioni e verso l'intelligenza artificiale. Chi gestisce audit integrati, dice questa narrazione, deve prepararsi a un effetto domino.

Non è così, e la direzione conta più di quanto sembri. La struttura comune dei sistemi di gestione non appartiene alla ISO 9001: è un documento a sé, che vive nelle direttive ISO/IEC ed è stato aggiornato nel 2021, quando la High Level Structure è stata sostituita dalla Harmonized Structure. La ISO/IEC 27001 ha adottato quella struttura aggiornata nel 2022. La ISO/IEC 42001 vi è nata sopra nel 2023. La ISO 9001, ferma all'edizione 2015, era l'unica delle tre a parlare ancora la versione precedente di quella lingua.

Oltre un milione di organizzazioni certificate. E per chi tiene in piedi più sistemi di gestione contemporaneamente questa è, senza retorica, una buona notizia operativa.

Il disallineamento che sta per chiudersi

Chi ha vissuto un audit integrato tra qualità e sicurezza delle informazioni conosce la frizione. Non è una frizione di sostanza: è di lessico e di formalizzazione.

Il caso più evidente è la clausola 6.1, quella dedicata alle azioni per affrontare rischi e opportunità. Tutte e tre le norme la articolano in sottoclausole, ma non le usano per dire la stessa cosa — ed è qui che nasce l'attrito.

Nella ISO 9001:2015 la scelta di non irrigidire il risk-based thinkingè deliberata: la norma non prescrive una metodologia, non impone una matrice, non richiede un processo formalizzato di valutazione né informazioni documentate sul processo in quanto tale. L'estensione della documentazione è lasciata all'organizzazione.

Nella ISO/IEC 27001:2022 la differenza non è nel numero di sottoclausole, è nei requisiti. La 6.1.2 impone di stabilire e mantenere criteri di rischio — inclusi i criteri di accettazione — e di garantire che valutazioni ripetute producano risultati «coerenti, validi e comparabili»; e chiude prescrivendo di conservare informazioni documentate sul processo di valutazione.

Il risultato pratico, oggi, è che un'organizzazione con ISO 9001 e ISO/IEC 27001 mantiene due modi diversi di parlare di rischio: uno strutturato e documentato per l'ISMS, uno discorsivo per il QMS. Due registri, due riesami, due racconti all'auditor. Non perché serva davvero, ma perché le due norme, scritte a sette anni di distanza, affrontano la stessa materia con gradi di formalizzazione diversi.

Le anticipazioni diffuse dagli enti di certificazione indicano che l'edizione 2026 riorganizzerà la clausola 6.1 portandola a tre sottoclausole, separando più nettamente il trattamento dei rischi da quello delle opportunità. Il testo non è ancora acquistabile: fino al 16 settembre resta un'anticipazione da verificare sul documento, non un fatto. Ma la direzione è coerente con l'adozione della struttura armonizzata, ed è quella che conta per pianificare.

Cosa dice UNI, e cosa non dice ancora

Vale la pena separare le due cose, perché in queste settimane vengono mescolate con una certa disinvoltura.

Quello che è dichiarato.UNI indica la data di disponibilità — 16 settembre 2026 — la pubblicazione contestuale in italiano e inglese, l'esistenza delle versioni redline e tre aree su cui si concentrano gli aggiornamenti: la gestione di rischi e opportunità, il ruolo della leadership, la diffusione della cultura della qualità.

Quello che non è ancora confermato.Il periodo di transizione. Circola con insistenza l'ipotesi di tre anni, con scadenza intorno a settembre 2029, ed è un'ipotesi ragionevole perché ricalca i precedenti storici. Ma la durata della transizione non la decide né ISO né UNI: la stabilisce l'International Accreditation Forum con una delibera dedicata, ed è quella delibera il documento da attendere. Chi la presenta oggi come acquisita sta estrapolando, non citando.

Nel frattempo, per un'organizzazione certificata ISO 9001:2015 non cambia nulla in termini di conformità. Il certificato resta valido, gli audit di sorveglianza proseguono sull'edizione in vigore, e nessuna non conformità può essere rilevata sulla base di una norma non ancora applicabile.

Il vantaggio, per chi ha più di un sistema

Qui sta il punto dell'allineamento. Le clausole dalla 4 alla 10 condivise non sono un dettaglio editoriale: sono l'infrastruttura che rende possibile far collassare tre sistemi di gestione in un'unica macchina organizzativa.

Con le tre norme sulla stessa struttura, diventano realisticamente unificabili l'analisi del contesto e delle parti interessate, il programma di audit interno, il riesame di direzione, il processo di gestione delle non conformità e delle azioni correttive, il sistema di gestione delle informazioni documentate. Restano necessariamente distinti i controlli specifici — l'Annex A della 27001, quello della 42001 — e le competenze di chi audita: un auditor qualificato sulla qualità non è per ciò stesso qualificato sulla sicurezza delle informazioni, e viceversa.

La differenza si misura in giornate di audit e in ore di preparazione interna. Un solo riesame di direzione istruito una volta invece di tre, un solo programma annuale da presidiare, un solo impianto documentale da manutenere. Per una PMI con due o tre certificazioni è la voce di costo su cui l'integrazione incide di più, e finora la 9001 era l'anello che costringeva a tenere separato ciò che poteva stare insieme.

Cosa ha senso fare adesso

Attendere il 16 settembre e acquistare la versione redline, non solo il testo: serve il delta, non la norma da rileggere per intero. Poi confrontare il delta con quello che è già in piedi per l'ISMS o per l'AIMS, perché una parte del lavoro — criteri di rischio, metodologia di valutazione, conservazione delle evidenze — esiste già e va riusata, non rifatta. Infine attendere la delibera IAF prima di mettere in calendario qualsiasi scadenza, e verificare le regole di transizione del proprio organismo di certificazione, che possono anticipare la richiesta di audit sulla nuova edizione rispetto al termine ultimo.

Quello che non ha senso fare è avviare una gap analysis prima di avere il testo, o riscrivere procedure sulla base di anticipazioni. La revisione è di sostanza sulle clausole 5 e 6, ma non è una rifondazione: chi ha un sistema di gestione funzionante lavorerà su un delta, non su un progetto da capo.

Fonti

• UNI — Ente Italiano di Normazione, «La nuova era della qualità: UNI EN ISO 9001 edizione 2026», 31 agosto 2026
• ISO/IEC Directives, Part 1, Consolidated ISO Supplement, Annex SL — Harmonized Structure (2021)
• ISO/IEC 27001:2022, clausole 6.1.1–6.1.3
• ISO 9001:2015, clausole 6.1.1–6.1.2
• ISO/IEC 42001:2023, clausole 6.1.2–6.1.4

Le indicazioni sui contenuti puntuali dell'edizione 2026 provengono da anticipazioni di organismi di certificazione e restano da verificare sul testo alla pubblicazione.