Certificazioni ISO e nuove regole Accredia 2026: cosa cambia davvero per le aziende certificate
La nuova Circolare Accredia DC n. 17/2026 è indirizzata agli Organismi di certificazione, non direttamente alle aziende certificate.
Ma attenzione: le ricadute operative arriveranno anche sulle imprese già certificate ISO 9001, ISO 14001, ISO 27001, ISO 45001, ISO 37001 e sugli altri schemi accreditati.
Perché quando Accredia rafforza le regole per gli enti di certificazione, cambia anche il modo in cui gli audit vengono gestiti, documentati e valutati. Di conseguenza, le aziende certificate devono aspettarsi verifiche più puntuali, maggiore attenzione agli scopi di certificazione, più controllo sull’uso dei certificati e una minore tolleranza verso sistemi di gestione solo formali.
Secondo la Circolare, le nuove revisioni dei Regolamenti di Accreditamento entrano in vigore dal 1° maggio 2026 per le nuove entità giuridiche che richiedono l’accreditamento, mentre per gli Organismi già accreditati è previsto un periodo transitorio di sei mesi, con applicazione effettiva dal 1° novembre 2026.
Il punto, per le aziende, è semplice: non cambia la norma ISO, ma aumenta il livello di attenzione su come quella certificazione viene rilasciata, mantenuta e utilizzata.
Perché questa novità riguarda anche le aziende certificate ISO
Un’azienda certificata potrebbe pensare: “La Circolare è per gli enti, quindi non mi riguarda”.
In realtà non è così.
La ISO 9001, la ISO 14001, la ISO/IEC 27001, la ISO 45001 o la ISO 37001 restano le stesse. Non vengono modificati direttamente i requisiti delle norme. Tuttavia, gli Organismi di certificazione saranno chiamati a dimostrare ad Accredia un presidio più rigoroso delle proprie attività.
Questo significa che, nella pratica, gli auditor potrebbero essere più attenti a verificare:
✓ se il sistema di gestione è realmente applicato;
✓ se le evidenze sono aggiornate e coerenti;
✓ se lo scopo del certificato descrive davvero le attività svolte;
✓ se la direzione è coinvolta in modo sostanziale;
✓ se non conformità, reclami, incidenti e azioni correttive sono gestiti correttamente;
✓ se il certificato viene usato in modo corretto in gare, offerte, bandi e qualifiche fornitori.
Il messaggio per le aziende certificate è chiaro: la certificazione ISO dovrà essere sempre più difendibile, non solo disponibile.
Audit con Accredia presente: cosa deve aspettarsi l’azienda
Uno degli aspetti con impatto più diretto per le imprese riguarda le verifiche in accompagnamento.
Si tratta degli audit nei quali Accredia partecipa come osservatore per valutare l’operato dell’Organismo di certificazione e dell’auditor. In questi casi l’audit si svolge presso l’azienda certificata o in fase di certificazione.
La Circolare prevede che gli Organismi inseriscano nei contratti con le aziende clienti la possibilità di sospendere o revocare la certificazione qualora l’organizzazione non accetti l’esecuzione della verifica con la presenza di Accredia.
Questo è uno dei passaggi più concreti per le aziende.
In pratica, un’impresa certificata potrebbe ricevere comunicazione che, durante un audit di sorveglianza, rinnovo o certificazione, sarà presente anche Accredia. Non significa che l’azienda sia sotto accusa. L’obiettivo principale è valutare l’ente di certificazione.
Ma è evidente che la presenza di Accredia aumenta l’attenzione generale sull’audit.
➜ Le evidenze dovranno essere disponibili.
➜ Le risposte dovranno essere coerenti.
➜ Lo scopo del certificato dovrà essere sostenibile.
➜ Le procedure dovranno risultare applicate, non solo scritte.
➜ La direzione dovrà conoscere davvero il sistema.
➜ Eventuali rilievi precedenti dovranno essere stati gestiti in modo efficace.
Per un’azienda con un sistema maturo, questo non deve essere un problema. Per un’azienda con una certificazione costruita in modo frettoloso o puramente documentale, invece, può diventare un momento critico.
Scopo del certificato ISO: sarà sempre più difficile restare sul generico
Uno degli effetti più importanti per le aziende certificate riguarda lo scopo di certificazione.
Molte imprese comunicano di essere “certificate ISO”, ma spesso il vero tema non è avere il certificato. Il vero tema è capire cosa copre davvero quel certificato.
Una ISO 27001 può coprire l’intera organizzazione oppure solo uno specifico servizio ICT.
Una ISO 9001 può riguardare tutte le attività aziendali oppure solo una parte.
Una ISO 14001 può includere o escludere sedi, cantieri, processi e attività operative.
Una ISO 37001 può essere riferita a determinati processi, aree o attività sensibili.
La Circolare rafforza l’attenzione sugli ambiti accreditati, sulle attività fuori accreditamento e sulle possibili ricadute sugli schemi accreditati. In particolare, viene previsto che l’analisi dei rischi sugli Organismi tenga conto anche di eventuali attività fuori accreditamento che possano avere ripercussioni sugli ambiti accreditati.
Per le aziende, la conseguenza pratica è questa: lo scopo del certificato dovrà essere chiaro, coerente e dimostrabile.
Non è un dettaglio amministrativo. È una parte essenziale del valore della certificazione.
Un certificato con uno scopo troppo ampio, generico o non allineato ai servizi effettivamente erogati può creare problemi quando viene usato verso clienti, stazioni appaltanti, piattaforme di qualifica o gruppi multinazionali.
Certificazioni ISO usate in gare, bandi e albo fornitori: più attenzione alla coerenza
Molte aziende utilizzano le certificazioni ISO per partecipare a gare, iscriversi ad albi fornitori, rispondere a questionari di qualifica o accedere a bandi e opportunità commerciali.
È normale. La certificazione serve anche a dimostrare affidabilità.
Il problema nasce quando il certificato viene usato come semplice allegato, senza verificare se il perimetro certificato copre davvero ciò che l’azienda sta dichiarando.
La Circolare prevede che, quando certificazioni emesse sotto accreditamento sono oggetto di avvalimento, l’Organismo accreditato possa effettuare approfondimenti e verifiche presso il proprio cliente, se lo ritiene necessario.
Per le aziende questo significa che l’uso del certificato in contesti commerciali o di gara dovrà essere più consapevole.
Prima di allegare una certificazione ISO a una procedura, una qualifica o una dichiarazione, l’impresa dovrebbe chiedersi:
✓ lo scopo del certificato copre davvero il servizio offerto?
✓ la sede coinvolta rientra nel perimetro certificato?
✓ i processi dichiarati sono effettivamente gestiti nel sistema?
✓ la certificazione è accreditata per lo schema corretto?
✓ l’uso del marchio e del certificato è conforme alle regole dell’ente?
✓ ciò che dichiaro al cliente è coerente con ciò che l’audit ha effettivamente verificato?
Questa è una delle ricadute più importanti per le aziende certificate.
Il certificato non deve solo “esserci”. Deve essere coerente con l’uso che l’azienda ne fa.
Incidenti, reclami e segnalazioni: il sistema dovrà dimostrare di funzionare
La nuova impostazione Accredia rafforza anche l’attenzione verso reclami, segnalazioni, situazioni critiche, verifiche non programmate, verifiche senza preavviso e mystery audit.
La Circolare chiarisce che le attività di sorveglianza non programmata possono essere disposte anche su richiesta di Autorità pubbliche e di controllo o in presenza di situazioni critiche o potenzialmente tali.
Per le aziende certificate, questo significa che eventi significativi potrebbero avere un impatto anche sul percorso di mantenimento della certificazione.
⚠ Un incidente cyber in un’azienda certificata ISO/IEC 27001.
⚠ Un evento ambientale rilevante in un sistema ISO 14001.
⚠ Un infortunio grave in un sistema ISO 45001.
⚠ Una segnalazione anticorruzione in un sistema ISO 37001.
⚠ Un reclamo importante relativo a un processo certificato ISO 9001.
Nessuno di questi eventi comporta automaticamente la perdita della certificazione. Ma tutti possono diventare elementi da valutare con attenzione.
La differenza non la fa l’assenza assoluta di problemi. La fa la capacità dell’azienda di gestirli.
Un sistema di gestione credibile deve dimostrare che l’organizzazione sa:
➜ rilevare l’evento;
➜ analizzarne le cause;
➜ gestire le comunicazioni necessarie;
➜ definire azioni correttive;
➜ verificare l’efficacia delle azioni adottate;
➜ aggiornare la valutazione dei rischi, se necessario;
➜ coinvolgere la direzione quando l’evento è significativo.
È qui che si vede la differenza tra una certificazione reale e una certificazione solo documentale.
Trasferimento del certificato ISO: attenzione alla scelta dell’ente
Un altro aspetto che può avere ricadute sulle aziende riguarda il trasferimento del certificato da un Organismo di certificazione a un altro.
La Circolare prevede che, nei casi di provvedimenti sanzionatori maggiori, l’Organismo subentrante debba svolgere lo stage 2 sull’organizzazione per cui si intende trasferire la certificazione.
Per l’azienda certificata questo significa che il trasferimento potrebbe non essere sempre una procedura semplice, rapida e documentale.
Se l’ente precedente è interessato da criticità rilevanti, l’impresa potrebbe dover affrontare una verifica più approfondita da parte del nuovo Organismo.
Questo punto dovrebbe far riflettere molte aziende.
Scegliere un ente di certificazione solo sulla base del prezzo, della rapidità o della disponibilità commerciale può sembrare conveniente nel breve periodo. Ma può diventare un problema se poi emergono criticità sull’ente, sul certificato o sul processo di certificazione.
La certificazione ISO non è solo un costo da comprimere. È un asset reputazionale, commerciale e organizzativo. E come tale va gestito.
Certificazioni emesse all’estero: cosa devono verificare le aziende italiane
La Circolare affronta anche il tema delle certificazioni emesse all’estero e del loro adeguamento alle prescrizioni dei Regolamenti Tecnici applicabili.
È previsto un periodo transitorio di tre anni dal 1° novembre 2026, in modo che, entro il rinnovo, tutte le certificazioni emesse a quella data siano conformi alle prescrizioni applicabili, con riferimento, ad esempio, al Regolamento Tecnico RT-09 per lo schema SGA.
Questo punto può riguardare soprattutto:
✓ aziende italiane certificate da Organismi esteri;
✓ gruppi multinazionali con certificazioni corporate;
✓ filiali italiane incluse in certificati di gruppo;
✓ organizzazioni che usano certificazioni estere in gare o qualifiche italiane;
✓ aziende con sistemi integrati gestiti a livello internazionale.
La certificazione emessa all’estero non è automaticamente un problema. Ma deve essere verificata rispetto alle prescrizioni applicabili nel contesto in cui viene utilizzata.
Per un’azienda italiana, soprattutto se lavora con clienti strutturati, pubbliche amministrazioni, grandi gruppi o settori regolati, questo controllo è importante.
Il rischio è accorgersi troppo tardi che il certificato esiste, ma non è pienamente allineato alle prescrizioni richieste per quello specifico utilizzo.
Cosa dovrebbero fare ora le aziende certificate
La nuova linea Accredia non impone alle aziende certificate di rifare da zero il proprio sistema di gestione.
Impone però una riflessione molto concreta: il certificato che abbiamo è realmente solido, coerente e difendibile?
Prima del prossimo audit, le aziende dovrebbero verificare alcuni aspetti essenziali:
✓ Lo scopo del certificato descrive davvero le attività svolte?
✓ Il perimetro certificato include sedi, processi e servizi effettivamente interessati?
✓ Le evidenze operative sono aggiornate e facilmente disponibili?
✓ Audit interni e riesame della direzione sono sostanziali o solo formali?
✓ Rischi, obiettivi, indicatori e azioni correttive sono gestiti in modo coerente?
✓ Reclami, incidenti e segnalazioni sono tracciati e analizzati?
✓ Il certificato viene usato correttamente in offerte, gare, bandi e qualifiche fornitori?
✓ Il personale coinvolto conosce davvero il sistema o risponde solo il consulente?
✓ L’Organismo di certificazione scelto garantisce un approccio serio e tecnicamente solido?
Queste verifiche non servono solo per “superare l’audit”.
Servono per evitare che la certificazione diventi fragile proprio nel momento in cui viene messa alla prova: una gara importante, una qualifica cliente, un incidente, una segnalazione, una verifica in accompagnamento o una richiesta documentale più approfondita.
Il punto centrale: non basta essere certificati, bisogna esserlo bene
Il mercato chiede sempre più certificazioni.
✓ ISO 9001 per la qualità.
✓ ISO 14001 per l’ambiente.
✓ ISO 45001 per la salute e sicurezza sul lavoro.
✓ ISO/IEC 27001 per la sicurezza delle informazioni.
✓ ISO 37001 per la prevenzione della corruzione.
✓ ISO 50001 per l’energia.
Per molte aziende, questi standard sono ormai strumenti indispensabili per lavorare, qualificarsi e competere.
Ma proprio per questo cresce anche il rischio di trattare la certificazione come un prodotto veloce, un documento da ottenere, un requisito da spuntare.
La Circolare Accredia DC n. 17/2026 va letta anche in questa prospettiva: il sistema accreditato si muove verso un maggiore controllo, e le aziende certificate devono prepararsi a dimostrare meglio la sostanza dei propri sistemi di gestione.
Per chi lavora seriamente, questa è una buona notizia.
Perché maggiore rigore significa anche maggiore tutela per le imprese che hanno investito davvero in processi, competenze, responsabilità, controlli e miglioramento continuo.
La certificazione ISO non deve essere un adesivo sul sito o una riga in una visura commerciale.
Deve essere una prova concreta di governo aziendale.
E dal 2026 sarà sempre più importante dimostrare non solo di avere un certificato, ma di avere un sistema che regge quando qualcuno entra nel merito.
Documento Accredia allegato per consultazione
Per completezza, alleghiamo la Circolare informativa Accredia DC n. 17/2026, relativa all’emissione, entrata in vigore e periodo transitorio delle nuove revisioni dei Regolamenti di Accreditamento del Dipartimento Certificazione e Ispezione.
Il documento è utile per chi desidera consultare direttamente il testo ufficiale e approfondire le modifiche introdotte nei Regolamenti Accredia applicabili agli Organismi di certificazione.
