Sistema di Gestione Integrato (SGI): Sicurezza, Qualità e Ambiente

Definizione e ambito: sistema singolo versus sistema integrato

Un'organizzazione che vuole ottenere la certificazione ISO 45001, ISO 9001 e ISO 14001 ha due strade: implementare tre sistemi di gestione separati, ciascuno con la propria politica, i propri manuali, le proprie procedure e i propri audit, oppure sviluppare un Sistema di Gestione Integrato che consolida i tre sistemi in un framework unitario.

La scelta del sistema separato comporta duplicazioni documentali significative: tre politiche distinte, tre set di obiettivi, tre programmi di audit interni, tre riesami della direzione. Le stesse funzioni aziendali (acquisti, risorse umane, manutenzione, comunicazione interna) devono rispondere a requisiti analoghi contenuti in norme diverse, generando ridondanze procedurali e difficoltà nella gestione delle non conformità trasversali.

Il Sistema di Gestione Integrato supera queste inefficienze fondandosi sulla High Level Structure (HLS), struttura comune adottata dall'ISO per tutte le norme di sistema di gestione a partire dal 2012 (Appendice SL, poi Annex SL e, nella versione attuale, ISO/IEC Directives Part 1, Consolidated ISO Supplement, Annex L). Le tre norme ISO 45001:2018, ISO 9001:2015 e ISO 14001:2015 condividono dieci capitoli identici nella struttura — dal contesto dell'organizzazione alla pianificazione, al supporto, all'operatività, alla valutazione delle prestazioni e al miglioramento continuo — con requisiti specifici aggiunti nei capitoli normativi propri di ciascuna disciplina.

I tre pilastri del SGI

Il SGI si costruisce sull'integrazione di tre sistemi normativi distinti, ciascuno con il proprio campo di applicazione e i propri requisiti specifici:

• ISO 45001:2018 — Sistemi di gestione per la salute e sicurezza sul lavoro (OHSMS): prima norma internazionale per la SSL, ha sostituito la precedente BS OHSAS 18001. Si fonda sul principio della partecipazione attiva dei lavoratori e sulla gestione proattiva dei rischi. I requisiti specifici riguardano la valutazione dei rischi e delle opportunità, la gestione degli infortuni, la sorveglianza sanitaria, la gestione delle emergenze e la consultazione dei lavoratori. In Italia, un sistema conforme alla ISO 45001 ha una corrispondenza riconosciuta con il Modello Organizzativo e Gestionale (MOG) ex art. 30 D.Lgs. 81/08.
• ISO 9001:2015 — Sistemi di gestione per la qualità (QMS): norma più diffusa al mondo per i sistemi di gestione, applicabile a qualsiasi organizzazione indipendentemente dal settore o dalla dimensione. I requisiti specifici riguardano la gestione dei processi orientata alla soddisfazione del cliente, il controllo dei prodotti e servizi non conformi, la gestione dei fornitori, la progettazione e sviluppo, e la misurazione della soddisfazione del cliente. Il pensiero basato sul rischio (risk-based thinking) introdotto dalla revisione 2015 ha avvicinato significativamente la ISO 9001 alle logiche proprie della SSL.
• ISO 14001:2015 — Sistemi di gestione ambientale (EMS): norma per la gestione degli aspetti ambientali significativi generati dalle attività di un'organizzazione. I requisiti specifici riguardano l'identificazione degli aspetti e degli impatti ambientali, la gestione della conformità normativa ambientale, il controllo operativo degli aspetti ambientali significativi, la preparazione e risposta alle emergenze ambientali e la comunicazione ambientale interna ed esterna. Condivide con la ISO 45001 la struttura del ciclo PDCA (Plan-Do-Check-Act) e l'approccio proattivo alla gestione del rischio.

La struttura HLS e l'integrazione documentale

La High Level Structurerappresenta lo scheletro comune che rende possibile l'integrazione. I dieci capitoli condivisi corrispondono a elementi gestionali che un SGI integra in documenti e processi unici:

• Politica integrata unica: al posto di tre politiche separate (SSL, qualità, ambiente), il SGI prevede un'unica politica che enuncia gli impegni dell'organizzazione per tutti e tre i sistemi, approvata dalla direzione e comunicata a tutti i lavoratori e alle parti interessate rilevanti.
• Manuale integrato o documentazione strutturata comune: sebbene le norme ISO non richiedano più un manuale formale (requisito eliminato dalla revisione 2015 della ISO 9001), molte organizzazioni mantengono un documento di riferimento che descrive il SGI, la sua struttura, i processi e i riferimenti alle procedure operative. Questo documento funge da guida per le parti interessate esterne (clienti, enti di certificazione, autorità di vigilanza).
• Audit interni congiunti: il SGI consente di pianificare ed eseguire audit interni che verifichino simultaneamente i requisiti delle tre norme, riducendo il numero totale di audit e il carico sui processi operativi. Gli auditor interni devono essere qualificati per tutti e tre i sistemi o, in alternativa, team di audit multidisciplinari possono coprire le diverse competenze.
• Riesame della direzione unificato: il riesame periodico del sistema da parte della direzione considera in un'unica sessione le prestazioni di tutti e tre i sistemi, gli obiettivi raggiunti, le non conformità, le azioni correttive e le opportunità di miglioramento. Questo approccio favorisce decisioni coerenti e una visione strategica integrata.
• Gestione delle non conformità e azioni correttive integrate: le non conformità che interessano più sistemi (es. un incidente sul lavoro che ha anche impatto ambientale) vengono gestite con un'unica procedura che considera tutti i requisiti applicabili, evitando risposte frammentate e parziali.

Vantaggi dell'integrazione

L'adozione di un SGI comporta vantaggi significativi rispetto alla gestione parallela di sistemi separati:

• Riduzione delle ridondanze documentali: procedure, istruzioni operative e moduli comuni a più sistemi vengono unificati, riducendo la quantità di documenti da gestire, aggiornare e comunicare al personale. Studi di settore stimano una riduzione documentale del 30-50% rispetto a tre sistemi separati.
• Audit di certificazione combinati: gli enti di certificazione accreditati (Accredia in Italia) offrono la possibilità di svolgere audit di certificazione combinati per le tre norme, con un risparmio significativo sui costi di certificazione (in genere 20-40% rispetto a tre audit separati) e minore interruzione dell'operatività aziendale.
• Risparmio sui costi di gestione: la manutenzione del sistema, la formazione del personale, la preparazione degli audit e la gestione delle non conformità richiedono risorse inferiori quando i processi sono integrati. Per una PMI con 50-200 dipendenti, il risparmio annuo stimato rispetto a tre sistemi separati può essere compreso tra 15.000 e 40.000 euro.
• Visione strategica coerente: la direzione dispone di un quadro unitario delle prestazioni aziendali in materia di sicurezza, qualità e ambiente, facilitando le decisioni di investimento e il monitoraggio degli obiettivi di miglioramento continuo.
• Miglioramento della comunicazione interna: i lavoratori ricevono messaggi coerenti e non contraddittori dalle diverse funzioni aziendali. La sicurezza e la qualità non sono percepiti come obiettivi in tensione, ma come componenti di un sistema unitario di gestione responsabile.
• Semplificazione della gestione dei fornitori: i requisiti per la qualifica e la valutazione dei fornitori possono essere integrati in un'unica procedura che copre i requisiti SSL, qualitativi e ambientali.

Il MOG ex art. 30 D.Lgs. 81/08 e il rapporto con ISO 45001

L'art. 30 del D.Lgs. 81/08 prevede che i Modelli Organizzativi e Gestionali (MOG)adottati ai sensi dell'art. 6, comma 1, lett. a) del D.Lgs. 231/2001 abbiano efficacia esimente dalla responsabilità amministrativa dell'ente per i reati colposi in materia di salute e sicurezza sul lavoro (art. 25-septies D.Lgs. 231/2001) se conformi alle linee guida UNI-INAIL del 2001 o alle British Standard OHSAS 18001:2007 (ora sostituite dalla ISO 45001).

Con l'adozione della ISO 45001:2018, che ha sostituito la OHSAS 18001 con periodo di transizione concluso nel 2021, si pone la questione del rapporto tra conformità ISO 45001 e requisiti del MOG ex art. 30. La posizione prevalente in dottrina e nelle linee guida operative (Confindustria, UNI) è che un sistema conforme alla ISO 45001:2018soddisfi i requisiti sostanziali dell'art. 30 D.Lgs. 81/08, purché integrato con gli elementi specifici richiesti dalla norma italiana (in particolare: l'organismo di vigilanza previsto dal D.Lgs. 231/2001, la mappatura dei reati presupposto, il sistema disciplinare). La certificazione ISO 45001 da sola non equivale automaticamente a un MOG conforme al D.Lgs. 231/2001, ma ne costituisce la base tecnica solida.

Sul piano pratico, l'organizzazione che adotta il SGI integrato (ISO 45001 + ISO 9001 + ISO 14001) e che intende anche dotarsi di un MOG ex D.Lgs. 231/2001 efficace deve:

• estendere la mappatura dei rischi del SGI ai reati presuppostorilevanti ex D.Lgs. 231/2001 (reati in materia di salute e sicurezza, reati ambientali, reati societari, reati contro la PA, a seconda del profilo aziendale);
• istituire o nominare un Organismo di Vigilanza (OdV) con requisiti di autonomia, indipendenza e competenza professionale;
• predisporre un sistema disciplinare che sanzioni le violazioni del MOG in modo effettivo e proporzionato.

Passi per l'implementazione di un SGI

L'implementazione di un SGI segue tipicamente le seguenti fasi:

• 1. Gap analysis iniziale: analisi dello stato attuale dell'organizzazione rispetto ai requisiti delle tre norme. Identifica i punti di forza (processi già conformi), le lacune (requisiti non ancora soddisfatti) e le opportunità di integrazione (processi già esistenti che possono essere estesi per coprire i requisiti di più norme). La gap analysis produce un piano di implementazione con priorità, responsabilità e tempi.
• 2. Progettazione del sistema integrato: definizione dell'architettura documentale del SGI (politica integrata, mappa dei processi, procedure integrate, istruzioni operative, moduli). La progettazione deve bilanciare la coerenza normativa con la semplicità gestionale: un SGI sovraccarico di documenti non utilizzati nella pratica non raggiunge i suoi obiettivi.
• 3. Formazione e sensibilizzazione del personale: tutti i lavoratori devono comprendere la politica integrata e i propri ruoli nel SGI. I responsabili di funzione e i referenti del sistema richiedono formazione specifica sui requisiti delle tre norme e sulle procedure integrate.
• 4. Implementazione e rodaggio operativo: applicazione delle procedure integrate ai processi reali, con raccolta di evidenze (registrazioni, misurazioni, segnalazioni di non conformità). La fase di rodaggio, tipicamente di 3-6 mesi, consente di verificare l'efficacia del sistema e di apportare le necessarie correzioni prima dell'audit di certificazione.
• 5. Audit interno integrato: verifica sistematica della conformità del SGI ai requisiti delle tre norme, condotta da auditor interni qualificati o da consulenti esterni. L'audit interno deve coprire tutti i requisiti normativi e tutti i processi significativi dell'organizzazione. Le non conformità rilevate vengono gestite con azioni correttive documentate.
• 6. Riesame della direzione pre-certificazione: la direzione analizza i risultati del sistema — prestazioni degli indicatori, esiti dell'audit interno, non conformità, obiettivi raggiunti — e approva formalmente il SGI per la fase di certificazione esterna.
• 7. Audit di certificazione esterno: condotto da un ente di certificazione accreditato Accredia, si articola tipicamente in due fasi (Stage 1: revisione documentale e verifica della readiness; Stage 2: audit di certificazione vero e proprio). Il superamento positivo porta al rilascio dei certificati ISO 45001, ISO 9001 e ISO 14001. La validità del certificato è triennale, con audit di sorveglianza annuali.

Costi e tempi medi per PMI italiane

I costi e i tempi di implementazione di un SGI variano in funzione della dimensione aziendale, del settore di attività, della complessità dei processi e dello stato di partenza (presenza o assenza di sistemi di gestione preesistenti). Per unaPMI italiana con 20-100 dipendenti, senza sistemi di gestione preesistenti, i riferimenti indicativi sono i seguenti:

• Consulenza di implementazione: tra 15.000 e 40.000 euro a seconda della complessità del settore (valori piu' elevati per settori manifatturieri complessi, valori inferiori per settori dei servizi con processi semplici). Le organizzazioni che dispongono di un responsabile SSL interno qualificato e di risorse dedicate possono ridurre i costi di consulenza esternalizzando solo le attività più specialistiche.
• Costi di certificazione: tra 5.000 e 15.000 euro per il primo ciclo triennale di certificazione combinata (audit di Stage 1, Stage 2 e due audit di sorveglianza annuali). La certificazione separata delle tre norme avrebbe un costo complessivo superiore del 30-50%.
• Costi di formazione: tra 3.000 e 8.000 euro per la formazione del personale chiave (responsabile SSL, responsabile qualità, referenti ambientali, auditor interni). La formazione per auditor interni combinati (abilitati a tutte e tre le norme) richiede percorsi specifici di 24-40 ore.
• Tempo di implementazione: tra 9 e 18 mesi dalla gap analysis alla prima certificazione, a seconda delle risorse interne disponibili e della complessità organizzativa. Le organizzazioni che partono da una OHSAS 18001 o ISO 9001 preesistente possono ridurre i tempi a 6-12 mesi.

I costi di mantenimento annuale del SGI (audit di sorveglianza, aggiornamento documentale, formazione continua) sono in genere compresi tra 5.000 e 12.000 euro per anno.