Informazione documentata: il requisito che accomuna tutti i sistemi di gestione ISO

01Che cos'è l'informazione documentata

Chi lavora con più di una norma ISO lo nota presto: cambiano i temi, ma l'impianto resta lo stesso. Contesto, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni, miglioramento. È la struttura armonizzata, definita da ISO nell'Annex SL delle proprie direttive, che dal 2012 regola la redazione di tutte le norme sui sistemi di gestione e che nel 2021 è stata aggiornata.

Dentro questa struttura c'è un requisito che ha un ruolo rilevante nell’esito di un audit: la gestione delle informazioni documentate. È uno degli ambiti in cui un sistema di gestione rende verificabile la propria attuazione. Una politica non scritta, un rischio valutato senza lasciarne traccia, un audit interno non verbalizzato non sono verificabili da nessuno, e quindi neppure da un organismo di certificazione.

La guida è scritta per chi imposta o mantiene un sistema di gestione: responsabili della qualità, della sicurezza delle informazioni e della compliance, e chi governa più certificazioni nella stessa azienda.

La struttura armonizzata definisce l'informazione documentata come l'informazione che un'organizzazione deve tenere sotto controllo e mantenere, insieme al supporto sul quale è contenuta. Il termine è entrato nelle norme con l'Annex SL e ha preso il posto dei concetti usati in precedenza: nella ISO 9001:2008, per esempio, si parlava di manuale, procedure documentate, documenti e registrazioni.

Il cambiamento non è solo lessicale. La vecchia impostazione spingeva a costruire un apparato documentale prescritto dalla norma, spesso uguale da un'azienda all'altra. Quella attuale chiede di documentare ciò che serve: una parte la indica la norma, il resto lo decide l'azienda in base ai propri processi.

La stessa clausola in tutte le norme

Poiché la struttura è comune, il requisito si trova sempre nello stesso punto: la clausola 7.5, nel capitolo dedicato al supporto. Il testo di base è identico in ogni norma; ciascuna aggiunge, dove serve, le informazioni documentate proprie del suo ambito.

7.5 La stessa clausola, nello stesso punto, in tutte le norme sui sistemi di gestione

02La forma è libera

La norma non stabilisce in quale forma l'informazione debba essere tenuta. Il supporto può essere qualunque, purché l'informazione sia controllata.

1. Documenti

   File elettronici o cartacei, pagine della intranet, wiki aziendali.

2. Database e gestionali

   Il registro delle non conformità in un sistema di segnalazione, le scadenze di taratura in un gestionale di manutenzione.

3. Strumenti di sviluppo

   Il codice sotto controllo di versione, i registri di una catena di addestramento e rilascio dei modelli (MLOps), i log dei sistemi.

4. Contenuti multimediali

   Un video di istruzione operativa, la registrazione di una sessione di formazione.

Ne consegue un principio pratico: non serve trasformare in documento ciò che un sistema già registra in modo affidabile. Un software che traccia chi ha approvato una modifica, quando e con quale esito produce già un'informazione documentata, a condizione che l'azienda l'abbia individuata come tale e ne governi accessi, conservazione e integrità.

03Le due funzioni: indicare e dimostrare

La definizione unifica documenti e registrazioni, ma la distinzione resta utile per capire che cosa la norma chiede. Le note alla definizione lo dicono espressamente: l'informazione documentata può riferirsi al sistema e ai suoi processi, alle informazioni create perché l'organizzazione possa operare, alle evidenze dei risultati ottenuti.

Prima funzione

Indicare come si lavora

È l'informazione che orienta l'attività: perimetro del sistema, politiche, procedure, istruzioni, criteri di valutazione dei rischi. Si aggiorna quando cambiano i processi, e ogni modifica va riesaminata e approvata.

Per esempio: la politica per la sicurezza delle informazioni, la procedura di gestione dei rifiuti, i criteri di accettazione di un modello di IA.

Seconda funzione

Dimostrare che si è lavorato così

È l'evidenza: registri, verbali, risultati di misure, prove e audit. Fissa un fatto avvenuto e non si riscrive. Se contiene un errore, lo si corregge in modo tracciabile, lasciando visibile ciò che era stato registrato.

Per esempio: il rapporto di audit interno, il verbale del riesame della direzione, i risultati delle prove su un modello prima del rilascio.

Mantenere e conservare: una terminologia che sta cambiando

Nelle edizioni costruite sulla prima versione dell'Annex SL, come la ISO 9001:2015 e la ISO 45001:2018, le due funzioni sono espresse con due verbi: mantenere le informazioni documentate, cioè i documenti, e conservarle, cioè le registrazioni. L'aggiornamento della struttura armonizzata ha semplificato la formula. Le norme allineate, come la ISO/IEC 27001:2022 e la ISO/IEC 42001:2023, chiedono che l'informazione documentata sia disponibile, e disponibile come evidenza quando ha valore di prova.

La sostanza non cambia. In entrambe le generazioni di norme resta la distinzione fra ciò che orienta il lavoro e ciò che ne prova lo svolgimento.

04Che cosa chiede la clausola 7.5

La clausola si articola in tre parti, che conviene leggere come tre domande.

1. Che cosa va documentato

   Il sistema deve comprendere due insiemi di informazioni: quelle richieste dalla norma e quelle che l'azienda ritiene necessarie per l'efficacia del sistema. Il secondo insieme distingue un sistema costruito sull'azienda da uno copiato. Nessuna norma elenca le istruzioni operative di un reparto, ma un auditor chiederà come si garantisce che quel reparto lavori in modo coerente.

2. Come si crea e si aggiorna

   Quando un'informazione documentata viene creata o aggiornata, l'azienda deve assicurarne:

   1. identificazione e descrizione: titolo, data, autore, codice

   2. formato e supporto adeguati: lingua, versione del software, grafica; carta o formato elettronico

   3. riesame e approvazione, che ne attestino idoneità e adeguatezza

3. Come si tiene sotto controllo

   Il controllo ha due obiettivi: che l'informazione sia disponibile e idonea all'uso dove e quando serve, e che sia adeguatamente protetta, per esempio da perdita di riservatezza, uso improprio o perdita di integrità. Per raggiungerli l'azienda deve presidiare, per quanto applicabili, quattro attività:

   1. distribuzione, accesso, reperimento e utilizzo

   2. archiviazione e preservazione, compresa la leggibilità nel tempo

   3. controllo delle modifiche, per esempio con la gestione delle versioni

   4. conservazione ed eliminazione

Lo stesso controllo si estende alle informazioni di origine esterna che l'azienda ritiene necessarie: leggi e regolamenti, norme tecniche, contratti, documentazione dei fornitori. Una nota della norma precisa che l'accesso può consistere nel solo permesso di consultazione oppure nel permesso e nell'autorità di consultare e modificare. È una decisione organizzativa, non un dettaglio informatico.

Dove le norme aggiungono requisiti propri

Alcune norme rafforzano la clausola 7.5 con controlli specifici. La ISO/IEC 27001 dedica due controlli dell'Annex A alla protezione delle registrazioni (5.33) e alle procedure operative documentate (5.37). La ISO/IEC 42001 prevede controlli sulla documentazione tecnica dei sistemi di IA e sulla registrazione degli eventi.

Per i sistemi ad alto rischio obblighi analoghi discendono dalla legge: il Regolamento (UE) 2024/1689 richiede documentazione tecnica (articolo 11), registrazione automatica degli eventi (articolo 12) e conservazione della documentazione da parte del fornitore per dieci anni (articolo 18).

05Quanta documentazione serve

La norma non fissa un volume. Una nota alla clausola 7.5.1 indica i fattori che ne determinano l'estensione: dimensione dell'azienda e tipo di attività, processi, prodotti e servizi; complessità dei processi e delle loro interazioni; competenza delle persone.

Un'azienda di trenta persone con personale esperto può reggere un sistema con poche procedure e registrazioni ben tenute. Un gruppo con più sedi e processi interdipendenti ha bisogno di molto di più.

Esiste però un nucleo comune, che la struttura armonizzata richiede in ogni norma.

A questo nucleo ciascuna norma aggiunge le informazioni del proprio ambito.

06Gli errori più frequenti

Sei situazioni ricorrenti che possono emergere durante un audit.

1. Documenti scritti per l'auditor. Procedure che descrivono un'azienda ideale e non quella reale. Il confronto con chi lavora può far emergere la distanza dalla pratica.

2. Più versioni in circolazione. La procedura aggiornata è sulla intranet, quella superata è stampata in reparto. Il controllo delle versioni serve proprio a evitarlo.

3. Registrazioni compilate alla vigilia della verifica. Date ravvicinate e formule ripetute possono richiedere ulteriori verifiche. L'evidenza deve nascere mentre il processo si svolge.

4. Registrazioni modificabili senza traccia. Un foglio di calcolo condiviso, in cui chiunque può cambiare un risultato senza traccia, rende più difficile dimostrare l’affidabilità della registrazione. Occorre sapere chi ha scritto che cosa, e quando.

5. Conoscenza affidata alle persone. Se un processo critico funziona solo perché lo segue una persona, l'azienda dipende da quella persona. Documentarlo significa renderlo patrimonio dell'organizzazione.

6. Conservare tutto, per sempre. Tempi di conservazione non definiti generano costi e rischi di sicurezza e, quando le registrazioni contengono dati personali, contrastano con il principio di limitazione della conservazione previsto dal GDPR.

07Prima di un audit

Dieci verifiche sul sistema documentale. Si possono spuntare direttamente nella pagina.