Analisi critica - Sistemi di gestione

La Metamorfosi delle Norme ISO

Una mattina ISO 9001 si svegliò trasformata in qualcosa di enorme e difficile da categorizzare. La cosa più inquietante? Nessuno sembrò sorprendersi.

Nel 1915, Franz Kafka pubblica Die Verwandlung - La Metamorfosi. La storia è questa: Gregor Samsa è un commesso viaggiatore che lavora duramente per pagare i debiti di famiglia. Una mattina si sveglia trasformato in un essere mostruoso. In tedesco Kafka scrive "ungeheueres Ungeziefer", qualcosa di enorme, di ripugnante, di non meglio identificato. Non una blatta, non uno scarafaggio, non un coleottero. Kafka non lo dice. Qualcosa che non ha nome preciso, che non rientra in nessuna categoria riconoscibile.

Gregor dentro di sé rimane Gregor. Si preoccupa ancora del lavoro, pensa ai debiti da pagare, si interroga su come la famiglia andrà avanti. I suoi valori, le sue priorità, la sua identità profonda, intatti. Ma la sua voce è diventata un suono incomprensibile. La sua forma non gli permette più di fare quello che faceva. E intorno a lui, la famiglia si adatta: la sorella Grete lo nutre e pulisce la stanza, la madre cerca di capire, il padre gestisce la situazione con crescente freddezza. Col tempo la porta della sua camera viene tenuta chiusa sempre più spesso. Col tempo la parola "Gregor" viene usata sempre meno. Alla fine, Grete, che era stata la sua più grande sostenitrice, dice in modo definitivo: "dobbiamo cercare di liberarcene". Non dice più "Gregor". Dice "quella cosa". E quando Gregor muore, la famiglia si sente sollevata e parte per una gita in campagna, piena di speranza per il futuro.

Leggendo le bozze delle revisioni in corso di ISO 9001, ISO 14001, ISO 45001 e ISO 37001, mi è tornata in mente questa storia. Non per il dramma, per la precisione con cui descrive un meccanismo che conosco bene: quello di qualcosa che cambia forma gradualmente, per ragioni apparentemente ragionevoli, finché un giorno non ti ritrovi davanti a qualcosa che stenti a chiamare con il nome di prima.

E il settore, consulenti, organismi di certificazione, responsabili di sistema, continua a fare quello che faceva prima: adeguare il manuale, aggiornare la procedura, preparare l'audit di rinnovo. La porta si chiude un po' di più ogni volta. E nessuno chiede ad alta voce: ma questa è ancora la norma che conoscevamo?

Gregor prima della metamorfosi: cosa erano queste norme

Un dettaglio del romanzo che si trascura spesso: l'identità di Gregor Samsa era interamente costruita sulla sua funzione. Era un commesso viaggiatore. Lavorava per pagare un debito specifico. Il suo ruolo era preciso, il suo scopo era preciso. Quella precisione era la sua identità.

Lo stesso valeva per le norme ISO nel loro momento di maggiore lucidità. Ognuna aveva uno scopo specifico, quasi chirurgico:

• ISO 9001 nasceva per garantire che un prodotto o servizio soddisfacesse requisiti concordati. Il cliente al centro. Il processo come strumento. La non conformità come segnale da correggere. La norma della qualità del risultato.
• ISO 14001 nasceva per aiutare le organizzazioni a identificare i propri impatti sull'ambiente e a gestirli sistematicamente. Aspetti ambientali significativi, conformità legale, prestazione ambientale misurabile.
• ISO 45001 - arrivata nel 2018 a sostituire OHSAS 18001 - nasceva per proteggere la vita e la salute dei lavoratori. Pericoli, rischi, infortuni, malattie professionali. Concreta, operativa, con una responsabilità morale che nessun'altra norma porta con sé con la stessa intensità.
• ISO 37001 nasceva per combattere la corruzione nelle organizzazioni. Due diligence, controlli finanziari, whistleblowing, formazione specifica. Una norma con una vocazione quasi etica.

Quattro strumenti diversi. Quattro missioni distinte. Quattro linguaggi tecnici costruiti intorno a un oggetto specifico. Come Gregor, ognuna sapeva esattamente cosa fare la mattina quando si alzava.

La mattina della metamorfosi: la Grande Armonizzazione

Nel romanzo, Kafka non spiega come avviene la trasformazione. Gregor si sveglia e la metamorfosi è già avvenuta. Non c'è un momento preciso da identificare, non c'è una causa da trovare. C'è solo il fatto compiuto.

Nel 2012, ISO decide di mettere ordine nel proprio catalogo. Nasce la High Level Structure, poi rinominata Harmonized Structure (HS), uno schema comune a dieci capitoli che tutte le norme di sistema di gestione devono seguire. L'obiettivo dichiarato è nobile: facilitare l'integrazione, evitare duplicazioni, permettere alle organizzazioni di costruire sistemi multipli senza reinventare la ruota ogni volta. Una mattina le norme si svegliano tutte con la stessa struttura.

Riferimento normativo

ISO/IEC Directives, Part 1 - Annex SL (ora Annex L) - Harmonized Structure for Management System Standards. Struttura comune: Cap. 4 Contesto, Cap. 5 Leadership, Cap. 6 Pianificazione (rischi e opportunità), Cap. 7 Supporto, Cap. 8 Attività operative, Cap. 9 Valutazione delle prestazioni, Cap. 10 Miglioramento. Requisiti comuni replicati identicamente in tutte le norme HS.

Il problema non è la struttura comune in sé. È quello che ci è entrato dentro, revisione dopo revisione: contenuti trasversali che si sedimentano in ogni norma indipendentemente dalla sua missione originale.

• L'analisi del contesto esterno e interno: già presente, ma in espansione continua
• Le parti interessate e le loro esigenze e aspettative
• Il climate change come elemento obbligatorio di riflessione (AMD 1:2024 di ISO 9001 e 14001)
• La catena di fornitura e i fornitori critici
• I rischi per la continuità operativa
• Le considerazioni ESG, la responsabilità sociale, la governance

Ed è qui che entra in gioco il dettaglio più kafkiano di tutti, quello che nella lettura frettolosa del romanzo si perde: Kafka non dice mai che tipo di animale sia diventato Gregor. La parola "Ungeziefer" in tedesco indica genericamente qualcosa di ripugnante, un essere non adatto al sacrificio, una creatura senza posto preciso nella tassonomia. Non è uno scarafaggio. Non è una blatta. È qualcosa che resiste alla categorizzazione.

Provate a rispondere senza esitazione a questa domanda: che cos'è oggi ISO 9001? È una norma sulla qualità del prodotto? È un framework di risk management? È uno strumento di governance organizzativa? È un requisito per i bandi di gara? La risposta onesta è: dipende da chi la usa e da come la interpreta. Come l'"Ungeziefer" di Kafka, è diventata qualcosa che resiste a una definizione precisa. E questo, per uno strumento tecnico, non è un pregio.

L'analisi che nessuno vuole fare: pro e contro senza sconti

Argomenti a favore dell'evoluzione in corso

• Integrazione reale, non solo teorica. Le organizzazioni non operano in silos. Un'azienda che inquina e che ha anche un problema di qualità ha un problema sistemico, non due problemi separati. Una struttura comune facilita davvero la visione d'insieme.
• Riduzione delle ridondanze documentali. Un unico manuale integrato, una sola analisi del contesto, un unico riesame della direzione che copre più sistemi - sulla carta ha senso e in pratica funziona nelle organizzazioni che lo fanno bene.
• Allineamento con il contesto normativo e regolatorio reale. Il climate change non è un'opzione. La CSRD, la tassonomia europea, i requisiti ESG delle banche finanziatrici: le organizzazioni sono già obbligate a occuparsene. Che lo faccia anche la ISO 9001 può essere un'opportunità di allineamento.
• Pensiero sistemico vs. pensiero a compartimenti stagni. La realtà imprenditoriale è complessa. Richiedere alle organizzazioni di ragionare su rischi, parti interessate e contesto - anche nella gestione della qualità - è un'evoluzione concettuale legittima.
• Valore per i mercati globali. Una norma riconoscibile internazionalmente, con requisiti armonizzati, riduce la confusione nei rapporti commerciali tra organizzazioni di paesi diversi con sistemi giuridici differenti.

Argomenti contro - o almeno, motivi seri di preoccupazione

• Diluizione della competenza tecnica specifica. Se ogni norma chiede le stesse cose (contesto, rischi, leadership, miglioramento), l'auditor tende a diventare un generalista. Si finisce per auditare la struttura del sistema, non la sostanza tecnica. Un auditor ISO 9001 che non valuta davvero la qualità del prodotto è uno strumento spuntato.
• Il peso della parte comune schiaccia la parte tecnica. In molte organizzazioni - soprattutto PMI - il 60-70% delle energie viene assorbito dai requisiti comuni (contesto, parti interessate, analisi dei rischi trasversale) e il 30% residuo è dedicato alla sostanza della norma. Il rapporto è rovesciato rispetto all'utilità pratica.
• Il climate change in ogni norma rischia di diventare un esercizio retorico. Se ISO 9001 ti chiede di "considerare" il climate change, l'organizzazione scrive una riga nel documento di contesto e considera il requisito soddisfatto. Questo non aiuta il clima - aiuta il certificato.
• Confusione di responsabilità nelle organizzazioni. Chi gestisce il tema climate change? Il RSPP? Il Responsabile Qualità? Il CFO per la CSRD? La moltiplicazione degli ambiti senza chiarire le responsabilità produce conflitti o, peggio, duplicazioni costose.
• Le PMI stanno abdicando al miglioramento reale. Non per cattiva volontà - per sopravvivenza cognitiva. Quando il sistema di gestione diventa troppo complesso rispetto alle dimensioni dell'organizzazione, la risposta razionale è fare il minimo indispensabile per mantenere il certificato. Il miglioramento continuo si trasforma in adempimento continuo.
• Le grandi imprese trattano ogni revisione come un aggiornamento di compliance. Budget, project manager interno, gap analysis, piano di adeguamento, audit di rinnovo. Tutto molto ordinato, tutto molto distante dallo spirito originale della norma. Il certificato è uno strumento di relazione commerciale, non un segnale di eccellenza operativa.

La provocazione: e se tornassimo alla specializzazione?

Eccola, la domanda scomoda che il settore evita di farsi. Non per cattiveria, perché risponderla richiede di mettere in discussione vent'anni di lavoro di armonizzazione, migliaia di sistemi integrati già implementati e un'intera industria della consulenza costruita sulla logica del "tutto insieme fa sinergia".

La domanda è questa: sarebbe più utile avere una norma "infrastrutturale" trasversale, chiamiamola ISO X, che si occupi di contesto organizzativo, governance del rischio, leadership, parti interessate, sostenibilità e climate change, e lasciare che ogni norma di dominio si concentri esclusivamente sul suo oggetto tecnico?

Lo scenario alternativo - ipotesi di lavoro

• ISO X (Governance e Resilienza Organizzativa): contesto, rischi sistemici, parti interessate, climate change, ESG, continuità operativa, leadership strategica. Certificabile autonomamente o come prerequisito per le altre.
• ISO 9001 "pura": qualità del prodotto e del servizio, soddisfazione del cliente, processi produttivi, non conformità, controllo della produzione. Tecnica, misurabile, focalizzata sull'output.
• ISO 14001 "pura": aspetti ambientali, impatti significativi, conformità legale ambientale, prestazione ambientale quantificata. Zero sovrapposizioni con la governance.
• ISO 45001 "pura": identificazione dei pericoli, valutazione dei rischi per la salute e sicurezza, partecipazione dei lavoratori, prevenzione degli infortuni. La vita al centro, senza distrazioni.
• ISO 37001 "pura": sistema anti-corruzione, due diligence, controlli finanziari, cultura dell'integrità. Una norma etica che fa la norma etica, senza dover anche fare il risk management generale.

So già le obiezioni. "Aumenteresti i costi di certificazione." Forse, ma aumenteresti anche il valore reale dei singoli certificati. "Creeresti più burocrazia." Solo se l'implementazione fosse pigra. "Le organizzazioni vogliono sistemi integrati." Le organizzazioni vogliono sistemi che funzionino, l'integrazione è un mezzo, non il fine.

E soprattutto: questa ipotesi sarebbe più onesta. Oggi ISO 9001 chiede di ragionare sul climate change. La norma che regola la qualità di un bullone o di una pratica notarile chiede di ragionare sul climate change. Il requisito c'è, è obbligatorio, e il 90% delle organizzazioni ci dedica mezz'ora di riunione una volta ogni tre anni. Questo è fare sul serio il tema, o è un simulacro?

La famiglia Samsa sono le PMI: prima la porta socchiusa, poi chiusa

Nel romanzo, la famiglia di Gregor non lo abbandona di colpo. C'è una progressione. All'inizio Grete, la sorella, entra nella stanza, gli porta il cibo, cerca di capire cosa gli piaccia mangiare nella sua nuova forma. Sposta i mobili per dargli spazio. Si prende cura di lui con dedizione genuina. Ma col tempo la porta viene lasciata socchiusa sempre meno spesso. La stanza di Gregor diventa il posto dove si ammucchiano le cose inutili. E alla fine arriva il verdetto.

Nella mia esperienza diretta, la traiettoria delle PMI rispetto alle revisioni normative segue esattamente questa curva. All'inizio c'è buona volontà: si partecipa alle giornate informative, si aggiornano le procedure, si rifà l'analisi del contesto. Poi la stanza si riempie di documentazione che nessuno usa davvero. E alla fine il titolare dice al consulente, con stanchezza più che con ostilità: "fai tu, l'importante è che sia a posto per l'audit".

Questa insofferenza non è irrazionale. Una PMI manifatturiera con 25 dipendenti e un mercato B2B locale capisce perfettamente cosa significa migliorare il controllo del processo produttivo. Non capisce perché la stessa norma le chieda di elaborare un'analisi delle parti interessate esterne, di considerare i rischi geopolitici nel contesto esterno e di valutare la rilevanza del climate change sulla propria attività.

Rischio sistemico

Quando i requisiti normativi superano la capacità di comprensione e assorbimento del target a cui sono rivolti, si innesca un meccanismo di adempimento formale che svuota lo strumento del suo valore. Il certificato rimane, il miglioramento svanisce. Il problema non è la PMI che non vuole migliorare - è la norma che smette di parlare la lingua di chi dovrebbe usarla.

Il padre Samsa sono le grandi imprese: gestione, non comprensione

Nel romanzo c'è un altro personaggio che vale la pena guardare: il padre di Gregor. Non è cattivo. Non è malvagio. È semplicemente un uomo che non capisce cosa sia diventato suo figlio e reagisce con l'unico strumento che conosce: il controllo. Quando Gregor esce dalla stanza, il padre lo respinge. In una scena celebre, gli lancia delle mele. Una di quelle mele rimane conficcata nella schiena di Gregor per settimane, fino alla fine.

Le grandi organizzazioni hanno il problema simmetrico e ugualmente preoccupante rispetto alle PMI. Hanno le risorse per gestire ogni revisione. Hanno le strutture, i consulenti, i budget, i project manager. E il risultato di tutto questo è un adeguamento impeccabile dal punto di vista formale, totalmente disconnesso dal miglioramento operativo reale.

Quanti riesami della direzione in grandi aziende dove vengono presentate diapositive perfette: KPI aggiornati, analisi del contesto rielaborata, riferimenti al climate change inseriti nelle sezioni giuste. Tutto impeccabile. E poi, a fine riunione, nessuna decisione reale, nessun investimento nuovo, nessuna riprogettazione di processo. La norma è soddisfatta. Il sistema è immobile. Le mele erano sistemate con cura nel documento, ma Gregor continuava ad averle conficcate nella schiena.

Quando una norma viene percepita come un requisito contrattuale da soddisfare, e non come uno strumento di gestione da usare, ha perso la partita, indipendentemente da quanti requisiti ha aggiunto nell'ultima revisione.

La voce di Gregor: il miglioramento continuo che nessuno sente più

Uno degli elementi più strazianti del romanzo è questo: Gregor dentro di sé rimane completamente lucido. Sa cosa pensa. Sa cosa vorrebbe dire. Sa quali sono le priorità, sa cosa sarebbe giusto fare. Ma quando apre la bocca, dalla sua nuova forma esce solo un suono incomprensibile. La famiglia smette di provare a capirlo. Prima rispondono, poi ascoltano senza rispondere, poi smettono anche di ascoltare.

Il miglioramento continuo, il concetto che Deming, Juran e Ishikawa avevano messo al centro di tutto, era una filosofia prima che un requisito. Era l'idea che ogni organizzazione, ogni giorno, potesse essere un po' meglio di ieri. Non perfetta, migliore. Il ciclo PDCA come habitus mentale, non come procedura documentata.

Nelle versioni attuali delle norme, il miglioramento continuo è ancora lì, al capitolo 10, puntualmente. È Gregor dentro la stanza: presente, lucido, con tutte le sue intenzioni intatte. Ma è circondato da climate change, analisi delle parti interessate, rischi del contesto esterno, catena di fornitura. In questa affollata coabitazione, finisce per occupare lo spazio che rimane, spesso poco. E la sua voce, quando parla, produce documenti che nessuno legge davvero.

La domanda che mi pongo, e che propongo a consulenti, auditor e responsabili di sistema, è se questo affollamento sia il sintomo di norme che hanno perso fiducia nella propria missione originale. Come se non bastasse più dire "migliorano la qualità, proteggono l'ambiente, tutelano i lavoratori" e si sentisse il bisogno di aggiungere sempre qualcosa d'altro per restare rilevanti. Come se Gregor, per farsi sentire, dovesse imparare a parlare anche di geopolitica.

Il momento di Grete: quando si smette di dire il nome

Il momento più preciso del romanzo, quello che segna il punto di non ritorno, non è la morte di Gregor. È prima. È il momento in cui Grete, che lo aveva difeso fino all'ultimo, dice alla famiglia: "non dobbiamo cercare di tenerlo, questo è il nostro problema reale". E poi aggiunge qualcosa di devastante nella sua semplicità: non dice più "Gregor". Dice "esso". La distanza linguistica precede quella fisica. Prima si smette di chiamarlo per nome, poi se ne va da solo.

Nella pratica quotidiana del settore vedo qualcosa di simile. Non si dice più "il sistema di gestione". Si dice "la certificazione". Non si dice "il miglioramento del processo". Si dice "cosa serve per l'audit". Non si dice "la norma ci chiede di". Si dice "la norma ci obbliga a". Il cambio di vocabolario è piccolo. Il cambio di relazione che nasconde è enorme.

Le revisioni in corso non sono necessariamente sbagliate. Alcune direzioni hanno senso, alcune integrazioni sono genuine evoluzioni. Ma vale la pena fermarsi, prima che escano le versioni definitive, e fare la domanda che nessuno vuole fare senza la pressione di chi deve difendere un lavoro già fatto:

Queste norme stanno diventando migliori, o stanno diventando più grandi? E soprattutto: chi le usa ancora le chiama per nome?

Alla fine del romanzo, la famiglia Samsa parte per una gita in campagna. La morte di Gregor ha tolto un peso. C'è speranza nel futuro. Forse anche nel nostro settore ci sarà, prima o poi, qualcuno disposto a dire che quella cosa nella stanza non è più la norma che conoscevamo, e che forse è il momento di ragionare su cosa costruire al suo posto. 

Non per rimpianto. Per utilità.

Riferimenti normativi citati nell'articolo

• ISO 9001:2015 - Sistemi di gestione per la qualità - Requisiti (Cap. 4-10)
• ISO 9001:2015/AMD 1:2024 - Aggiornamento su climate change (clausole 4.1 e 4.2)
• ISO 14001:2015 - Sistemi di gestione ambientale - Requisiti (Cap. 6, Aspetti ambientali)
• ISO 14001:2015/AMD 1:2024 - Aggiornamento su climate change
• ISO 45001:2018 - Sistemi di gestione per la salute e sicurezza sul lavoro (Cap. 6.1, Pericoli e rischi)
• ISO 37001:2016 - Sistemi di gestione anti-corruzione (Cap. 4, 6, 8)
• ISO/IEC Directives Part 1 - Harmonized Structure (ex Annex SL) - Struttura comune a 10 capitoli
• ISO 31000:2018 - Gestione del rischio - Linee guida (base concettuale trasversale)

© Diritti e citazioni - I personaggi e le opere citati in questo articolo appartengono ai rispettivi autori e titolari dei diritti. Il loro utilizzo ha finalità esclusivamente divulgativa e di commento critico, ai sensi dell'art. 70 L. 633/1941. Nessuna affiliazione o sponsorizzazione è implicita o sottintesa.

© mauriziomicucci.it - La riproduzione è consentita con citazione della fonte