ISO 9001:2026, gli indicatori per la business continuity

La nuova versione ISO 9001:2026, pubblicata il 16 settembre 2026, mantiene la struttura armonizzata (HS) già nota della ISO 9001:2015, ma introduce un’enfasi più marcata su alcuni temi; tra questi, in un approccio più maturo al risk-based thinking, la capacità dell’organizzazione di gestire il cambiamento mantenendo la continuità operativa (business continuity).

Non si tratta di un obbligo formale di implementare un sistema conforme alla ISO 22301 “Sistemi di gestione per la continuità operativa – Requisiti” ma di un innalzamento delle aspettative implicite.

Chi implementa e mantiene un SGQ, e più in generale un sistema di gestione, deve dimostrare, con più evidenze concrete, di aver ipotizzato scenari di crisi e la sua capacità di gestirli, lungo tutta la catena del valore.

Tale catena può comprendere: fornitori, processi interni, conoscenza organizzativa, infrastrutture, comunicazione con il cliente, ecc. Il tema della BC è ripreso in più punti dello standard ed in particolare:

• 6.1.2 – “Azioni per affrontare i rischi”;
• 6.1.3 – “Azioni per affrontare le opportunità”;
• 7.1.5 – “Risorse per il monitoraggio e la misurazione”;
• 8.2.1 – “Comunicazione con il cliente”.

In questo articolo si vuole approfondire il tema degli indicatori utili a monitorare questo aspetto nel contesto di un SGQ, ma che potrebbe, facilmente essere esteso ad altri sistemi di gestione.

Gli indicatori di business continuity per la conoscenza organizzativa

La versione 2026 pone l’accento sulla protezione del know-how critico, sul cross-training e sulla successione, elementi determinanti per la continuità in caso di turnover o assenze impreviste.

Competenze critiche, procedure e tempi di riqualificazione

• Indice di copertura delle competenze critiche – percentuale di ruoli/processi chiave per cui esiste almeno un secondo collaboratore formato e in grado di sostituire il titolare. Esempio – su 8 processi identificati come “a rischio conoscenza unica” (es. taratura di uno strumento particolare, gestione di un cliente strategico), l’obiettivo è ridurre da 9 a 4 i processi presidiati da una sola persona entro 12 mesi, tramite piani di affiancamento e da 5 a 0 nei successivi 12 mesi;
• Percentuale di procedure/istruzioni di lavoro critiche aggiornate e validate nell’ultimo anno – per monitorare che la conoscenza documentata sia effettivamente utilizzabile in caso di sostituzione del personale;
• Tempo medio di onboarding/riqualificazione per un ruolo critico – in caso di sostituzione non pianificata;

Supply chain resiliente nella ISO 9001:2026

La nuova versione dello standard richiede, anche se non in modo esplicito, di valutare in modo più strutturato il rischio, le performance e i trend di continuità dei fornitori critici.

Piani di contingenza, alternative e interruzioni

• Percentuale di fornitori critici con piano di contingenza documentato – numero di fornitori “single source” o strategici che hanno fornito (o per cui l’organizzazione ha predisposto) un piano di emergenza sul totale dei fornitori critici mappati. Esempio – un’azienda manifatturiera identifica 15 fornitori critici di componenti; l’obiettivo è che entro fine anno almeno il 85% abbia un piano di continuità verificato (audit documentale, in loco o questionario);
• Tempo medio di attivazione di un fornitore alternativo (lead time di switch) – misura quanto rapidamente l’organizzazione può sostituire un fornitore in caso di interruzione. Esempio – per la materia prima X, il tempo di attivazione di un secondo fornitore qualificato deve passare, entro il trimestre entrante, da 60 a 15 giorni grazie a un accordo quadro preventivo;
• Indice di concentrazione fornitori – quota di spesa/volume concentrata sui primi 1-2 fornitori per categoria merceologica critica; un valore alto segnala una vulnerabilità;
• Numero di interruzioni di fornitura registrate e tempo medio di risoluzione – tracciate come non conformità di processo o eventi di rischio, con relativo impatto misurato in giorni di fermo produzione evitati o subiti.

Continuità operativa e cambiamento: gli indicatori interni

Il requisito 6.3 (Pianificazione delle modifiche) della ISO 9001:2026 viene rafforzato, ogni cambiamento pianificato deve considerare l’impatto sulla continuità dei processi in una logica PDCA.

BIA, simulazioni e tempi di ripristino

• Rispetto della frequenza di aggiornamento della BIA, dei Piani di business continuity e di disaster recovery – quante verifiche sono state svolte sull’adeguatezza dei documenti indicati, anche a valle di simulazioni o applicazioni in contesti reali, rispetto a quante richieste/pianificate;
• Rispetto della frequenza di esecuzione di esercitazioni e simulazioni di eventi che possono compromettere la continuità dei sistemi – quante simulazioni sono state eseguite rispetto a quelle pianificate analizzando scenari diversi anche sulla base di elementi di contesto;
• Percentuale di modifiche di processo con analisi di impatto sulla continuità operativa – quante change request includono una valutazione esplicita del rischio di interruzione, sul totale delle modifiche approvate;
• Tempo di ripristino (Recovery Time Objective, RTO) dei processi critici testato – per i processi chiave (es. produzione, evasione ordini, IT), quanto tempo impiega realmente l’organizzazione a tornare operativa dopo un test di simulazione o un evento reale, confrontato con l’obiettivo dichiarato. Esempio – test annuale di failover del sistema ERP; RTO obiettivo 4 ore, RTO reale misurato 6 ore, da cui ne deriva una azione correttiva con una nuova emissione del piano di disaster recovery;
• Numero di esercitazioni/simulazioni di continuità svolte all’anno e relativo tasso di superamento (es. simulazioni di blackout, guasto macchina critica, assenza di personale chiave).

Business continuity e clienti: misurare la comunicazione

Il requisito 8.2.1(e) sulla comunicazione al cliente in merito ad azioni di contingenza viene ulteriormente enfatizzato; l’organizzazione deve essere proattiva nel comunicare eventuali rischi che possano incidere sui requisiti del cliente.

Notifiche, clausole e soddisfazione post-evento

• Tempo medio di notifica al cliente in caso di evento che impatta sui tempi di consegna – dal momento in cui l’evento è noto internamente a quando il cliente viene informato. Esempio – in caso di fermo macchina che ritarda una commessa, l’obiettivo aziendale è notificare il cliente entro 48 ore dalla rilevazione del problema, con proposta di piano alternativo;
• Percentuale di contratti/ordini con clausole di contingenza concordate preventivamente con il cliente – Esempio – le scorte di sicurezza, fornitori di backup, tempi di preavviso, ecc.;
• Customer satisfaction post-evento – misurabile tramite il livello di soddisfazione rilevato specificamente sui clienti coinvolti in un evento di discontinuità, per valutare l’efficacia della gestione della comunicazione, dei tempi e delle modalità di ripristino.

Rischio e resilienza nel sistema qualità ISO 9001:2026

Gli indicatori possono essere anche tra loro aggregati in una logica di valutazione della resilienza complessiva del sistema.

Severità dei rischi e maturità della gestione

• Numero di rischi “alta severità” – con piano di mitigazione attivo sul totale dei rischi mappati nel registro rischi, con trend nel tempo;
• Indice di maturità della gestione del rischio – valutazione periodica (es. tramite audit interno o self-assessment) del grado con cui l’approccio basato sul rischio è integrato nei processi decisionali, non solo documentato.

Come integrare gli indicatori di business continuity nel SGQ

Un approccio pratico ed efficiente, coerente con lo spirito di “non stravolgere il sistema esistente”, ma piuttosto di migliorarlo e rafforzarlo, prevedere di:

Processi critici, simulazioni e riesame di direzione

• non creare un sistema parallelo di BCM, ma integrare 3-5 indicatori di continuità tra quelli già monitorati nel riesame di direzione (requisito 9.3), evitando duplicazioni con l’analisi dei rischi già esistente;
• collegare gli indicatori ai processi critici già identificati nella mappatura dei processi (requisito 4.4), partendo da quelli con maggiore impatto su cliente, fatturato e reputazione;
• programmare simulazioni realistiche (anche di piccola scala). Esempio – simulare la condizione per cui uno dei fornitori principali non consegna per due settimane la merce;
• rivedere gli indicatori nel riesame di direzione insieme agli altri KPI di qualità, per evitare che la continuità operativa diventi un tema isolato gestito solo dalla funzione ICT o Risk.

ISO 9001:2026 e business continuity: il valore degli indicatori

La ISO 9001:2026 non trasforma il sistema qualità in un sistema di business continuity in senso stretto (per quello resta di riferimento la ISO 22301), ma esplicita la richiesta di prestazioni su quanto un’organizzazione debba dimostrare di aver analizzato e mitigato in anticipo a resilienza complessiva del sistema e della supply chain. Da considerare, inoltre, che tale aspetto, è richiesto anche da altre norme, alcune anche vincolanti, come la NIS 2.

Gli indicatori proposti, solo una piccola parte di quelli ipotizzabili che devono ovviamente essere contestualizzati; essi offrono un punto di partenza concreto e misurabile per anticipare questi requisiti e per affrontare con maggiore solidità il periodo di transizione triennale che seguirà.