ISO 37301

La ISO 37301 è la norma sui sistemi di gestione della compliance: un impianto unico per governare tutti gli obblighi a cui l’organizzazione è soggetta, invece di tenerne uno per il 231, uno per la privacy, uno per l’ambiente e così via. È certificabile, a differenza della linea guida che l’ha preceduta.

L’accreditamento c’è, e dal 2025 vale anche oltre i confini nazionali: questo la rende spendibile con committenti e capogruppo esteri. Il rapporto con il 231 va spiegato con precisione, perché non lo sostituisce: aggiunge il metodo di gestione e la verifica indipendente, mentre l’esimente resta legata al modello organizzativo previsto dal decreto.

Che cosa facciamo, in concreto

Quasi tutte le aziende che ci chiamano su questa norma hanno già un modello 231 e un organismo di vigilanza. Il rischio è costruirci accanto un secondo impianto che dice le stesse cose in un’altra lingua. Il nostro lavoro è l’opposto: usare la norma per dare struttura a quello che c’è.

Che cos’è la ISO 37301

La ISO 37301:2021 è la norma sui sistemi di gestione della compliance, pubblicata ad aprile 2021 e integrata dall’emendamento del 2024 sui temi climatici. In Italia il riferimento è UNI ISO 37301:2021+A1:2024. Ha sostituito la vecchia ISO 19600, ritirata nell’aprile 2021, e il salto è sostanziale: quella era una linea guida non certificabile, questa è una norma con requisiti, certificabile da terza parte.

Nel 2025 lo stesso comitato ha pubblicato la ISO 37302, una guida sulla valutazione dell’efficacia del sistema: non è certificabile, ma è lo strumento giusto per rispondere alla domanda che prima o poi arriva dal consiglio, cioè se il sistema stia funzionando davvero.

L’accreditamento c’è, e dal 2025 vale anche fuori dall’Italia

Lo schema è accreditato in Italia dal 2021, con l’accreditamento degli organismi sulla norma generale dei sistemi di gestione. C’è però un fatto più recente che conta di più: a dicembre 2024 è stata approvata l’estensione dell’accordo internazionale di mutuo riconoscimento a questa norma, comunicata nel gennaio 2025.

Prima di allora un certificato accreditato in Italia non era automaticamente riconosciuto all’estero; adesso lo è. Per chi lavora con gruppi multinazionali o partecipa a qualifiche di fornitura internazionali, è la differenza fra un titolo locale e uno spendibile.

Il rapporto con il 231: che cosa aggiunge e che cosa non sostituisce

Esiste una norma italiana dedicata proprio a questo: la UNI 11961:2024, linee guida per l’integrazione del sistema di gestione della compliance a supporto dei modelli di organizzazione, gestione e controllo e degli organismi di vigilanza. È una linea guida, non è certificabile, e serve ad armonizzare protocolli, flussi verso l’organismo, valutazione dei rischi, segnalazioni e indicatori con l’impianto della norma. È il documento da cui partiamo quando il modello 231 c’è già.

Detto questo, va detto anche il resto. Non esiste alcuna disposizione che colleghi la certificazione all’idoneità del modello 231. L’unica presunzione di conformità prevista dalla legge italiana riguarda la salute e sicurezza, ed è quella dell’articolo 30, comma 5 del decreto 81, riferita a linee guida e norme specifiche di quel campo. Per la compliance non c’è nulla di analogo, e nemmeno per l’anticorruzione.

La giurisprudenza si muove nella stessa direzione: una pronuncia della Cassazione penale del 2025 ha chiarito, in materia di sicurezza, che le certificazioni di sistema non esimono automaticamente l’ente, ma costituiscono un elemento di particolare pregnanza nell’accertamento della colpa organizzativa. È un’affermazione che riguarda un altro schema, ma la logica è la stessa: il certificato è prova di organizzazione, non scudo.

Come lo diciamo ai nostri clienti: la norma serve a rendere il modello vivo e dimostrabile, che è esattamente il punto su cui i modelli 231 vengono giudicati inadeguati.

Il rapporto con l’anticorruzione e con la parità di genere

Con la ISO 37001 il rapporto è di famiglia: stessa struttura, requisiti che si integrano. Attenzione però, perché anche quella è appena cambiata: la nuova edizione del 2025 ha sostituito quella del 2016, e le regole di transizione prevedono la revoca dei certificati sulla vecchia edizione entro il 28 febbraio 2027. Chi ha entrambi gli schemi ha quindi una scadenza da mettere a calendario. Un dato di contesto utile: l’Italia è prima al mondo per numero di certificati anticorruzione.

Con la certificazione della parità di genere il rapporto è invece di natura diversa, e va detto senza ambiguità: quella ha una base di legge e produce premialità obbligatoria negli appalti ai sensi del codice dei contratti. La compliance no. Il vantaggio di questa norma è di sistema — interoperabilità con anticorruzione, segnalazioni, qualità, sicurezza — non di punteggio in gara.

Quanto tempo serve

Per un’azienda con modello 231 attivo e organismo di vigilanza funzionante, servono da quattro a sei mesi. Se il modello è fermo da anni o l’organismo si riunisce due volte l’anno, prima va rimesso in moto quello: si arriva a otto o dieci mesi.

Quanto costa

La nostra consulenza si calcola a giornate. Un innesto su un modello 231 esistente richiede tipicamente da dieci a diciotto giornate; un percorso da zero, da venti a trentacinque.

Il costo dell’organismo è separato e va chiesto direttamente, verificando che operi in regime accreditato: su questo schema è possibile e, dal 2025, il certificato è riconosciuto anche fuori dall’Italia. Per il mantenimento applichiamo un canone pari al una quota del costo di implementazione.

Gli errori che allungano i tempi

Il primo errore è promettere al consiglio che il certificato mette al riparo dalla responsabilità dell’ente. Non lo fa, e prometterlo è un problema di credibilità che si paga alla prima contestazione.

Il secondo è costruire un sistema parallelo al 231. Due manuali che dicono le stesse cose in modo diverso sono peggio di uno solo fatto bene.

Il terzo è tenere il registro degli obblighi fermo. È il cuore del sistema: se non viene aggiornato quando cambia una legge o un contratto, il resto non regge.

Il quarto è nominare una funzione compliance senza autonomia e senza budget. In audit si vede subito, perché non ha prodotto niente.

Il quinto è dimenticare le scadenze della norma sull’anticorruzione, se hai entrambi gli schemi: i certificati sulla vecchia edizione vanno revocati entro il febbraio 2027.

Dove operiamo

Lavoriamo su tutto il territorio nazionale, con sedi a Milano, Bologna, Roma e Brescia. Alterniamo le giornate in sede alle attività a distanza per la parte documentale, così le trasferte pesano dove servono davvero.

Domande frequenti

Rende idoneo il mio modello 231?
No. Nessuna norma di legge lo prevede. Il certificato dimostra che hai un sistema che funziona, ed è un elemento valutabile, ma l’idoneità del modello la giudica il giudice.

Devo avere già il modello 231?
Non è un prerequisito, ma nella pratica italiana il punto di partenza è quasi sempre quello, ed è un vantaggio: gran parte del lavoro di analisi dei rischi è già fatto.

Che differenza c’è con la vecchia ISO 19600?
Quella era una linea guida non certificabile, ritirata nel 2021. Questa ha requisiti e si certifica.

Dà punteggio in gara?
Non risulta una premialità di legge come per la parità di genere. Può essere valorizzata nei criteri di aggiudicazione dalla singola stazione appaltante, ma va verificato sul bando.

È riconosciuta all’estero?
Sì, dal 2025: l’accordo internazionale di mutuo riconoscimento è stato esteso a questo schema. Prima non lo era.