Se hai la ISO 45001, dal 2025 non parti più da zero

Per anni la risposta è stata «la certificazione non basta». Una legge di fine 2025, una sentenza della Cassazione e la legge sulle PMI del marzo 2026 hanno cambiato il quadro.

Aggiornato a settembre 2026

È una domanda che mi fanno quasi tutte le imprese certificate: ho già la qualità, l’ambiente, la sicurezza — quel sistema di gestione non vale come Modello 231?

Per anni la risposta è stata no, e non era una risposta comoda da dare a chi aveva appena speso tempo e soldi per certificarsi. Oggi la risposta è cambiata, ma non nel modo in cui piacerebbe: non è diventata «sì», è diventata «dipende, e la differenza la fai tu».

Perché per anni la risposta era no

Il D.Lgs. 231/2001 non descrive nel dettaglio come debba essere fatto un Modello. L’art. 6 elenca che cosa deve fare: individuare le attività nel cui ambito possono essere commessi reati, prevedere protocolli per la formazione e l’attuazione delle decisioni, individuare come si gestiscono le risorse finanziarie, stabilire obblighi di informazione verso l’organismo di vigilanza, introdurre un sistema disciplinare.

Un sistema di gestione per la qualità o per l’ambiente fa una cosa diversa: descrive come si svolgono i processi e come si tiene sotto controllo la loro qualità. Si somigliano, ma non coincidono — e soprattutto il decreto chiede che il Modello sia efficacemente attuato, che è una qualità che nessun certificato può attestare al posto tuo.

Che cosa è cambiato

Il punto di contatto formale fra le due materie è sempre stato uno solo: l’art. 30 del D.Lgs. 81/2008, quello sulla sicurezza sul lavoro, che al comma 5 prevede una presunzione di conformità per i modelli costruiti secondo determinati standard.

Il problema è che quel comma è rimasto per anni a nominare le Linee guida UNI-INAIL del 2001 e il British Standard OHSAS 18001:2007 — cioè uno standard nel frattempo ritirato e sostituito dalla ISO 45001. Chi si era aggiornato allo standard nuovo si trovava, paradossalmente, fuori dalla presunzione.

La legge 29 dicembre 2025, n. 198 — quella che ha convertito il decreto sicurezza sul lavoro, il d.l. 159/2025 — ha allineato il testo. Oggi il comma 5 dice che si presumono conformi ai requisiti dell’articolo, per le parti corrispondenti, i modelli definiti secondo le Linee guida UNI-INAIL del 2001 o secondo la norma UNI EN ISO 45001:2023+A1:2024.

Pochi mesi dopo è arrivata la Corte di cassazione. La quarta sezione penale, con la sentenza n. 30039 — decisa il 13 maggio e depositata il 1° settembre 2025 — ha chiarito che la conformità a uno standard internazionale è un elemento di rilievo nella valutazione della colpa di organizzazione, e che si tratta di una presunzione relativa: il giudice che voglia dichiarare inadeguato il Modello deve dimostrarne l’inadeguatezza sostanziale e motivarla, non può limitarsi a darla per scontata.

E c’è un terzo passaggio, più recente e meno commentato. La legge annuale sulle PMI — legge 11 marzo 2026, n. 34, in vigore dal 7 aprile — ha introdotto nell’art. 30 il principio di proporzionalità rispetto alla dimensione aziendale e ha incaricato l’INAIL di predisporre modelli di organizzazione e gestione semplificati per le microimprese e le PMI. Quando saranno pubblicati diventeranno il punto di partenza naturale per chi sta sotto quella soglia, ed è la ragione per cui a un’impresa piccola oggi non direi più «lascia perdere, è roba da grandi».

Che cosa significa in pratica

Significa che la certificazione è passata da «non conta niente» a «conta, e va sfruttata». Ma attenzione a due limiti che restano, e sono i limiti che fanno la differenza fra un Modello che regge e uno che cade.

Il primo: vale «per le parti corrispondenti». L’espressione è nel testo di legge e non è un dettaglio. Il sistema di gestione della sicurezza copre i reati presupposto in materia di salute e sicurezza dei lavoratori. Non copre la corruzione, non copre i reati tributari, non copre l’ambiente se non hai anche quel sistema. Su tutto il resto il Modello va costruito.

Il secondo: la presunzione è relativa, non assoluta. Resta in piedi finché nessuno dimostra il contrario, e ciò che la fa cadere è sempre la stessa cosa: procedure che nessuno applica, un organismo di vigilanza che non si riunisce, un sistema disciplinare mai usato. La certificazione attesta che il sistema è conforme a uno standard; il giudice guarda se in quell’azienda, quel giorno, il sistema funzionava.

Come lo userei io

Se hai già un sistema di gestione, il Modello non si scrive da capo: si aggancia. Le procedure che già esistono e che la gente già applica restano dove sono e vengono richiamate; si scrive di nuovo solo ciò che manca — la mappa dei reati che nel tuo caso sono davvero possibili, il sistema disciplinare, i flussi verso l’organismo di vigilanza.

È anche il modo per evitare l’errore più frequente che vedo: protocolli 231 che replicano procedure già esistenti con parole diverse. Il risultato è che l’azienda si ritrova due regole per la stessa attività, il personale segue quella che conosce, e il Modello diventa carta — cioè esattamente ciò che lo rende inefficace in giudizio.

Una cosa pratica, per finire. La stessa legge 198/2025 ha previsto una convenzione fra Ministero del lavoro, INAIL e UNI per la consultazione gratuita delle norme tecniche in materia di salute e sicurezza, attiva dal 28 aprile 2026. Prima di decidere se il tuo sistema regge, la 45001 puoi leggerla senza comprarla.

Nota per il lettore che aveva già letto questa pagina. La versione precedente di questo articolo, del 2019, concludeva che un sistema di gestione certificato non poteva ritenersi di per sé un’esimente. Era corretto allora. Le novità del 2025 hanno spostato il punto, e la pagina è stata riscritta di conseguenza.