UNI EN ISO 45001 e sistemi di gestione della sicurezza dopo il DL 159/2025

Dal 31 ottobre 2025 l’art. 30, comma 5, del D.Lgs. 81/2008 richiama la UNI EN ISO 45001:2023+A1:2024 al posto della vecchia OHSAS 18001:2007. I modelli organizzativi conformi si presumono conformi ai requisiti di legge per le parti corrispondenti. La certificazione resta volontaria e non sostituisce l’efficace attuazione del sistema.

La modifica viene dall’art. 10, comma 1, lettera a), del DL 159/2025. Sembra un semplice aggiornamento di sigla, ma ha effetti concreti su chi usa un sistema di gestione come base del proprio modello organizzativo.

Cosa è cambiato nell’art. 30, comma 5

Il comma 5 dell’art. 30 contiene da sempre una presunzione: in sede di prima applicazione, i modelli definiti secondo determinati riferimenti tecnici si presumono conformi ai requisiti dell’articolo “per le parti corrispondenti”. Fino al DL 159/2025 i riferimenti erano due: le Linee guida UNI-INAIL per un sistema di gestione della salute e sicurezza (SGSL) del 28 settembre 2001 e il British Standard OHSAS 18001:2007.

Il riferimento alla OHSAS era rimasto nel Testo unico anche dopo che lo standard era stato ritirato e sostituito dalla ISO 45001, pubblicata nel 2018. Il legislatore ha quindi allineato la norma alla realtà delle certificazioni. La lettera b) dello stesso art. 10 ha poi aggiunto il comma 5-ter sulla consultazione gratuita delle norme UNI, approfondito nella pagina sulla consultazione gratuita delle norme UNI.

Cosa indica la sigla UNI EN ISO 45001:2023+A1:2024

La sigla ha tre livelli. ISO 45001 è lo standard internazionale sui sistemi di gestione per la salute e sicurezza sul lavoro. EN indica che è stato recepito come norma europea dal CEN, UNI che è stato adottato come norma nazionale italiana: l’edizione UNI del 2023 recepisce la norma europea di quell’anno.

La parte “+A1:2024” indica l’emendamento pubblicato nel 2024 a livello ISO, che riguarda il cambiamento climatico. Chiede all’organizzazione di valutare se il clima sia una questione rilevante per il proprio contesto e se le parti interessate abbiano esigenze in materia. Per un’impresa edile o agricola, per esempio, l’esposizione dei lavoratori a ondate di calore entra così anche nell’analisi del contesto del sistema di gestione.

Il richiamo preciso all’edizione ha una conseguenza pratica: un sistema impostato su una versione superata o non aggiornato all’emendamento rischia di non poter sostenere la presunzione per gli aspetti nuovi.

Come i requisiti della norma si collegano all’art. 30

L’art. 30, comma 1, elenca gli obblighi giuridici che il modello deve coprire, dalla lettera a) alla h). La ISO 45001 ha una struttura per capitoli, dal 4 al 10, comune agli altri standard di sistema di gestione. La tabella mostra dove i due testi si incontrano: è il punto di partenza di qualsiasi gap analysis.

La corrispondenza non è perfetta. La ISO 45001 chiede di rispettare i requisiti legali senza elencarli: la sorveglianza sanitaria o la riunione periodica rientrano nel sistema solo se l’organizzazione le ha individuate e gestite come obblighi di conformità.

Fin dove arriva la presunzione di conformità

La presunzione vale “per le parti corrispondenti” e riguarda i requisiti dell’art. 30, cioè del modello che può esonerare l’ente dalla responsabilità amministrativa del D.Lgs. 231/2001 per i reati di omicidio e lesioni colposi. Alcuni elementi richiesti dall’art. 30 non hanno un equivalente diretto nella norma tecnica:

• il sistema disciplinare per il mancato rispetto delle misure (comma 3), che la ISO 45001 non disciplina in modo specifico;
• l’organismo di vigilanza e i flussi informativi verso di esso, che derivano dal D.Lgs. 231/2001;
• la registrazione dell’avvenuta effettuazione delle attività (comma 2), coperta solo se le informazioni documentate sono davvero complete.

C’è poi un limite più profondo. Anche dove la corrispondenza c’è, la presunzione riguarda l’idoneità del modello sulla carta. Il comma 1 parla di modello “adottato ed efficacemente attuato”, e l’efficace attuazione si giudica sui fatti: audit svolti, non conformità chiuse, misure verificate. Il rapporto tra art. 30 e responsabilità dell’ente è trattato nella pagina sulle modifiche all’articolo 30 sul modello organizzativo.

Certificazione volontaria, effetti concreti

Nessuna norma obbliga a certificarsi. La certificazione rilasciata da un organismo accreditato ha però effetti misurabili. Nella patente a crediti dei cantieri, il DM 18 settembre 2024, n. 132, all’art. 5, comma 4, lettera a), include il sistema di gestione certificato UNI EN ISO 45001 da un organismo accreditato ACCREDIA o firmatario degli accordi IAF MLA tra le attività che possono dare fino a 30 crediti aggiuntivi, insieme ad altre voci come il modello organizzativo asseverato. La pagina sui crediti aggiuntivi della patente spiega come si sommano.

Se la certificazione decade, i crediti collegati vengono sottratti (art. 5, comma 6, dello stesso decreto). Chi la usa per la patente deve quindi seguire scadenze di sorveglianza e rinnovo con la stessa attenzione dei documenti di cantiere.

Anche l’accesso alla norma è più facile. Dal 28 aprile 2026 la piattaforma UNI consente di consultarla gratuitamente previa registrazione. Secondo il Ministero del Lavoro, tra il 28 aprile e il 30 giugno 2026 la ISO 45001 è stata il documento più consultato fra i 62 disponibili, con oltre 1.200 accessi.

Esempio: un’impresa che usa ancora il manuale OHSAS

Esempio: un’impresa di impiantistica con 60 dipendenti ha un modello 231 scritto nel 2015 che rinvia a procedure costruite sulla OHSAS 18001. La certificazione è stata convertita alla ISO 45001 anni fa, ma il modello cita ancora lo standard vecchio e le procedure non sono state ritoccate.

La gap analysis fa emergere tre punti. Il contesto dell’organizzazione non considera il lavoro all’aperto nei mesi estivi, richiesto dall’emendamento sul clima. La consultazione dei lavoratori è limitata alla riunione periodica, mentre la norma chiede partecipazione anche nella scelta delle misure e nell’analisi degli incidenti. I mancati infortuni vengono raccolti, ma non entrano nel riesame della direzione.

L’impresa aggiorna i riferimenti del modello, integra l’analisi del contesto, collega il registro dei mancati infortuni al processo di gestione degli incidenti e lo porta in riesame. Nessuno di questi interventi riguarda il certificato: riguardano ciò che rende la presunzione difendibile.

Errori che indeboliscono il sistema in audit e in ispezione

• Trattare il certificato come un’esimente. In un procedimento dopo un infortunio grave si guarda a come il sistema ha funzionato in quel caso, non al logo sul sito.
• Fermare l’analisi degli incidenti all’errore umano. Il capitolo 10.2 chiede di indagare le cause, comprese quelle organizzative. Il metodo è descritto nella guida all’analisi delle cause radice dei near miss.
• Escludere gli appaltatori. Il capitolo 8.1.4 chiede di controllare i rischi portati da fornitori e imprese esterne, che sono spesso il punto debole nei cantieri e nelle manutenzioni.
• Tenere due sistemi paralleli. Un manuale per l’ente di certificazione e un modello 231 per l’organismo di vigilanza, con procedure diverse sugli stessi processi, producono contraddizioni che emergono al primo controllo.
• Misurare solo gli infortuni. Indicatori come segnalazioni di near miss chiuse, audit svolti e azioni verificate dicono molto di più sull’efficacia.

Come adeguare il sistema in sei passaggi

1. Sostituire in modello, manuale e procedure ogni riferimento alla OHSAS 18001 con la UNI EN ISO 45001:2023+A1:2024.
2. Verificare con l’ente di certificazione che il certificato copra l’edizione con l’emendamento del 2024.
3. Svolgere la gap analysis seguendo la tabella fra art. 30 e capitoli della norma, segnando le parti non coperte.
4. Integrare ciò che manca per il D.Lgs. 231/2001: sistema disciplinare, flussi all’organismo di vigilanza, registrazioni.
5. Collegare il registro dei near miss e degli incidenti al riesame della direzione, con indicatori stabili.
6. Pianificare un audit interno sul campo, non solo documentale, prima del successivo audit di sorveglianza.

Gli altri strumenti di prevenzione digitale previsti o rilanciati dal decreto sono raccolti nella sezione near miss e digitalizzazione della prevenzione.