La certificazione è l'attestazione, rilasciata da un organismo di terza parte, che il sistema di gestione è conforme ai requisiti della norma. In Italia l'organismo nazionale di accreditamento è Accredia, che verifica la competenza e l'imparzialità degli enti di certificazione secondo la norma ISO/IEC 17021-1. Un certificato emesso sotto accreditamento riporta il marchio dell'ente di accreditamento ed è riconosciuto a livello internazionale; un certificato non accreditato ha valore molto inferiore e va guardato con cautela, specie nelle qualifiche dei fornitori.
Il percorso tipico prevede un audit iniziale in due fasi. La prima, detta stage 1, verifica la documentazione, il campo di applicazione, la conformità legale di base e la preparazione dell'organizzazione. La seconda, stage 2, si svolge sul campo e verifica l'attuazione effettiva in reparti, cantieri e uffici, con interviste a lavoratori, preposti, RLS e direzione. Se non emergono non conformità maggiori aperte, l'ente rilascia il certificato, valido tre anni.
Durante il triennio si svolgono audit di sorveglianza almeno annuali, a campione sui processi. Alla scadenza un audit di rinnovo riesamina l'intero sistema. Le non conformità rilevate vanno chiuse con azioni correttive entro tempi definiti; in caso contrario il certificato può essere sospeso o revocato.
Il RSPP ha un ruolo chiave nella preparazione, ma non deve trasformarsi nel portavoce unico durante l'audit: l'auditor vuole sentire risposte da chi gestisce i processi.