La norma ISO 19011 rappresenta il riferimento internazionale per pianificare, gestire e condurre gli audit dei sistemi di gestione. La quarta edizione aggiorna la precedente versione del 2018 e fornisce indicazioni rivolte agli auditor, ai responsabili dei programmi di audit, alle organizzazioni certificate, ai consulenti e a tutte le figure coinvolte nelle verifiche interne o nella valutazione dei fornitori.
Un audit efficace non consiste nella semplice verifica formale di procedure, registrazioni e moduli. Deve accertare se il sistema di gestione è realmente applicato, se i processi conseguono i risultati pianificati, se i rischi sono governati e se l’organizzazione dispone della capacità di mantenere nel tempo conformità, efficacia e miglioramento.
La qualità dell’audit dipende quindi dalla solidità del metodo, dalla competenza del gruppo incaricato e dalla capacità di raccogliere evidenze oggettive pertinenti.
La UNI CEI EN ISO 19011:2026 non è una norma certificabile e non stabilisce requisiti obbligatori per ottenere una certificazione. Fornisce linee guida applicabili agli audit di prima parte, svolti dall’organizzazione su sé stessa, e agli audit di seconda parte, condotti sui fornitori o su altre parti della filiera.
Può offrire supporto anche agli audit esterni, pur restando distinta dalla ISO/IEC 17021-1, che contiene i requisiti applicabili agli organismi impegnati nella certificazione dei sistemi di gestione.
Il campo di applicazione è trasversale. Le indicazioni possono essere adottate per sistemi qualità, ambiente, salute e sicurezza sul lavoro, sicurezza alimentare, energia, responsabilità sociale, sicurezza delle informazioni e per audit combinati su più discipline. Possono essere utilizzate da grandi gruppi industriali, PMI, organizzazioni multisito, enti pubblici, società di servizi e operatori con processi affidati all’esterno.
Differenze tra ISO 19011:2018 e ISO 19011:2026
La norma ISO 19011 mantiene l’impianto generale della terza edizione: principi dell’attività di audit, gestione del programma, conduzione della singola verifica e competenza degli auditor. La revisione non modifica radicalmente il processo, ma ne aggiorna l’applicazione rispetto alla diffusione del lavoro digitale, delle sedi virtuali e dei metodi di valutazione da remoto.
La premessa ISO identifica come modifiche principali l’ampliamento delle indicazioni sugli audit a distanza e l’integrazione delle linee guida contenute nella ISO/IEC TS 17012:2024. L’Appendice A è stata quindi estesa con indicazioni più precise sui metodi remoti e sulle sedi virtuali.
L’aggiornamento risponde anche alla crescita del numero di norme sui sistemi di gestione pubblicate dopo il 2018.
Le discipline condividono una struttura armonizzata, termini comuni e requisiti trasversali, ma presentano rischi, obblighi e competenze tecniche differenti. Il programma di audit deve poter integrare più criteri senza ridurre l’analisi a una checklist generica. Durante un audit combinato, il gruppo deve comprendere le interazioni tra qualità, ambiente, sicurezza, continuità operativa, compliance e indirizzi strategici.
Le attività di verifica devono quindi confrontarsi con sistemi di gestione più integrati, tecnologie digitali, sedi virtuali, catene di fornitura articolate e crescenti aspettative sulle prestazioni.
La revisione è coerente con la trasformazione delle principali norme ISO. La norma di certificazione ISO 14001:2026 rafforza l’attenzione verso prestazioni ambientali, cambiamento climatico, biodiversità, disponibilità delle risorse e catena del valore. La norma di certificazione ISO 9001:2026 è prevista in sostituzione dell’edizione 2015, mentre la revisione della norma di certificazione ISO 45001 è ancora in corso.
Requisiti della norma ISO 19011
Scopo, campo di applicazione e terminologia dell’audit
La ISO 19011:2026 definisce l’audit come un processo sistematico, indipendente e documentato finalizzato a ottenere evidenze oggettive e valutarle con obiettività rispetto ai criteri stabiliti. Da tale definizione emergono quattro elementi operativi: la verifica deve essere pianificata, deve garantire un adeguato livello di indipendenza, deve produrre registrazioni e deve fondare le conclusioni su informazioni verificabili. Opinioni personali, impressioni e consuetudini organizzative non costituiscono evidenze sufficienti.
I criteri di audit possono derivare da una o più norme di sistema, politiche aziendali, procedure, istruzioni, requisiti legislativi, obblighi contrattuali, capitolati cliente, codici settoriali e criteri di prestazione. Una risultanza nasce dal confronto tra evidenza e criterio. In assenza di un criterio identificabile, l’auditor non dovrebbe formulare una non conformità, perché mancherebbe il riferimento rispetto al quale dimostrare il mancato soddisfacimento di un requisito.
La nuova terminologia include espressamente il metodo di audit a distanza, utilizzato quando le attività sono condotte in un luogo diverso dalla sede sottoposta a verifica. Il campo della verifica può comprendere siti fisici e virtuali, funzioni, unità organizzative, processi, attività e periodi temporali definiti. La distinzione è rilevante per aziende che gestiscono servizi online, piattaforme informatiche, personale in lavoro agile, funzioni corporate centralizzate o processi distribuiti tra più stabilimenti.
I sette principi dell’attività di audit
La norma ISO 19011 conferma sette principi: integrità, presentazione imparziale, dovuta professionalità, riservatezza, indipendenza, approccio basato sull’evidenza e approccio basato sul rischio. Tali principi costituiscono il fondamento dell’affidabilità del processo. Il loro rispetto permette a auditor diversi, posti in condizioni analoghe e in possesso di competenze adeguate, di raggiungere conclusioni comparabili.
Integrità e presentazione imparziale richiedono un comportamento etico, responsabile e libero da alterazioni intenzionali. Risultanze, conclusioni e rapporti devono rappresentare fedelmente quanto osservato. Devono essere registrati anche ostacoli, limitazioni, indisponibilità di informazioni e divergenze non risolte tra gruppo di audit e organizzazione verificata. Un rapporto che omette limitazioni rilevanti può attribuire alle conclusioni un livello di affidabilità superiore a quello realmente raggiunto.
Indipendenza, evidenza e rischio incidono direttamente sulla pianificazione. L’auditor deve evitare conflitti di interesse e mantenere obiettività anche quando opera internamente. Le evidenze sono normalmente raccolte mediante campionamento, poiché tempo e risorse sono limitati. Il campione deve essere proporzionato al rischio, alla variabilità del processo, alle prestazioni precedenti e alla significatività delle conseguenze. L’approccio risk-based orienta quindi durata, frequenza, priorità, composizione del gruppo e profondità della verifica.
Gestione del programma di audit secondo la ISO 19011
Il programma di audit comprende l’insieme delle verifiche pianificate in un arco temporale definito e orientate verso uno scopo specifico. Non coincide con il piano del singolo audit. Il programma stabilisce obiettivi generali, periodicità, campi di applicazione, criteri, metodi, responsabilità, risorse, competenze, registrazioni, monitoraggio e riesame. Il piano descrive invece le attività e le disposizioni operative relative a una specifica verifica.
Gli obiettivi devono essere coerenti con gli indirizzi strategici, le politiche e gli obiettivi del sistema di gestione. Possono riguardare il livello di conformità, l’efficacia dei processi, l’adeguatezza dei controlli, la capacità di rispettare gli obblighi legislativi, l’affidabilità di un fornitore, la gestione dei cambiamenti o l’individuazione di opportunità di miglioramento.
Un programma impostato soltanto per rispettare la frequenza annuale perde gran parte del proprio valore gestionale.
La persona incaricata della gestione deve valutare rischi e opportunità collegati al programma. Tra i rischi rientrano obiettivi mal definiti, tempi insufficienti, carenza di auditor competenti, limitata indipendenza, selezione inadeguata dei metodi, indisponibilità delle evidenze, comunicazioni inefficaci e utilizzo di piattaforme digitali non sicure.
Le opportunità comprendono l’integrazione di più verifiche nella stessa visita, la riduzione degli spostamenti, un impiego selettivo delle tecnologie e una migliore corrispondenza tra competenza del gruppo e processi da valutare.
Definizione, attuazione e monitoraggio del programma
L’estensione del programma deve essere proporzionata alle dimensioni dell’organizzazione, al numero di siti, alla complessità dei processi, al livello di maturità, ai risultati precedenti e alla tipologia dei rischi. Processi con prestazioni instabili, frequenti anomalie, reclami, incidenti o rilevanti obblighi legali richiedono normalmente maggiore frequenza e profondità rispetto ad attività consolidate e caratterizzate da controlli efficaci.
La selezione del gruppo deve essere basata sulla competenza complessiva necessaria per conseguire gli obiettivi. Non è sufficiente verificare la partecipazione a un corso. Devono essere considerate conoscenze della disciplina, esperienza nel settore, capacità di applicare i metodi, familiarità con i requisiti legislativi, abilità comunicative, indipendenza e attitudine a lavorare con il gruppo. Quando mancano conoscenze specialistiche può essere inserito un esperto tecnico, che supporta il team senza assumere automaticamente il ruolo di auditor.
Il programma deve essere monitorato mediante indicatori appropriati. Possono essere valutati il rispetto della pianificazione, il raggiungimento degli obiettivi, l’efficacia dei gruppi, la qualità dei rapporti, la chiusura delle azioni successive e il livello di soddisfazione delle parti interessate. Il riesame deve tradursi in modifiche documentate: revisione delle frequenze, aggiornamento dei metodi, riqualificazione degli auditor, variazione delle risorse o introduzione di verifiche mirate.
Pianificazione e conduzione del singolo audit
La conduzione inizia con l’avvio formale, il contatto con l’organizzazione sottoposta a verifica e la valutazione della fattibilità. Devono essere confermate disponibilità delle informazioni, collaborazione delle persone, tempi, tecnologie, autorizzazioni, condizioni di sicurezza e possibilità di raggiungere gli obiettivi. Una verifica non dovrebbe essere avviata quando le limitazioni note impediscono di raccogliere evidenze sufficienti.
La preparazione comprende il riesame delle informazioni documentate, la predisposizione del piano, l’assegnazione delle attività al gruppo e l’elaborazione dei documenti di lavoro. La checklist può supportare l’auditor, ma non deve vincolarne l’analisi. Domande, campioni e percorsi devono essere adattati ai processi, ai rischi e alle evidenze emergenti. Una checklist identica per ogni organizzazione favorisce verifiche meccaniche e può impedire di riconoscere anomalie specifiche.
Durante la fase operativa vengono svolte riunione di apertura, interviste, osservazioni, esame delle registrazioni, campionamenti e verifiche incrociate. Le informazioni raccolte devono essere pertinenti e verificabili.
Prima della riunione di chiusura, il gruppo riesamina le risultanze e formula le conclusioni rispetto agli obiettivi. Le non conformità devono essere descritte con linguaggio preciso, riportando requisito, evidenza e natura dello scostamento, senza prescrivere soluzioni che appartengono alla responsabilità dell’organizzazione.
Rapporto, chiusura e follow-up dell’audit
Il rapporto deve essere completo, accurato, conciso e distribuito entro i termini concordati. Dovrebbe riportare obiettivi, campo, criteri, committente, gruppo, date, siti, metodologia, risultanze, conclusioni ed eventuali limitazioni. Quando previsto, può includere opportunità di miglioramento e buone pratiche, mantenendo una separazione chiara rispetto alle non conformità.
La chiusura avviene quando tutte le attività pianificate sono state completate o quando è stato raggiunto un accordo con il committente. Le informazioni devono essere conservate e protette secondo le disposizioni del programma e gli obblighi applicabili. La riservatezza riguarda documenti, fotografie, registrazioni, dati personali, segreti industriali e informazioni commerciali acquisite in presenza o tramite strumenti digitali.
Il follow-up serve a verificare attuazione ed efficacia delle azioni adottate. Non dovrebbe limitarsi alla ricezione di una procedura modificata o di una fotografia. L’auditor deve valutare se la causa è stata analizzata correttamente, se la correzione ha gestito l’effetto immediato, se l’azione correttiva ha rimosso la causa e se esistono evidenze sufficienti per dimostrarne l’efficacia nel tempo.
Competenza e valutazione degli auditor
La competenza è la capacità di applicare conoscenze e abilità per conseguire i risultati attesi. La qualifica dell’auditor deve quindi essere basata su istruzione, esperienza professionale, formazione, esperienza di audit e comportamento personale.
Gli attestati del modulo base ISO 19011 sulle tecniche di audit rappresentano una parte delle evidenze, ma non dimostrano da soli la capacità di pianificare, intervistare, campionare, analizzare e formulare conclusioni affidabili.
Tra i comportamenti richiesti rientrano etica, apertura mentale, diplomazia, capacità di osservazione, percettività, versatilità, tenacia, decisione, autonomia e disponibilità al miglioramento. Il responsabile del gruppo deve possedere abilità aggiuntive di pianificazione, coordinamento, comunicazione, gestione delle criticità e rappresentanza del team nei confronti del committente e dell’organizzazione verificata.
La valutazione può utilizzare riesame delle registrazioni, feedback, interviste, osservazione diretta, esami e riesame successivo all’audit. Il metodo deve essere proporzionato alla funzione e al livello di affidabilità richiesto. Il mantenimento della competenza richiede attività professionale continua, aggiornamento normativo, partecipazione ad audit e riesame periodico delle prestazioni.
La qualifica non dovrebbe quindi essere considerata permanente in assenza di evidenze recenti.
Audit a distanza, tecnologie digitali e sedi virtuali
La novità più evidente della ISO 19011 riguarda l’ampliamento delle indicazioni sui metodi remoti. L’audit a distanza può essere usato da solo oppure insieme alle attività in sito. La scelta deve essere motivata dagli obiettivi, dai processi interessati, dai rischi, dalla disponibilità tecnologica e dalla possibilità di ottenere evidenze affidabili.
Prima dell’utilizzo occorre verificare connettività, sicurezza della piattaforma, autorizzazioni, protezione dei dati, capacità degli interlocutori e accessibilità delle evidenze. Devono essere considerate le limitazioni legate alla qualità video, alla selezione delle inquadrature, alla continuità della connessione e all’impossibilità di percepire aspetti ambientali, comportamentali o infrastrutturali rilevabili durante una visita fisica.
Le sedi virtuali sono ambienti online nei quali persone e tecnologie eseguono processi indipendentemente dalla localizzazione fisica. L’audit può interessare applicativi, flussi autorizzativi, piattaforme collaborative, infrastrutture cloud, sistemi di controllo e registrazioni elettroniche.
L’auditor deve possedere competenze digitali adeguate e deve preservare autenticità, integrità e riservatezza delle informazioni raccolte.
Linea guida per gli audit: entrata in vigore e adeguamento ISO 19011:2026
La UNI CEI EN ISO 19011 è stata ratificata da UNI e CEI ed è entrata nel corpo normativo nazionale il 27 maggio 2026, sostituendo l’edizione 2018. A livello europeo, le norme nazionali contrastanti devono essere ritirate entro novembre 2026.
Le organizzazioni dovrebbero eseguire una gap analysis dei propri processi di audit. Il riesame deve interessare procedura, programma annuale, criteri di valutazione dei rischi, piani, modalità di selezione dei gruppi, qualifiche, registrazioni, gestione delle verifiche remote e criteri di follow-up. Particolare attenzione va riservata alle sedi virtuali, alla sicurezza delle piattaforme e alla capacità di dimostrare la fattibilità del metodo scelto.
Auditor, consulenti e responsabili dei sistemi di gestione devono aggiornare le proprie competenze e documentare la conoscenza della nuova edizione. L’adeguamento non richiede di riscrivere indiscriminatamente ogni documento. È necessario identificare le differenze applicabili, modificare gli strumenti interessati, formare le persone e verificare mediante evidenze che il programma produca informazioni attendibili per la direzione.
La norma ISO 19011 nella versione 2026 è scaricabile sul sito dell’Ente Nazionale di Normazione.
Ultima Modifica by Federico Pucci
