In breve
L'audit interno è richiesto dalla clausola 9.2 di tutte le norme ISO sui sistemi di gestione e l'organismo lo verifica a Stage 1, Stage 2 e in ogni sorveglianza.
Il programma di audit parte dall'importanza dei processi e dai risultati precedenti, non dall'indice della norma.
Chi fa l'audit deve essere competente e obiettivo: nessuno dovrebbe verificare il proprio lavoro, anche nelle piccole aziende.
Una non conformità utile indica requisito, evidenza oggettiva e descrizione del problema; il rapporto deve essere breve e basato su fatti.
I risultati degli audit alimentano azioni correttive e riesame della direzione: pianifica le tre attività insieme.
Un audit interno fatto bene ti evita sorprese all'audit esterno. Come scegliere i processi, chi coinvolgere e come scrivere un rapporto utile: sono le tre decisioni che separano un controllo vero da un adempimento da archiviare.
L'audit interno ISO è un requisito di tutte le norme sui sistemi di gestione: ISO 9001, ISO 14001, ISO 27001, ISO 45001 e le altre costruite sulla stessa struttura. Molte PMI però lo trattano come un passaggio formale: una checklist scaricata, un giro veloce negli uffici qualche settimana prima della visita dell'organismo, un verbale con scritto "nessun rilievo". Poi arriva l'auditor esterno e trova in mezza giornata quello che l'audit interno avrebbe dovuto vedere mesi prima.
In questa guida vediamo cosa chiede davvero la norma, come costruire un programma di audit proporzionato alla tua azienda, chi può fare l'auditor senza perdere obiettività, come condurre il singolo audit e come scrivere un rapporto che la direzione legge e usa. Il riferimento operativo è la ISO 19011, la linea guida internazionale sugli audit dei sistemi di gestione. Se ti serve prima un ripasso su come funziona l'intero percorso, parti dalla nostra guida su cosa sono le certificazioni ISO.
Cos'è l'audit interno ISO e cosa chiede la norma?
L'audit interno è una verifica che l'azienda fa su se stessa, a intervalli pianificati. Serve a capire se il sistema di gestione rispetta i requisiti e se funziona davvero nella pratica.
Tutte le norme ISO sui sistemi di gestione condividono la struttura armonizzata pubblicata da ISO e IEC, e l'audit interno vi compare sempre alla clausola 9.2. Il testo comune chiede di condurre audit interni a intervalli pianificati per ottenere informazioni su due aspetti: se il sistema è conforme sia ai tuoi requisiti interni sia a quelli della norma, e se è attuato e mantenuto in modo efficace. La stessa struttura definisce l'audit interno come audit "di prima parte", condotto dall'organizzazione stessa oppure da un soggetto esterno per suo conto.
I requisiti della clausola 9.2 in pratica
La clausola 9.2 ha una seconda parte, dedicata al programma di audit, ed è qui che si gioca la qualità del lavoro. La norma chiede di pianificare, stabilire, attuare e mantenere un programma che comprenda frequenza, metodi, responsabilità, requisiti di pianificazione e modalità di rendicontazione. Nel costruirlo devi tenere conto dell'importanza dei processi coinvolti e dei risultati degli audit precedenti.
Per ogni audit, poi, la norma chiede di definire obiettivi, criteri e campo di applicazione, di scegliere auditor che garantiscano obiettività e imparzialità, e di riferire i risultati ai responsabili pertinenti. Infine servono informazioni documentate che dimostrino l'attuazione del programma e i risultati degli audit. Le singole norme possono aggiungere dettagli specifici della disciplina, ma questo nucleo è identico ovunque. Per questo, se hai più certificazioni, puoi gestire un unico programma integrato invece di tanti audit separati.
Perché l'organismo di certificazione lo guarda sempre
L'audit interno è uno dei primi elementi che l'organismo di certificazione controlla. La ISO/IEC 17021-1, la norma che regola gli organismi, chiede di verificare già allo Stage 1 che audit interni e riesame della direzione siano pianificati ed eseguiti. Allo Stage 2 l'audit interno rientra tra gli elementi da auditare, e ogni audit di sorveglianza deve includerlo di nuovo.
C'è anche un effetto meno evidente. Nel suo rapporto l'organismo riporta anche come ha valutato audit interno e riesame. In altre parole, l'auditor esterno non si limita a vedere se l'audit interno esiste: valuta se ha funzionato. Un audit interno che non ha trovato nulla, in un'azienda dove l'auditor esterno trova invece più di un problema, è a sua volta un segnale che il controllo interno non regge.
Come costruisci un programma di audit che abbia senso?
Il programma di audit è il piano che stabilisce cosa verificare, quando, con chi e con quali metodi. Va costruito prima dei singoli audit e rivisto quando cambiano i rischi.
L'errore più comune è copiare l'indice della norma e assegnare un audit per clausola. Così si controllano requisiti scollegati dal lavoro reale, mentre la norma chiede di partire dai processi e dalla loro importanza. Un buon programma risponde invece a una domanda concreta: dove può andare storto qualcosa che conta per i clienti, per la conformità legale o per gli obiettivi dell'azienda?
Scegliere i processi in base a importanza e rischio
Parti dalla mappa dei processi e assegna a ciascuno un livello di attenzione. I criteri utili sono pochi: l'impatto sul cliente o sul risultato del sistema, i reclami e le non conformità registrati, i cambiamenti recenti (un nuovo software, un nuovo responsabile, un nuovo stabilimento), i risultati dell'audit precedente e i rilievi dell'organismo.
Prendi un'azienda metalmeccanica con 60 dipendenti, certificata ISO 9001. Nell'ultimo anno ha cambiato gestionale e ha ricevuto tre reclami per consegne in ritardo. Il programma sensato concentra l'attenzione su pianificazione della produzione e logistica, verifica come sono stati migrati i dati di ordini e distinte base, e lascia a un controllo più leggero processi stabili come la gestione delle risorse umane. La ISO 19011 chiama questa logica approccio basato sul rischio: lo usa sia per pianificare il programma sia per decidere dove spendere il tempo durante il singolo audit.
Frequenza: non tutto ogni anno allo stesso modo
La struttura armonizzata non fissa una frequenza: parla di "intervalli pianificati" e lascia a te la scelta. Questo non significa che puoi auditare quando capita. Significa che la frequenza deve essere motivata dall'importanza dei processi e dai risultati precedenti.
In pratica molte aziende fanno in modo che tutti i processi e tutti i requisiti della norma vengano coperti almeno una volta nel ciclo di certificazione triennale, con i processi critici verificati ogni anno o anche più spesso. Puoi distribuire gli audit nel corso dell'anno invece di concentrarli in un'unica settimana: lavori meglio, disturbi meno i reparti e hai tempo di chiudere le azioni prima della sorveglianza.
Un esempio di programma annuale
Ecco come potrebbe apparire il programma di un'azienda di servizi IT con 35 persone, certificata ISO 9001 e ISO/IEC 27001.
Processo o area | Motivo della scelta | Periodo | Auditor |
|---|---|---|---|
Gestione accessi e identità | Rilievo dell'audit precedente, nuovo strumento di autenticazione | Primo trimestre | Responsabile qualità (non coinvolto nel processo) |
Sviluppo e rilascio software | Processo chiave per il cliente, due reclami | Secondo trimestre | Auditor esterno incaricato |
Fornitori e servizi cloud | Nuovo fornitore critico | Secondo trimestre | Responsabile IT di un altro team |
Formazione e consapevolezza | Processo stabile | Terzo trimestre | Responsabile qualità |
Gestione incidenti e continuità | Test di continuità previsto nell'anno | Terzo trimestre | Auditor esterno incaricato |
Leadership, obiettivi e riesame | Copertura dei requisiti di sistema | Quarto trimestre | Auditor esterno incaricato |
La tabella non è un modello da copiare: è un esempio di come ogni riga abbia un motivo. Se una riga non ha motivo, probabilmente non serve, oppure serve ma con meno tempo.
Chi deve fare l'audit interno?
L'audit interno può farlo una persona dell'azienda o un professionista esterno incaricato. Conta che sia competente e che guardi il processo con obiettività e imparzialità.
La struttura armonizzata chiede di selezionare gli auditor e condurre gli audit in modo da assicurare obiettività e imparzialità del processo. La ISO 19011 inserisce l'indipendenza tra i suoi sette principi dell'audit, insieme a integrità, presentazione imparziale, diligenza professionale, riservatezza, approccio basato sulle evidenze e approccio basato sul rischio. Il criterio pratico è semplice: nessuno dovrebbe verificare il proprio lavoro.
Obiettività nelle piccole aziende
In un'azienda di 15 persone la regola "nessuno audita il proprio lavoro" sembra impossibile da rispettare. Non lo è, ma richiede un minimo di organizzazione. Puoi far auditare l'amministrazione dal responsabile tecnico e la produzione dalla responsabile amministrativa, purché abbiano ricevuto una formazione adeguata. Puoi scambiare gli auditor con un'azienda partner, o incaricare un auditor esterno per i processi in cui tutti sono coinvolti, come quelli della direzione.
La ISO 19011 stessa riconosce che le sue indicazioni vanno adattate alla dimensione e alla complessità del programma. Quello che non funziona è il responsabile qualità che audita i processi che gestisce ogni giorno, o il titolare che audita la propria leadership: nella migliore delle ipotesi troverà ciò che sa già, nella peggiore non vedrà nulla. L'importante è che l'auditor non verifichi il proprio lavoro operativo.
Auditor interno o esterno: come scegliere
Un auditor interno conosce i processi, le persone e il gergo dell'azienda. Costa meno in termini di coordinamento e, se ben formato, cresce insieme al sistema. Il limite è la familiarità: dopo qualche anno tende a dare per scontato ciò che vede ogni giorno.
Un auditor esterno porta uno sguardo nuovo e un'esperienza costruita su molte aziende, e conosce le aspettative degli organismi di certificazione. Il rischio, se lavora senza contesto, è un audit generico. La soluzione più frequente nelle PMI è mista: auditor interni per i processi operativi, un esterno esperto per i processi trasversali e per un controllo complessivo prima della sorveglianza.
Se sei seguito da Complaion, questa scelta è già fatta: l'audit interno lo conduce il tuo Lead Auditor Complaion: un professionista esterno ai tuoi processi, che li verifica con i criteri della ISO 19011 senza esserne parte operativa. Conosce il tuo sistema, ma non verifica mai un lavoro operativo suo.
Le competenze che servono
La ISO 19011 dedica un intero capitolo alla competenza degli auditor: comportamento personale, conoscenze e abilità, e il modo in cui vengono valutate. Per un audit interno servono tre cose. La conoscenza della norma di riferimento, almeno nei requisiti che si stanno verificando. La conoscenza del processo, per capire cosa è normale e cosa no. E la capacità di audit: fare domande aperte, ascoltare, chiedere l'evidenza, separare i fatti dalle opinioni.
Conserva le evidenze della formazione e dell'esperienza degli auditor interni. L'organismo può chiederle, e soprattutto ti aiutano a capire chi è pronto per quale processo.
Come si prepara e si conduce un singolo audit?
Ogni audit del programma ha un obiettivo, dei criteri e un campo definiti prima di cominciare. Senza questi tre elementi l'audit diventa una chiacchierata.
La ISO 19011 descrive la conduzione dell'audit in fasi: avvio, preparazione, svolgimento, rapporto, chiusura e follow-up. Non serve applicarle con la formalità di un audit di certificazione, ma la sequenza aiuta a non saltare passaggi. Vediamo i tre momenti decisivi.
Obiettivi, criteri e campo: tre righe che cambiano tutto
L'obiettivo dice perché fai l'audit: per esempio, verificare che i rilasci software seguano la procedura di test approvata. I criteri sono il riferimento con cui confronti ciò che trovi: i requisiti della norma, le tue procedure, gli obblighi di legge o contrattuali. Il campo stabilisce cosa rientra: quali sedi, quali reparti, quale periodo.
Scriverli prima ti protegge da due errori opposti. Il primo è l'audit troppo ampio, che tocca tutto e non approfondisce niente. Il secondo è l'audit senza criteri, in cui l'auditor giudica in base alle proprie preferenze. Una buona regola: se non sai indicare il criterio di riferimento di un possibile rilievo, quel rilievo non è una non conformità.
Il piano e la checklist
Il piano di audit indica date, orari, persone da incontrare e documenti da esaminare. Va condiviso con i responsabili dei processi qualche giorno prima, così le persone giuste sono disponibili e i documenti sono accessibili.
La checklist è utile, ma deve essere tua. Costruiscila a partire dai criteri e dai rischi del processo, non da un modello generico. Invece di "Esiste una procedura di gestione dei fornitori?", scrivi "Prendere tre ordini a fornitori critici dell'ultimo semestre e verificare che il fornitore fosse qualificato alla data dell'ordine". La prima domanda si chiude con un sì. La seconda produce evidenze verificabili.
Raccogliere le evidenze sul campo
Le evidenze si raccolgono in tre modi: intervistando le persone, osservando le attività e esaminando documenti e registrazioni. Un buon audit li incrocia. Se la procedura dice che ogni modifica al codice viene revisionata da un collega, chiedi allo sviluppatore come funziona, guarda una revisione in corso e controlla le registrazioni di un campione di modifiche.
Il campionamento è inevitabile: non puoi controllare tutto. Scegli il campione in modo ragionato, privilegiando i casi più a rischio e il periodo più recente, e annota quali elementi hai controllato. Annota anche ciò che funziona: un audit interno che registra solo i problemi dà alla direzione un'immagine distorta del sistema.
Come scrivi un rapporto di audit che serva davvero?
Il rapporto di audit è utile quando chi lo legge capisce in pochi minuti cosa funziona, cosa no e cosa va fatto. Deve basarsi su evidenze, non su impressioni.
La ISO 19011 chiama "constatazioni" (audit findings) il risultato del confronto tra le evidenze raccolte e i criteri dell'audit. Una constatazione può indicare conformità o non conformità, e può segnalare opportunità di miglioramento. Le conclusioni dell'audit sono invece la sintesi complessiva, che tiene conto degli obiettivi e di tutte le constatazioni.
Come scrivere una non conformità
Una non conformità ben scritta ha tre elementi: il requisito non soddisfatto, l'evidenza oggettiva e la descrizione del problema. Confronta queste due versioni.
Versione debole: "La gestione dei fornitori non è adeguata." Non dice quale requisito, non dice cosa hai visto, e il responsabile del processo non sa da dove partire.
Versione utile: "La procedura acquisti prevede la qualifica dei fornitori critici prima del primo ordine. Su cinque ordini a fornitori critici del secondo trimestre, due risultano emessi a un fornitore di servizi cloud senza qualifica registrata alla data dell'ordine." Il problema è circoscritto, verificabile e già indica dove cercare la causa. Per capire come classificare i rilievi e come li valuta l'organismo, leggi la guida su non conformità maggiori e minori.
La struttura di un rapporto essenziale
Per un audit interno non servono rapporti di venti pagine. Una struttura essenziale funziona meglio, perché viene letta.
Obiettivo, criteri, campo, date e auditor.
Persone incontrate e campione esaminato.
Sintesi in poche righe: lo stato del processo rispetto all'obiettivo.
Punti di forza osservati, con evidenze.
Non conformità, ciascuna con requisito, evidenza e descrizione.
Osservazioni e opportunità di miglioramento, distinte dalle non conformità.
Conclusioni e prossimi passi concordati.
La struttura armonizzata chiede di riferire i risultati ai responsabili pertinenti: il rapporto va quindi condiviso con chi gestisce il processo e arriva alla direzione. Conservalo insieme alle evidenze principali, perché è l'informazione documentata che dimostra l'esecuzione dell'audit.
Il tono conta
Un rapporto che suona come un'accusa produce difese, non miglioramenti. Descrivi i fatti, non le persone: "la registrazione non è presente" invece di "il responsabile non ha registrato". Condividi i rilievi già nella riunione di chiusura, così nessuno li scopre leggendo il documento. E distingui con chiarezza una non conformità da un suggerimento: se tutto diventa non conformità, nulla ha più priorità.
Cosa succede dopo l'audit interno?
L'audit interno produce valore solo se i rilievi diventano azioni. Il ciclo si chiude con le correzioni, le azioni correttive e il riesame della direzione.
Per ogni non conformità la struttura armonizzata chiede di reagire, controllando e correggendo il problema, e di valutare se serve un'azione per eliminarne la causa, in modo che non si ripeta. Qui molti si fermano alla correzione: si qualifica il fornitore mancante e si chiude. Ma se due ordini su cinque erano senza qualifica, il problema è nel processo, non nel singolo fornitore. La guida su azioni correttive e analisi delle cause spiega come arrivare alla causa reale senza fermarti alla prima risposta.
Il legame con il riesame della direzione
I risultati degli audit sono uno degli elementi in ingresso obbligatori del riesame della direzione, insieme a non conformità, azioni correttive e risultati di monitoraggio. Se l'audit interno si fa a ridosso del riesame, la direzione decide su dati freschi. Se si fa dopo, decide su dati vecchi di un anno.
Per questo conviene pianificare audit interni e riesame insieme. Una sequenza tipica: audit distribuiti nell'anno, chiusura delle azioni principali, riesame della direzione, poi audit di sorveglianza. Ne parliamo nella guida sul riesame della direzione.
Verificare l'efficacia, non solo la chiusura
Un'azione correttiva chiusa non è per forza un'azione efficace. Al successivo audit dello stesso processo, controlla se il problema si è ripresentato e se la causa è stata davvero rimossa. Riporta l'esito nel programma: è uno dei modi con cui il programma stesso migliora nel tempo, come raccomanda la ISO 19011 quando parla di monitoraggio e riesame del programma di audit.
Quali sono gli errori più comuni negli audit interni?
Gli errori ricorrenti sono quasi sempre gli stessi, in aziende di ogni settore. Riconoscerli in anticipo è il modo più rapido per alzare il livello.
Il primo è l'audit concentrato nell'ultimo mese prima della sorveglianza. Il calendario lo rende comodo, ma non lascia il tempo di analizzare le cause e chiudere le azioni: l'organismo vedrà rilievi aperti e azioni correttive scritte in fretta. Il secondo è la checklist copiata da internet, che verifica l'esistenza dei documenti invece del funzionamento dei processi.
Il terzo errore è l'audit autoreferenziale: chi ha scritto la procedura la audita e trova tutto in ordine. Il quarto è il rapporto senza evidenze, con frasi come "processo sotto controllo" che nessuno può verificare. Il quinto è considerare zero rilievi un buon risultato. Un sistema vivo ha sempre qualcosa da migliorare: un audit che non trova niente spesso ha guardato poco.
Infine c'è l'errore di perimetro. Un audit interno deve coprire tutti i requisiti della norma e tutto il campo di applicazione del certificato, sedi incluse, nell'arco del programma. Se una sede o un processo esternalizzato non compare mai, è lì che l'auditor esterno andrà a guardare. Se vuoi un quadro completo dei requisiti da coprire, trovi i riferimenti nelle guide su ISO 9001 e ISO 27001.
Come ti aiuta Complaion con l'audit interno?
Se fai il percorso di certificazione con Complaion, l'audit interno lo fai con noi: è il tuo Lead Auditor a condurlo, con l'obiettività di chi non lavora nei processi che verifica, e a consegnarti il rapporto con constatazioni e azioni da intraprendere. Tu non devi formare un auditor interno né cercarne uno esterno. Il percorso è pensato per far emergere e chiudere le non conformità prima della visita esterna: per questo i nostri clienti arrivano all'audit esterno con un successo del 100%.
Con Complaion l'audit interno smette di essere un adempimento dell'ultimo momento e diventa parte del lavoro di ogni mese. Ti segue un Lead Auditor dedicato, che conosce la tua azienda, propone il percorso più adatto alle tue esigenze, imposta con te il programma di audit in base ai rischi reali, non all'indice della norma, e conduce gli audit interni previsti.
La piattaforma raccoglie le evidenze, gestisce i documenti con le loro versioni e tiene lo scadenziario di audit, azioni correttive e riesami, così nessuna scadenza ti coglie di sorpresa. Quando arriva l'audit dell'organismo, il materiale è già ordinato e il Lead Auditor ti accompagna nella preparazione. È il modello che già oltre 1.000 clienti usano per ottenere e mantenere le proprie certificazioni.
Vuoi capire come impostare il tuo programma di audit interno? Parla con un nostro esperto oppure richiedi un preventivo su misura per la tua azienda.
Domande frequenti sull'audit interno ISO
L'audit interno è obbligatorio per la certificazione ISO?
Sì. Tutte le norme ISO certificabili sui sistemi di gestione costruite sulla struttura armonizzata richiedono audit interni a intervalli pianificati, alla clausola 9.2. L'organismo di certificazione verifica già allo Stage 1 che siano pianificati ed eseguiti, e li controlla di nuovo allo Stage 2 e in ogni sorveglianza. Senza un audit interno completato, l'azienda di norma non è pronta per la certificazione.
Ogni quanto va fatto l'audit interno?
La norma non fissa una frequenza: chiede intervalli pianificati, stabiliti in base all'importanza dei processi e ai risultati degli audit precedenti. Molte aziende coprono tutti i requisiti almeno una volta nel ciclo triennale di certificazione e verificano ogni anno i processi critici. Conta che la frequenza sia motivata e documentata nel programma di audit.
Un dipendente può fare l'audit interno?
Sì, purché sia competente e garantisca obiettività e imparzialità. In pratica non deve verificare il proprio lavoro. Nelle piccole aziende si risolve facendo auditare a vicenda reparti diversi, oppure affidando a un auditor esterno i processi in cui tutti sono coinvolti. Conserva le evidenze di formazione ed esperienza di chi fa l'audit.
Che differenza c'è tra audit interno e audit di certificazione?
L'audit interno è un audit di prima parte: lo fa l'azienda su se stessa, direttamente o tramite un soggetto esterno incaricato. L'audit di certificazione è di terza parte: lo svolge un organismo accreditato e indipendente, secondo la ISO/IEC 17021-1. Il primo serve a migliorare e a prepararsi; il secondo porta alla decisione sul certificato.
Cosa deve contenere il rapporto di audit interno?
Obiettivo, criteri, campo, date, auditor e campione esaminato, poi le constatazioni: punti di forza, non conformità e opportunità di miglioramento. Ogni non conformità deve riportare il requisito, l'evidenza oggettiva e la descrizione del problema. Chiudono il rapporto le conclusioni e i prossimi passi concordati con i responsabili.
Si può fare un unico audit interno per più norme ISO?
Sì. Le norme costruite sulla struttura armonizzata hanno la stessa clausola sull'audit interno, quindi puoi gestire un programma integrato e condurre audit combinati, per esempio qualità e sicurezza delle informazioni sullo stesso processo. Devi però coprire i requisiti specifici di ciascuna norma e indicare chiaramente nel rapporto a quale norma si riferisce ogni rilievo.
Cosa succede se l'audit interno trova non conformità prima della certificazione?
È normale ed è proprio lo scopo dell'audit. Devi correggere il problema, analizzarne la causa e decidere le azioni correttive. L'organismo non penalizza un audit interno che trova problemi: guarda invece se sono stati gestiti in modo efficace. Un audit interno che non trova nulla, quando l'auditor esterno invece trova più rilievi, è un segnale peggiore.
