Guida e novità della norma ISO 19011:2026 per gli audit dei sistemi di gestione.

La quarta edizione della norma ISO 19011, Linee guida per gli audit dei sistemi di gestione, è stata pubblicata a maggio 2026. Sostituisce l’edizione del 2018, che è stata ora ritirata. Si tratta di una norma di linee guida e non di requisiti. Nessuna organizzazione è infatti certificata ISO 19011 e non è prevista alcuna finestra di transizione. A differenza, ad esempio, delle norme ISO 9001 o ISO 45001, per le quali si hanno a disposizione anni di tempo, la linea guida revisionata si applica dal momento stesso in cui viene pubblicata. In questo articolo verranno presi in esame i principali cambiamenti.

ISO 19011:2026 – Sintesi dei principali cambiamenti

Sembrerebbe trattarsi di un’evoluzione piuttosto che di una rivoluzione, a differenza dell’aggiornamento dello standard ISO 14001:2026.

• I sette principi rimangono validi, ma sembra essere stata introdotta un’importante eccezione per le PMI: la norma riconosce che nelle piccole realtà la completa indipendenza degli auditor interni è spesso impossibile, tuttavia richiede il massimo sforzo per eliminare i pregiudizi.
• La struttura dei punti della norma è invariata;
• Il programma di audit esistente non richiede stravolgimenti.

Ciò che è cambiato è essenzialmente l’enfasi, il linguaggio e l’espansione in due aree che riflettono il modo di lavorare degli auditor: gli audit da remoto e il rischio.

A chi si rivolge la nuova ISO 19011:2026

Per coloro che gestiscono audit interni o verifiche sui fornitori, la ISO 19011 è il punto di riferimento e la linea guida del 2026 è la versione con cui dovranno lavorare da subito.

Per gli auditor di terza parte, di Organismi di Certificazione, i requisiti derivano invece dalla norma ISO/IEC 17021-1, dalle sue parti specifiche di settore, dai documenti obbligatori IAF e dal manuale dell’organismo di accreditamento di riferimento.

ISO 17021 ha deliberatamente rimosso il riferimento alla ISO 19011 già nel 2011, definendo i propri requisiti di audit e di competenza. La stessa ISO 19011 specifica che si tratta di linee guida rivolte agli audit interni e ai fornitori, e che la 17021-1 contiene i requisiti per la certificazione di terza parte.

Modifiche a terminologia e linguaggio

Gran parte delle modifiche terminologiche potrebbero sembrare di facciata, tuttavia influiranno sui report aziendali:

• La norma ora predilige il termine ‘auditing’ rispetto ad ‘audit’ per indicare l’azione complessiva, quindi ‘audit methods’ (metodi di audit) diventa ‘auditing methods’ (metodi di conduzione dell’audit) e così via.
• La parola ‘organizzazione’ si riferisce ora all’organizzazione verificata (auditee), mentre l’ente che esegue il lavoro è ‘l’organizzazione incaricata dell’audit’ (auditing organisation).
• I fornitori esterni sono ora descritti come organizzazioni della catena di fornitura.
• L’estensione (extent) di un programma di audit è ora il suo ‘campo di applicazione’ (scope).
• La conclusione dell’audit viene ora descritta come il risultato (result) dell’audit piuttosto che come l’esito (outcome).

Nulla di tutto ciò sembra dunque cambiare la sostanza del lavoro. Cambiano le parole usate nei modelli, nelle checklist e nella formulazione dei rilievi.

La maturità dell’audit da remoto e virtuale

La linea guida ora integra le riflessioni della specifica tecnica ISO/IEC TS 17021:2024 (linee guide per l’uso dei metodi di audit da remoto nei sistemi di gestione) sui metodi di audit da remoto, e l’Appendice A è stata ampliata per quanto riguarda i metodi a distanza e i luoghi virtuali. Le sezioni A.15 e A.16 sono state pesantemente rielaborate, con la A.16 ora incentrata sull’uso dei metodi di audit da remoto.

I pilastri del nuovo approccio da remoto:

1. L’audit da remoto viene codificato come il metodo utilizzato per condurre attività di verifica in qualsiasi luogo diverso dal sito fisico dell’organizzazione oggetto di audit.
2. Viene sancito che i metodi a distanza possono essere combinati liberamente con le verifiche in sito per garantire un audit completo. Inoltre, si applicano ufficialmente ai siti virtuali (ambienti online in cui l’organizzazione eroga servizi o esegue lavori in cloud, indipendentemente dalla localizzazione fisica dei dipendenti).
3. La riunione di apertura diventa un momento procedurale critico in cui l’auditor deve fornire la conferma formale di quali evidenze intende raccogliere mediante campionamento, garantendo trasparenza prima di iniziare la verifica digitale.

La gestione del rischio digitale

L’Appendice A.16 non si limita a sdoganare le videochiamate, bensì sposta l’attenzione sulla gestione dei rischi aggiuntivi legati alla tecnologia.

Condurre un audit da remoto richiede:

• Sicurezza e riservatezza dei dati: rigorosa valutazione dei canali di trasmissione delle informazioni e la pianificazione di piani di emergenza tecnologica ( cosa fare se salta la connessione).
• Responsabilità congiunta: la responsabilità è condivisa tra auditor ed organizzazione verificata per garantire l’accessibilità e l’integrità delle evidenze digitali.
• Competenze digitali dell’auditor: il team di audit deve possedere competenze specifiche sia per utilizzare i tool digitali di verifica, sia per saper valutare criticamente la conformità di processi aziendali che si svolgono interamente online.

Il rischio anticipato viene esteso

L’approccio basato su rischio non è una novità per la ISO 19011.

L’evoluzione sta nel suo raggio d’azione. L’edizione 2026 della 19011 prevede che l’approccio basato sul rischio modelli il programma di audit stesso. L’elenco dei rischi ora si divide nettamente tra rischi di processo (perdita di auditor, campionamento errato, gestione dei tempi) e rischi dell’auditor (mancanza di indipendenza e scarsa conoscenza dei rischi aziendali).

I rischi e le opportunità per il programma devono ora essere ‘determinati’ anziché semplicemente ‘considerati’ e si tratta di una scelta terminologica deliberata. Determinare qualcosa significa aver esaminato le evidenze e aver raggiunto una conclusione dimostrabile.

La norma vuole dunque ricordarci che un’azienda può fallire nei suoi controlli non solo perché l’auditor sul campo sbaglia qualcosa, ma perché a monte il programma è stato progettato o gestito male. I tre punti elencati sono i “nuovi pericoli” che chi pianifica gli audit deve prevedere e prevenire:

1. La perdita di indipendenza o imparzialità dell’auditor;
2. La scelta di metodi di audit inadeguati;
3. La mancata esecuzione degli audit secondo quanto previsto dal programma.

Cambiamento climatico e tecnologia

Due inserimenti sembrano spiccare descrivendo il mondo degli audit di oggi:

1. Cambiamento climatico: la pianificazione di un programma di audit dovrebbe ora considare se il cambiamento climatico sia un tema rilevante per l’organizzazione verificata. Questo rispecchia l’emendamento già introdotto in tutte le norme sui sistemi di gestione.
2. Tecnologia e competenza: quando viene considerata la competenza per un audit specifica, ora viene richiesto di soppesare la conoscenza delle tecnologie emergenti, inclusi gli strumenti di valutazione basati sull’IA, sia come elementi potenzialmente oggetto di audit sia come strumenti da utilizzare per la conduzione stessa dell’audit. Tuttavia, la competenza richiesta non riguarda solo l’intelligenza artificiale, ma include blockchain, IoT, 5G e Big data (anche per usi pratici come la creazione di checklist).

La protezione dei dati e la sicurezza delle informazioni fanno ora parte integrante della consapevolezza normativa richiesta a un auditor.

ISO 19011:2026 – Primi passi per l’aggiornamento

Non essendoci un periodo di transizione, poiché la norma è una linea guida, la risposta più realistica è iniziare subito con:

• Aggiornamento dei modelli e del linguaggio: report, piani, checklist e terminologia dei rilievi devono corrispondere ai termini del 2026; questo è il cambiamento a minor costo e a maggiore visibilità che è possibile effettuare;
• Perfezionamento della classificazione delle non conformità: la norma richiede ora che i criteri di classificazione siano definiti e comunicati, e ci ricorda che un rilievo mai sollevato o discusso durante l’audit o la riunione di chiusura non può essere riportato nel rapporto finale;
• Aggiornamento del registro delle competenze: in assenza di un periodo di transizione, la formazione continua, o sviluppo professionale continuo, è lo strumento che dimostra l’aggiornamento.
• Rilettura attenta delle sezioni A.12, A.15 e A.16.

L’edizione 2026 non richiede di effettuare audit in modo diverso.

Sembra sostanzialmente chiedere di mettere per iscritto, in modo onesto, come funziona un buon audit in un mondo fatto di evidenze da remoto, strumenti digitali e rischi reali. Per una professione che si fonda sul dire ciò che fa e fare ciò che dice, questo è fondamentale.

Puoi contattare gli sportelli di AS&C, Organismo di Certificazione internazionale accreditato, per ricevere supporto.

Link utili:

• Certificazione ISO 9001
• Certificazione ISO 14001 – Ambiente
• Certificazione ISO 45001 – Salute e Sicurezza
• Certificazione ISO 27001 – Sicurezza delle Informazioni
• Corsi Auditor per privati e aziende