Audit interno ISO 27001: come si fa, passo per passo

Un audit interno ISO 27001 è la verifica che l'organizzazione conduce, da sola o tramite qualcuno per suo conto, sul proprio sistema di gestione per la sicurezza delle informazioni (SGSI), per capire se rispetta i criteri fissati e se funziona davvero. Lo chiede la clausola 9.2 della ISO/IEC 27001, Audit interni. Si fa in sei passi: programma basato sul rischio, criteri del singolo audit, scelta dell'auditor, preparazione, raccolta delle evidenze, rapporto con azioni correttive.

Questa guida è per chi deve organizzare il primo ciclo di audit interni in vista della certificazione, o rimettere in piedi un programma che negli anni si è ridotto a un adempimento. Le regole di metodo vengono dalla UNI CEI EN ISO 19011:2026, la linea guida sugli audit dei sistemi di gestione; il resto è prassi di chi gli audit li fa, e lo diciamo quando lo è.

Che cos'è l'audit interno ISO 27001, e cosa non è

La ISO 19011:2026 definisce l'audit come un processo sistematico, indipendente e documentato con cui si raccolgono evidenze oggettive e le si valuta con obiettività, per stabilire in che misura i criteri dell'audit sono soddisfatti. L'audit interno è quello di prima parte: lo conduce l'organizzazione stessa o qualcuno per suo conto. Le differenze con gli audit di un cliente o dell'organismo di certificazione sono in audit di prima, seconda e terza parte.

Nella UNI CEI EN ISO/IEC 27001:2024+A1:2024 (il recepimento italiano della ISO/IEC 27001:2022 con l'aggiornamento Amd 1:2024) l'audit interno sta nel punto 9, Valutazione delle prestazioni, ed è diviso in due sottopunti: 9.2.1 Generalità e 9.2.2 Programma degli audit interni. Non si può saltare: il punto 1 della norma stabilisce che chi dichiara la conformità non può escludere nessuno dei requisiti dei punti dal 4 al 10.

Tre cose con cui viene spesso confuso:

• La gap analysis. Viene prima, misura la distanza da un sistema che ancora non c'è e non ha valore formale. L'audit interno presuppone un SGSI in esercizio. Il confronto è in gap analysis ISO 27001.
• L'audit di certificazione. Lo conduce un organismo di terza parte, indipendente, secondo la ISO/IEC 17021-1. L'audit interno non lo sostituisce: lo prepara.
• Il test tecnico. Un vulnerability assessment o un penetration test misurano lo stato di un sistema. L'audit interno può usarne i risultati come evidenza, ma verifica il sistema di gestione: chi decide, con quali regole, e se le regole vengono seguite.

Le norme che servono: 27001, 19011:2026, 27007

La 27001 dice che cosa va fatto. Il come sta in due linee guida, che non sono requisiti certificabili ma sono il riferimento comune di auditor interni ed esterni.

• UNI CEI EN ISO 19011:2026, in vigore dal 27 maggio 2026. È la quarta edizione e sostituisce la 19011:2018. Si concentra proprio sugli audit interni e sugli audit dei fornitori. Le novità principali riguardano gli audit a distanza: recepisce le indicazioni della ISO/IEC TS 17012 e amplia l'Appendice A su metodi a distanza e sedi virtuali. Chi ha procedure scritte sulla vecchia edizione farà bene ad aggiornare i rimandi.
• ISO/IEC 27007:2020, la guida specifica per gli audit di un SGSI. Secondo la scheda UNI aggiunge alla 19011 indicazioni su programma di audit, conduzione e competenza degli auditor di un SGSI, per audit interni ed esterni. È in revisione: a giugno 2026 è uscito il progetto ISO/IEC DIS 27007, che non è ancora una norma.

Come si fa un audit interno ISO 27001, passo per passo

La 19011:2026 distingue due livelli: la gestione del programma (il punto 5, che copre l'insieme degli audit di un periodo) e la conduzione del singolo audit (il punto 6). I passi seguono quell'ordine.

1. Costruire il programma degli audit interni

Il programma è il piano di tutti gli audit del periodo: cosa si verifica, quando, con chi, con quali risorse. Dai titoli del punto 5 della 19011 si ricava cosa serve: fissarne gli obiettivi, valutarne rischi e opportunità, definirne il campo di applicazione e le risorse, nominare chi lo gestisce, monitorarlo e riesaminarlo nel tempo.

Nella prassi un programma che regge copre nel ciclo tutto il campo di applicazione del SGSI, e dà più spazio ai processi che contano di più: quelli con rischi alti nella valutazione del rischio, quelli toccati da cambiamenti (un nuovo fornitore cloud, una sede acquisita, un gestionale migrato), quelli con rilievi aperti o incidenti recenti. La cadenza la decide l'organizzazione e la motiva: l'approccio basato sul rischio è uno dei principi dell'audit elencati nella 19011.

2. Fissare obiettivi, campo e criteri del singolo audit

Ogni audit ha un obiettivo (per esempio: verificare che la gestione degli accessi funzioni come descritto), un campo (processi, sedi, sistemi, periodo) e dei criteri, cioè il metro contro cui si confrontano le evidenze. Per un SGSI i criteri tipici sono:

• i requisiti dei punti dal 4 al 10 della ISO/IEC 27001;
• i controlli che la Dichiarazione di Applicabilità indica come applicabili;
• le politiche e le procedure interne, che spesso sono più precise della norma;
• i requisiti di legge e di contratto che l'organizzazione si è impegnata a rispettare.

3. Scegliere chi fa l'audit: indipendenza e competenza

L'indipendenza è uno dei principi della 19011, e la regola pratica è semplice: chi amministra il firewall non verifica il firewall. In un'azienda mid-market con un IT di poche persone non è sempre possibile trovare dentro qualcuno che non abbia toccato il processo, ed è qui che entra l'audit condotto per conto dell'organizzazione da un auditor esterno: resta un audit di prima parte.

Poi c'è la competenza, a cui la 19011 dedica l'intero punto 7 e la 27007 indicazioni specifiche per gli SGSI. Per un SGSI conta saper leggere un'evidenza tecnica: una configurazione, un log, un export di utenze. Un auditor che conosce bene la norma ma non sa cosa guardare in una console di gestione delle identità finisce a verificare solo i documenti.

4. Preparare l'audit

Prima di presentarsi, l'auditor legge le informazioni documentate pertinenti: politica, valutazione e trattamento del rischio, Dichiarazione di Applicabilità, procedure del processo in esame, rapporti degli audit precedenti. Poi prepara il piano dell'audit (chi incontra, quando, cosa campiona) e i documenti di lavoro.

La checklist è utile se è scritta sul processo dell'azienda e non ricopiata dalla norma. Una lista di domande del tipo esiste una politica? produce risposte sì o no; una lista costruita sul processo produce richieste di evidenze.

5. Condurre l'audit e raccogliere le evidenze

La sequenza della 19011 è questa: riunione di apertura, raccolta e verifica delle informazioni, risultanze, conclusioni, riunione di chiusura. Nella prassi le evidenze si raccolgono intervistando le persone, osservando le attività e campionando registrazioni, e i rilievi si condividono con l'auditato in chiusura, prima di scriverli. Con la 19011:2026 anche le parti a distanza hanno una guida più completa, utile per sedi remote e servizi cloud.

6. Scrivere il rapporto e chiudere le azioni correttive

Nella prassi il rapporto riporta obiettivi, campo, criteri, evidenze esaminate, rilievi e conclusioni. Il rilievo si scrive in tre parti: il requisito (cosa doveva succedere), l'evidenza (cosa si è visto, con riferimenti verificabili), la constatazione (dove i due non coincidono). Niente aggettivi, niente ipotesi sulle colpe.

Dopo il rapporto, le non conformità entrano nel processo del punto 10.2 della 27001, Nonconformità e azioni correttive. In pratica: correzione, analisi della causa, azione per evitare che si ripeta, verifica che abbia funzionato. Nella prassi i risultati degli audit arrivano alla direzione e alimentano il riesame di direzione del punto 9.3. Se serve, si pianifica un audit di follow-up, previsto anche dalla 19011.

Un esempio: l'audit della gestione degli accessi

Domande scritte sul processo, ognuna delle quali chiede un'evidenza e non una risposta a voce:

• Mostrami le ultime cinque persone uscite dall'azienda: quando sono state disattivate le loro utenze, rispetto alla data di cessazione?
• Chi ha oggi privilegi amministrativi sui sistemi in campo? L'elenco coincide con quello approvato nell'ultima revisione periodica?
• Le utenze dei fornitori che fanno assistenza da remoto hanno una scadenza? Mostrami la configurazione.
• L'autenticazione a più fattori è attiva dove la vostra politica la prevede? Mostrami le eccezioni e chi le ha autorizzate.

Un rilievo possibile: la procedura prevede la disattivazione delle utenze entro il giorno di cessazione; su cinque cessazioni campionate, due utenze risultano attive per più di trenta giorni dopo l'uscita. È la forma che serve all'azione correttiva, perché dice dove guardare.

Gli errori che vediamo più spesso

• L'audit fatto la settimana prima dell'ente. Non lascia tempo per le azioni correttive, quindi i rilievi interni arrivano all'organismo di certificazione ancora aperti.
• Solo documenti. Si verifica che la procedura esista, non che venga seguita. Il SGSI vive nei sistemi, e lì bisogna campionare.
• L'auditor che verifica il proprio lavoro. Succede quando il responsabile della sicurezza è anche l'unico auditor. Meglio un auditor esterno per quel perimetro.
• Rilievi senza evidenza. La gestione dei fornitori è debole non è un rilievo: è un'opinione.
• Nessun follow-up. Le stesse non conformità ricompaiono l'anno dopo, e il programma perde credibilità prima ancora dell'audit esterno.

Se l'azienda ha già la ISO 9001

La 27001 usa la stessa struttura delle altre norme sui sistemi di gestione, quindi il programma di audit si può costruire una volta sola. La 19011:2026 chiama audit combinato quello che verifica due o più sistemi di gestione insieme, e precisa che se i sistemi sono integrati in uno solo principi e processi restano gli stessi. Cambia la competenza richiesta: chi audita la qualità non è per forza in grado di leggere un'evidenza di sicurezza. Il lato qualità è in audit interno ISO 9001.

Audit interno e certificazione

Dato che i requisiti dal 4 al 10 non si possono escludere, anche il punto 9.2, Audit interni, rientra in ciò che l'organismo di certificazione verifica. Il segnale che l'audit interno funziona non è l'assenza di rilievi, è che l'ente trovi cose che l'azienda aveva già trovato e sta già correggendo. Il percorso completo verso il certificato è in come ottenere la certificazione ISO 27001, e il quadro della norma nella guida completa alla ISO 27001.

In sintesi

L'audit interno ISO 27001 è la verifica di prima parte richiesta dalla clausola 9.2. Si regge su un programma costruito sul rischio, su auditor indipendenti dal processo e capaci di leggere evidenze tecniche, su criteri chiari (norma, Dichiarazione di Applicabilità, regole interne), su rilievi scritti con requisito, evidenza e constatazione, e su azioni correttive chiuse prima dell'audit esterno. Il metodo di riferimento oggi è la ISO 19011:2026, con la ISO/IEC 27007 per gli aspetti specifici del SGSI.

Se stai preparando il primo ciclo di audit interni o vuoi un auditor esterno per i processi che non puoi verificare da dentro, puoi vedere come lavoriamo sul percorso ISO 27001.