Audit di prima, seconda e terza parte: le differenze

La risposta breve: gli audit di prima, seconda e terza parte si distinguono per chi conduce la verifica. Di prima parte è l'audit interno, che l'organizzazione fa su se stessa. Di seconda parte è l'audit di chi ha un interesse nell'organizzazione, di solito un cliente che verifica un fornitore. Di terza parte è l'audit di un soggetto indipendente: l'organismo di certificazione o un'autorità.

La distinzione viene dalla UNI CEI EN ISO 19011:2026, la linea guida per gli audit dei sistemi di gestione: è la quarta edizione, in vigore dal 27 maggio 2026 secondo la scheda UNI, e sostituisce l'edizione 2018 ampliando le indicazioni sugli audit a distanza. Le definizioni stanno nelle note al punto 3.1, la mappa dei tipi di audit nel prospetto 1 dell'introduzione.

Le tre parti in breve

Il criterio è il rapporto tra chi fa l'audit e chi lo riceve. Il prospetto 1 della ISO 19011:2026 classifica i tipi di audit così (in sintesi):

• Prima parte: l'audit interno.
• Seconda parte: l'audit dei fornitori esterni e l'audit condotto da altre parti interessate esterne all'organizzazione.
• Terza parte: l'audit di certificazione o la verifica di accreditamento, e gli audit per fini legislativi, regolamentari e simili.

Le note alla definizione di audit aggiungono un dettaglio che sposta molti casi reali. L'audit interno può essere condotto dall'organizzazione o da qualcuno per suo conto; l'audit di seconda parte da chi ha un interesse nell'organizzazione, come un cliente, oppure da altri che agiscono per conto di quella parte. Conta chi commissiona l'audit e a chi serve il risultato, non il datore di lavoro di chi lo esegue.

Quindi un consulente che conduce il tuo audit interno fa un audit di prima parte, e una società di audit mandata da un tuo cliente fa un audit di seconda parte, anche se è indipendente da entrambi.

Audit di prima parte: l'azienda verifica se stessa

È l'audit interno, richiesto dalla ISO 9001 alla clausola 9.2, con lo stesso numero nell'edizione 2015 e nella 2026. Perimetro, criteri e frequenza li decidi tu, e i risultati servono alla direzione. Programma, checklist e verbale sono spiegati nella guida all'audit interno ISO 9001.

Il legame con la terza parte è diretto: secondo la guida sugli audit interni dell'ISO 9001 Auditing Practices Group (APG, il gruppo informale di esperti di ISO/TC 176 e dell'International Accreditation Forum), l'auditor di certificazione esamina anche come conduci i tuoi audit interni.

Audit di seconda parte: il cliente verifica il fornitore

L'audit di seconda parte è quello che un'organizzazione conduce su un proprio fornitore, o che un altro soggetto con un interesse nell'azienda conduce su di essa. La ISO 19011:2026 lo mette al centro insieme all'audit interno: nell'introduzione dichiara di concentrarsi sugli audit di prima parte e su quelli condotti sui propri fornitori esterni e su altre parti interessate. La guida APG sull'uso della ISO 19011 ricorda che l'audit dei fornitori è quello che di solito si chiama di seconda parte.

Di solito arriva da tre direzioni.

• Dal sistema qualità del cliente. La ISO 9001 dedica la clausola 8.4 al controllo dei processi, prodotti e servizi forniti dall'esterno, con sottopunti sul tipo ed estensione del controllo (8.4.2) e sulle informazioni ai fornitori esterni (8.4.3). L'audit presso il fornitore è uno degli strumenti con cui un cliente certificato esercita quel controllo.
• Dalla NIS2. Il D.Lgs. 138/2024, art. 24, comma 2, lettera d), mette la sicurezza della catena di approvvigionamento, compresi i rapporti con i diretti fornitori, tra gli elementi che le misure dei soggetti essenziali e importanti devono comprendere. Il lato del cliente è spiegato nella guida al third party risk management.
• Da DORA, dove il diritto di audit è scritto nel regolamento.

Quando lo prevede la legge: il caso DORA

Per chi fornisce servizi ICT a banche, assicurazioni e altre entità finanziarie, l'audit del cliente non dipende solo dalla trattativa. Il Regolamento (UE) 2022/2554 (DORA), all'articolo 30, paragrafo 3, lettera e), chiede che i contratti per servizi ICT a supporto di funzioni essenziali o importanti prevedano il diritto di monitorare costantemente le prestazioni del fornitore, con:

• diritti incondizionati di accesso, ispezione e audit da parte dell'entità finanziaria, di un terzo da essa designato e dell'autorità competente;
• l'obbligo per il fornitore di cooperare senza riserve durante ispezioni e audit in loco;
• l'obbligo di fornire dettagli su ambito, procedure e frequenza di ispezioni e audit.

L'articolo 28, paragrafo 6, aggiunge che l'entità finanziaria stabilisce con un approccio basato sul rischio la frequenza degli audit e i settori da sottoporre ad audit, seguendo standard di audit comunemente accettati.

Nella stessa disposizione convivono le tre parti: il cliente (seconda parte), il terzo che il cliente designa (ancora seconda parte, perché agisce per suo conto) e l'autorità competente (terza parte). Il quadro degli obblighi sui fornitori ICT è nella guida a gestione del rischio ICT e registro dei fornitori.

Se l'audit lo ricevi: come prepararti

L'audit di un cliente ha criteri suoi: contratto, capitolato, requisiti di qualità o di sicurezza.

1. Parti dal contratto. Cosa prevede sul diritto di audit: preavviso, perimetro, sedi, chi può condurlo, cosa si può vedere.
2. Chiedi obiettivi, criteri e piano prima della visita. La ISO 19011 descrive l'avvio dell'audit come presa di contatto con l'organizzazione auditata e verifica della fattibilità, seguite dalla preparazione e dalla pianificazione (punti 6.2 e 6.3).
3. Prepara le evidenze sui requisiti del cliente, non solo sulla norma: ordini, specifiche, controlli in accettazione e in uscita, reclami e non conformità che lo riguardano.
4. Nomina una guida. La norma prevede ruoli e responsabilità per guide e osservatori (punto 6.4.2): una persona che accompagna l'auditor e sa dove stanno le evidenze.
5. Concorda la riservatezza. È uno dei principi dell'attività di audit della ISO 19011. Dati di altri clienti e prezzi si escludono prima della visita. Anche DORA prevede che si possano concordare livelli di garanzia alternativi quando sono in gioco i diritti di altri clienti (art. 30, par. 3, lett. e, punto ii).

I rilievi del rapporto si trattano come quelli di qualunque altro audit, con analisi delle cause e azioni correttive con responsabili e date: il metodo è nella guida alla gestione delle non conformità. La norma prevede anche l'audit di follow-up (punto 6.7), con cui il cliente verifica le azioni.

Se l'audit lo conduci tu sui fornitori

• Scegli chi auditare in base al rischio. La ISO 19011 dedica un punto del programma alla valutazione di rischi e opportunità (5.3). Un fornitore che tocca il prodotto o dati critici viene prima di chi fornisce cancelleria.
• Dichiara i criteri: contratto, specifica, norma. L'auditato deve sapere a fronte di cosa viene giudicato.
• Scegli auditor competenti sul processo del fornitore. Alla competenza degli auditor la ISO 19011 dedica la clausola 7.
• Non rifare il lavoro della certificazione. Se il fornitore è certificato ISO 9001 da un organismo accreditato, concentra l'audit su ciò che il certificato non verifica: i tuoi requisiti e il tuo prodotto. L'accreditamento si controlla nelle banche dati Accredia.

Audit di terza parte: certificazione e autorità

Di terza parte sono gli audit condotti da organizzazioni indipendenti. Il prospetto 1 della ISO 19011:2026 ne indica due famiglie: certificazione o verifica di accreditamento, e audit per fini legislativi o regolamentari.

L'audit di certificazione

È quello che porta al certificato ISO 9001 o ISO/IEC 27001 e lo mantiene nel tempo. Le certificazioni accreditate di sistema di gestione sono rilasciate, spiega Accredia, da organismi accreditati ai sensi della ISO/IEC 17021-1, il cui titolo nella versione UNI è Valutazione della conformità - Requisiti per gli organismi che forniscono audit e certificazione di sistemi di gestione - Parte 1: Requisiti. La ISO 19011 chiarisce nell'introduzione che i requisiti per l'audit di certificazione di terza parte stanno nella ISO/IEC 17021-1, e che la 19011 può dare una guida aggiuntiva.

Anche l'organismo di certificazione riceve un audit di terza parte: la verifica di accreditamento, che in Italia conduce Accredia, l'Ente unico di accreditamento designato dal Governo. Come si sceglie l'organismo è nella guida su come scegliere un ente di certificazione.

Gli audit per fini di legge

Per la NIS2 il D.Lgs. 138/2024 dà all'ACN poteri di verifica e ispezione (art. 36) e le consente di richiedere ai soggetti audit sulla sicurezza, periodici o mirati (art. 35, comma 3, lettera b). Cosa chiedono NIS2, DORA e GDPR in materia di audit è nella guida all'audit di sicurezza informatica.

Auditor di terza parte: chi è e cosa deve sapere

L'auditor di terza parte conduce gli audit per conto dell'organismo di certificazione: non lavora per l'auditato né per i suoi clienti. Secondo la guida APG sull'uso della ISO 19011, i criteri generali di competenza per gli auditor di terza parte li fissa la ISO/IEC 17021-1, e quelli specifici stanno nei documenti complementari per norma o settore, come la ISO/IEC 17021-3 per i sistemi di gestione per la qualità.

La stessa guida indica da dove viene la competenza: istruzione, esperienza di lavoro, formazione da auditor ed esperienza di audit, con conoscenze generali e di settore.

Per dimostrarla in modo formale esiste la certificazione delle persone, che Accredia descrive come il riconoscimento, da parte di un organismo di parte terza indipendente, dei requisiti per operare con competenza in un settore. La rilasciano organismi accreditati ai sensi della ISO/IEC 17024, e nella lista degli schemi attivi di Accredia (LS-15, rev. 26 del 23/12/2025) compaiono anche figure di auditor, per esempio l'auditor di sistemi di gestione dell'energia.

Le differenze che contano, in pratica

• Chi decide perimetro e criteri. Prima parte: tu. Seconda parte: il cliente, dentro ciò che il contratto consente. Terza parte: la norma di certificazione o la legge, applicate da un soggetto indipendente.
• Cosa produce l'esito. Prima parte: azioni di miglioramento e input per la direzione. Seconda parte: qualifica, mantenimento o revisione del rapporto di fornitura. Terza parte: rilascio, mantenimento o sospensione del certificato, oppure un esito di vigilanza.
• Rispetto a cosa vieni giudicato. L'auditor di certificazione giudica sui requisiti della norma: la guida APG ricorda, per esempio, che non può aprire una non conformità perché non hai seguito la ISO 19011, che non è un requisito. Il cliente giudica su ciò che avete concordato.

Un sistema, tre audit

Le tre categorie usano gli stessi strumenti (piano, evidenze, rilievi, rapporto), quindi un sistema tenuto in ordine le regge tutte con lo stesso materiale. Quando gli audit si sommano, la ISO 19011:2026 definisce l'audit combinato, su due o più sistemi di gestione della stessa organizzazione nello stesso momento, e l'audit congiunto, condotto da due o più organizzazioni di audit (punti 3.2 e 3.3).

In sintesi

Prima parte: l'audit interno, anche se lo esegue un consulente per tuo conto. Seconda parte: il cliente che verifica il fornitore, direttamente o tramite un terzo, con DORA che impone di prevedere il diritto di audit nei contratti ICT delle entità finanziarie a supporto di funzioni essenziali o importanti. Terza parte: l'organismo di certificazione (per le certificazioni accreditate, accreditato secondo la ISO/IEC 17021-1), oppure un'autorità come l'ACN.

Se stai costruendo il sistema qualità in vista della certificazione, o devi reggere gli audit dei clienti con lo stesso materiale, puoi vedere come lavoriamo sul percorso ISO 9001, dalla gap analysis all'audit dell'ente accreditato.