Punti chiave
- La ISO 19011 è la linea guida internazionale per gli audit dei sistemi di gestione: principi, gestione del programma di audit, conduzione del singolo audit e competenza degli auditor.
- L'edizione vigente in Italia è la UNI CEI EN ISO 19011:2026, in vigore dal 27 maggio 2026: è la quarta edizione e sostituisce la 2018, ritirata dall'UNI nella stessa data.
- La revisione amplia la guida sugli audit a distanza, con le indicazioni della ISO/IEC TS 17012 e un'Appendice A estesa alle sedi virtuali.
- La norma si concentra sugli audit interni (prima parte) e sugli audit dei fornitori (seconda parte); per l'audit di certificazione i requisiti stanno nella ISO/IEC 17021-1.
- Non serve a certificare un'azienda e non è un requisito: un auditor di certificazione non può aprire non conformità perché non la segui, ma esamina come conduci i tuoi audit interni.
- Si usa per costruire il programma di audit interni ISO 9001 o ISO/IEC 27001 su base di rischio, anche come audit combinato quando i sistemi sono più di uno.
La risposta breve: la ISO 19011 è la linea guida internazionale per fare audit dei sistemi di gestione. Spiega i principi dell'attività di audit, come si gestisce un programma di audit, come si conduce il singolo audit e come si valuta la competenza degli auditor. Vale per qualità, sicurezza delle informazioni e qualsiasi altro sistema di gestione. L'edizione vigente in Italia è la UNI CEI EN ISO 19011:2026, in vigore dal 27 maggio 2026.
È una guida, non una norma di requisiti: non si usa per certificare un'azienda, serve a fare bene gli audit, interni e sui fornitori. Se l'hai cercata come ISO 19011 o come ISO 19001, il contenuto che ti serve è questo: qui trovi cosa dice, com'è organizzata, cosa cambia con l'edizione 2026 e come usarla per un audit interno.
Cos'è la ISO 19011 e a chi serve
Secondo il punto 1 della norma, la ISO 19011 fornisce una guida sull'audit dei sistemi di gestione: principi, gestione dei programmi di audit, conduzione degli audit e valutazione della competenza di chi è coinvolto (chi gestisce il programma, gli auditor, i gruppi di audit). Si applica a qualsiasi organizzazione che debba pianificare e condurre audit di sistemi di gestione o gestire un programma di audit.
L'introduzione indica tre gruppi di utilizzatori:
- gli auditor, interni ed esterni;
- le organizzazioni che hanno un sistema di gestione e devono verificarlo, per esempio con l'audit interno richiesto dalla ISO 9001 o dalla ISO/IEC 27001;
- le organizzazioni che devono condurre audit per ragioni contrattuali o di legge, come un cliente che verifica i propri fornitori.
La norma aggiunge che la guida può servire anche a chi si occupa di formazione, qualificazione e certificazione delle persone che partecipano agli audit. La guida APG (l'ISO 9001 Auditing Practices Group, gruppo di esperti legato al comitato tecnico ISO/TC 176, che ha pubblicato le sue guide con l'International Accreditation Forum) ricorda che molti auditor professionisti si sono formati sulle sue edizioni.
Prima, seconda e terza parte
La 19011:2026 dichiara nell'introduzione di concentrarsi sugli audit interni (di prima parte) e sugli audit che un'organizzazione conduce sui propri fornitori esterni e su altre parti interessate (di seconda parte). Per l'audit di certificazione di terza parte i requisiti stanno nella ISO/IEC 17021-1, la norma che si applica agli organismi di certificazione; la 19011 può dare una guida aggiuntiva. Le differenze tra i tre tipi di audit sono spiegate nella guida agli audit di prima, seconda e terza parte.
L'edizione vigente: ISO 19011:2026
La versione italiana è la UNI CEI EN ISO 19011:2026: secondo la scheda UNI è in vigore dal 27 maggio 2026, e la stessa data compare come data di ritiro della UNI EN ISO 19011:2018, ora ritirata con sostituzione. Nel Regno Unito BSI ha pubblicato la BS EN ISO 19011:2026 il 31 maggio 2026.
La premessa ISO la presenta come quarta edizione, che annulla e sostituisce la terza (ISO 19011:2018) ed è stata tecnicamente rivista. Le principali modifiche dichiarate sono due:
- guida più ampia sui metodi di audit a distanza, con l'introduzione delle indicazioni della ISO/IEC TS 17012;
- un'Appendice A ampliata, con indicazioni sui metodi di audit a distanza e sulle sedi virtuali.
Le definizioni di audit e di audit combinato (punti 3.1 e 3.2) sono riprese, con modifiche, dalla ISO 9000:2026; quella di audit congiunto (punto 3.3) è ripresa senza modifiche. La norma è stata elaborata dal comitato di progetto ISO/PC 302, Guidelines for auditing management systems.
Cosa cambia per un'azienda certificata
Il passaggio alla 19011:2026 non funziona come quello della ISO 9001:2026, che ha un periodo di transizione per i certificati (lo spieghiamo nell'articolo sulle novità della ISO 9001:2026). La 19011 non è un requisito: la guida APG sull'uso della 19011 ricorda che un auditor di certificazione non può aprire non conformità perché un'organizzazione non la segue.
Due cose però conviene farle:
- aggiornare il riferimento nella procedura di audit interno e nei documenti del programma, se citano ancora l'edizione 2018;
- rileggere la parte sugli audit a distanza, se conducete audit da remoto su sedi o fornitori: è la parte su cui la revisione ha lavorato di più.
Com'è organizzata la norma
Dopo scopo, riferimenti normativi e definizioni (punti 1-3), la 19011:2026 si divide in quattro capitoli e un'appendice informativa. L'ordine segue il lavoro reale: prima come deve comportarsi chi fa audit, poi come si pianifica l'insieme degli audit, poi come si conduce il singolo audit, infine chi può farlo.
Punto 4: i sette principi dell'attività di audit
I principi sono la bussola dell'auditor. L'indice della norma li elenca così:
- integrità;
- presentazione imparziale;
- dovuta professionalità;
- riservatezza;
- indipendenza;
- approccio basato sull'evidenza;
- approccio basato sul rischio.
Due hanno effetti pratici immediati. Nella prassi l'indipendenza si traduce nel far sì che nessuno verifichi il proprio lavoro, e l'approccio basato sul rischio nel concentrare il tempo di audit dove il rischio è più alto, invece di distribuirlo in parti uguali su tutte le clausole.
Punto 5: la gestione del programma di audit
Il programma è l'insieme degli audit di un periodo. La norma ne descrive il ciclo completo:
- definizione degli obiettivi del programma (5.2);
- valutazione dei rischi e delle opportunità del programma (5.3);
- definizione del programma: ruoli, competenza di chi lo gestisce, campo di applicazione, risorse (5.4);
- attuazione: obiettivi, criteri e metodi del singolo audit, scelta del gruppo, gestione dei risultati e delle registrazioni (5.5);
- monitoraggio, riesame e miglioramento del programma (5.6 e 5.7).
La guida APG sottolinea che gestire il programma e condurre i singoli audit sono due processi distinti, anche se nelle organizzazioni piccole può occuparsene la stessa persona.
Punto 6: la conduzione di un audit
È la parte operativa, e segue la sequenza di un audit vero:
- avvio: presa di contatto con l'organizzazione auditata e verifica della fattibilità (6.2);
- preparazione: riesame delle informazioni documentate, piano di audit, assegnazione del lavoro al gruppo, documenti di lavoro (6.3);
- conduzione: ruoli di guide e osservatori, riunione di apertura, comunicazione, raccolta e verifica delle informazioni, risultanze, conclusioni, riunione di chiusura (6.4);
- rapporto di audit: preparazione e distribuzione (6.5);
- chiusura dell'audit (6.6) e, se serve, audit di follow-up sulle azioni (6.7).
Punto 7: competenza e valutazione degli auditor
Il capitolo tratta comportamento personale, conoscenze e abilità, acquisizione della competenza di auditor e di responsabile del gruppo di audit, criteri e metodi di valutazione, mantenimento della competenza nel tempo. Secondo la guida APG la competenza si costruisce con istruzione, esperienza di lavoro, formazione da auditor ed esperienza di audit, e serve sia la conoscenza generale degli audit sia quella del settore auditato.
Per gli auditor degli organismi di certificazione la stessa guida rinvia ai criteri generali della ISO/IEC 17021-1 (punto 4.3) e a documenti specifici per norma, come la ISO/IEC 17021-3 per i sistemi di gestione per la qualità. In Italia le certificazioni di sistema di gestione accreditate sono rilasciate, spiega Accredia, da organismi accreditati secondo la ISO/IEC 17021-1.
Appendice A: guida aggiuntiva per gli auditor
È informativa e raccoglie indicazioni pratiche per pianificare e condurre gli audit. Nell'edizione 2026 è la parte ampliata sugli audit a distanza e sulle sedi virtuali. La guida APG, scritta sull'edizione 2018, ne ricorda alcuni temi: metodi di audit, campionamento, contesto dell'organizzazione, ciclo di vita, catena di fornitura, risultanze.
Come usarla per un audit interno
La 19011 non dice cosa auditare: quello lo decidono la norma di riferimento (la ISO 9001, la ISO/IEC 27001) e i tuoi processi. Dice come farlo bene. In pratica, per un sistema qualità o per un sistema di gestione della sicurezza delle informazioni:
- Scrivi un programma annuale basato sul rischio. Processi critici, cambiamenti recenti e risultati degli audit precedenti decidono dove andare prima e quanto spesso.
- Scegli auditor indipendenti dall'area. In un'azienda mid-market spesso significa scambiarsi gli audit tra funzioni o affidare il ruolo a un consulente esterno che agisce per conto dell'azienda: resta un audit di prima parte.
- Prepara un piano per ogni audit con obiettivi, criteri, perimetro, orari e persone da incontrare, e condividilo prima con chi viene auditato.
- Raccogli evidenze verificabili: registrazioni, campioni, interviste, osservazione dei processi. Una risultanza senza evidenza non regge.
- Chiudi con una riunione e un rapporto che separi conformità, non conformità e opportunità di miglioramento, con responsabili e date per le azioni.
- Verifica le azioni con un audit di follow-up e usa i risultati per aggiornare il programma.
Programma, checklist e verbale per la qualità sono spiegati nella guida all'audit interno ISO 9001; per la sicurezza delle informazioni nella guida all'audit interno ISO 27001.
Se hai più sistemi di gestione
L'introduzione della 19011:2026 adotta l'approccio dell'audit combinato, quando due o più sistemi di gestione di discipline diverse sono auditati insieme. Se i sistemi sono integrati in un unico sistema di gestione (talvolta chiamato audit integrato), principi e processi di audit restano gli stessi. Per chi ha 9001 e 27001 significa un solo programma e audit che coprono entrambe le norme, invece di due calendari separati.
Cosa la ISO 19011 non è
- Non si usa per certificare un'azienda. Le aziende si certificano sulle norme di requisiti, come ISO 9001 o ISO/IEC 27001. La 19011 serve a fare gli audit su quelle norme.
- Non è obbligatoria. La ISO 9001:2015 la richiama in una nota alla clausola 9.2, e la guida APG precisa che quella nota non va letta come un requisito.
- Non regola gli organismi di certificazione. Per loro vale la ISO/IEC 17021-1; la 19011 è un riferimento in più.
Nella pratica conta comunque: secondo la guida APG sugli audit interni, l'auditor di certificazione esamina come l'azienda conduce i propri audit interni (competenze, obiettività e imparzialità, pianificazione sul rischio, uso dei risultati), e un programma costruito sulla 19011 è il modo più diretto per mostrarlo.
In sintesi
La ISO 19011 è la linea guida per gli audit dei sistemi di gestione. L'edizione vigente è la UNI CEI EN ISO 19011:2026, in vigore dal 27 maggio 2026 al posto della 2018, con più spazio agli audit a distanza. Si organizza in principi (punto 4), programma di audit (5), conduzione (6) e competenza degli auditor (7), più un'appendice pratica. Un'azienda non si certifica sulla 19011 e la norma non è un requisito, ma è la base su cui si costruiscono audit interni e audit sui fornitori.
Se stai costruendo il sistema qualità e vuoi un programma di audit interni che regga la verifica dell'ente, puoi vedere come lavoriamo sul percorso ISO 9001, dalla gap analysis all'audit di certificazione.