La quarta edizione della ISO 19011, Linee guida per audit di sistemi di gestione, è stata pubblicata a maggio 2026. Sostituisce l'edizione del 2018, che è stata ora ritirata.
Prima di farsi prendere dal panico, è bene ricordare che si tratta di una norma di linee guida e non di una norma di requisiti.
Nessuna organizzazione viene certificata secondo la ISO 19011 e non è previsto alcun periodo di transizione. Quest'ultimo punto è importante.
A differenza della ISO 9001 o della ISO 45001, per le quali si dispone di anni di margine, le linee guida riviste si applicano dal momento stesso della pubblicazione. Se svolgete audit di sistemi di gestione, il conto alla rovescia è già iniziato.
In breve
Si tratta di un'evoluzione, non di una rivoluzione, come nell'articolo sulla ISO 14001:2026.
- I sette principi restano validi.
- La struttura dei punti della norma è quella già nota.
- Il vostro programma di audit esistente non deve essere stravolto.
Ciò che è cambiato sono l'enfasi, il linguaggio e un ampliamento significativo in due ambiti che riflettono il modo in cui lavoriamo oggi: l'audit a distanza e il rischio.
Linguaggio e terminologia
Gran parte delle riformulazioni è di natura formale, ma avrà effetti sui vostri rapporti.
Per indicare l'attività, la norma ora predilige il termine inglese “auditing” rispetto ad “audit”, per cui “audit methods” diventa “auditing methods” e così via.
- Il termine “organizzazione” indica ora l'organizzazione sottoposta ad audit, mentre il soggetto che svolge il lavoro è l'“organizzazione che effettua l'audit” (auditing organization).
- I fornitori esterni sono ora descritti come organizzazioni della catena di fornitura.
- L'“estensione” (extent) di un programma di audit è ora il suo “campo di applicazione” (scope).
- Inoltre, una conclusione dell'audit è ora descritta come il risultato (result) di un audit anziché come il suo esito (outcome).
Nessuna di queste modifiche cambia ciò che fate. Tutte, però, cambiano le parole nei vostri modelli, nelle checklist e nella formulazione dei rilievi. Se non li aggiornate, darete l'impressione di lavorare ancora con un'edizione ritirata.
L'audit a distanza e virtuale giunge finalmente a maturità
Per me è questa la novità principale. Le linee guida integrano ora i concetti della ISO/IEC TS 17012:2024 sui metodi di audit a distanza, e l'Appendice A è stata ampliata per quanto riguarda i metodi a distanza e i siti virtuali.
Le sezioni A.15 e A.16 sono state profondamente rielaborate e la A.16 è ora impostata sull'utilizzo dei metodi di audit a distanza.
Qui serve però un po' di realismo. Sebbene le sezioni A.15 e A.16 appaiano radicalmente modificate, gran parte del testo è stata semplicemente spostata dall'una all'altra, e non si tratta di materiale del tutto nuovo. Leggetele quindi con attenzione, ma non date per scontato che le regole dell'audit a distanza siano state riscritte.
La professione ha semplicemente allineato la documentazione alla prassi che la maggior parte di noi ha adottato già da anni.
Il rischio entra in gioco prima e con una portata più ampia
Il pensiero basato sul rischio non è una novità per la 19011. La novità è fin dove arriva.
L'edizione 2026 della 19011 prevede che l'approccio basato sul rischio orienti il programma di audit stesso, e non solo i singoli audit.
I rischi e le opportunità relativi al programma devono ora essere “determinati” e non semplicemente “considerati”, ed è una scelta lessicale deliberata. Determinare qualcosa significa aver esaminato le evidenze e aver raggiunto una conclusione che si è in grado di dimostrare.
L'elenco dei rischi del programma si è ampliato in modo utile. Ora richiama esplicitamente la perdita di indipendenza o di imparzialità dell'auditor, la scelta di metodi di audit non adeguati e la mancata conduzione degli audit secondo quanto previsto dal programma.
Nomina espressamente l'influenza indebita: il responsabile che fa pressione su di voi per rinviare un audit, annullarlo o restringerne silenziosamente il campo di applicazione. Chiunque abbia lavorato in un organismo di certificazione o in una funzione interna sotto pressione sa esattamente perché quella frase si è guadagnata il suo posto.
Due aggiunte moderne che parlano del presente
Due inserimenti spiccano perché descrivono il mondo in cui svolgiamo gli audit oggi.
- Cambiamento climatico.
La progettazione di un programma di audit dovrebbe ora considerare se il cambiamento climatico sia una questione rilevante per l'organizzazione sottoposta ad audit. Ciò rispecchia l'emendamento già apportato a tutte le norme sui sistemi di gestione.
- Tecnologia e competenza.
Quando valutate se siete competenti per uno specifico audit, dovete ora tenere conto della vostra conoscenza delle tecnologie emergenti, compresi gli strumenti di valutazione basati sull'intelligenza artificiale, sia come qualcosa che potreste sottoporre ad audit sia come qualcosa che potreste utilizzare per svolgere l'audit.
La protezione dei dati e la sicurezza delle informazioni rientrano ora tra gli elementi attesi della consapevolezza normativa di un auditor.
Per quanto riguarda il comportamento personale, il termine “tenace” (tenacious) è stato sostituito da “determinato” (determined) ed è stata eliminata l'espressione “capace di agire con fermezza” (able to act with fortitude), anche se nella pratica l'aspettativa di avere spina dorsale non è venuta meno.
Catena di fornitura e audit di seconda parte
Se conducete audit presso fornitori o altri fornitori esterni, questa è la sezione da leggere per prima. È l'ampliamento più utile nella pratica per chiunque svolga attività di assurance per conto del cliente.
Il punto A.12 dell'Appendice, dedicato all'audit della catena di fornitura, è stato ampliato in modo sostanziale, con nuovo materiale incentrato sugli audit di seconda parte.