Perché ne parliamo
La ISO 19011:2026 aggiorna il riferimento internazionale per gli audit dei sistemi di gestione con due interventi dichiarati: più indicazioni sui metodi di audit a distanza e un’Appendice A ampliata, anche sulle sedi virtuali. L’ISO l’ha pubblicata nel maggio 2026 come quarta edizione, al posto della ISO 19011:2018, oggi ritirata (ISO). La versione italiana, UNI CEI EN ISO 19011:2026, è entrata nel corpo normativo nazionale il 27 maggio 2026 (Premessa nazionale).
La norma riguarda qualsiasi organizzazione che debba pianificare e condurre audit di sistemi di gestione o gestire un programma di audit (punto 1). Per le professioni di Silicqua significa trovarsi, da auditor, da auditati o da committenti, davanti a un modo di verificare più digitale, in cui la scelta tra presenza e distanza diventa una decisione di progetto.
Che cos’è la ISO 19011
La ISO 19011 è una linea guida, non una norma di requisiti: nessuna organizzazione può essere certificata ISO 19011 (ISO). Copre quattro ambiti: i principi dell’attività di audit (punto 4), la gestione del programma di audit (5), la conduzione degli audit (6) e la competenza e valutazione degli auditor (7). L’Appendice A, informativa, aggiunge guida pratica per pianificare e condurre gli audit.
I principi sono sette: integrità, presentazione imparziale, dovuta professionalità, riservatezza, indipendenza, approccio basato sull’evidenza e approccio basato sul rischio (punti 4.2-4.8). Se gli auditor interni non possono essere indipendenti dall’attività verificata, la norma chiede di fare ogni sforzo per eliminare i pregiudizi e favorire l’obiettività (4.6).
Il documento è focalizzato sugli audit interni, detti di prima parte, e su quelli condotti da un’organizzazione sui propri fornitori esterni e su altre parti interessate, detti di seconda parte. Per la certificazione di terza parte i requisiti sono nella ISO/IEC 17021-1, ma la ISO 19011 può comunque offrire ulteriore guida (Introduzione, Prospetto 1). Può servire anche all’auto-dichiarazione e alla formazione, qualificazione e certificazione delle persone che partecipano al programma di audit.
Sul piano dei tempi, il CEN ha chiesto agli enti nazionali di attribuirle lo status di norma nazionale al più tardi entro novembre 2026, ritirando le norme in contrasto (Premessa CEN). Per le organizzazioni, trattandosi di una linea guida, non è previsto un periodo di transizione (Audit Service & Certification).
Cosa cambia rispetto al 2018
La Premessa ISO dichiara due modifiche principali: l’ampliamento delle linee guida sui metodi di audit a distanza, con l’introduzione di quelle della ISO/IEC TS 17012, e l’ampliamento dell’Appendice A su metodi a distanza e sedi virtuali. La quarta edizione annulla e sostituisce la terza, tecnicamente rivista, e la Premessa non elenca altre modifiche principali. L’Introduzione motiva la revisione con le nuove norme di sistemi di gestione uscite dopo il 2018, che condividono struttura e termini comuni e richiedono un approccio più esteso e una guida più generale.
La tabella indica dove si trovano nella norma le indicazioni sulla distanza.
| Punto | Cosa dice |
|---|---|
| 3.4 Metodo di audit a distanza | Metodo per svolgere attività di audit in un luogo diverso dal sito dell’organizzazione oggetto dell’audit. Si può combinare con i metodi in sito e si applica anche alle sedi virtuali, dove il lavoro o il servizio avviene online indipendentemente dalla posizione fisica delle persone |
| 3.6 Campo di applicazione dell’audit | Comprende la descrizione dei siti fisici e virtuali, delle funzioni, delle unità organizzative, delle attività, dei processi e del periodo esaminato |
| 5.1 e 5.3 Programma di audit e rischi | Il programma indica i metodi da impiegare, anche a distanza. Tra i rischi cita la scelta del metodo in loco o a distanza e la sicurezza delle piattaforme di comunicazione |
| 6.2.3 Fattibilità | Si determina considerando informazioni disponibili, collaborazione dell’organizzazione, tempo e risorse, anche ICT, ed eventi esterni. Se l’audit non è fattibile, si propone un’alternativa al committente |
| A.1 Metodi di audit | Prospetto che distingue interazione umana o assente, in campo o a distanza. A livello di programma si dovrebbe assicurare un uso idoneo e bilanciato dei due approcci |
| A.16 Metodi a distanza | Responsabilità congiunta di auditor e organizzazione verificata. Servono protocolli di accesso concordati, verifiche tecniche preventive e piani di emergenza, anche con più tempo. Gli auditor devono avere competenze tecniche e di conduzione a distanza |
| A.17 Interviste | Nei contesti virtuali la comunicazione non verbale è limitata: l’attenzione va al tipo di domande per individuare evidenze oggettive |
L’ampliamento non è una novità assoluta: UniProfessioni osserva che audit a distanza e siti virtuali erano già presenti nell’edizione 2018, ora resi più espliciti e ordinati (UniProfessioni). Altri temi sono presenti nel testo ma non sono indicati come modifiche principali: l’approccio basato sul rischio, che deve influenzare pianificazione, attuazione, conduzione e reporting (4.8), la competenza su ICT e tecnologie emergenti, con gli strumenti basati sull’intelligenza artificiale citati come esempio (7.2.3.2), e gli audit combinati o integrati (Introduzione, 3.2, A.18.4).
Che cosa significa per le professioni di Silicqua
La norma dà a ciascuna professione un ruolo riconoscibile. I riferimenti ai punti sono quelli della norma; i collegamenti con le professioni sono nostre letture.
- Agronomi. Possono essere gli esperti tecnici del gruppo di audit: persone che portano conoscenze specifiche su processo, prodotto, disciplina o settore senza agire da auditor (3.17). La norma chiede di includerli quando le competenze del gruppo non coprono l’audit (5.5.4). Per i controlli in campo i metodi a distanza sono possibili, anche con l’osservazione del lavoro guidata a distanza (A.1), ma la loro fattibilità dipende, tra l’altro, dal livello di rischio nel raggiungere gli obiettivi e dal grado di fiducia tra auditor e personale.
- Ingegneri. Le evidenze oggettive possono derivare da osservazioni, misurazioni e prove (3.9), e l’analisi di dati e registrazioni è un metodo previsto in campo e a distanza (A.1). La norma chiede di valutare se le informazioni siano complete, corrette, coerenti e attuali (A.5) e disciplina il campionamento, anche statistico (A.6). Agli auditor chiede di comprendere adeguatezza e conseguenze dell’uso di ICT e tecnologie emergenti (7.2.3.2).
- Avvocati. Tra le conoscenze degli auditor figurano requisiti legali, contratti, obblighi di legge, tutela dei dati e sicurezza delle informazioni. La norma precisa che ciò non presuppone esperienza legale e che l’audit di un sistema di gestione non è un audit di compliance legale (7.2.3.2, nota). I requisiti legali possono però essere criteri di audit (3.8, A.7), e le informazioni di audit non si divulgano senza l’approvazione del committente, salvo obblighi di legge (6.6).
- Imprenditori. Negli audit di seconda parte sui fornitori la norma indica scopi come quantificare i rischi prima di firmare un contratto, verificare che i processi siano gestiti come concordato, fare sorveglianza e migliorare le prestazioni (A.12). Per il programma vanno considerati tempo e costi di viaggio, fusi orari e disponibilità ICT (5.4.4). Tra le opportunità la norma cita più audit in una sola visita e meno spostamenti (5.3).
Come prepararsi
Sette passi concreti per chi gestisce audit interni o verifiche sui fornitori:
- Completa il programma di audit. Dovrebbe indicare, tra l’altro, rischi e opportunità, campo di applicazione, criteri e metodi da impiegare, compresi quelli a distanza (5.1).
- Includi tra i rischi la scelta del metodo e la sicurezza delle piattaforme. Sono due esempi espliciti di rischio per il programma (5.3).
- Determina la fattibilità prima di ogni audit. Valuta informazioni, collaborazione, risorse ed eventi esterni, e proponi un’alternativa al committente se l’audit non è fattibile (6.2.3).
- Prepara i piani di audit a distanza. Servono protocolli di accesso concordati, verifiche tecniche preventive, piani di emergenza e, se necessario, più tempo (A.16). Il piano indica i siti fisici e virtuali (6.3.2.2).
- Fissa le regole sulle informazioni. Chiedi l’autorizzazione in anticipo per schermate e registrazioni e tutela la riservatezza durante le pause (A.16). Le informazioni riservate create in audit, comprese immagini e registrazioni audiovisive, vanno salvaguardate (6.3.4).
- Aggiorna la valutazione delle competenze. Considera ICT e tecnologie emergenti (7.2.1, 7.2.3.2) e fai rientrare l’uso delle tecnologie nello sviluppo professionale continuo degli auditor (7.6).
- Rendi espliciti i criteri sulle non conformità. Se le classifichi, i criteri vanno definiti e comunicati (6.4.8). Una non conformità non presentata e discussa durante l’audit o la riunione di chiusura non va nel rapporto (6.5.1).
La norma non fissa scadenze per le organizzazioni ed è già in vigore come norma nazionale. Conviene partire dagli aggiornamenti a basso costo, come modelli, criteri e registro delle competenze (Audit Service & Certification).
Conclusioni
La ISO 19011:2026 non cambia il modo di pensare l’audit: l’ISO indica come modifiche principali l’ampliamento delle linee guida sui metodi a distanza e dell’Appendice A. Chi già pianifica con attenzione ai rischi e alla competenza degli auditor avrà in genere poco da rifare. Chi trattava il remoto come ripiego avrà più lavoro, perché ora la scelta del metodo va progettata e motivata.
Per una rete multiprofessionale come Silicqua il tema è un buon terreno di confronto: lo stesso audit viene letto in modo diverso da agronomi, ingegneri, avvocati e imprenditori, e proprio questo incrocio aiuta a progettarlo bene. La norma indica inoltre che può servire alla formazione, qualificazione e certificazione delle persone coinvolte nel programma di audit, un ambito vicino ai corsi di formazione che Silicqua dichiara di promuovere. Chi ha casi o esperienze da condividere può scrivere a info@silicqua.org o chiedere di aderire dalla pagina “Diventa socio”.