ISO 19011

La ISO 19011 è la guida su come si conducono gli audit dei sistemi di gestione: principi, gestione del programma di audit, conduzione della singola verifica e criteri per valutare la competenza degli auditor. Non descrive un sistema aziendale: descrive il mestiere di chi verifica.

La notizia che riguarda chiunque abbia un manuale o una procedura di audit interno: è uscita la quarta edizione, il 27 maggio 2026, che sostituisce e ritira quella del 2018. In Italia il documento è pubblicato come UNI CEI EN ISO 19011:2026 — con la doppia sigla UNI-CEI, diversa dalla precedente. Chi cita ancora l’edizione 2018 nelle proprie procedure è fermo a prima.

Che cosa facciamo, in concreto

Su questa norma non esiste un certificato aziendale e non ne vendiamo uno. Quello che facciamo è il lavoro vero che la norma abilita: costruiamo il vostro programma di audit interno e lo facciamo funzionare. Significa scegliere che cosa verificare e con quale frequenza in base al rischio, formare e qualificare gli auditor interni, e condurre noi i primi audit con lo stesso metro con cui li condurrebbe l’organismo — la nostra direzione tecnica ha la qualifica di lead auditor, quindi non è una simulazione teorica. Non rilasciamo attestati di conformità alla ISO 19011, perché non hanno alcun valore.

Tre norme che vengono confuse

La ISO 19011 è la guida su come si fanno gli audit. Non ha requisiti obbligatori e non è certificabile: si rivolge a chi verifica, non a chi è verificato.

La ISO/IEC 17021-1 è la norma sui requisiti degli organismi che certificano i sistemi di gestione: competenza, imparzialità, coerenza. È su questa che l’ente nazionale accredita gli organismi. Riguarda loro, non voi.

La ISO/IEC 17024 è la norma sui requisiti degli organismi che certificano le persone. È su questa che si fonda la certificazione professionale di un auditor: in Italia esistono organismi accreditati che certificano i profili di auditor e responsabile del gruppo di audit.

Attestato di corso e certificazione della persona non sono la stessa cosa

Chi frequenta un corso «lead auditor» riceve un attestato di frequenza e superamento, anche quando il corso è qualificato nel registro di un organismo. È utile e necessario, ma non è una certificazione della persona.

La certificazione delle persone è un’altra cosa: la rilascia un organismo accreditato secondo la norma sulla certificazione del personale, ha una validità, richiede mantenimento e prevede il ritiro se i requisiti vengono meno. In una gara o in una qualifica, quando si chiede un auditor certificato, si intende questa.

Un terzo equivoco, meno vistoso ma frequente: nessuna norma di sistema obbliga ad avere auditor interni certificati. Chiedono auditor competenti e obiettivi, e la ISO 19011 è il riferimento per dimostrare come quella competenza è stata valutata.

Quanto costa

Impostare un programma di audit interno e formare gli auditor su una PMI con uno o due sistemi certificati richiede tipicamente da quattro a otto giornate. Se gli audit li conduciamo noi, si conta a parte: un audit interno completo su un sistema singolo va da una a tre giornate secondo la dimensione e il numero di siti.

Applichiamo la nostra tariffa giornaliera, con le spese a forfait. Il metodo con cui si forma il prezzo è nella pagina dedicata ai costi.

Non c’è nessun costo di organismo legato a questa norma. Se cercate la certificazione professionale di una persona, quella si paga all’organismo che certifica il personale ed è una spesa individuale, non aziendale.

Gli errori che allungano i tempi

Sono sempre gli stessi quattro.

Tenere procedure che citano l’edizione 2018. È superata dal 27 maggio 2026: in audit è un rilievo facile da prendere e banale da evitare.

Far verificare un processo a chi lo gestisce. L’indipendenza dell’auditor dal processo verificato è il requisito che salta più spesso nelle organizzazioni piccole.

Scrivere rilievi che nessuno capisce. Un rilievo senza evidenza e senza riferimento al requisito non produce correzione: produce una discussione.

Chiudere le azioni senza verificarne l’efficacia. È il difetto più comune dei programmi di audit interno, e lo trova puntualmente l’organismo.

Dove operiamo

Lavoriamo dalle nostre quattro sedi — Milano, Bologna, Roma e Brescia — e conduciamo audit interni in tutta Italia. Gli audit si fanno dove si lavora: reparti, cantieri, magazzini, uffici. La costruzione del programma, la valutazione delle competenze e la stesura dei rapporti si fanno da remoto. Sui gruppi multi-sito il programma si disegna una volta e si applica ai siti secondo il rischio, non a rotazione uniforme.

Domande frequenti

La mia azienda può certificarsi ISO 19011?
No. È una guida rivolta agli auditor e non contiene requisiti applicabili a un’organizzazione: non esiste un certificato aziendale su questa norma, e chi lo offre sta vendendo un documento senza valore.

Che differenza c’è con la ISO/IEC 17021-1?
La 17021-1 stabilisce i requisiti degli organismi che rilasciano le certificazioni dei sistemi di gestione ed è la norma su cui l’ente nazionale li accredita. Riguarda l’organismo che vi verifica, non voi. La ISO 19011 riguarda come si conduce l’audit, ed è il riferimento anche per i vostri audit interni.

I miei auditor interni devono essere certificati?
No, nessuna norma di sistema lo impone. Devono essere competenti e indipendenti dal processo che verificano, e la competenza va valutata e documentata: la ISO 19011 dice come. La certificazione della persona è un di più, utile quando è il mercato a chiederla.

Ho un manuale che cita l’edizione 2018: devo rifarlo?
Non rifarlo, aggiornarlo. La quarta edizione è del 27 maggio 2026 e in Italia il documento è pubblicato con la sigla UNI CEI EN ISO 19011:2026. Cambiano il riferimento e alcuni contenuti sulla competenza: le procedure vanno riviste, non riscritte da zero.