ISO 19011:2026 — l’audit smette di essere una visita e diventa un progetto

La revisione della ISO 19011 non stravolge l’audit, ma sposta il momento in cui si prendono alcune decisioni. Un cambiamento meno visibile di altri, ma tutt’altro che secondario.

Partiamo da una domanda scomoda: quando conduci un audit da remoto, lo stai progettando o lo stai improvvisando?

Per anni, in tante organizzazioni, la risposta onesta è stata la seconda. Gli strumenti c’erano; il remoto, però, veniva trattato come un ripiego. “Lo facciamo in videochiamata perché è più pratico”. Eppure di ripiego ha poco: già nel 2021 Accredia ha condotto circa 13.000 giornate di verifica con strumenti digitali o a distanza (fonte Relazione Annuale – Accredia). È la normalità da anni. La quarta edizione della ISO 19011, uscita a maggio 2026, ne prende atto e chiude la fase dell’improvvisazione.

In Italia arriva come UNI CEI EN ISO 19011:2026, recepita il 27 maggio. È bene chiarirlo subito: è una linea guida, non una norma di requisiti. Non ci si certifica, non c’è alcun periodo di transizione, non parte nessun conto alla rovescia. La ISO 19011 è la linea guida internazionale che fornisce indicazioni per la gestione dei programmi di audit e per la conduzione degli audit sui sistemi di gestione.

E proprio per questo la scelta di aggiornare il proprio modo di auditare resta tutta nelle mani dell’organizzazione. Nessun ente verrà a chiederti conto di quanto hai recepito questa revisione. La decisione di auditare meglio resta tua.

Sembra una questione tecnica. In realtà è una questione di metodo.

Chi temeva uno stravolgimento può rilassarsi. La struttura tiene: sette principi, ciclo PDCA per il programma di audit, approccio basato sul rischio, modello di competenza degli auditor. Tutto al suo posto. Revisione tecnica, evolutiva.

Ma evolutiva non vuol dire ignorabile. Le principali novità della ISO 19011:2026 riguardano soprattutto il modo in cui vengono pianificati gli audit e utilizzati i metodi a distanza. Il punto è questo: la 2026 non aggiunge regole, sposta il momento in cui pensi.

Fino a ieri il metodo di audit si sceglieva strada facendo, e il remoto si appiccicava al piano quando serviva. Adesso il metodo, in presenza, a distanza o ibrido, si progetta dall’inizio, già quando definisci il programma, sulla base del rischio, lungo tutto il ciclo di vita dell’audit. Pianificazione, conduzione, raccolta delle evidenze, comunicazione dei risultati: ogni fase nasce sapendo già come verrà eseguita.

Detto senza giri: l’audit da remoto non è più qualcosa che si fa. È qualcosa per cui si progetta.

Perché a un’impresa dovrebbe importare

Qui rischiamo di perdere chi non fa l’auditor di mestiere. Sbagliato, perché l’audit è esattamente il momento in cui un sistema di gestione smette di essere carta e diventa evidenza.

Un audit fatto bene è la prova che le procedure che hai scritto descrivono davvero come lavori. Un audit fatto male produce un rapporto che non regge a un riesame, decisioni prese su informazioni fragili, non conformità chiuse troppo in fretta. E sotto, sempre, lo stesso rischio: credere di avere un sistema solido quando hai solo un faldone ordinato.

Per questo il modo in cui conduci gli audit, interni e sui fornitori, tocca cose molto concrete. La credibilità del sistema quando arriva l’audit dell’ente di certificazione. La tenuta della supply chain quando un fornitore lo verifichi solo a distanza. La solidità delle evidenze che porti in una gara o a un bando. La capacità di intercettare un problema prima che diventi un danno.

L’audit non è un costo di conformità. È lo strumento con cui un’organizzazione si guarda dentro e decide se migliorare davvero.

La novità che conta: la ISO/IEC TS 17012 entra in gioco

Il cuore della revisione è l’integrazione delle indicazioni della ISO/IEC TS 17012:2024, la specifica tecnica dedicata ai metodi di audit a distanza, con il conseguente ampliamento dell’Appendice A.

E qui la 2026 introduce una distinzione che vale la pena fissare, perché molti la confondono e ci costruiscono sopra campionamenti che non reggono.

Una cosa è il metodo a distanza: il come. Intervisto in videochiamata, esamino i record a schermo condiviso, osservo un processo tramite una telecamera. Cambia il modo di condurre l’audit.

Altra cosa è la sede virtuale: il cosa. Un processo che vive interamente nel cloud, un’infrastruttura senza un luogo fisico da visitare. Non sto auditando da remoto un sito reale: il sito è virtuale.

Confonderle significa pianificare male, campionare peggio e raccogliere evidenze che non dimostrano quello che credi dimostrino.

Le evidenze a distanza non pesano tutte uguali

La 19011 ha sempre detto che è evidenza solo l’informazione verificabile. La 2026 aggiunge un avvertimento esplicito: raccogliere evidenze da remoto introduce limiti e incertezze in più, di cui l’auditor deve tenere conto quando arriva alle conclusioni.

Uno screenshot non è un record osservato sul posto. Una videochiamata mostra ciò che l’interlocutore decide di inquadrare. Un documento condiviso a schermo è già stato selezionato da qualcuno, per te. Niente di tutto questo invalida l’evidenza remota. Ne cambia però l’affidabilità, e quindi la solidità di ciò che ci costruisci sopra.

Tradotto in linguaggio di chi gestisce un sistema: l’affidabilità dell’evidenza diventa essa stessa un parametro da valutare e da dichiarare. Chiudere una non conformità o convalidare un controllo su una prova più debole, senza scriverlo, è il modo più rapido per produrre conclusioni che il primo riesame serio fa crollare.

La competenza dell’auditor si allarga

Il modello di competenza non viene riscritto. Si aggiorna su un fronte preciso: l’auditor deve essere a proprio agio con la tecnologia che il metodo a distanza richiede. Strumenti digitali, piattaforme di collaborazione, gestione di evidenze elettroniche, consapevolezza dei limiti della comunicazione a distanza.

Nessuno ti chiede di diventare un sistemista. Ti si chiede di smettere di subire la tecnologia. Se conduci un audit ibrido e non sai valutare quanto vale un’evidenza digitale, o dove una connessione ti sta nascondendo qualcosa, non hai un’attenuante: hai una competenza scoperta, e va colmata.

Cosa cambia sotto il cofano

Qualche differenza meno visibile, ma utile per consulenti e responsabili sistema.

Il vocabolario di riferimento passa alla ISO 9000:2026, e la stessa definizione di “audit” è ora ancorata a quell’edizione. La bibliografia si aggiorna di conseguenza: entra la ISO/IEC TS 17012:2024, esce la ISO Guide 73:2009 sul vocabolario del rischio, compaiono tra le risorse i documenti dell’ISO 9001 Auditing Practices Group.

Un dettaglio nazionale che racconta una storia più ampia: non è più “UNI EN ISO” ma “UNI CEI EN ISO”. L’ingresso del CEI riflette il lavoro congiunto a livello europeo sui criteri per gli organismi di valutazione della conformità. In altre parole: il mondo dell’audit e quello dell’accreditamento si parlano in modo più stretto di prima.

Cosa fare adesso, in concreto

Se gestisci un programma di audit, o accompagni aziende che lo fanno, la lista delle cose da toccare è corta e precisa.

Aggiorna procedure e manuali perché contemplino esplicitamente i metodi remoti e ibridi: fattibilità, scelta della tecnologia, sicurezza dei dati, piani di contingenza per quando la connessione cade. “Lo facciamo da remoto quando serve” non è una procedura. È un’abitudine non scritta.

Rivedi i criteri di competenza del gruppo di audit includendo la dimensione tecnologica, e documenta come la valuti.

Inserisci nel piano la scelta motivata del metodo: perché in presenza, perché a distanza, perché ibrido. Motivata dal rischio, non dalla comodità.

Definisci come tratti l’affidabilità delle evidenze raccolte a distanza, così che le conclusioni siano difendibili.

Quello che non devi fare è rifare il sistema da zero. Se sei allineato alla 2018, la base regge. Si calibra, non si ricostruisce. La ISO 19011:2026 prende atto di una realtà che il settore vive da anni: l’audit non si svolge più dando per scontata la presenza fisica.

La norma formalizza il remoto, gli dà un metodo e chiede di progettarlo invece di improvvisarlo.

Chi auditava con metodo anche prima troverà conferme. Chi trattava il remoto come una scorciatoia tecnica si troverà, finalmente, senza alibi. Perché la qualità di un audit si misura nella solidità delle evidenze e delle conclusioni che ne derivano. È da lì che passa la credibilità di un sistema di gestione.

Il primo passo è capire se il proprio programma di audit riflette già questo approccio o se continua a trattare il metodo come una scelta da fare lungo il percorso.