Un audit interno è lo sguardo dell’azienda su se stessa: il sistema per la qualità viene vissuto come è descritto ed è efficace? La ISO 9001 richiede audit interni secondo un programma pianificato nel capitolo 9.2 (edizione 2015). Per una PMI è una delle occasioni migliori per scoprire i punti deboli prima che lo facciano la clientela o un ente di certificazione. Questa guida mostra come pianificare un audit interno, chi dovrebbe svolgerlo, che cosa accade ai rilievi e che cosa deve contenere il rapporto. Il testo della norma non viene riprodotto.
Sullo stato della norma: il 16 settembre 2026 è uscita la ISO 9001:2026. Il numero di capitolo 9.2 proviene dall’edizione 2015 (verifichi la numerazione nel Suo esemplare). I documenti di orientamento dell’APG consultati si riferiscono all’edizione 2015. Prima di una certificazione verifichi numeri e requisiti sul testo della norma.
A che cosa servono gli audit interni
Il portale PMI della Confederazione descrive l’audit interno come verifica che il sistema di gestione sia applicato nella pratica in modo corretto ed efficace e che le procedure definite corrispondano ancora alla prassi vissuta. Spesso serve anche alla preparazione di una certificazione. Secondo l’Auditing Practices Group (APG, un gruppo informale di specialisti di ISO/TC 176 e dell’International Accreditation Forum IAF; i suoi documenti non sono confermati formalmente da ISO e IAF) è un riscontro per la direzione: mostra dove il sistema ha punti deboli e dove sono possibili miglioramenti.
A seconda dell’obiettivo il portale distingue l’audit di sistema (sono soddisfatti tutti i requisiti?), l’audit di processo (un processo raggiunge i suoi obiettivi?), l’audit di prodotto e l’audit di compliance (sono rispettate le prescrizioni legali e contrattuali?). Un audit interno può combinare più di questi punti di vista.
Come guida per gli audit, gli specialisti conoscono la ISO 19011. L’edizione 2018 è ritirata; da maggio 2026 vale la quarta edizione, ISO 19011:2026. Tratta i principi dell’audit, la gestione di un programma di audit, lo svolgimento degli audit e la valutazione della competenza. L’APG precisa che la ISO 9001 non richiede l’applicazione della ISO 19011: è un aiuto, non un obbligo. Non indichiamo numeri di capitolo della ISO 19011, perché non abbiamo consultato l’edizione 2026.
Il programma di audit: che cosa si verifica e quando
Nell’edizione 2015 la norma richiedeva (cap. 9.2.2, in sostanza secondo la citazione dell’APG) un programma di audit che stabilisca frequenza, metodi, responsabilità, requisiti di pianificazione e rendicontazione, tenendo conto dell’importanza dei processi, dei cambiamenti in azienda e dei risultati degli audit precedenti. Se l’edizione 2026 cambi qualcosa, lo verifichi sul testo della norma. Con quale frequenza e per quanto tempo si svolgano gli audit, la ISO 9001 non lo prescrive, secondo l’APG.
L’APG raccomanda un approccio basato sul rischio: nel programma hanno la precedenza i processi con rischio più alto o con non conformità precedenti, così come le aree con modifiche recenti. Occorre prestare particolare attenzione dove un errore avrebbe conseguenze gravi, dove la clientela è stata insoddisfatta o dove potrebbero essere violati requisiti legali. La guida APG alla pianificazione è scritta per gli audit di certificazione, ma la sua logica è trasferibile. Distingue due livelli: il programma (quali audit nel corso del ciclo) e il singolo piano di audit (come si svolge un audit). Le aree importanti e quelle con modifiche recenti o non conformità precedenti vanno pianificate per prime. Precisa inoltre che non ogni area deve essere verificata ogni anno, se si procede in base al rischio e si registra la motivazione, e che un programma può essere adattato finché adempie al suo scopo. Per i programmi interni è un trasferimento dalla prassi, coerente con quanto afferma l’APG sugli audit interni. Prassi, non normativo: pianifichi per processi, non per capitoli della norma, e verifichi insieme i processi collegati, affinché le interfacce diventino visibili.
Chi esegue l’audit: competenza e indipendenza
L’APG descrive che cosa i valutatori di certificazione giudicano nell’audit interno: la competenza degli auditor, l’obiettività e l’imparzialità della procedura, le considerazioni sul rischio nella pianificazione, il coinvolgimento della direzione e l’uso dei risultati. L’azienda dovrebbe aver stabilito quali competenze servono agli auditor interni e provvedere a formazione e affiancamento.
Quanto all’indipendenza: chi sottopone ad audit il proprio lavoro ne vede difficilmente i punti ciechi. L’APG cita al riguardo una raccomandazione della ISO 9004, secondo cui gli audit vanno affidati a persone non coinvolte nell’attività verificata; non è espressamente un requisito verificabile della ISO 9001. Prassi, non normativo: nelle piccole aziende funziona l’audit incrociato, in cui i responsabili verificano a vicenda l’area dell’altro, oppure il ricorso a una persona esterna.
Svolgere l’audit
Un buon audit si basa su domande che richiedono evidenze: un documento, una registrazione, un campione, un’osservazione. Scelga i campioni in modo che dicano qualcosa e annoti ciò che ha visto, non solo ciò che è stato raccontato. Le liste di controllo aiutano, finché non sostituiscono l’attenzione. Per i processi collegati vale la pena osservare le interfacce nello stesso audit. L’APG consiglia ai valutatori di certificazione di parlare presto con la direzione di contesto, orientamento e conduzione. Questo colloquio può essere ripreso in un audit interno. I valutatori di certificazione esaminano volentieri l’audit interno verso la fine, per confrontarlo con i propri rilievi.
I rilievi e il loro seguito
Un rilievo è il risultato della valutazione delle evidenze. Nella prassi sono comuni non conformità, osservazioni, opportunità di miglioramento e punti di forza. La suddivisione in non conformità maggiori e minori è una prassi che software e enti configurano in modo diverso; dalle fonti consultate non possiamo documentarla come prescrizione della norma.
Conta ciò che segue: ogni non conformità richiede una persona responsabile, un termine e, in seguito, la prova che la misura ha funzionato. L’APG si aspetta dai valutatori di certificazione che verifichino come il risultato degli audit interni venga usato per valutare l’efficacia del sistema e riconoscere miglioramenti. Un audit senza seguito è carta senza valore.
Il rapporto di audit
Il rapporto riassume ciò che è stato verificato, ciò che è stato trovato e ciò che ne consegue. Prassi, non normativo: indichi ambito, criteri, periodo e auditor, riassuma impressione generale, punti di forza e non conformità in una sintesi e concluda con una conclusione e una raccomandazione. Deve servire alla direzione e poter valere in seguito come evidenza.
Esempio pratico: Muster Elektrotechnik GmbH
La Muster Elektrotechnik GmbH è un’azienda fittizia di impianti elettrici con 18 collaboratori e sei processi attivi: vendita, progettazione, montaggio, acquisti, personale e miglioramento. La direzione definisce un programma di audit 2026–2028 e pondera in base al rischio:
| Anno | Processi sottoposti ad audit | Motivazione |
|---|---|---|
| 2026 | Montaggio, acquisti | il maggior numero di reclami, valutazione dei fornitori in sospeso |
| 2027 | Vendita, progettazione | interfaccia con il montaggio, nuovo modello di offerta |
| 2028 | Personale, miglioramento | rischio minore, chiusura del ciclo |
Così tutti e sei i processi sono coperti entro tre anni. Il primo audit, A-2026-01, si svolge il 12 novembre 2026. La conduzione spetta alla responsabile amministrazione, che non è responsabile né del montaggio né degli acquisti; la affianca il responsabile di progetto della pianificazione. Le domande provengono dai processi e dai capitoli della norma dell’ambito: 14 domande. Il risultato: 11 conformi, 1 non conformità, 1 osservazione e 1 punto di forza, in tutto 14 risposte.
Ne nascono tre rilievi. La non conformità riguarda la valutazione dei fornitori 2026, non eseguita: una non conformità minore con misura, termine 15 gennaio 2027 e verifica dell’efficacia il 31 marzo 2027. L’osservazione riguarda un’etichettatura non uniforme dei verbali di collaudo, il punto di forza la cura nella consegna dei documenti di montaggio. Il responsabile dell’audit scrive sintesi e conclusione, la direzione qualità approva il rapporto, che viene archiviato in PDF. Il 31 marzo 2027 la responsabile amministrazione verifica se la valutazione dei fornitori è ora in corso.
Checklist
- Un programma di audit stabilisce quali processi vengono verificati e quando, con motivazione.
- Rischi più alti, non conformità precedenti e modifiche hanno la precedenza.
- Tutti i processi sono coperti nel periodo del programma o esclusi con motivazione consapevole.
- Gli auditor sono qualificati e non verificano il proprio lavoro.
- Ambito, criteri e data sono noti in anticipo.
- Le domande richiedono evidenze, non solo informazioni.
- Ogni non conformità ha un responsabile, un termine e una verifica dell’efficacia.
- Il rapporto riassume punti di forza, non conformità e conclusione.
- La direzione conosce i risultati e li usa nel riesame della direzione.
La soluzione KMU | base
Sotto Sistema di gestione › Audit trova l’elenco con i pulsanti Certificazione e, per le persone con il diritto per gli audit, Programma di audit, Liste di controllo, Auditor e Nuovo audit. Il gruppo Sistema di gestione è inizialmente chiuso.
Programma e pianificazione. Nel Programma di audit fino a tre anni pianifica gli audit anno per anno e vede quali processi attivi non compaiono ancora in nessun audit nel periodo. Gli audit possono essere interni, esterni o presso fornitori (Audit interni, esterni e di fornitori); registra data, ambito, obiettivi, criteri, processi, capitoli della norma, responsabile e auditor e riceve un numero di audit per anno, ad esempio A-2026-01.
Auditor. La pagina Auditor mostra per ogni persona le evidenze di qualifica dall’anagrafica delle competenze con validità (Auditor con qualifica). Se qualcuno è egli stesso responsabile di un processo dell’ambito, il sistema lo segnala con un messaggio (Verifica dell’indipendenza).
Domande. Senza una lista di controllo propria, le domande nascono in fase di preparazione dai processi e dai capitoli della norma dell’ambito. Le liste di controllo riutilizzabili le gestisce Lei stesso o le genera da capitoli della norma scelti, formulando una domanda di audit con parole nostre (Liste di controllo riutilizzabili). Alla preparazione le domande vengono bloccate.
Svolgimento. Registra le risposte anche senza rete; al ricollegamento si sincronizza e i conflitti li decide Lei domanda per domanda (Registrazione offline nell’audit). Da una risposta «Non conformità» o «Osservazione» nasce con un clic un rilievo con relativa misura di seguito (Domande di audit dall’ambito e rilievo con un clic). Le non conformità generano una misura con termine, quelle maggiori in più una segnalazione di non conformità (Rilievi con seguito).
Rapporto. Scrive sintesi e conclusione, approva il rapporto e ottiene un PDF depositato nell’archivio (Rapporto di audit in PDF con archivio). L’audit è chiuso solo quando il rapporto è al sicuro nell’archivio; se non riesce, resta aperto e Lei ripete l’approvazione.
Limiti da conoscere:
- La verifica dell’indipendenza segnala soltanto che qualcuno è responsabile di un processo dell’ambito. Non blocca l’audit né valuta competenza o conflitti di interesse oltre questo.
- Il programma copre al massimo tre anni. Quando e con quale frequenza fare audit non lo decide il software.
- I tipi di rilievo (non conformità maggiore, non conformità minore, osservazione, miglioramento, punto di forza) sono la suddivisione di QMS | base, non testo della norma.
- Per il rapporto devono avere risposta tutte le domande; l’approvazione è possibile solo con il diritto per gli audit.
- Il software non verifica la qualità tecnica di un rilievo. Resta compito degli auditor.
La guida di QMS | base spiega l’uso. Guardi la demo o apra un account di prova. In caso di domande ci aiuta la pagina dei contatti. Le condizioni si trovano alla pagina Prezzi.
Fonti
- ISO: ISO 9001:2026, Quality management systems – Requirements (Edition 6, pubblicata il 16.09.2026; in inglese), consultata il 27.10.2026.
- ISO: ISO 19011:2026, Guidelines for auditing management systems (Edition 4, 2026-05; edizione 2018 ritirata; in inglese), consultata il 27.10.2026.
- ISO 9001 Auditing Practices Group: Guidance on Internal Audits (Edition 1, Amd 1, 19.07.2020, relativo all’edizione 2015; non confermato formalmente da ISO e IAF; in inglese), consultato il 27.10.2026.
- ISO 9001 Auditing Practices Group: Guidance on Audit Planning (13.01.2017; in inglese), consultato il 27.10.2026.
- Portale PMI della Confederazione (SECO): Audit di un sistema di gestione: le direttive vengono rispettate?, consultato il 27.10.2026.
Le tabelle, gli esempi e le raccomandazioni con la nota «Prassi» sono aiuti redazionali, non testo della norma. Questa guida non sostituisce una consulenza legale o fiscale. Stato delle informazioni: 27.10.2026.