Audit interno ISO: chi può farlo in azienda, requisiti e quante ore richiede

Chi deve organizzare il primo ciclo di audit interno su ISO 9001, 14001 o 45001 si scontra quasi sempre con la stessa domanda operativa: chi, in azienda, ha i requisiti per farlo? La risposta non richiede di assumere un professionista esterno, ma impone alcune condizioni precise su formazione e indipendenza.

Auditor interno e auditor di terza parte: due figure diverse

L'audit interno (detto "di prima parte") è condotto da personale della stessa organizzazione, mentre l'audit che porta al rilascio o al mantenimento del certificato è un audit di terza parte, svolto dall'organismo di certificazione. La figura che presidia il controllo interno è l'auditor interno, mentre il lead auditor opera per conto dell'ente terzo. L'auditor interno migliora processi, segnala non conformità e propone azioni; il lead auditor, con autorità formale, coordina il team e firma il rapporto per l'ente di certificazione. Per questo l'auditor interno può essere un dipendente che nel resto del proprio orario svolge altre mansioni: la normativa non chiede un ruolo dedicato a tempo pieno, ma competenza dimostrata e indipendenza dal processo controllato.

Quante ore serve il corso

Non esiste un unico corso obbligatorio per legge, ma il mercato della formazione si è assestato su standard riconosciuti. I corsi differiscono: 16–24 ore per auditor interno, almeno 40 ore per lead auditor (ISO/IEC 17024). Chi vuole una qualifica certificata da un ente terzo accreditato Accredia può fare riferimento a schemi come quello di AICQ SICEV, che per la figura di auditor prevede un corso di 40 ore (esame incluso), di cui almeno 20 ore dedicate all'attività di formazione, con requisiti aggiuntivi di esperienza lavorativa nello schema di riferimento.

Il riferimento tecnico comune a tutti i percorsi resta la norma ISO 19011, il cui capitolo 7 è dedicato alla competenza degli auditor: "La fiducia nel processo di audit e nella capacità di raggiungere gli obiettivi dipende dalla competenza delle persone che sono coinvolte nella conduzione degli audit, compresi gli auditor ed i responsabili dei gruppi di audit". La norma precisa inoltre che la competenza si acquisisce anche tramite esperienza di audit acquisita sotto la supervisione di un auditor competente nella stessa disciplina, non solo con il corso d'aula.

Il requisito di indipendenza

Il punto su cui le aziende sbagliano più spesso non è la durata del corso ma l'assegnazione del ruolo: l'auditor deve essere indipendente, obiettivo ed estraneo ai processi che andrà ad analizzare. In pratica, il responsabile di produzione non può certificare la conformità del reparto che dirige, e il responsabile qualità non può essere l'unico auditor se è anche l'autore delle procedure da verificare: serve una rotazione o un auditor di un'altra funzione aziendale.

Cosa controlla l'organismo di certificazione in sorveglianza

Durante le visite di sorveglianza annuale, l'ente di certificazione non si limita a guardare i risultati dell'audit interno, ma ne verifica il metodo. Il Regolamento Accredia per l'accreditamento degli organismi di certificazione di sistemi di gestione stabilisce che nelle offerte rivolte ai propri clienti l'organismo di certificazione deve riportare il numero dei giorni uomo che verranno utilizzati per effettuare le verifiche ispettive, specificando l'impegno previsto per ciascuna fase di audit: audit iniziale, prima sorveglianza, seconda sorveglianza e audit di ricertificazione, e che aspetti quali la durata dell'audit o la qualifica degli auditor possono richiedere un confronto con la sede dell'organismo. Per alcuni schemi settoriali, inoltre, i criteri di qualificazione degli auditor sono riportati nelle relative circolari tecniche o nei relativi schemi di certificazione. Resta comunque fermo che la certificazione degli auditor non è obbligatoria, ma è fortemente raccomandata: nella pratica, l'auditor dell'ente terzo chiede di vedere il programma di audit interno, i rapporti delle verifiche svolte e gli attestati o i CV che documentano la formazione di chi le ha condotte.

Le novità in arrivo con la ISO 19011:2026

Chi programma la formazione dei propri auditor interni nei prossimi mesi deve tenere conto che la nuova edizione della norma amplia il perimetro delle competenze richieste: la ISO 19011:2026 amplia i requisiti di competenza, includendo competenze digitali (uso piattaforme, strumenti remoti). Tra le new entry figurano anche conoscenze su intelligenza artificiale, blockchain, Internet of Things e reti 5G, elementi che inizieranno a comparire nei programmi dei corsi di aggiornamento per auditor interni man mano che gli organismi di certificazione adegueranno i propri schemi.