Approfondimenti · 5 min di lettura

Un programma plasmato dai suoi elementi in ingresso lascia una traccia

Esiste un requisito sui programmi di audit interno che possiamo mostrarvi per intero, perché è quello rispetto al quale siamo sottoposti ad audit.

Pubblicato da CAS — Conformity Assessment Services · 4 settembre 2026

Esiste un requisito sui programmi di audit interno che possiamo mostrarvi per intero, perché è quello rispetto al quale siamo sottoposti ad audit.

ISO/IEC 17021-1 §10.2.6.2, sugli audit interni dell'organismo di certificazione stesso:

Deve essere pianificato un programma di audit, tenendo in considerazione l'importanza dei processi e delle aree da sottoporre ad audit, nonché i risultati di audit precedenti.

Osservate che cosa fa quella frase. Non dice di pianificare un programma. Dice di pianificare un programma tenendo in considerazione due elementi nominati — e uno di essi è ciò che è accaduto la volta precedente.

Nominare un elemento in ingresso è un vincolo, non una licenza

Un requisito che dice "pianificare un programma di audit" è soddisfatto da qualsiasi programma. Un requisito che nomina ciò che la pianificazione deve tenere in considerazione è soddisfatto soltanto da un programma in cui quelle considerazioni sono visibili.

È questa la differenza tra una regola su un'attività e una regola su una decisione. Il §10.2.6.2 è del secondo tipo.

E ha una conseguenza che è facile trascurare. Se uno degli elementi in ingresso nominati sono i risultati degli audit precedenti, allora il programma si colloca a valle della propria storia. Un programma risultato identico per due anni consecutivi o ha rilevato che la propria storia non ha cambiato nulla, oppure non l'ha consultata.

Entrambe le cose sono possibili. Solo una delle due è una conclusione.

La stessa costruzione, scritta una seconda volta

Il §9.1.3.2 disciplina il programma di audit che un organismo di certificazione costruisce per un cliente. Stabilisce il ciclo di tre anni, e poi:

La determinazione del programma di audit ed eventuali successivi adeguamenti devono considerare le dimensioni del cliente, il campo di applicazione e la complessità del suo sistema di gestione, dei prodotti e dei processi, nonché il livello dimostrato di efficacia del sistema di gestione e i risultati di eventuali audit precedenti.

La stessa forma compare due volte, in due punti diversi, riguardo a due programmi diversi. Elementi in ingresso nominati. Tra questi, i risultati precedenti.

E questo aggiunge una parola che il primo non ha: adeguamenti. Il punto non descrive un programma determinato una volta sola. Descrive una determinazione e i cambiamenti che ne seguono, e vincola entrambi alle stesse considerazioni.

Un requisito scritto in quel modo prevede che il programma si muova. È questo il senso del nominare elementi in ingresso che possono cambiare.

Che cosa ha a che fare tutto questo con il punto 9.2 della ISO 9001

L'audit interno si colloca al punto 9.2 della ISO 9001, e il requisito ivi contenuto è costruito allo stesso modo: un programma di audit e considerazioni di cui la pianificazione è tenuta a tenere conto.

Quella frase descrive la struttura del punto 9.2 con parole nostre. Non lo stiamo citando e non ne abbiamo riprodotto la formulazione in nessuna parte di questa pagina. I due punti riportati sopra sono citati perché sono quelli su cui questo ragionamento si fonda.

Il motivo per cui vale la pena tracciare il parallelo è che il ragionamento non dipende da esso. La costruzione — nominare gli elementi in ingresso, e l'elemento in uscita deve potersi muovere — è visibile, due volte, in testi che chiunque può aprire, senza avvicinarsi affatto alla ISO 9001.

L'obiettività è un requisito distinto dalla competenza

Il §10.2.6.4 stabilisce che cosa l'organismo di certificazione deve assicurare riguardo ai propri audit interni. Tra questi elementi, alla lettera b):

gli auditor non sottopongono ad audit il proprio lavoro

Si affianca a un requisito, alla lettera a), secondo cui gli audit interni sono condotti da personale competente, che conosce la certificazione, l'attività di audit e i requisiti della norma.

Due condizioni, che tirano in direzioni opposte in qualsiasi organizzazione abbastanza piccola da avere un solo esperto per processo. La persona che conosce un processo abbastanza bene da sottoporlo ad audit in modo competente è spesso la persona che lo gestisce. Il punto non risolve quella tensione; si rifiuta di sacrificare l'una o l'altra condizione.

La ISO/IEC 17021-1 definisce l'imparzialità al §3.2 come presenza di obiettività, con una nota secondo cui obiettività significa che i conflitti di interesse non esistono, oppure sono risolti in modo da non influenzare negativamente le attività successive. Non l'assenza di una relazione — la presenza di qualcosa.

Che cosa il punto non stabilisce

Il §10.2.6.3 richiede che gli audit interni di un organismo di certificazione siano eseguiti almeno una volta ogni 12 mesi, e consente di ridurre tale frequenza quando l'organismo è in grado di dimostrare che il proprio sistema di gestione continua a essere attuato efficacemente e ha dimostrato stabilità.

Osservate con attenzione il soggetto di quella frase: sono gli audit interni dell'organismo di certificazione, non quelli di un cliente certificato. È riportato qui perché mostra la forma di un requisito di frequenza scritto correttamente — un intervallo e una condizione dichiarata al ricorrere della quale esso si muove. Anche il numero si colloca a valle delle evidenze.

Dove un programma di audit interno viene letto da qualcun altro

Ai sensi del §9.3.1.2.2 g), uno degli obiettivi di un audit di Fase 1 è valutare se gli audit interni e i riesami di direzione siano pianificati ed eseguiti, e se il livello di attuazione confermi la preparazione per la Fase 2.

Un programma di audit interno, quindi, non è soltanto un documento interno. È un'evidenza, letta da un organismo di certificazione, su come un sistema di gestione decide dove guardare.

Il che riunisce le due metà. Un programma che nomina i propri elementi in ingresso e si muove in risposta ad essi dice qualcosa a chi lo legge. Anche un programma che è quello dell'anno scorso con le date spostate in avanti dice qualcosa a chi lo legge, ed è il punto a rendere leggibile la differenza.

Queste sono informazioni generiche sul requisito, non consulenza su alcun sistema di gestione specifico.

Una domanda per i commenti: nel vostro settore, un programma di audit interno viene pianificato in funzione dei processi che pesano di più, oppure in funzione del calendario?

CAS — Organismo di certificazione di sistemi di gestione accreditato da EGAC n. 012418.

Leggete la nota completa: cas.com.eg/insights/iso-9001-clause-9-2