Come fare un audit interno ISO 9001 passo dopo passo

L’audit interno è uno di quei requisiti della ISO 9001 che quasi nessuno ama, ma è ciò che distingue i sistemi di gestione per la qualità che funzionano davvero da quelli che esistono solo sulla carta. Fatto bene, ti avverte dei problemi prima che li trovino il cliente o l’auditor di certificazione. Fatto male —o ridotto a un adempimento dell’ultimo minuto— diventa una pila di moduli che nessuno riapre più.

Se sei arrivato fin qui, probabilmente l’audit interno ti pesa: raccogliere evidenze sparse in cartelle condivise, rincorrere le persone per i record, compilare checklist a mano e sperare che non manchi nulla. In questa guida ti spiego come fare un audit interno ISO 9001 passo dopo passo, cosa richiede davvero la norma e come smettere di vivere il processo come un’emergenza ricorrente.

Cos’è un audit interno e cosa richiede la ISO 9001

Un audit interno è un riesame sistematico e indipendente che la tua organizzazione svolge per verificare due cose:

1. Che il tuo sistema di gestione per la qualità soddisfi i requisiti della ISO 9001:2015 e le tue stesse procedure.

2. Che il sistema sia realmente applicato e mantenuto nel quotidiano (non solo quando arriva l’auditor esterno).

La norma lo richiede nella clausola 9.2. In sintesi, la ISO 9001 ti chiede di:

• Pianificare, stabilire, attuare e mantenere uno o più programmi di audit, con frequenza, metodi, responsabilità e criteri definiti.
• Fare in modo che la frequenza consideri l’importanza dei processi, i cambiamenti che ti riguardano e i risultati degli audit precedenti.
• Definire criteri e campo di applicazione di ogni audit.
• Selezionare gli auditor e condurre gli audit garantendo obiettività e imparzialità (un auditor non verifica il proprio lavoro).
• Riferire i risultati alla direzione pertinente.
• Adottare senza indebito ritardo le correzioni e azioni correttive opportune.
• Conservare le informazioni documentate come evidenza del programma e dei risultati.

Questo è tutto ciò che la norma impone. Il resto —come lo organizzi— dipende da te. Andiamo al passo dopo passo.

Passo 1: Costruisci il programma annuale di audit

Il programma di audit è il calendario principale dell’anno: quali processi verificherai, quando e chi lo fa. Non è lo stesso del piano di un singolo audit (quello viene dopo).

Per costruirlo:

• Elenca tutti i processi del tuo SGQ (acquisti, produzione, vendite, risorse umane, controllo documentale, ecc.).
• Assegna una frequenza basata sul rischio: i processi critici o con uno storico di problemi si verificano più spesso; quelli stabili, una volta l’anno basta.
• Distribuisci gli audit lungo l’anno per non sovraccaricare nessuno né lasciare tutto a dicembre.

Consiglio da consulente: evita la “maratona di audit unica annuale”. Suddividere il programma in più audit brevi durante l’anno genera meno stress, evidenze migliori e rilievi più concreti.

Passo 2: Nomina auditor indipendenti

La parola chiave della clausola 9.2 è imparzialità. Chi verifica un processo non può essere il responsabile di quel processo. In una PMI si risolve facilmente: il responsabile qualità verifica la produzione, il responsabile produzione verifica gli acquisti, e così via in modo incrociato.

I tuoi auditor interni devono:

• Conoscere la norma ISO 9001 e il processo che andranno a verificare.
• Essere formati nelle tecniche di audit (intervista, campionamento, raccolta di evidenze).
• Essere obiettivi: il loro compito è verificare rispetto ai criteri, non dare opinioni o “aiutare a fare bella figura”.

Non serve un esercito. Con due o tre auditor interni ben formati, a rotazione sui processi, una PMI copre il proprio programma senza problemi.

Passo 3: Prepara il piano di ogni audit

Qui passi dal programma annuale all’audit specifico. Il piano di audit definisce:

• Obiettivo e campo di applicazione: quale processo o processi, in quale area, in quale periodo.
• Criteri: la norma ISO 9001, le tue procedure interne, i requisiti cogenti applicabili.
• Data, durata e agenda per blocchi.
• Auditor e auditati.

Comunica il piano in anticipo. Un audit interno non è un’imboscata: l’area deve sapere cosa verrà esaminato per avere pronte le proprie evidenze.

Passo 4: Elabora la checklist

La checklist è la tua mappa durante l’audit. Trasforma i requisiti della norma e le tue procedure in domande concrete che verificherai con le evidenze.

Una buona domanda da checklist non è “rispettate gli acquisti?”, ma:

• “Mostrami i criteri di valutazione dei fornitori e gli ultimi tre record di rivalutazione.”
• “Come garantite che in produzione si usino solo documenti in vigore?”

La checklist ti tiene concentrato, assicura di coprire ogni requisito e lascia una traccia di ciò che hai esaminato.

Passo 5: Esegui l’audit sul campo

È arrivato il giorno. L’esecuzione ha di solito tre momenti:

1. Riunione di apertura: confermi campo di applicazione, agenda e chiarisci i dubbi. Cinque minuti bastano.

2. Raccolta delle evidenze: interviste, osservazione sul posto e riesame dei record. La regola d’oro: ogni conclusione si basa su evidenze oggettive, non su impressioni. Se dicono di controllare qualcosa, chiedi di vedere il record.

3. Riunione di chiusura: riassumi con l’area ciò che hai trovato prima di andartene, niente sorprese nel rapporto.

Durante l’esecuzione classifichi ciò che trovi in tre categorie:

• Non conformità: un requisito non soddisfatto. Richiede correzione ed eventualmente azione correttiva.
• Osservazione / opportunità di miglioramento: qualcosa che è conforme ma potrebbe essere rafforzato.
• Punto di forza: prassi da riconoscere e replicare.

Passo 6: Documenta i rilievi ed emetti il rapporto

Il rapporto di audit è il deliverable. Deve essere chiaro, basato sulle evidenze e utile a chi deve agire. Includi come minimo:

• Campo di applicazione, criteri e date.
• Rilievi classificati (non conformità, osservazioni, punti di forza).
• L’evidenza a supporto di ogni rilievo.
• Una conclusione generale sulle prestazioni del processo verificato.

Evita il linguaggio vago. “Sono state osservate carenze negli acquisti” non serve. “Non è stata trovata evidenza della rivalutazione di tre fornitori critici negli ultimi 12 mesi, in violazione della procedura PR-ACQ-02” funziona: è concreto.

Passo 7: Gestisci le azioni correttive

Ogni non conformità richiede una risposta. Ed è qui che la maggior parte dei sistemi di gestione per la qualità fallisce: aprono rilievi brillanti che poi nessuno chiude.

Per ogni non conformità:

• Applica la correzione immediata (risolvi il caso specifico).
• Analizza la causa radice (perché è successo?).
• Definisci l’azione correttiva affinché non si ripeta.
• Assegna responsabile e scadenza.
• Verifica l’efficacia: l’azione ha davvero funzionato?

Vuoi approfondire questo passo? Consulta la nostra guida su come gestire adeguatamente le azioni correttive.

Passo 8: Follow-up, chiusura e input al riesame della direzione

L’audit non finisce con il rapporto: finisce quando verifichi che le azioni abbiano funzionato e chiudi formalmente ogni rilievo. Quel follow-up è ciò che trasforma l’audit in miglioramento reale.

Infine, i risultati degli audit interni sono un input obbligatorio al riesame della direzione (clausola 9.3). In altre parole, l’alta direzione deve sapere come sta il sistema e prendere decisioni sulla base di quei dati.

Gli errori più comuni (e come evitarli)

Dopo anni di affiancamento agli audit interni, questi sono gli inciampi ricorrenti:

• Verificare per “passare”, non per migliorare. Se l’obiettivo è non trovare nulla, non stai facendo audit.
• Rilievi senza causa radice. Senza causa radice, l’azione correttiva è un cerotto.
• Zero follow-up. Aprire la non conformità e dimenticarla.
• Evidenze sparse. Record in email, cartelle condivise e chiavette USB che nessuno trova in tempo.
• Un auditor che verifica il proprio processo. Addio imparzialità.

Se vuoi questi punti in dettaglio, abbiamo un articolo dedicato agli errori comuni negli audit interni del SGQ.

Come smettere di vivere l’audit interno come un’emergenza

Quasi tutto il dolore dell’audit interno non viene dalla norma: viene dal gestirlo in Excel e cartelle condivise. Il programma annuale in un foglio di calcolo che capisce solo una persona, i rilievi in un’email, le azioni correttive in un altro foglio, le evidenze sparse in cinque posti.

Un software di gestione della qualità come QualityWeb 360 ti dà un unico posto ordinato per l’intero ciclo: pianificare gli audit dell’anno, aprire i rilievi sul posto, collegarli automaticamente alle azioni correttive con responsabile e scadenza, e seguirli fino alla chiusura —con l’evidenza allegata e tracciabile. Quando arriva l’auditor esterno, non corri: è tutto a portata di clic.

Non è un consulente e non ti dice come implementare il tuo SGQ. È lo strumento per gestire senza caos ciò che hai già.

Vuoi sapere quanto ti costa oggi il tuo audit interno fatto a mano? Usa il nostro calcolatore del costo dell’audit interno ISO 9001 e scopri il numero in pochi minuti. E se vuoi vedere l’intero ciclo dentro la piattaforma, prenota una demo.

Domande frequenti

Ogni quanto devo fare gli audit interni secondo la ISO 9001?

La norma non fissa una frequenza esatta: chiede che il programma consideri l’importanza dei processi e i risultati degli audit precedenti. In pratica, il minimo consigliato è coprire tutti i processi del SGQ almeno una volta l’anno, verificando più spesso i processi critici o con problemi recenti.

Chi può essere auditor interno?

Chiunque sia formato sulla ISO 9001 e sulle tecniche di audit, purché sia imparziale: non può verificare il proprio processo o la propria area. Non è richiesta una certificazione esterna obbligatoria, ma sì una formazione interna documentata.

Qual è la differenza tra audit interno e audit di certificazione?

L’audit interno è svolto dalla tua organizzazione per verificare e migliorare il SGQ prima della certificazione. L’audit di certificazione (o esterno) è svolto da un organismo accreditato per concedere o mantenere il certificato ISO 9001.

E se trovo molte non conformità?

Trovare non conformità è un buon segno: significa che l’audit funziona. Ciò che conta è gestirle con correzione, causa radice, azione correttiva e follow-up fino alla chiusura. Un sistema senza rilievi è di solito un sistema verificato male.

Mi serve un software per fare gli audit interni?

Non è obbligatorio, ma gestire programma, rilievi, azioni correttive ed evidenze in Excel e cartelle condivise scala male e diventa caotico. Un software di gestione della qualità centralizza l’intero ciclo e ti dà tracciabilità, riducendo lo stress e il rischio di non conformità nell’audit esterno.