Programa d'auditoria, criteris i classificació de troballes en 3 segons.

ISO 19011 proporciona directrius per auditar sistemes de gestió en general (auditories internes i auditories de segona i tercera part), mentre que ISO 17021 s'aplica específicament als organismes de certificació acreditats que realitzen auditories de tercera part per emetre certificats. En la pràctica, ISO 19011 és la guia que utilitzen les empreses per gestionar el seu programa d'auditories internes i les seves auditories de segona part a proveïdors. ISO 17021 és l'estàndard que han de complir AENOR, Bureau Veritas, TUV o SGS per poder certificar els seus clients. Un responsable de qualitat que prepara el seu programa anual d'auditories internes treballa amb ISO 19011, no amb ISO 17021.

ISO 19011 clàusula 5 estableix els elements mínims del programa d'auditoria: objectius del programa, abast de cada auditoria (processos, àrees, períodes), criteris d'auditoria (normes, procediments aplicables), mètodes d'auditoria (entrevistes, observació, revisió documental), selecció i competència de l'equip auditor, recursos necessaris i terminis. El programa s'ha de revisar i millorar en base als resultats obtinguts. ISO 19011 també requereix que es gestionin els riscos del propi programa d'auditoria: què pot impedir que les auditories es realitzin amb la qualitat prevista. La freqüència de cada auditoria s'ha de determinar segóns el risc i importància del procés o àrea auditada.

ISO 19011 clàusula 7 defineix els atributs i competències de l'auditor: coneixement dels principis d'auditoria, coneixement del sistema de gestió que s'audita (ISO 9001, ISO 14001, ISO 45001, etc.), coneixement del context organitzacional, habilitats d'entrevista i comunicació, capacitat d'anàlisi i pensament crític, integritat i discerniment. L'auditor intern ha de poder demostrar la seva competència mitjançant formació específica en auditoria, experiència en l'àrea que va a auditar i independència suficient per emetre troballes objectives. La norma recomana que la selecció de l'equip auditor tingui en compte aquestes competències de forma documentada.

ISO 19011 clàusula 6.6 descriu les tècniques de recollida d'informació: entrevistes al personal (a tots els nivells jeràrquics), observació directa d'activitats i processos, revisió de documents i informació documentada, i verificació de registres. La norma també contempla tècniques de mostreig quan no és possible revisar el 100% dels registres. Les evidències d'auditoria han de ser verificables, objectives i suficients per donar suport a les troballes. ISO 19011:2018 (tercera edició) incorpora a més directrius per a auditories remotes mitjançant tecnologia (videoconferència, accés a sistemes documentals en línia).

ISO 19011 clàusula 6.4.7 tracta la classificació de troballes. Una No Conformitat Major (NC Major) és l'incompliment d'un requisit que compromet significativament l'eficàcia del sistema de gestió o posa en risc l'assoliment dels resultats previstos. Una No Conformitat Menor (NC Menor) és un incompliment puntual o aïllat d'un requisit que no invalida el sistema en el seu conjunt. Una Observació de Millora (OdM) no és un incompliment de requisit, sinó una situació que, si s'aborda, podria millorar l'eficàcia del sistema. Les troballes han de quedar registrades amb evidències objectives que les donin suport.

Després de l'auditoria, l'organització auditada ha de revisar les troballes, determinar les causes arrel de les no conformitats i definir accions correctives amb responsable, termini i criteri de verificació d'eficàcia. ISO 19011 indica que el responsable del programa d'auditoria ha de fer seguiment de l'estat dels plans d'acció i verificar que s'han tancat adequadament. Per a cada NC Major, el tancament s'ha de verificar formalment. Els resultats de les accions correctives i el tancament de troballes han d'alimentar la revisió del programa d'auditoria i, en sistemes de gestió ISO 9001/14001/45001, la revisió per la direcció (clàusula 9.3).