Wymagania dotyczące audytowania systemów zarządzania zgodnie z ISO 19011:2026

Potwierdzenie zgodności z przyjętymi wymaganiami oraz zadeklarowanymi zasadami postępowania jest istotnym elementem każdego systemu zarządzania. Uniwersalnym narzędziem w tym zakresie już od wielu lat jest norma ISO 19011 Wytyczne dotyczące audytowania systemów zarządzania, opisująca:

1. Zasady planowania audytów i rolę osoby zarządzającej programem audytów
2. Zasady planowania każdego audytu i rolę lidera zespołu audytowego
3. Ryzyka i szanse związane z programem audytów i realizacją audytów
4. Zasady realizacji i dokumentowania audytów
5. Kompetencje audytorów i zasady oceny audytorów.

W przeciwieństwie do wymagań zawartych w standardach dotyczących zarządzania, wytyczne stosujemy w sposób dopasowany do danej organizacji, przyjmując rozwiązania adekwatne do jej struktury, wielkości, złożoności i innych specyficznych warunków funkcjonowania. Zasady opisane w normie ISO 19011 przede wszystkim mają zastosowanie dla audytów strony pierwszej (audytów wewnętrznych) oraz audytów strony drugiej (audytów dostawców i kontrahentów). W przypadku audytów strony trzeciej norma ISO 19011 może być przydatna dla audytów innych niż certyfikacja. Zasady realizacji audytów na potrzeby certyfikacji opisane są w ISO/IEC 17021-1. 

Audyty wewnętrzne oraz audyty dostawców powinny, zgodnie z wytycznymi normy, być planowane i realizowane w oparciu o 7 zasad audytowania.

Są to:

1. Rzetelność, odnoszącą się do osobistych cech audytora. Kluczowe znaczenie mają tu etyczne podejście do wykonywanych obowiązków, uczciwość i odpowiedzialność na każdym etapie realizacji powierzonych zadań.
2. Uczciwe przedstawianie wyników, wymagające przedstawienia wyników audytu prawdziwie i dokładnie. Przeszkody w realizacji audytu oraz nierozstrzygnięte kwestie dotyczące zgodności powinny być jasno przedstawione w raporcie z audytu.
3. Należyta staranność zawodowa, obejmująca pracowitość i zdrowy rozsądek w audytowaniu. Niezależnie od wagi wykonywanego zadania realizacja audytu powinna być odpowiedzią na zaufanie do audytora związane z powierzonym zadaniem. Wiąże się to również z zastosowaniem wyważonych osądów i wyciąganych wniosków z audytów, adekwatnie do sytuacji i uzyskanych dowodów.
4. Poufność, będąca gwarancją bezpieczeństwa dla strony audytowanej i niezbędna w zakresie ochrony danych udostępnianych podczas audytu.
5. Niezależność będąca podstawą bezstronnego i obiektywnego audytu. Gwarantuje, że wnioski z audytu oparte są na dowodach, wolne od osobistych uprzedzeń i konfliktu interesów.
6. Podejście oparte na dowodach gwarantujące powtarzalne i możliwe do zweryfikowania wnioski z audytu. Jest to również podstawa do podjęcia działań poaudytowych.
7. Podejście oparte na ryzyku, będące zapewnieniem dla klienta audytu, że podczas planowania i realizacji uwzględnione zostały wszystkie istotne czynniki mogące wpłynąć na realizację celów audytu.

Audyty realizowane w oparciu o powyższe zasady są przydatnym narzędziem w zarządzaniu każda organizacją. Dają przegląd rzetelnych informacji zarówno na temat obszarów działających zgodnie z ustaleniami i wymaganiami oraz wskazują obszary wymagające poprawy. Jest to podstawa planowania rozwoju i doskonalenia, oparta na wzmacnianiu tych rozwiązań, które są stabilne i sprawdzone, a także pozwala na systematyczną eliminację słabych stron organizacji.

Zmiany technik i technologii komunikacji oraz dynamiczne rozwiązania biznesowe dotyczące audytowanych firm mają odzwierciedlenie w znowelizowanym w maju 2026 wydaniu normy ISO 19011. Zawarte w nowym wydaniu wytyczne nie zmieniają w znaczący sposób podejścia do audytów, jednak doprecyzowano tak istotne dla warunków prowadzenia audytu kwestie, jak:

1. Zdefiniowanie metody zdalnego audytowania oraz lokalizacji wirtualnych (wyjaśnione w p. 3.4) zapewniające jednoznaczne zrozumienie tych pojęć.
2. Powiązanie lokalizacji wirtualnych z określaniem zakresu audytu, zawarte w p. 3.6.
3. Włączenie lokalizacji wirtualnych jako element konieczny do wskazania podczas opracowania planu audytu (p. 6.3.2)
4. Uwzględnienie lokalizacji wirtualnych podczas planowania metod audytu, z rozważeniem dostępności informacji przy wykorzystaniu wybranych metod (p. 6.4.5)
5. Zbalansowanie wykorzystania technik zdalnych i na miejscu (opisane w p. A.1) tak, aby zapewnić satysfakcjonujące osiągniecie celów audytu.
6. Zasady realizacji audytów zdalnych, opisane w p. A.16 które powinny być rozważone przede wszystkim pod kątem ryzyka dotyczącego realizacji celów audytu. Metody te stają się niezbędne podczas audytowania lokalizacji wirtualnych, jednak w innych przypadkach należy rozważyć wpływ tej metody na dostępność dowodów z audytu, komunikację z audytowanym, obiektywną ocenę dowodów z audytu.
7. W przypadku realizacji audytów zdalnych, zgodnie z zapisami w p. A.16 wskazano na konieczność rozważenia takich istotnych kwestii, jak uzgodnienie protokołów zdalnego dostępu (takich, jak urządzenia, oprogramowanie, zabezpieczenia), plany awaryjne w przypadku problemów z połączeniem, bezpieczeństwo danych przekazywanych w trakcie audytu, zasady kopiowania (wykonywania zrzutów ekranu) podczas spotkań oraz zapewnienie poufności uczestników. Kwestie te powinny być omówione i testowane przed audytem zdalnym.
8. Zapewnienie kompetencji audytorów w zakresie wiedzy i umiejętności technicznych związanych z korzystaniem z technologii podczas audytów zdalnych oraz prowadzenia audytów na odległość. Kompetencje audytora powinny również obejmować zrozumienie pojęcia wirtualnych lokalizacji, wykorzystania zautomatyzowanych rozwiązań oraz zagadnień dotyczących bezpieczeństwa danych podczas wykorzystania zdalnych technik audytowania.

Zmiany zawarte w nowym wydaniu ISO 19011:2026 podkreślają znaczenie ryzyk dotyczących zmieniających się warunków w jakich funkcjonują audytowane organizacje, wymagania aktualnego standardu są połączeniem dobrych praktyk sprawdzonych podczas audytów oraz przydatną wskazówką pozwalającą na obiektywna ocenę stosowania dynamicznie zmieniającej się technologii, wykorzystywanej w biznesie.

Szczegółowe omówienie wytycznych dotyczących poszczególnych etapów audytowania oraz wykorzystanie różnych technika audytowania realizowane jest podczas szkoleń realizowanych przez DEKRA POLSKA.