Zmiany mają charakter ewolucyjny. Nowe wydanie normy, czyli ISO 19011:2026, nie zmienia filozofii audytowania. Nadal obowiązują podstawowe zasady, takie jak etyczne postępowanie, rzetelność, obiektywizm, podejście oparte na dowodach oraz poufność.
Aktualizacja normy ISO 19011 koncentruje się przede wszystkim na doprecyzowaniu wymagań i dostosowaniu normy do współczesnych realiów funkcjonowania organizacji. Położono większy nacisk na zarządzanie ryzykiem, niezależność audytorów oraz wykorzystanie technologii cyfrowych. Wprowadzono także kilka zmian redakcyjnych.
Zmiany w terminologii
Część zmian ma charakter redakcyjny i porządkujący. Norma konsekwentnie posługuje się pojęciem „audytowanie” podkreślając procesowy charakter audytu. W anglojęzycznej wersji mamy zatem na przykład „auditing activities” zamiast „audit activities”. Z kolei pojęcie „dostawców zewnętrznych” (ang. „external providers”) zastąpiono określeniem „organizacje w łańcuchu dostaw” (ang. „organisations in the supply chain”).
W kilku miejscach doprecyzowano również stosowaną terminologię, aby była spójna z najnowszymi wydaniami innych norm systemowych. Przykładowo, termin „outcome” (wynik) w odniesieniu do audytu zastąpiono terminem „result” (bezpośredni, mierzalny skutek konkretnego działania lub procesu), co odzwierciedla podobne zmiany w normie ISO 14001:2026. Termin „extent” programu audytowego zastępuje się terminem „scope”. Termin „scope” jest bliższy określaniu granic zadań w projekcie, podczas gdy „extent” ma raczej powiązanie z rozmiarem (wielkością).
Choć zmiany te wydają się niewielkie, poprawiają jednoznaczność interpretacji zapisów.
Niezależność audytora
Jedną z ważniejszych zmian jest wzmocnienie zasady niezależności. Poprzednie wydanie normy wskazywało, że audytor powinien być niezależny od audytowanego obszaru „o ile to możliwe”. ISO 19011:2026 podkreśla, że gdy pełna niezależność nie może zostać zapewniona, organizacja powinna aktywnie eliminować potencjalne źródła stronniczości oraz podejmować działania zwiększające obiektywizm procesu audytowego.
To ważna zmiana zwłaszcza dla małych organizacji, w których pełna niezależność audytorów bywa trudna do osiągnięcia. Można powiedzieć, że zapewnienie niezależności zmienia swój charakter z pasywnego na aktywny.
Ryzyko w programie audytów
Dotychczas podejście oparte na ryzyku często odnosiło się wyłącznie do pojedynczego audytu. Nowe wydanie normy rozszerza tę zasadę na cały program audytów. Oznacza to konieczność identyfikowania, analizowania oraz monitorowania ryzyk już na etapie przygotowania programu audytowego. ISO 19011:2026 znacznie szerzej opisuje też ryzyka związane z realizacją programu audytów. Obejmują one między innymi:
- brak niezależności audytorów,
- niewłaściwy dobór metod audytowania,
- niewystarczające zasoby,
- nieprzestrzeganie programu audytów,
- wywieranie nacisku na osoby prowadzące audyty.
Norma zwraca uwagę, że presja kierownictwa na ograniczenie zakresu audytu, zmianę terminu lub rezygnację z jego przeprowadzenia może negatywnie wpływać na wiarygodność całego procesu.
Nowe elementy w programie audytów
Sporządzając program audytów, organizacja powinna obecnie uwzględniać znacznie szerszy kontekst działalności. Norma ISO 19011:2026 wskazuje między innymi na konieczność oceny, czy zmiany klimatu mają znaczenie dla działalności audytowanej organizacji. Jest to konsekwencja zmian wprowadzonych wcześniej do norm ISO 9001, ISO 14001 (i wielu innych).
Dodatkowo należy uwzględnić stopień wykorzystania technologii cyfrowych oraz narzędzi informatycznych wspierających funkcjonowanie systemu zarządzania.
Zmiany w przebiegu audytu
ISO 19011:2026 doprecyzowuje również sposób prowadzenia audytu. W zasadzie sformalizowano najlepsze praktyki, które były stosowane, ale nigdy nie zostały wyraźnie zapisane w samym standardzie.
W ISO 19011:2026 doprecyzowano między innymi zasady komunikowania planu audytu. Norma wskazuje, że powinien on zostać przekazany zarówno zlecającemu audyt, jak i audytowanemu. Można powiedzieć, że to nic nowego, wszak jest to od dawna utrwalona praktyka. Jednak dotychczas zapisy normy nie były w tym zakresie jednoznaczne. Nowe wydanie eliminuje wątpliwości.
ISO 19011:2026 uściśla również wymagania dotyczące komunikowania istotnych informacji ujawnionych podczas audytu. Znaczące ryzyka zidentyfikowane w trakcie jego realizacji powinny zostać niezwłocznie przekazane audytowanemu, organizacji audytowanej oraz osobom odpowiedzialnym za zarządzanie programem audytów. Taki sam obowiązek dotyczy sytuacji, gdy okaże się, że osiągnięcie celów audytu nie będzie możliwe.
Niezgodności
Nowe wydanie ISO 19011 wprowadza większą przejrzystość w zakresie klasyfikowania niezgodności. Jeżeli podczas audytu stosowana jest ich klasyfikacja, audytor powinien wcześniej określić kryteria oraz zakomunikować je. Choć dla wielu jest to od dawna element dobrej praktyki, ISO 19011:2026 nadaje temu podejściu formalny charakter.
Ponadto, norma ISO 19011:2026 jednoznacznie wskazuje, że niezgodność, która nie została przedstawiona i omówiona w trakcie audytu (w tym podczas spotkania zamykającego), nie powinna zostać ujęta w raporcie końcowym. Doświadczeni audytorzy od lat postępują w ten sposób.
