L'audit interno che non trova mai nulla

La scena si ripete nelle organizzazioni certificate con piccole variazioni. L'audit interno si svolge in primavera. L'auditor, che in molti piccoli ISMS è anche la persona che ha scritto le politiche, lavora attraverso una checklist derivata dalle stesse politiche. Il rapporto registra nessuna non conformità. La revisione della direzione registra "nessun rilievo significativo", e l'anno prosegue. Quando una serie di questi audit si accumula, viene interpretata come maturità: l'ISMS funziona, gli audit sono tranquilli, il certificato rimane in vigore attraverso un'altra sorveglianza.

Il 2026-05-27, l'ISO ha pubblicato ISO 19011:2026, la quarta edizione delle linee guida per gli audit dei sistemi di gestione, e ha ritirato la edizione 2018 che sostituisce (pubblicata il 2018-07-03, ritirata lo stesso giorno in cui è stata pubblicata la nuova edizione). Per uno o due anni, molti programmi di audit continueranno a fare riferimento al 2018, e nulla nel certificato dipende da questo, perché il testo certificabile della ISO/IEC 27001:2022 richiede un programma di audit, non una particolare edizione delle linee guida per gli audit. Il cambio di edizione è semplicemente un momento opportuno per porre la domanda su cui le linee guida sono sempre state costruite, e una serie di audit senza rilievi raramente si pone: si è trattato di un audit o di una revisione dei propri compiti?

La nostra posizione è una scommessa, non un assioma: quando un programma di audit interno non ha rilevato rilievi per due o tre cicli consecutivi, la prima ipotesi più ragionevole non è che l'ISMS sia eccellente. È che il programma si sia spostato verso un accordo con l'organizzazione che viene audita. La visione opposta, secondo cui audit puliti sono semplicemente ciò che un ISMS maturo produce, è rispettabile e talvolta vera, quindi vi forniremo il discriminante tra le due ipotesi piuttosto che chiedervi di prendere per buono il nostro punto di vista.

Cosa chiede effettivamente la clausola 9.2

La ISO/IEC 27001:2022 (terza edizione, pubblicata il 2022-10-25; l'emendamento per l'azione climatica Amd 1:2024, pubblicato il 2024-02-23, non modifica la clausola 9.2) richiede all'organizzazione di condurre audit interni "a intervalli pianificati" per fornire informazioni su:

• se l'ISMS è conforme ai requisiti dell'organizzazione per esso e ai requisiti dello standard;
• se l'ISMS è "implementato ed efficacemente mantenuto" (9.2.1).

La clausola 9.2.2 richiede poi un programma di audit che sia pianificato, istituito, implementato e mantenuto, coprendo frequenza, metodi, responsabilità, requisiti di pianificazione e reporting; criteri e ambito definiti per ogni audit; auditor selezionati e audit condotti in modo che il processo sia oggettivo e imparziale; risultati riportati alla direzione rilevante; e informazioni documentate conservate come prova del programma e dei suoi risultati. Un requisito nella 9.2.2 svolge gran parte del lavoro silenzioso: il programma deve prendere in considerazione l'importanza dei processi interessati e i risultati degli audit precedenti.

Notate cosa la clausola non richiede: un numero specifico di rilievi. Un rapporto pulito non è vietato; l'audit è chiamato a fornire informazioni, e nessun rilievo è una possibile risposta. Ciò che un rapporto pulito non può fare, da solo, è dimostrare che il processo di audit ha svolto il proprio lavoro. E la clausola carica l'audit di due elementi che un programma confortevole tende a eliminare: l'indipendenza, sotto forma di oggettività e imparzialità, e l'efficacia, nel senso che l'audit esiste per produrre informazioni sul funzionamento del sistema, non solo sulla presenza di documenti.

Il programma è uno strumento, e gli strumenti si spostano

Il contributo della ISO 19011, in entrambe le edizioni, è trattare il programma di audit come un sistema gestito a sé stante: obiettivi, ambito, metodi e frequenza scelti deliberatamente, risultati feedback, il programma stesso monitorato e migliorato. La stessa descrizione dell'ISO dello standard lo definisce come linee guida per gli audit dei sistemi di gestione, che coprono i principi di audit, la gestione dei programmi di audit e la conduzione degli audit dei sistemi di gestione, e sottolinea che si tratta di linee guida che non portano di per sé alla certificazione. I principi di audit includono da tempo l'indipendenza: gli auditor devono essere indipendenti dall'attività che viene audita ove possibile, e ove non sia realizzabile, ogni sforzo deve essere fatto per rimuovere i pregiudizi e incoraggiare l'oggettività. L'imparzialità è ciò da cui derivano le conclusioni dell'audit. Questa disciplina esiste per lo stesso motivo per cui esiste la calibrazione degli strumenti: un programma di audit è un dispositivo di misurazione, e un dispositivo di misurazione che restituisce la stessa lettura indipendentemente dall'input ha smesso di misurare.

Nella nostra esperienza, la deriva verso un audit gradevole assume quattro forme riconoscibili. Due di queste violano requisiti espliciti della clausola 9.2, una viola l'oggetto richiesto dell'audit, e una sfrutta una lacuna lasciata aperta dal testo:

L'auditor audita il proprio lavoro. Nei piccoli ISMS, la persona che ha scritto le politiche, implementato i controlli e utilizza la checklist è spesso la stessa, perché la sovrapposizione tra "comprende i controlli" e "ha tempo" è quasi totale. La clausola 9.2.2 richiede oggettività e imparzialità del processo di audit, e il principio di indipendenza della ISO 19011 è scritto proprio per questa situazione: siate indipendenti dall'attività che auditate ove possibile, e ove non lo siate, trattate il pregiudizio come un rischio da rimuovere piuttosto che da ignorare. Valutare il proprio lavoro non rende impossibile un audit; saltare la mitigazione sì. Nella nostra esperienza, questa è la deriva che inizia prima, proprio perché nessun singolo artefatto prova che sia avvenuta.

I criteri sono i documenti dell'ISMS. Le politiche di un'organizzazione sono criteri di audit legittimi, e testare le prove operative contro di esse è esattamente ciò che un audit dovrebbe fare. Il fallimento inizia quando le politiche sono l'unico criterio. Allora l'audit pone una sola domanda: la pratica corrisponde alla politica? E non chiede mai se la politica stessa soddisfa i requisiti dello standard o se il sistema è efficace. Tale audit può svolgersi per anni senza rilievi mentre l'ISMS è non conforme allo standard e inefficace nella pratica, perché l'unico imputato era il documento, e il documento era anche il giudice. La clausola 9.2.1 chiede informazioni sulla conformità ai requisiti dell'organizzazione e dello standard, oltre che sull'efficacia. Auditare esclusivamente contro gli artefatti dell'ISMS è il modo in cui un audit torna pulito mentre abbandona due dei tre elementi richiesti.

L'ambito si è bloccato nel primo anno. Il programma visita gli stessi domini, con la stessa profondità, con la stessa checklist, ogni ciclo. Un ambito che non si evolve non è automaticamente non conforme: ciò che la clausola 9.2.2 richiede è che il programma tenga in considerazione l'importanza dei processi interessati e i risultati degli audit precedenti, e questa considerazione può legittimamente restituire la stessa risposta anno dopo anno. Il nostro problema riguarda il programma portato avanti senza questa rivalutazione, mentre l'organizzazione cambiava sotto di esso: nuovi prodotti, una nuova regione, un incidente, fornitori sostituiti. Una serie di audit puliti prodotta da un piano non considerato è un fatto sul piano, non sul sistema.

I rilievi vengono negoziati verso il basso. Le non conformità diventano osservazioni, le osservazioni diventano "opportunità di considerazione", e il registro rimane verde. Lo standard lascia alle organizzazioni la definizione della gravità: nulla nel testo prescrive come un rilievo viene classificato, e questa discrezionalità è la lacuna in cui vive questo fallimento. Le etichette sono libere; il risultato sottostante no. Qualunque cosa il registro chiami, l'audit rimane tenuto a produrre informazioni accurate sulla conformità e a riportarle alla direzione rilevante, e un registro verde che nasconde silenziosamente un problema rosso viola entrambi i requisiti. Nella nostra esperienza, la negoziazione raramente avviene in un'unica riunione. Si accumula, un "chiamiamolo un'osservazione" alla volta.

La posizione onesta e il test che proporremmo

Prima la concessione: un buon ISMS può effettivamente produrre pochi rilievi. Le squadre che hanno implementato deliberatamente, verificato i propri controlli e corretto ciò che hanno trovato durante l'implementazione possono condurre audit tranquilli perché il sistema è tranquillo. Zero rilievi non è la prova di un programma rotto, e trattare ogni rapporto pulito come un segnale rosso sarebbe a sua volta un rumore.

Nulla nello standard risolve la disputa per voi, quindi ecco il test che proporremmo, ed è nostro, non del testo. Un audit pulito è una prova quando si trova all'interno di un programma che può mostrare il proprio lavoro quando richiesto:

• il piano di audit risponde ai risultati precedenti, agli incidenti e ai cambiamenti nell'organizzazione (il requisito di considerazione della clausola 9.2.2 copre l'importanza dei processi e i risultati degli audit precedenti; incidenti e cambiamenti organizzativi sono input che un programma attento valuta nel decidere cosa conta);
• le assegnazioni degli auditor sono tracciabili, in modo che l'organizzazione possa effettivamente dimostrare oggettività e imparzialità piuttosto che affermarle;
• i risultati raggiungono la revisione della direzione, che elenca i risultati degli audit tra i suoi input (9.3.2), in una forma che consente alla revisione di ragionare su di essi.

Il programma non deve cambiare rotta ogni ciclo, e non deve produrre un rilievo: una revisione può legittimamente concludere che non è necessario alcun cambiamento. L'oggettività e l'imparzialità, al contrario, non sono opzionali in alcun ciclo. Il punto è che il programma può produrre il proprio ragionamento, non che debba produrre un problema.

Un audit pulito che si trova all'interno di un programma che non può mostrare tutto questo non è una prova. È una spia con la lampadina rimossa: il silenzio è reale, ma non trasporta le informazioni che sembra trasportare.

Perché questo è l'audit più costoso da falsificare

Confrontate gli altri audit nel ciclo. L'audit dell'organismo di certificazione è delimitato: lo sforzo di audit richiesto secondo ISO/IEC 27006-1:2024 (pubblicato il 2024-03-01, Allegato C) parte dal numero di persone che svolgono lavoro sotto il controllo dell'organizzazione nell'ambito e si aggiusta per fattori di complessità, e l'organismo di certificazione si basa normalmente sul campionamento, perché una visita delimitata non può testare tutto; la sua indipendenza è regolamentata, e la sua accreditamento dipende da essa. L'audit interno ha il profilo opposto: nessuna formula di durata prescritta esternamente e nessun organismo di accreditamento che lo supervisioni, anche se viene comunque eseguito secondo un calendario pianificato. È l'unico audit nel ciclo in cui l'organizzazione audita sceglie l'auditor, imposta i criteri, definisce l'ambito e controlla le prove, ed è esattamente per questo che la clausola 9.2 pone i requisiti di oggettività e imparzialità proprio lì.

Ed è anche il motivo per cui un audit interno vuoto è il più costoso. L'audit dell'organismo di certificazione è un'ispezione periodica e delimitata dall'esterno, e monitoraggio, gestione degli incidenti e revisione dei rischi operano continuamente. L'audit interno è il meccanismo il cui compito è cercare attivamente i problemi dell'organizzazione rispetto a requisiti definiti, di proposito. Un audit interno che non contraddice mai la direzione è stato riproposto come una cerimonia che certifica l'assenza di notizie.

La edizione 2026 della ISO 19011 arriverà nei programmi di audit nei prossimi uno o due anni, e aggiornare il numero di edizione sulla linea di riferimento del programma è la parte più economica dell'esercizio. Se questa è l'unica parte dell'aggiornamento, l'organizzazione ha eseguito la deriva che questo post descrive, come da programma. Se la vostra serie di audit senza rilievi si trova all'interno di un programma che rivaluta il proprio obiettivo, gestisce il rischio di pregiudizio quando gli auditor sono vicini al proprio lavoro e audita rispetto allo standard piuttosto che rispetto a sé stesso, continuate la serie. Nella nostra esperienza, le serie che possono dimostrare tutto questo sono l'eccezione, ed è proprio per questo che l'eccezione vale la pena di essere mantenuta.