A ISO 19011:2018 é o guia normativo que define como qualquer programa de auditoria interna de sistemas de gestão deve ser estruturado, conduzido e documentado. Ela se aplica a empresas certificadas em ISO 9001, ISO 14001, ISO 45001 e outras normas do ecossistema ISO, independentemente do setor ou porte.
Empresas que já operam sistemas de gestão certificados conhecem bem o ciclo: Implementar, auditar, corrigir e manter. O que muitas ainda não avaliaram com precisão é se o programa de auditoria interna ISO 19011 que sustenta esse ciclo está alinhado à versão vigente da norma.
A atualização de 2018 trouxe mudanças que vão além de ajustes de redação. Ela reposicionou o papel do auditor interno, incorporou a abordagem baseada em risco como eixo estruturante e ampliou as exigências de competência técnica e comportamental. Ignorar essas mudanças não significa apenas estar desatualizado: Significa conduzir auditorias com critérios que o próprio organismo certificador pode questionar.
Para diretores e gestores de qualidade, SST, compliance e operações, entender o que mudou e o que isso exige do programa de auditoria é uma decisão de governança, não um detalhe operacional.
O que é a ISO 19011 e por que ela importa
A ISO 19011 não certifica nenhuma empresa. Ela fornece as diretrizes para quem conduz auditorias de sistemas de gestão, sejam elas internas (primeira parte) ou de fornecedores (segunda parte). Em outras palavras, é a norma das normas no contexto de auditoria.
Sua relevância prática é direta: Quando um auditor externo avalia a maturidade do programa de auditoria interna de uma organização durante uma auditoria de certificação ou renovação, é a ISO 19011 que serve de referência para julgar se o programa está bem estruturado. Um programa desatualizado em relação a essa norma é um risco objetivo de não conformidade.
A versão de 2018 substituiu a edição de 2011. As diferenças não são meramente nominais. Confira a seguir o que mudou.
As principais mudanças da ISO 19011:2018
Incorporação da abordagem baseada em risco
Na versão de 2011, o risco aparecia de forma periférica. Na edição de 2018, ele se tornou um princípio estruturante da auditoria. Isso significa que o programa de auditoria interna precisa ser desenhado considerando o nível de risco de cada processo, área e atividade auditada.
Na prática, isso impacta diretamente:
- A frequência de auditorias por área (processos de maior risco demandam frequência maior).
- A profundidade de escrutínio esperada em cada ciclo de auditoria.
- A forma como os achados são priorizados no plano de ação.
Empresas que ainda operam com calendários fixos e escopo uniforme para todas as áreas estão operando em desalinhamento com a norma.
Novo princípio: abordagem baseada em evidências
A ISO 19011:2018 reforçou a exigência de rastreabilidade das conclusões do auditor. Não basta registrar o que foi verificado: É necessário documentar as evidências que sustentam cada achado, seja de conformidade, seja de não conformidade.
Isso eleva o padrão de qualidade do relatório de auditoria interna e exige que os auditores internos sejam treinados não apenas para observar, mas para coletar, registrar e estruturar evidências de forma auditável.
Ampliação das competências do auditor interno
A versão de 2018 separou com mais clareza os tipos de competência que um auditor interno precisa demonstrar:
- Competência técnica: conhecimento do sistema de gestão auditado (ISO 9001, ISO 14001, ISO 45001, entre outros) e do setor da organização.
- Competência comportamental: capacidade de conduzir entrevistas, manter imparcialidade, lidar com resistências e comunicar achados de forma construtiva.
- Competência ética: integridade, confidencialidade e independência em relação ao processo auditado.
Essa tríade tem implicação direta na seleção e no desenvolvimento de auditores internos. Competência técnica sem a comportamental compromete a eficácia da auditoria. Competência comportamental sem técnica compromete a profundidade.
Ampliação do escopo: auditores externos de segunda parte
A edição de 2018 expandiu o escopo da norma para incluir, de forma mais explícita, as auditorias de segunda parte (auditorias em fornecedores e parceiros). Isso é relevante para organizações que utilizam auditorias de fornecedores como parte do controle da cadeia de suprimentos e de conformidade legal.
Novos apêndices informativos
A norma ganhou apêndices que orientam sobre:
- Gestão do programa de auditoria com base em risco.
- Competências genéricas e específicas de auditores.
- Orientações para auditorias em ambientes com múltiplos sistemas de gestão integrados.
Esses apêndices não são normativos, mas funcionam como guia prático para adequação. Ignorá-los é desperdiçar o próprio conteúdo técnico da norma.
Como a abordagem baseada em risco muda o programa de auditoria
A transição de um programa de auditoria baseado em calendário fixo para um programa baseado em risco exige revisão estrutural, não apenas ajuste de cronograma.
Os principais elementos que precisam ser revisados:
Mapeamento de risco por processo: Antes de definir frequência e escopo, o programa precisa ter uma visão atualizada dos riscos de cada área. Esse mapeamento deve ser revisado periodicamente e sempre que ocorrerem mudanças significativas no negócio, na legislação ou no contexto externo.
Critérios de priorização: Com base no mapeamento, o programa define quais processos demandam auditoria com maior frequência ou profundidade. Processos críticos de SST, por exemplo, tendem a ter perfil de risco diferente de processos administrativos de suporte.
Flexibilidade do cronograma: Um programa baseado em risco não é engessado. Ele prevê revisões do cronograma quando novos riscos emergem ou quando achados anteriores indicam fragilidade em determinada área.
Integração com indicadores: Os KPIs e indicadores líderes e reativos do sistema de gestão devem alimentar o programa de auditoria. Um processo com indicadores em degradação é um sinal de que a auditoria precisa ser antecipada.
Competências do auditor interno: o que revisar agora
A revisão do quadro de auditores internos é um dos impactos mais concretos da auditoria interna ISO 19011:2018. A norma não define número mínimo de auditores, mas estabelece que todos devem demonstrar as competências necessárias para o escopo que auditam.
O que revisar no seu programa:
Matriz de competências: Cada auditor interno deve ter uma matriz documentada que registre suas competências técnicas (por norma e por processo) e comportamentais. Essa documentação é evidência para auditoria de certificação.
Plano de desenvolvimento: Auditores com lacunas de competência precisam de plano de capacitação com prazo e critério de avaliação. O plano deve ser registrado e monitorado.
Imparcialidade e independência: A norma reforça que auditores não devem auditar processos sob sua própria responsabilidade. A verificação deste critério precisa estar documentada na designação de auditores para cada ciclo.
Atualização contínua: Mudanças nas normas auditadas, na legislação aplicável ou no contexto do negócio exigem atualização das competências. Isso não é treinamento pontual: É processo contínuo.
Programa de auditoria integrado: ISO 9001, 14001 e 45001
A ISO 19011:2018 trata explicitamente da auditoria integrada, ou seja, da condução de auditorias que verificam simultaneamente mais de um sistema de gestão. Isso é especialmente relevante para organizações que operam um Sistema de Gestão Integrado (SGI), combinando qualidade, meio ambiente e saúde e segurança.
A auditoria integrada não é simplesmente realizar duas auditorias no mesmo dia. Ela exige:
- Planejamento conjunto, considerando os critérios de cada norma.
- Equipe de auditores com competências em todos os sistemas verificados.
- Relatório que trate os achados de forma integrada, identificando sobreposições e interdependências.
Quando bem conduzida, a auditoria integrada reduz o tempo total de auditoria, melhora a visão sistêmica dos processos e gera achados mais relevantes do que auditorias isoladas por norma.
O que evidências de auditoria precisam conter
A exigência de rastreabilidade das conclusões de auditoria impacta diretamente a qualidade da documentação gerada. Um relatório de auditoria interna ISO 19011 que não apresenta evidências suficientes para sustentar seus achados é tecnicamente inadequado sob a norma vigente.
As evidências de auditoria precisam ser:
- Verificáveis: Documentos, registros, observações e declarações que possam ser conferidos por outro auditor.
- Relevantes: Diretamente relacionadas ao critério de auditoria verificado.
- Suficientes: Em quantidade e qualidade que suportem a conclusão registrada.
Na prática, isso significa que o formulário de registro de auditoria interna precisa ter campos que capturem evidências, não apenas conclusões. Formulários genéricos com campos de “conforme” e “não conforme” sem espaço para registro de evidências estão abaixo do padrão da norma.
Como a Stance apoia a adequação do programa de auditoria
A Stance é uma empresa brasileira especializada em consultoria, auditoria e treinamento em sistemas de gestão, com atuação em qualidade, SST, meio ambiente, ESG e segurança da informação. Para empresas que precisam adequar o programa de auditoria interna às exigências da ISO 19011:2018, o Método Stance oferece uma abordagem integrada que vai do diagnóstico ao plano de ação.
As soluções da Stance relevantes para esse contexto incluem:
- Diagnóstico do programa de auditoria interna: Avaliação do programa atual em relação aos requisitos da ISO 19011:2018, com identificação de lacunas e priorização de ações.
- Consultoria em sistemas de gestão: Suporte técnico para redesenho do programa com abordagem baseada em risco, revisão de critérios e atualização de formulários e procedimentos.
- Auditoria de conformidade: Condução de auditorias internas ou verificação da qualidade do programa existente, com geração de evidências auditáveis.
- Treinamento corporativo (in company): Capacitação de auditores internos com foco nas competências técnicas e comportamentais exigidas pela norma. Os treinamentos da Stance são exclusivamente no modelo corporativo, desenvolvidos para a realidade e o setor da empresa contratante.
- Implementação de normas ISO: Apoio à integração de múltiplos sistemas de gestão e à preparação para auditorias de certificação ou renovação.
O diferencial da Stance está na combinação entre expertise normativa, conhecimento setorial e capacidade de entregar soluções personalizadas que funcionam na prática, com resultados mensuráveis e sustentáveis.
Perguntas frequentes sobre auditoria interna ISO 19011
Como saber se o programa de auditoria interna da minha empresa está desatualizado em relação à ISO 19011:2018?
O sinal mais direto é verificar se o programa ainda opera com calendário fixo e escopo uniforme para todas as áreas, sem critérios de priorização baseados em risco. Outros sinais incluem ausência de matriz de competências dos auditores internos, formulários de registro sem campo para evidências e ausência de revisão periódica do programa. Um diagnóstico estruturado é o caminho mais seguro para mapear as lacunas antes de uma auditoria de certificação.
Quanto tempo leva para adequar um programa de auditoria interna à ISO 19011:2018?
O prazo varia conforme o grau de maturidade do programa atual e a complexidade do sistema de gestão da organização. Programas com estrutura básica já estabelecida tendem a demandar ajustes pontuais em critérios, documentação e capacitação. Programas com lacunas estruturais exigem redesenho mais abrangente. Segundo Ricardo Hojda, Diretor da Stance e especialista em Sistemas de Gestão da Qualidade, Meio Ambiente, Saúde e Segurança e Comportamento Seguro, o ponto de partida mais eficiente é sempre o diagnóstico: Ele permite priorizar esforços e evitar retrabalho ao mapear o que já está conforme e o que precisa ser ajustado.
A ISO 19011:2018 é obrigatória para empresas certificadas em ISO 9001 ou ISO 45001?
A ISO 19011 é uma norma de diretrizes, não de requisitos. Ela não é citada como requisito normativo direto nas normas de sistema de gestão como ISO 9001 ou ISO 45001. No entanto, essas normas exigem que a organização conduza auditorias internas e mantenha programa de auditoria estruturado. A ISO 19011 é a referência técnica reconhecida internacionalmente para esse fim. Na prática, organismos certificadores utilizam seus critérios para avaliar a qualidade do programa de auditoria interna durante as auditorias de certificação e vigilância.
Como estruturar o treinamento de auditores internos com base nas competências da ISO 19011:2018?
O ponto de partida é mapear as competências atuais de cada auditor em relação ao escopo que ele audita, considerando as três dimensões da norma: Técnica, comportamental e ética. Com base nesse mapeamento, define-se um plano de capacitação com conteúdos, formatos e critérios de avaliação específicos. A Stance desenvolve programas de formação de auditores internos exclusivamente no modelo corporativo, com conteúdo calibrado para o setor e os sistemas de gestão da empresa contratante.
Um programa de auditoria integrada exige auditores com competência em todas as normas verificadas?
Sim. A ISO 19011:2018 estabelece que os auditores designados para uma auditoria integrada devem ter competência nos critérios de todos os sistemas verificados. Segundo Ricardo Hojda, Diretor da Stance, auditorias integradas conduzidas por equipes sem competência completa tendem a gerar achados superficiais e perdem a oportunidade de identificar interdependências entre os sistemas de gestão. A composição da equipe de auditoria é uma decisão técnica que impacta diretamente a qualidade dos resultados.
Auditoria interna como instrumento de governança
A auditoria interna ISO 19011 não é burocracia de conformidade. É um instrumento de gestão que, quando bem estruturado, gera informação de qualidade para decisão, antecipa riscos antes que se tornem não conformidades graves e fortalece a cultura de melhoria contínua.
As mudanças trazidas pela ISO 19011:2018 reforçam exatamente essa visão: Um programa de auditoria baseado em risco, conduzido por auditores competentes e sustentado por evidências rastreáveis, produz valor real para a organização, não apenas relatórios que cumprem calendário.
Se o programa de auditoria interna ISO 19011 da sua empresa ainda não passou por revisão à luz da versão vigente da norma, o momento de iniciar esse processo é antes da próxima auditoria de certificação, não depois. A Stance está disponível para apoiar esse diagnóstico e a adequação do seu programa com consultoria especializada, auditoria de conformidade e treinamento in company para auditores internos.
Entre em contato com a Stance e avalie como adequar o programa de auditoria interna da sua organização com a profundidade técnica que a norma exige.
Para acompanhar conteúdos práticos sobre ISO, regulamentações, cultura de segurança e muito mais, confira nossos links a seguir:
Facebook | Instagram | LinkedIn | Blog da Stance | Treinamentos
Até a próxima!
