Auditoria ISO

01

O que é auditoria ISO e quais são os tipos?

Auditoria ISO é um processo sistemático, independente e documentado para obter evidências e avaliar até que ponto o sistema de gestão atende aos critérios definidos: a norma, os procedimentos da própria empresa e os requisitos legais e de clientes. É essa a lógica da ISO 19011, a norma de diretrizes para auditoria de sistemas de gestão.

O que muda de um tipo para outro é quem audita e para quê:

02

A auditoria interna é obrigatória?

Sim: toda norma certificável de sistema de gestão exige auditoria interna em intervalos planejados. Nas normas escritas na estrutura harmonizada da ISO, definida no Anexo SL das Diretivas ISO/IEC, o requisito é a cláusula 9.2. Ela pede que a empresa verifique se o sistema atende aos próprios requisitos e aos da norma e se está implementado e mantido de forma eficaz, e que mantenha um programa de auditoria com frequência, métodos, responsabilidades, planejamento e relato dos resultados.

A norma não fixa quantas auditorias por ano: a frequência sai da importância de cada processo, das mudanças e dos resultados anteriores. Antes da auditoria inicial, o organismo certificador quer ver o ciclo completo: auditoria interna de todo o escopo, ações tratadas e análise crítica pela direção.

03

Auditoria interna terceirizada: quando vale

Terceirizar a auditoria interna vale quando a empresa não tem auditor independente, treinado e disponível para cobrir todo o escopo. Nas auditorias que fazemos, as situações mais comuns são estas:

• Empresa pequena ou média em que o único auditor formado é o responsável pelo sistema, e ninguém pode auditar o próprio trabalho
• Primeira certificação, quando a equipe ainda não tem prática de auditoria e o organismo vai exigir o ciclo completo
• Sistema integrado, em que o auditor precisa dominar ao mesmo tempo qualidade, meio ambiente e saúde e segurança
• Normas técnicas de setor, como segurança de alimentos, produtos para saúde ou transporte de produtos químicos
• Histórico de não conformidades repetidas na auditoria externa, sinal de que a auditoria interna não está achando o que deveria

04

Como funciona a auditoria interna da qualidade?

A auditoria interna segue um roteiro fixo: programa, plano, abertura, coleta de evidências, encerramento, relatório e ações corretivas. É o mesmo caminho em ISO 9001, 14001 ou 45001; muda o que se pergunta em cada área.

1. Programa de auditoria. Definimos com a empresa o que será auditado no ano, com que frequência e por quem, dando mais atenção aos processos com mais risco ou com problema recente.
2. Plano de auditoria. Antes da visita, a empresa recebe o escopo, os critérios, a agenda por área e os nomes de quem precisa estar disponível.
3. Reunião de abertura. Confirmamos o plano com a liderança, explicamos como os achados serão classificados e acertamos os horários.
4. Coleta de evidências. Entrevistamos as pessoas no posto de trabalho, observamos a operação e conferimos registros contra a norma e o procedimento.
5. Reunião de encerramento. Apresentamos os achados à direção antes de sair, para não haver surpresa no relatório.
6. Relatório. Enviamos o relatório com cada achado ligado à evidência e ao requisito.
7. Ações corretivas. A empresa analisa a causa e define as ações; nós ajudamos nessa análise e, no prazo combinado, verificamos se as ações resolveram o problema.

05

Quais são os princípios de auditoria da ISO 19011?

A ISO 19011 apoia a auditoria em sete princípios, que guiam o trabalho do auditor do primeiro ao último dia. A edição em vigor é a 4ª, a ISO 19011:2026, publicada pela ISO em maio de 2026 no lugar da edição de 2018; segundo o CQI e IRCA, o texto de cada princípio foi reorganizado, mas o sentido continua o mesmo.

Os sete princípios, na forma como os aplicamos:

• Integridade: honestidade e responsabilidade, sem favorecer área nenhuma
• Apresentação justa: o relatório diz o que foi visto, inclusive o que está bom
• Devido cuidado profissional: competência e atenção à altura do que está em jogo
• Confidencialidade: o que vemos na empresa fica na empresa
• Independência: ninguém audita o próprio trabalho
• Abordagem baseada em evidência: todo achado tem registro, entrevista ou observação verificável
• Abordagem baseada em risco: o tempo vai para onde uma falha custa mais caro

06

Auditoria integrada ISO 9001, 14001 e 45001

Na auditoria integrada, um só roteiro cobre qualidade, meio ambiente e saúde e segurança do trabalho, porque as três normas têm a mesma estrutura de cláusulas. Contexto, liderança, riscos, documentos, competência e análise crítica são auditados uma vez, e o tempo que sobra vai para o que cada norma tem de próprio: controle de processo e satisfação do cliente na ISO 9001, aspectos ambientais e requisitos legais na ISO 14001, perigos, consulta aos trabalhadores e emergências na ISO 45001.

Para a empresa, isso significa menos dias de auditor, menos horas da equipe fora do posto e um relatório único, que mostra quando a mesma causa gera falha em mais de uma norma.

07

Em quais normas fazemos auditoria interna?

Fazemos auditoria interna em todas as normas e programas em que também implantamos ou treinamos equipes:

Em construção civil, transporte químico e alimentos, o roteiro inclui as regras próprias de cada programa: os requisitos do SiAC no canteiro, o questionário do SASSMAQ e o plano APPCC com os programas de pré-requisitos, como explicamos na preparação para a FSSC 22000.

• Auditoria integrada ISO 9001, ISO 14001 e ISO 45001, ou cada norma separada
• ISO 10002, tratamento de reclamações de clientes
• PBQP-H, no Sistema de Avaliação da Conformidade de Empresas de Serviços e Obras da Construção Civil (SiAC)
• Avaliação SASSMAQ, para transportadoras de produtos químicos
• ISO 14001 com verificação da conformidade legal ambiental
• Segurança de alimentos: APPCC, BRC, GMP+, FSSC 22000, ISO 22000 e FSMA
• ISO 13485, produtos para saúde

08

Pré-auditoria de certificação

A pré-auditoria é uma auditoria interna completa feita algumas semanas antes da auditoria do organismo, com o mesmo rigor e o mesmo formato que ele vai usar. Auditamos todo o escopo, todas as unidades e todos os turnos incluídos no certificado, classificamos os achados como o organismo classificaria e deixamos tempo para a empresa corrigir antes da data marcada.

Ela não antecipa a decisão do organismo, que só sai depois da auditoria de terceira parte; o que ela faz é tirar a surpresa. Nas empresas que preparamos para a certificação ISO 9001, é nessa etapa que aparecem as falhas mais caras de corrigir em cima da hora: indicador sem meta, treinamento que não fecha com a matriz de competências, fornecedor crítico sem avaliação.

Vale o mesmo antes da auditoria de manutenção e da recertificação: conferimos se as ações do ciclo anterior foram eficazes e se o que mudou no período entrou no sistema.

09

Qual a diferença entre não conformidade, observação e oportunidade de melhoria?

Não conformidade é o não atendimento de um requisito, com evidência; observação é um ponto que ainda atende, mas tende a falhar; oportunidade de melhoria é uma sugestão para o sistema funcionar melhor, sem descumprimento nenhum. Só a não conformidade obriga a empresa a analisar causa e abrir ação corretiva, mas tratar as observações cedo evita que virem não conformidade na auditoria externa.

Nos relatórios, separamos a não conformidade maior, quando a falha atinge o sistema todo ou compromete o resultado, da menor, quando é pontual. Isso ajuda a direção a decidir o que corrigir primeiro.

10

O que vem no relatório

O relatório da auditoria interna traz escopo, critérios, equipe, áreas ouvidas, achados classificados e a conclusão sobre a eficácia do sistema. Cada não conformidade tem três partes: o requisito, a evidência e o que falta para atender, para que quem vai tratá-la entenda o problema sem ter estado na auditoria.

Também registramos os pontos fortes, para a direção não mexer no que já funciona. O relatório é a evidência de que a cláusula 9.2 foi cumprida e entra na análise crítica pela direção, junto com indicadores e reclamações.

11

Como escolher o auditor interno?

O auditor interno precisa conhecer a norma a fundo, dominar a técnica de auditoria da ISO 19011 e entender a operação que vai auditar. O que separa uma auditoria útil de uma conferência de papel é saber perguntar na operação e ligar o que viu ao requisito certo.

Ao contratar auditoria terceirizada, confira quatro pontos:

• Independência: o auditor não pode auditar processo que ele mesmo implantou ou opera
• Experiência na norma e no setor, como alimentos, construção, saúde ou transporte químico
• Método: se ele entrega programa, plano e relatório no formato que o organismo vai pedir
• Clareza na escrita das não conformidades, com evidência e requisito