ISO 19011:2026. Przez lata audyt systemu zarządzania dorobił się kilku złych nawyków. Jednym z nich jest traktowanie normy jak listy pytań kontrolnych.

„Czy macie procedurę?”
„Czy jest zapis?”
„Czy pracownik został przeszkolony?”
„Proszę pokazać dokument”.

Jeżeli wszystko można było odhaczyć, system otrzymywał zielone światło.

Problem w tym, że organizacja może pokazać procedury, zapisy, szkolenia i komplet podpisów, a jednocześnie mieć rosnącą liczbę reklamacji, powtarzające się awarie, nieterminowe projekty, problemy z dostawcami i procesy, które funkcjonują tylko dzięki doświadczeniu kilku konkretnych osób.

ISO 19011:2026 nie likwiduje audytu zgodności. Przesuwa jednak uwagę w stronę audytu, który ma lepiej rozumieć rzeczywisty sposób funkcjonowania organizacji.

Niby niewiele, ale różnica jest istotna.

Co rzeczywiście się zmieniło?

Nie ma tu rewolucji polegającej na wyrzuceniu dotychczasowego sposobu audytowania do kosza. Jest natomiast kilka zmian, które bardzo dobrze pokazują kierunek, w którym ma zmierzać profesjonalny audyt.

1. Audyt zdalny przestaje być rozwiązaniem awaryjnym

Pandemia przyspieszyła coś, co i tak było nieuniknione. Procesy, dokumentacja, spotkania, systemy ERP, dane jakościowe czy zarządzanie projektami coraz częściej funkcjonują w środowisku cyfrowym.

ISO 19011:2026 znacznie rozszerza więc wytyczne dotyczące zdalnych metod audytowania i wirtualnych lokalizacji, wykorzystując rozwiązania rozwinięte w ISO/IEC TS 17012:2024. Pojęcie zdalnej metody audytowania zostało również wprowadzone do terminologii normy.

Audytor musi zastanowić się między innymi:

• czy metoda zdalna pozwoli uzyskać wystarczające i wiarygodne dowody,
• których elementów procesu nie da się rzetelnie ocenić bez obecności na miejscu,
• jak zweryfikować informacje pokazywane na ekranie,
• jakie ograniczenia niesie technologia,
• jak zabezpieczyć informacje, prywatność i poufność,
• kiedy najlepszym rozwiązaniem będzie audyt hybrydowy.

Technologia zmienia nie tylko miejsce audytowania, ale również sposób budowania wiarygodności dowodów.

1. Audytor musi rozumieć środowisko cyfrowe

Jednym z praktycznych skutków nowego wydania jest potrzeba rozwijania kompetencji umożliwiających audytowanie procesów, produktów i usług coraz silniej wykorzystujących technologie oraz stosowanie bardziej zaawansowanych metod audytowych. Norma podkreśla również znaczenie rozumienia bezpieczeństwa informacji i prywatności.

To bardzo istotna zmiana praktyczna.

Warto podkreślić, że audytor nie musi być programistą ani administratorem systemów IT. Powinien jednak rozumieć, gdzie współcześnie powstaje dowód audytowy i jakie ryzyko wiąże się z jego oceną.

Znakiem naszych czasów jest to, że dowodem coraz rzadziej jest kartka w segregatorze.

Może nim być zapis w ERP, workflow zatwierdzenia zmiany, elektroniczny zapis parametrów procesu, log systemowy, dashboard KPI, elektroniczny obieg reklamacji albo informacja generowana automatycznie przez system.

2. Ryzyko jeszcze mocniej wpływa na sposób audytowania

ISO oficjalnie zwraca uwagę, że wydanie z 2026 r. zwiększa znaczenie analizy ryzyka i jego ograniczania w kontekście audytowania.

I właśnie tutaj zaczyna się jedna z najważniejszych zmian w myśleniu o programie audytów.

Nie każdy proces musi być audytowany:

• równie często,
• przez tyle samo czasu,
• z taką samą szczegółowością,
• przez audytorów o identycznych kompetencjach.

Program audytów powinien reagować na rzeczywistość organizacji.

Jeżeli rośnie liczba reklamacji, pojawia się nowy dostawca, organizacja wdraża nową technologię, zmienia lokalizację, reorganizuje proces, wdraża nowe oprogramowanie albo ma problem z realizacją kluczowego KPI – są to informacje, których nie powinien ignorować człowiek zarządzający programem audytów.

Dobry program audytów nie powinien być kopią kalendarza z poprzedniego roku.

3. Więcej uwagi dla łańcucha dostaw

Rozbudowane zostały również wytyczne dotyczące audytowania łańcucha dostaw, szczególnie w kontekście audytów drugiej strony.

Dostawca nie powinien być wybierany wyłącznie dlatego, że ma odpowiedni certyfikat i komplet procedur.

Znacznie ciekawsze pytania brzmią:

• Czy potrafi stabilnie dostarczać to, czego potrzebujemy?
• Jak radzi sobie ze zmianą?
• Jak reaguje na problemy?
• Jak nadzoruje własnych dostawców?
• Czy ryzyka w jego procesach mogą stać się naszym ryzykiem?

Przy długich i złożonych łańcuchach dostaw audyt przestaje być wyłącznie nadzorem dostawcy. Staje się jednym z narzędzi zarządzania odpornością biznesu.

4. Sama niezgodność musi być lepiej uzasadniona

W dodatkowych wytycznych dotyczących ustaleń audytowych pojawia się przypomnienie, że przy stwierdzaniu niezgodności należy wskazać, dlaczego kryterium audytu nie zostało spełnione. Jeżeli organizacja stosuje uzgodnione stopniowanie niezgodności, odpowiednia klasyfikacja również powinna zostać odnotowana.

Kwestia ta dotyka jednego z najczęstszych problemów audytowych: stwierdzeń typu:

• „brak nadzoru”,
• „niewłaściwe zarządzanie”,
• „proces nieskuteczny”.

Takie zdanie samo w sobie niewiele mówi.

Profesjonalne ustalenie powinno pozwolić odbiorcy zrozumieć logiczny ciąg:

kryterium → dowód → stwierdzony stan → różnica między wymaganiem a rzeczywistością → ustalenie audytowe.

Im poważniejsze konsekwencje niezgodności, tym ważniejsza jest jakość tego.

I tak dochodzimy do sedna

Nowoczesny audytor musi umieć połączyć wymaganie normy z procesem, ryzykiem, zmianą, technologią, informacją oraz rzeczywistym wynikiem organizacji.

Nie pyta więc wyłącznie:

• „Czy to macie?”

Pyta również:

• „Po co to macie?”
• „Jak to działa?”
• „Skąd wiecie, że działa?”
• „Co się stanie, jeśli przestanie działać?”
• „Co robicie, kiedy wynik zaczyna odbiegać od oczekiwanego?”

I właśnie w tym miejscu ISO 19011:2026 spotyka się z ISO 9001:2026.

Bo zmienia się nie tylko sposób prowadzenia audytu.

Zmienia się również to, na co audyt powinien patrzeć.