Czwarta edycja ISO 19011 nie wywraca audytowania do góry nogami — porządkuje to, co praktyka robi od lat: audyty zdalne, ryzyko cyfrowe i dyscyplinę raportowania niezgodności. Sprawdź, co realnie zmieni się w Twoim programie audytów.
Twój program audytów jest gotowy na ISO 19011:2026?
Wprowadzenie
ISO 19011 to norma, która od lat stanowi wspólny język audytowania systemów zarządzania — opisuje zasady audytowania, sposób zarządzania programem audytów, prowadzenie samego audytu oraz ocenę kompetencji audytorów. Co istotne, nie jest to norma certyfikowalna: stanowi przewodnik, a nie zestaw wymagań, na które wystawia się certyfikat.
W maju 2026 roku ukazała się jej czwarta edycja, zastępująca wydanie z 2018 roku. Powód rewizji jest podwójny. Po pierwsze, od 2018 roku przybyło wiele norm systemów zarządzania o wspólnej strukturze i zbliżonych definicjach, co wymusiło bardziej generyczne podejście do audytowania. Po drugie — i to jest sedno zmian — praktyka audytów zdalnych, która rozkwitła po pandemii, znacznie wyprzedziła normę. ISO 19011:2026 ją dogania.
Dla audytorów wewnętrznych, audytorów drugiej strony oceniających dostawców, pełnomocników systemów zarządzania jakością oraz menedżerów odpowiedzialnych za programy audytów norm takich jak ISO 9001 czy ISO 27001 najważniejszy przekaz brzmi: to aktualizacja, nie przebudowa. Ale kryje ona kilka konkretów, które realnie zmieniają planowanie audytu i sposób jego raportowania.
Co się zmieniło w ISO 19011:2026
Tu nie będzie rewolucji, ale to co istotne to odwołanie do wydanej w 2024 roku normy o audytach zdalnych.
Ewolucja, nie rewolucja — fundament normy bez zmian
Zacznijmy od tego, co zostało nienaruszone, bo to uspokaja kalendarz wdrożeniowy każdej organizacji. Struktura klauzul i Annexu A nie uległa istotnym zmianom, a objętość dokumentu pozostała na poziomie ok. 46 stron treści zasadniczej. Niezmienionych jest też siedem zasad audytowania: integralność, rzetelna prezentacja, należyta staranność zawodowa, poufność, niezależność, podejście oparte na dowodach oraz podejście oparte na ryzyku. Audytor, który zna edycję z 2018 roku, odnajdzie się w nowej bez wysiłku.
W warstwie terminologicznej pojawił się jeden nowy termin — „metoda auditu zdalnego” — oraz drobne korekty definicji zakresu auditu, obserwatora i dowodu obiektywnego. Warto odnotować, że definicje w ISO 19011:2026 są obecnie dziedziczone z piątej edycji ISO 9000:2026, co utrwala spójność pojęciową w całej rodzinie norm jakości.
Audyty zdalne wbudowane w normę
Najważniejsza zmiana to integracja wytycznych z ISO/IEC TS 17012:2024 — specyfikacji technicznej poświęconej metodom audytu zdalnego — bezpośrednio w treść normy oraz rozszerzenie Annexu A (sekcja A.16) o praktyczne wskazówki, w tym dotyczące lokalizacji wirtualnych, czyli środowisk, w których organizacja wykonuje pracę w przestrzeni online niezależnie od fizycznego miejsca.
Norma stawia tu jasną tezę: audyt zdalny, on-site i hybrydowy to równoprawne narzędzia, które dobiera się świadomie na podstawie analizy ryzyka, a nie domyślnie czy z przyzwyczajenia. Metoda zdalna nie zastępuje audytu na miejscu — uzupełnia go i służy efektywniejszemu osiągnięciu celów audytu.
W praktyce oznacza to korzystanie z konkretnego repertuaru technik: współdzielenia ekranu, zdalnego dostępu do systemów i baz danych, dronów dla obszarów trudno dostępnych, cyfrowego bliźniaka (digital twin) jako wirtualnej repliki procesów, a także tak zwanego audytora zastępczego (surrogate auditor) — osoby fizycznie obecnej na miejscu, działającej jako „oczy i uszy” zdalnego zespołu. Norma przypomina jednocześnie o granicach tego podejścia: zdalnie nie sposób ocenić bodźców zmysłowych (zapachu, temperatury, drgań), a integralność dowodów wymaga szczególnej uwagi, gdy dokumentacja jest udostępniana elektronicznie.
Podejście oparte na ryzyku i wykonalność audytu — nowe punkty kontrolne
To sekcja, którą warto przeczytać uważnie, bo zmienia planowanie audytu w sposób namacalny.
W zarządzaniu programem audytów (klauzula 5.1) norma każe teraz wprost uwzględniać technologię i narzędzia cyfrowe w kontekście audytowanej organizacji. W ocenie ryzyk i szans programu audytów (5.3) pojawiły się trzy nowe, jednoznacznie wskazane ryzyka: wybór metody audytu (on-site kontra zdalna), kwestia sponsorowania audytu oraz bezpieczeństwo ICT. To nie jest kosmetyka — to wskazówka, że ryzyko cyfrowe audytu staje się elementem planowania na równi z dostępnością zasobów.
W prowadzeniu audytu doszło nowe kryterium wykonalności (6.2.3): zespół ma ocenić, czy zdarzenia lokalne, regionalne lub światowe mogą wpłynąć na audyt. To bezpośrednie dziedzictwo doświadczeń pandemicznych — od epidemii, przez konflikty, po klęski żywiołowe, które potrafią z dnia na dzień uniemożliwić audyt na miejscu. Dodano też szczegółowe rozważania ryzyka dla audytów łączonych prowadzonych przez kilka organizacji (joint audits, 6.3.2.1): koordynację zespołów, próbkowanie i uzgodnienie czasu audytu.
ISO/IEC TS 17012 stoi za tymi zapisami z bogatym katalogiem przykładów. Po stronie ryzyk wymienia między innymi niedostateczną digitalizację prowadzącą do straty czasu, nieadekwatną lub niestabilną technologię, ograniczenia próbkowania losowego, brak planu awaryjnego na wypadek awarii łącza oraz nieuwzględnienie wymogów ochrony danych — co grozi naruszeniem przepisów. Po stronie szans: krótszy czas reakcji, audytowalność procesów rozłożonych między lokalizacjami bez ich sztucznego dzielenia oraz możliwość przeprowadzenia audytu ad hoc w razie nagłych odchyleń.
Raportowanie i niezgodności — większa dyscyplina
Tu nowa edycja domyka kilka praktyk, które dotąd zależały od kultury danego audytora.
Najważniejsza zmiana dotyczy raportu (6.5.1): niezgodności, które nie zostały przedstawione i omówione w trakcie audytu lub na spotkaniu zamykającym, nie powinny trafiać do raportu z audytu. Koniec z „niespodziankami” pojawiającymi się w dokumencie końcowym. To wzmacnia rzetelną prezentację i zaufanie audytowanego — żadna niezgodność nie powinna zaskoczyć go po fakcie.
Norma dokłada też ostrożność dotyczącą rekomendacji (6.4.9.2): audytor ma unikać zaleceń, które mogłyby naruszyć bezstronność audytu. Innymi słowy, audytor nie powinien wchodzić w rolę konsultanta podpowiadającego konkretne rozwiązania — to podstawowa granica niezależności.
W Annexie A (A.18.3) wprowadzono stopniowanie niezgodności przy ich zapisywaniu (nonconformity grading), co sprzyja spójniejszej, bardziej porównywalnej ocenie ustaleń między audytami i audytorami. Wreszcie, raport z audytu zdalnego — zgodnie z wytycznymi przejętymi z TS 17012 — powinien odnotować zastosowane metody zdalne, ich zakres i skuteczność, korzyści oraz ograniczenia, a także zakres wykorzystania ICT, w tym sztucznej inteligencji, przy generowaniu raportu.
Kompetencje audytora — bezpieczeństwo informacji i ochrona danych
Profil kompetencyjny audytora również ewoluuje. Zaktualizowano listę pożądanych zachowań (7.2.2): dodano cechę „zdeterminowany” (determined), a usunięto „wytrwały” (tenacious) oraz „zdolny do działania z hartem ducha”. Subtelne, ale czytelne przesunięcie akcentu — od uporu ku konsekwentnemu dążeniu do celu.
Istotniejsza jest nowość merytoryczna: ochrona danych i bezpieczeństwo informacji stają się wymaganym obszarem wiedzy audytora (7.2.3.2). W świecie, w którym audytor zdalnie sięga po dane organizacji, to wymóg naturalny — i pokrywa się z kompetencjami, które rozwija się przy wdrożeniach takich jak system zarządzania bezpieczeństwem informacji. Do tego dochodzą umiejętności prowadzenia audytu zdalnego: obsługa platform, świadomość ryzyk poufności, weryfikacja integralności danych oraz podstawowa znajomość baz danych i narzędzi AI tam, gdzie są wykorzystywane. Norma podkreśla też, że audytor powinien dysponować wiedzą i umiejętnościami pozwalającymi osiągnąć zamierzone wyniki audytu, a w rozwoju zawodowym uwzględniać informację zwrotną od audytowanych i interesariuszy (7.6).
Korzyści z aktualizacji do ISO 19011:2026
Pierwsza, najbardziej odczuwalna korzyść jest operacyjna: norma legitymizuje audyty zdalne i hybrydowe, które wiele organizacji prowadzi od lat bez umocowania normatywnego. To realne oszczędności — mniej podróży, krótszy czas audytu, niższy ślad węglowy oraz dostęp do większej liczby lokalizacji, w tym tych trudno osiągalnych. Dla firm audytujących dostawców w skali międzynarodowej to wręcz zmiana modelu pracy.
Druga korzyść ma charakter jakościowy. Zasada omawiania wszystkich niezgodności przed raportem oraz ich stopniowanie przekładają się na wyniki bardziej spójne, porównywalne i przewidywalne — a przez to lepiej akceptowane przez audytowanych. Bezstronność audytora zyskuje wyraźniejszą ochronę, co podnosi wiarygodność całego procesu.
Trzecia warstwa to świadome zarządzanie ryzykiem cyfrowym audytu. Wpisanie bezpieczeństwa ICT i ochrony danych w planowanie sprawia, że organizacja nie odkrywa tych kwestii dopiero w trakcie audytu, lecz adresuje je z wyprzedzeniem. Wreszcie korzyść strategiczna i kompetencyjna: zaktualizowany profil audytora oraz gotowość zespołów na audyty cyfrowe to przewaga, która procentuje przy każdej kolejnej rundzie audytów wewnętrznych i certyfikacyjnych.
Jak przygotować organizację i zespół audytorski?
Na wstępie warto rozwiać częste nieporozumienie: ISO 19011 to wytyczne, więc nie istnieje certyfikacja „na ISO 19011″ ani formalny okres przejściowy znany z norm wymagań. Nie ma twardego terminu wdrożenia. To jednak nie znaczy, że można czwartą edycję zignorować — warto wpleść jej zmiany przy najbliższym przeglądzie programu audytów lub w standardowym cyklu rocznym.
W praktyce przygotowanie sprowadza się do kilku konkretnych ruchów. Po stronie dokumentacji: zaktualizować procedurę audytów wewnętrznych i program audytów o metody zdalne oraz kryteria świadomego wyboru trybu (on-site / zdalny / hybrydowy), wbudować ocenę ryzyka cyfrowego — bezpieczeństwa ICT i ochrony danych — w planowanie, a także odświeżyć szablony raportu o informacje wymagane przy audytach zdalnych (użyte metody, zakres ICT i AI) oraz o stopniowanie niezgodności. Po stronie procesu: wzmocnić dyscyplinę spotkania zamykającego tak, by każda niezgodność była omówiona, zanim trafi do raportu.
Po stronie kompetencji: doszkolić audytorów z metod zdalnych, bezpieczeństwa informacji i obsługi narzędzi (platformy konferencyjne, współdzielenie ekranu, a tam gdzie to zasadne — drony czy cyfrowy bliźniak), oraz zaktualizować kryteria oceny audytorów. Tu właśnie ujawnia się rola ukierunkowanych szkoleń audytorskich, które przekładają zapisy normy na praktyczne umiejętności zespołu. Dla jednostek prowadzących certyfikację trzeciej strony przypomnijmy, że nadrzędne pozostają wymagania ISO/IEC 17021-1 — ISO 19011 stanowi wobec nich pożyteczne uzupełnienie, nie zamiennik.
Podsumowanie
ISO 19011:2026 to ewolucja, nie rewolucja: fundament audytowania — zasady, ramy programu i proces — pozostaje nienaruszony, ale norma w końcu dogania praktykę. Audyty zdalne zyskują pełnoprawne miejsce, ryzyko cyfrowe wchodzi do planowania, raportowanie i niezgodności zyskują większą dyscyplinę, a profil kompetencji audytora poszerza się o ochronę danych i bezpieczeństwo informacji. To dobry moment, by zaktualizować program audytów i kompetencje zespołu. Jeśli chcesz przeprowadzić tę aktualizację sprawnie — od procedur, przez szablony raportów, po szkolenia audytorów — skontaktuj się z nami; pomożemy dopasować zmiany do Twojego systemu zarządzania.
Bibliogfrafia:
- ISO 19011:2026. Guidelines for auditing management systems (wydanie czwarte). ISO.org
- ISO/IEC TS 17012:2024. Conformity assessment — Guidelines for the use of remote auditing methods in auditing management systems. ISO.org
- ISO 9000:2026. Quality management — Fundamentals and vocabulary (wydanie piąte). ISO.org
- ISO/IEC 17021-1:2015. Conformity assessment — Requirements for bodies providing audit and certification of management systems — Part 1: Requirements. ISO.org
- Prozorov A. ISO 19011: 2018 vs 2026 (porównanie edycji), 2026. LinkedIn
FAQ: Nowe ISo 19011:2026
Czym różni się ISO 19011:2026 od edycji z 2018 roku?
Czwarta edycja zachowuje strukturę, siedem zasad audytowania i proces bez zmian. Główne nowości to integracja wytycznych audytów zdalnych z ISO/IEC TS 17012:2024, nowe ryzyka programu audytu, większa dyscyplina raportowania niezgodności oraz poszerzony profil kompetencji audytora o ochronę danych i bezpieczeństwo informacji.
Czy można certyfikować organizację na zgodność z ISO 19011:2026?
Nie. ISO 19011 to wytyczne, a nie norma wymagań — nie podlega certyfikacji i nie obowiązuje okres przejściowy. Jest przewodnikiem dla audytów wewnętrznych i drugiej strony. Certyfikację trzeciej strony regulują wymagania ISO/IEC 17021-1.
Co ISO 19011:2026 mówi o audytach zdalnych?
Norma uznaje audyt zdalny, on-site i hybrydowy za równoprawne metody dobierane na podstawie analizy ryzyka. Wchłania wytyczne ISO/IEC TS 17012:2024 i rozszerza Annex A o techniki takie jak współdzielenie ekranu, zdalny dostęp do danych, drony czy cyfrowy bliźniak. Audyt zdalny uzupełnia, ale nie zastępuje audytu na miejscu.
Jakie zmiany w raportowaniu niezgodności wprowadza ISO 19011:2026?
Kluczowa zasada mówi, że niezgodności nieomówione podczas audytu lub na spotkaniu zamykającym nie powinny trafiać do raportu — koniec z niespodziankami. Dodano też ostrożność przy rekomendacjach, by nie naruszyć bezstronności, oraz stopniowanie niezgodności w Annexie A dla spójniejszej oceny ustaleń.
Jak przygotować zespół audytorski na ISO 19011:2026?
Warto zaktualizować procedurę i program audytów o metody zdalne i kryteria wyboru trybu, wbudować ocenę ryzyka cyfrowego (ICT, ochrona danych) w planowanie, odświeżyć szablony raportów oraz doszkolić audytorów z metod zdalnych i bezpieczeństwa informacji. Ponieważ to wytyczne, nie ma twardego terminu — najlepiej wpleść zmiany przy najbliższym przeglądzie programu audytów.
Ekspert w zakresie systemów zarządzania ISO, cyberbezpieczeństwa, compliance i AI governance. Audytor, konsultant, trener.