ISO 9001 Internal Audit Programme Requirements: Guia Prático de Auditoria Interna

O que a ISO 9001 exige para auditoria interna (cláusula 9.2)

A cláusula 9.2 da ISO 9001:2015 estabelece que a organização deve conduzir auditorias internas em intervalos planejados. O objetivo é verificar se o sistema de gestão da qualidade está em conformidade com os requisitos da própria organização e com os requisitos da norma. Os ISO 9001 internal audit programme requirements vão além da simples execução de auditorias: exigem um programa documentado, com escopo, critérios, frequência e métodos definidos.

A norma pede que o programa de auditoria considere a importância dos processos, as mudanças que afetam a organização e os resultados de auditorias anteriores. Isso significa que o programa não pode ser estático. Ele deve ser revisado e ajustado conforme o contexto e os riscos identificados. A cláusula 9.2.1 também exige que a organização defina responsabilidades e requisitos para o planejamento e a execução das auditorias. A alta direção deve garantir que o programa seja compatível com a direção estratégica e com o contexto da organização (cláusula 4).

O programa de auditoria é o conjunto de uma ou mais auditorias planejadas para um período. Já o plano de auditoria descreve as atividades de uma auditoria específica. A distinção é importante para atender aos requisitos da cláusula 9.2.

Para alinhar o programa de auditoria com a documentação exigida, consulte o guia de requisitos de documentação da ISO 9001.

Planejamento do programa de auditoria: escopo, critérios e frequência

O planejamento começa com a definição do escopo de cada auditoria. A cláusula 9.2.2 exige que a organização estabeleça critérios de auditoria e escopo para cada auditoria. Os critérios podem incluir requisitos da ISO 9001, procedimentos internos, requisitos de clientes e regulamentações aplicáveis. O escopo define quais processos, áreas e turnos serão auditados. Também é preciso definir os objetivos da auditoria, os recursos necessários e as responsabilidades.

A frequência das auditorias deve ser baseada em riscos. Processos críticos, com histórico de não conformidades ou que passaram por mudanças significativas, precisam ser auditados com mais frequência. Atender aos ISO 9001 internal audit programme requirements exige uma análise de riscos documentada para justificar a periodicidade escolhida. A cláusula 9.2.2 a) menciona explicitamente a consideração da importância dos processos e as mudanças que impactam a organização. O programa deve ser flexível para incluir auditorias extraordinárias quando surgirem novos riscos.

A cláusula 9.2.2 b) exige que a organização selecione auditores e conduza auditorias que assegurem a objetividade e a imparcialidade do processo. Isso pode ser feito por meio de rodízio de auditores ou contratação de auditores externos.

Como definir a frequência de auditoria

Use uma matriz de risco que combine probabilidade de falha e impacto no cliente. Por exemplo, um processo de produção com alto impacto e histórico de problemas pode ser auditado trimestralmente, enquanto um processo administrativo estável pode ser auditado anualmente. A ISO 19011:2018 oferece diretrizes para essa priorização. Além disso, o programa deve prever auditorias de acompanhamento para verificar a eficácia das ações corretivas. O plano de auditoria deve ser comunicado com antecedência aos responsáveis pelas áreas auditadas.

Para uma visão prática dos registros necessários, veja o checklist de requisitos de documentação da ISO 9001.

Execução da auditoria e competência dos auditores

A cláusula 9.2.2 c) determina que os auditores devem ser objetivos e imparciais. Isso implica que ninguém pode auditar o próprio trabalho. A organização deve selecionar auditores com competência adequada, o que inclui conhecimento da norma, dos processos e das técnicas de auditoria. A competência pode ser comprovada por treinamento, experiência e certificações. A ISO 19011:2018 detalha como avaliar a competência dos auditores e como conduzir o processo de auditoria.

A execução conforme os ISO 9001 internal audit programme requirements inclui a comunicação de resultados à gestão. As não conformidades identificadas devem ser registradas e tratadas conforme a cláusula 10.2, que trata de não conformidades e ações corretivas. O relatório de auditoria deve ser claro, conciso e baseado em evidências objetivas. Durante a auditoria, o auditor deve usar uma abordagem sistemática: reunião de abertura, entrevistas, revisão de documentos, observação de atividades, amostragem e reunião de encerramento.

Auditorias remotas podem ser usadas quando apropriado, desde que os métodos garantam a coleta de evidências confiáveis. A ISO 19011:2018 reconhece o uso de tecnologias de informação e comunicação para conduzir auditorias.

Se a organização também possui um sistema de gestão ambiental, o registro de aspectos ambientais da ISO 14001 pode ser integrado ao programa de auditoria para ganhar eficiência. O mesmo vale para a ISO 45001, que trata de saúde e segurança ocupacional. A integração reduz a duplicidade de esforços e melhora a visão sistêmica.

Análise crítica pela direção e melhoria contínua

Os resultados das auditorias internas são uma entrada obrigatória para a análise crítica pela direção, conforme a cláusula 9.3. A alta direção deve avaliar se o programa de auditoria está eficaz e se as ações corretivas estão sendo implementadas. Essa análise deve considerar se os recursos alocados são suficientes e se os prazos estão sendo cumpridos. As decisões da análise crítica podem incluir mudanças no programa de auditoria, como ajuste de frequência ou escopo.

A análise crítica deve gerar decisões sobre a necessidade de mudanças no sistema de gestão da qualidade, incluindo o programa de auditoria. As saídas da análise crítica são documentadas e comunicadas.

Os ISO 9001 internal audit programme requirements não terminam no relatório de auditoria. Eles alimentam o ciclo de melhoria contínua (PDCA). A cláusula 10.3 exige que a organização melhore continuamente a adequação, suficiência e eficácia do sistema de gestão da qualidade. As lições aprendidas com as auditorias devem ser usadas para ajustar o próprio programa de auditoria. Por exemplo, se uma auditoria revelou que um processo não estava claro, o programa pode incluir auditorias de acompanhamento mais frequentes.

Documentação e retenção de registros

A cláusula 7.5 exige que a organização mantenha informações documentadas como evidência da execução do programa de auditoria. Isso inclui o plano de auditoria, os relatórios, as listas de verificação e os registros de não conformidades e ações corretivas. A retenção deve seguir os prazos definidos no procedimento interno e nos requisitos regulamentares aplicáveis, como o GDPR quando houver dados pessoais envolvidos. Os registros devem ser legíveis, identificáveis e recuperáveis.

Registros eletrônicos são aceitáveis desde que controlados e protegidos contra alterações não autorizadas. O backup e a segurança da informação são essenciais.

Checklist prático para o programa de auditoria

• O programa de auditoria está documentado e aprovado?
• O escopo, critérios e frequência estão definidos?
• Os auditores são competentes e imparciais?
• Os resultados são comunicados à gestão?
• As ações corretivas são acompanhadas?
• Os registros são retidos conforme procedimento?

Para aprofundar nos requisitos de documentação, consulte o guia de requisitos de documentação da ISO 9001.