A quarta edição da norma ISO 19011 - Diretrizes para auditoria de sistemas de gestão (de 1ª, 2ª e 3ª partes) amplia as orientações sobre auditorias remotas e reforça uma lógica em que riscos, objetivos, mudanças e desempenho devem influenciar o programa e o foco das auditorias.
Leia o artigo a seguir e baixe o Guia QSP, com análise comparativa, método em sete etapas, critérios de priorização, checklist e roteiro de adequação.
More...
Em dezembro de 2018, apresentamos neste blog do QSP a então nova ABNT NBR ISO 19011:2018. Quase oito anos depois, a ISO publicou a ISO 19011:2026, quarta edição da principal referência internacional para auditorias de sistemas de gestão (ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001 e tantas outras normas).
A estrutura essencial permanece familiar: princípios de auditoria, gerenciamento do programa, condução das auditorias e competência dos auditores.
A revisão é mais evolutiva do que disruptiva.
Mas essa evolução consolida uma mudança importante: a auditoria não deve ser tratada apenas como verificação documental de requisitos. Ela precisa concentrar atenção no que é significativo para os objetivos do programa e da organização.
2018 → 2026: o que permaneceu e o que avançou
Conheça no Guia QSP, disponível abaixo, as principais alterações da ISO 19011:2026 em relação à edição de 2018, e confira como a nova edição aprofunda a aplicação da abordagem baseada em riscos, tornando-a mais operacional diante de ambientes digitais, distribuídos e sujeitos a mudanças rápidas.
Auditoria remota deixa definitivamente de ser exceção
A ISO 19011:2026 amplia significativamente a orientação sobre métodos de auditoria remota.
O tema envolve muito mais do que substituir a sala de reunião por uma plataforma de videoconferência: entram em cena protocolos de acesso, testes técnicos prévios, contingências para falhas de tecnologia, competências digitais, segurança de dados, confidencialidade e adequação do método aos objetivos da auditoria.
Ponto-chave
Auditoria remota não é auditoria presencial transferida para a tela. O método precisa ser escolhido e preparado segundo sua capacidade de produzir evidência apropriada e suficiente — e segundo os riscos que a própria tecnologia introduz (Nota: o QSP pratica tais orientações desde a pandemia de 2020, como nestes casos de sistemas de gestão e neste de auditoria ISO 31000).
O risco precisa entrar no programa de auditoria
A mudança de maior valor gerencial talvez esteja aqui.
A abordagem baseada em riscos deve começar antes da auditoria individual: quando a organização decide o que auditar, quando, com que profundidade, usando quais competências, métodos e recursos.
Se todos os processos continuam sendo auditados com a mesma frequência e profundidade, apesar de diferenças relevantes de risco, desempenho e mudança, o programa pode até usar a palavra “risco” — mas dificilmente é realmente baseado em riscos.
Isso não significa reduzir a importância da conformidade.
Significa reconhecer que conformidade é condição necessária, mas não suficiente para avaliar a eficácia de um sistema de gestão.
Uma organização pode cumprir formalmente procedimentos e requisitos e, ainda assim, permanecer exposta a riscos relevantes, operar com controles pouco eficazes ou perder capacidade de alcançar seus objetivos diante de mudanças no contexto.
É por isso que uma auditoria baseada em riscos precisa olhar além do checklist.
ISO 19011 e ISO 31000: integração sem confundir papéis
A ISO 19011 não exige a adoção da ISO 31000. As duas normas têm propósitos diferentes.
Mas são fortemente complementares.
A Gestão de Riscos oferece uma linguagem estruturada para compreender as incertezas que afetam objetivos. A auditoria fornece evidência sistemática para confirmar — ou desafiar — a confiança nos controles e na capacidade do sistema de gestão de produzir os resultados pretendidos.
Essa relação pode ser resumida assim:
Objetivos → Riscos → Controles → Desempenho → Auditoria → Melhoria
Quanto melhor a organização compreender seus riscos, melhores serão os insumos para definir prioridades, escopos e métodos de auditoria.
E quanto melhores forem suas auditorias, melhores serão as evidências disponíveis para avaliar se os riscos estão sendo adequadamente tratados e se os controles permanecem eficazes.
A integração entre auditoria e gestão de riscos, portanto, não significa misturar funções.
Significa fazer com que ambas trabalhem sobre aquilo que realmente importa para a organização: seus objetivos.
Uma visão que vem de longe
Essa visão também tem raízes históricas na produção técnica do QSP.
No 'paper' sobre Auditoria Baseada em Riscos — ABR, publicado originalmente em 2010 e atualizado em 2025, já defendíamos que a auditoria deveria começar pelos objetivos do negócio, concentrar-se nos riscos capazes de comprometê-los e usar essa visão para definir prioridades e escopos de auditoria.
A mesma abordagem foi posteriormente desenvolvida no nosso Manual da Coleção Risk Tecnologia: "Auditoria Baseada em Riscos — Como implementar a ABR nas organizações: uma abordagem inovadora".
A evolução da ISO 19011 reforça a atualidade desse princípio.
O risco não deve simplesmente aparecer como mais um item dentro do checklist.
Ele precisa influenciar o próprio programa de auditoria.
Para quem quer ir além deste resumo
Este artigo apresenta apenas os pontos centrais.
O QSP preparou um Guia específico sobre a ISO 19011:2026 para transformar essas mudanças em ações práticas.
O documento apresenta uma análise comparativa entre as edições de 2018 e 2026 e aprofunda temas como abordagem baseada em riscos, auditorias remotas, integração com a ISO 31000 e implicações práticas para auditores e gestores.
Inclui ainda um método em sete etapas para estruturar um programa de auditoria baseado em riscos, critérios de priorização, checklist de prontidão e um roteiro de adequação em 90 dias.
Baixe gratuitamente o Guia QSP
ISO 19011:2026 — Principais mudanças e implicações para as auditorias de sistemas de gestão
A nova edição da ISO 19011 talvez não represente uma revolução.
Mas deixa uma mensagem cada vez mais difícil de ignorar:
auditar não é apenas verificar se o sistema está conforme. É avaliar se ele continua capaz de alcançar seus objetivos diante dos riscos e das mudanças que cercam a organização.
NOTA: Este artigo foi preparado com o auxílio de ferramentas de IA do SuperChatGPT da ISO31000.net.
Gestão de Riscos
Exame Nacional ISO 31000
Para obtenção da Certificação Profissional Internacional C31000 - Certified ISO 31000 Risk Management Professional
NÃO PERCA A DATA DOS PRÓXIMOS EXAMES!
Com simulado gratuito, ao vivo pela Internet, realizado 2 dias antes de cada Exame.
E, para agilizar o processo, acesse por aqui o formulário de pré-inscrição no Exame Nacional.
