ISO 19011:2026
ISO 19011:2026 – Насоки за одитиране на системи за управление
ISO 19011:2026 е международен стандарт, който предоставя насоки за планиране, организиране и провеждане на одити на системи за управление, управление на одитни програми и определяне и оценяване на компетентността на одиторите.
Стандартът може да бъде използван при вътрешни одити, одити на доставчици и други second-party audits, както и като допълнителна методическа основа при различни външни одити. Той е приложим независимо дали организацията работи по ISO 9001, ISO 14001, ISO/IEC 27001, ISO 45001, ISO 22301, ISO 37001, ISO/IEC 42001 или интегрирана система, включваща няколко стандарта.
Strategy прилага принципите на ISO 19011 при провеждане на вътрешни одити и предоставя практически обучения за вътрешни одитори, насочени към реалното планиране, провеждане, документиране и последващо проследяване на одита.
Какво представлява ISO 19011:2026?
ISO 19011 не е стандарт, който определя изисквания към система за управление. Той определя как един одит трябва да бъде организиран и проведен професионално, така че заключенията му да бъдат основани на достатъчни, подходящи и проверими доказателства.
Одитът не трябва да се свежда до преминаване през checklist и задаване на въпроса „имате ли този документ?“.
Добре проведеният одит трябва да установи дали процесите действително функционират, дали определените контроли са ефективни, дали системата постига предвидените резултати и къде съществуват несъответствия, рискове или възможности за подобрение.
Самият ISO определя одита като систематичен, независим и документиран процес за получаване и обективно оценяване на доказателства спрямо определени критерии.
За кого е предназначен ISO 19011?
Стандартът е подходящ за организации, които провеждат вътрешни одити или управляват програми за одит, както и за лица, които участват в планирането и провеждането им.
Това включва вътрешни одитори, Lead Auditors, Quality Managers, Information Security Managers, Compliance Officers, Environmental и OH&S специалисти, лица, които управляват интегрирани системи, консултанти и специалисти, извършващи supplier audits.
ISO посочва стандарта като приложим за организации от всички размери и за одити с различен мащаб – от одит, проведен от един одитор, до сложни програми с големи audit teams.
Основните принципи на одитирането
ISO 19011:2026 запазва седемте основни принципа, върху които трябва да бъде изграден надеждният одит:
- Integrity – почтеност и професионално поведение;
- Fair presentation – вярно и точно представяне на резултатите;
- Due professional care – необходимата професионална грижа и преценка;
- Confidentiality – защита на информацията;
- Independence – независимост и безпристрастност;
- Evidence-based approach – заключения, основани на проверими доказателства;
- Risk-based approach – планиране и провеждане на одита с внимание към рисковете и възможностите.
Тези принципи са заложени директно в структурата на клауза 4 на ISO 19011:2026.
За мен това е много важен раздел за твоята страница, защото показва една от основните разлики между професионален одит и формална проверка по checklist.
Risk-based подход при одита
Риск-базираният подход означава, че одиторът не трябва да отделя еднакво време и внимание на всяка точка от стандарта.
Одитът трябва да се фокусира върху областите, които могат най-силно да повлияят върху способността на системата да постигне своите цели.
Например при ISO/IEC 27001 това може да бъдат privileged access, cloud providers или incident management. При ISO 45001 – дейности с висок OH&S риск. При ISO 14001 – significant environmental aspects. При ISO 22301 – критични процеси и recovery strategies.
Затова още при подготовката на одита трябва да бъдат отчетени контекстът, предходните резултати, значимостта на процесите, промените, известните проблеми и други фактори, които влияят върху одитния риск.
ISO 19011:2026 поставя risk-based approach сред основните принципи, а самата одитна програма включва определяне и оценяване на нейните рискове и възможности.
Управление на одитната програма
Единичният вътрешен одит е само част от процеса.
При организации с повече процеси, обекти или стандарти трябва да бъде изградена audit programme, която определя кога, какво и защо ще бъде одитирано.
ISO 19011:2026 разглежда последователно определянето на целите на одитната програма, нейните рискове и възможности, създаването и изпълнението ѝ, мониторинга и последващото ѝ подобряване.
Това означава, че годишната програма не би трябвало просто да разделя всички клаузи на стандарта по месеци.
Честотата и дълбочината на одитите трябва да бъдат съобразени със значимостта и състоянието на процесите, предишните констатации, организационните промени, рисковете и реалните резултати на системата.
Как се провежда един ефективен вътрешен одит?
Одитът започва много преди откриващата среща.
Одиторът трябва да разбере целите, критериите и обхвата на одита, да анализира наличната информация и да подготви подходящ план.
По време на самия одит основната задача е да бъде събрана достатъчна и подходяща objective evidence.
Това може да включва интервюта, наблюдение на реални дейности, преглед на документи и записи, анализ на информационни системи, sampling на транзакции или други подходящи техники.
Важно е доказателствата да бъдат проверими.
Твърдението „ние винаги го правим така“ не е достатъчно доказателство, ако не може да бъде подкрепено с реални записи или наблюдение.
Одит на процес, а не само на клауза
Това е направление, което според мен трябва да изпъкне силно на страницата на Strategy.
При професионален management system audit не е необходимо одиторът механично да задава въпрос по всяка точка от стандарта.
По-силният подход е да бъде проследен реалният процес.
Например при одит на software development можем да проследим:
customer requirement → planning → development → code review → testing → release → monitoring → incident/change → improvement.
По време на този един процес могат едновременно да бъдат проверени изисквания от ISO 9001, ISO/IEC 27001, ISO/IEC 20000-1 и ISO/IEC 42001.
Това е и причината ISO 19011 да бъде особено подходящ при integrated audits.
ISO 19011:2026 изрично разглежда combined audits, когато две или повече management system disciplines се одитират заедно, и отбелязва, че при интегрирана система принципите и процесите за одит остават същите.
Какво е новото в ISO 19011:2026?
Ревизията от 2026 г. не променя фундаментално логиката на одита, но я актуализира спрямо начина, по който организациите работят днес.
Най-ясно заявената от ISO промяна е значително разширяване на подхода към дистанционните одити и виртуалните локации.
Новото издание интегрира насоки от ISO/IEC TS 17012:2024 и разширява Annex A относно remote auditing methods.
Това е важно, защото дистанционният одит вече не се разглежда само като временна алтернатива на посещението на място.
При cloud organizations, remote teams, SaaS компании и международни структури част от реалната дейност на организацията може изобщо да не съществува в традиционна физическа локация.
ISO 19011:2026 дори въвежда отделно определение за remote auditing method и изрично свързва подхода с virtual locations – среда, в която работата или услугата се изпълняват онлайн независимо от физическото местоположение на хората.
Remote audits и virtual locations
Дистанционният одит не означава просто интервю през Teams или Zoom.
Одиторът трябва да определи дали избраният remote method позволява да бъде постигната целта на одита и да бъдат получени надеждни доказателства.
При различните ситуации могат да бъдат използвани video meetings, screen sharing, достъп до информационни системи, споделяне на записи, virtual walkthroughs и други подходящи технологии.
Но дистанционният подход създава и нови рискове – например ограничено наблюдение, connectivity problems, поверителност, защита на информацията или невъзможност определени физически дейности да бъдат проверени достатъчно надеждно.
Затова решението за remote, on-site или hybrid audit трябва да произтича от audit objectives, risk и необходимите доказателства, а не просто от удобството на участниците.
ISO/TC 176 посочва именно technology, digitization, virtual environments и засиленото внимание към risk analysis and mitigation като важни характеристики на версията от 2026 г.
Одитни доказателства и sampling
Одиторът рядко може да провери всяка транзакция, всеки запис или всеки служител.
Затова sampling е естествена част от management system auditing.
Но извадката трябва да бъде достатъчна, за да даде разумна увереност относно заключението.
Един успешно проверен ticket например не доказва, че Incident Management процесът функционира ефективно.
Одиторът трябва да разгледа подходящ брой случаи, различни периоди и при необходимост различни категории или рискови ситуации.
Тук професионалната преценка на одитора е много по-важна от размера на checklist-а.
Findings, nonconformities и opportunities for improvement
Констатацията трябва да произтича от сравняването на audit evidence с audit criteria.
ISO 19011:2026 определя, че audit findings могат да показват conformity или nonconformity, както и да доведат до идентифициране на рискове, opportunities for improvement или добри практики.
Затова професионално формулираното несъответствие трябва да бъде доказуемо.
Вместо неясно:
„Процесът не е достатъчно добре организиран.“
по-силната логика е:
критерий → обективно доказателство → конкретно неизпълнение → извод за несъответствие.
Това позволява на организацията впоследствие да направи root cause analysis и да предприеме ефективно corrective action.
Компетентност на одиторите
Добрият одитор не е човекът, който просто е прочел стандарта.
ISO 19011 разглежда компетентността като комбинация от знания и умения, необходими за постигане на предвидените резултати. Стандартът предоставя насоки и за оценяване на хората, които управляват audit programme, на самите auditors и на audit teams.
Компетентността трябва да включва както познаване на audit methodology, така и разбиране на приложимия management system standard, бизнес процесите и контекста на организацията.
При специализирани области може да бъде необходимо и участие на technical expert, който предоставя специфично знание на audit team, без непременно самият той да изпълнява ролята на одитор.
ISO 19011 и вътрешните одити
Една от основните практически приложения на ISO 19011 е при internal audits – first-party audits.
Вътрешният одит трябва да предостави на ръководството реална информация дали системата работи както е планирано и къде има необходимост от подобрение.
Той не трябва да бъде организиран само защото съответният ISO стандарт изисква организацията да извършва вътрешни одити.
Когато се използва правилно, вътрешният одит може да открие слабости преди да се превърнат в клиентски проблем, incident или nonconformity при сертификационния одит.
ISO 19011 и одитите на доставчици
ISO 19011 е приложим и за second-party audits, включително одити на external providers и други заинтересовани външни страни.
Тези одити могат да бъдат особено важни при critical suppliers, cloud providers, subcontractors или други външни организации, от които зависи способността на компанията да предоставя своите продукти или услуги.
При такъв одит критериите не е задължително да бъдат единствено ISO стандарт.
Те могат да включват договорни изисквания, вътрешни изисквания на клиента, нормативни изисквания, SLA или определени security/compliance controls.
ISO 19011 и сертификационните одити
ISO 19011 може да предоставя полезни насоки за различни видове одити, но не определя изискванията към сертификационните органи, извършващи third-party management system certification.
За тях ключовият стандарт е ISO/IEC 17021-1, докато ISO 19011 може да бъде използван като допълнително ръководство. Това разграничение е изрично посочено в ISO 19011:2026.
ISO 19011 не е сертификационен стандарт
Организациите не се сертифицират по ISO 19011.
ISO 19011 е guidance standard, който подпомага провеждането на management system audits. Самият ISO изрично посочва, че използването му не води до сертификация по ISO 19011.
Също така е важно да разграничаваме това от обученията.
Едно лице може да премине обучение за Internal Auditor или Lead Auditor и да получи сертификат от обучаващата или квалификационната организация, но това не означава „ISO 19011 certification“, издадена от ISO.
Обучение за вътрешни одитори със Strategy
Strategy провежда практически обучения за вътрешни одитори, основани на ISO 19011:2026 и изискванията за вътрешен одит на съответния management system standard.
Обучението не се ограничава до теория за клаузите.
Фокусът е участниците да могат практически да планират одит, да определят критерии и обхват, да разработят audit plan, да провеждат интервюта, да събират и оценяват evidence, да формулират findings и nonconformities и да изготвят професионален audit report.
При необходимост обучението може да бъде адаптирано към конкретната система на организацията – например ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001, ISO/IEC 20000-1, ISO 22301, ISO 37001 или ISO/IEC 42001.
Така участниците работят с реални примери от собствената си дейност, вместо само с общи казуси.
Нуждаете се от вътрешен одит или обучение на вътрешни одитори?
Strategy може да проведе независим вътрешен одит на вашата система за управление или да обучи служители, които да изградят необходимата компетентност за провеждане на вътрешни одити.
Обученията могат да бъдат адаптирани към конкретния стандарт, дейността и реалната документация на организацията.