In due righe
- L'audit interno serve a te, non alla certificazione: verifica lo scostamento tra processo scritto e processo eseguito.
- Bastano una checklist di quattro domande e circa un'ora per processo.
- Si parte dai processi che toccano clienti e denaro, una volta all'anno.
- Ogni scostamento trovato diventa un'azione con responsabile e scadenza.
Un audit interno dei processi si fa in tre passi: scegli i processi da verificare e la frequenza, confronta come ogni processo è scritto con come viene eseguito davvero, poi correggi gli scostamenti trovati assegnando un'azione, un responsabile e una scadenza. Non servono consulenti né una certificazione ISO: la norma stessa chiede solo verifiche «a intervalli pianificati», senza imporre auditor esterni né una frequenza minima. Bastano una checklist di quattro domande e circa un'ora per processo. Se non hai ancora una mappa scritta dei processi, parti da lì.
Audit interno, mappatura e certificazione: tre cose diverse
L'audit interno è la verifica periodica, fatta da persone dell'azienda, che un processo funzioni ancora come è stato progettato. Spesso si confonde con altre due attività, che però hanno scopi diversi.
La mappatura è la descrizione per la prima volta dei passi, dei responsabili e degli output di un processo: si fa una volta sola. L'audit di certificazione è la verifica che un ente esterno fa per rilasciare o mantenere una certificazione ISO. L'audit interno non è nessuna delle due: è il controllo che fai tu, a scadenze regolari, per accorgerti che la realtà si è allontanata dal progetto.
Se la tua azienda non è ancora organizzata per processi, il punto di partenza è organizzare un'azienda che non dipende da te, che spiega come costruire le fondamenta. Per la mappatura vera e propria, c'è come mappare un processo aziendale. Qui parliamo solo della verifica periodica.
Ogni quanto verificare un processo (e da quali partire)
Non esiste una frequenza imposta. La ISO 9001:2015, alla clausola 9.2, chiede che gli audit interni siano condotti «a intervalli pianificati», ma non fissa un numero di mesi e non impone auditor esterni (fonte: QualityWeb 360). La frequenza la decidi tu, in base a due fattori: quanto è critico il processo e quanto è cambiato di recente.
Il criterio per una PMI è semplice: più un processo tocca clienti e denaro, più va verificato spesso. I processi nuovi o appena modificati vanno verificati dopo tre mesi dall'avvio, perché è lì che emergono gli errori di progettazione. I processi che in passato hanno mostrato scostamenti vanno ri-verificati dopo ogni azione correttiva, finché lo scostamento non si chiude.
Puoi usare come individuare le criticità nei processi per scegliere da dove iniziare.
Ecco la griglia di partenza:
| Tipo di processo |
Frequenza minima |
Quando aumentarla |
| Processo critico (tocca clienti o denaro) |
Ogni 12 mesi |
Dopo ogni errore rilevante o reclamo |
| Processo di supporto (amministrazione, HR) |
Ogni 18-24 mesi |
Dopo un cambio di responsabile o di strumento |
| Processo appena introdotto o modificato |
Dopo 3 mesi dall'avvio |
Se l'output non è quello atteso |
| Processo con scostamenti già trovati |
Dopo ogni azione correttiva |
Finché lo scostamento non si chiude |
In un'azienda da otto o dieci persone, questo significa verificare due o tre processi l'anno, non una decina. Il costo è basso: un'ora per processo.
La checklist in quattro domande per ogni processo
Il cuore della verifica sta in quattro domande. Non servono moduli da software o checklist di venti pagine: per ogni processo ti servono un foglio e un'ora.
-
Il processo è documentato? Esiste una descrizione scritta di passi, responsabili e output? Se non esiste, non puoi verificare niente: prima mappa, poi verifica. L'evidenza è il documento stesso.
-
Chi lo esegue lo conosce e lo segue? Il process owner è la persona responsabile del risultato di un processo, non di un singolo compito. Chiedi a chi lavora nel processo di descrivertelo: se la descrizione non coincide con il documento, c'è uno scostamento di conoscenza. L'evidenza è l'intervista.
-
L'output è quello atteso? Guarda i risultati degli ultimi due o tre mesi: tempi, errori, reclami, costi. Confrontali con gli obiettivi stabiliti quando il processo è stato progettato. L'evidenza sono le registrazioni: ordini, preventivi, fogli di lavorazione, dati del gestionale.
-
C'è uno scostamento tra scritto e fatto? Metti a confronto il documento, la descrizione di chi esegue e i dati di output. Qualunque differenza è una non conformità: lo scostamento tra come un processo dovrebbe funzionare e come funziona davvero. L'evidenza è il confronto stesso.
Se la risposta alla domanda 1 è «no», fermati e dedica un pomeriggio alla mappatura. Non puoi verificare un processo che esiste solo nella testa delle persone.
Come si conduce la verifica senza auditor dedicati
Non ti serve un auditor formato e non ti serve un software. Il principio da rispettare, che viene dalla ISO 9001:2015 e che la ISO 19011 sviluppa nelle linee guida, è uno solo: chi verifica non può verificare il proprio lavoro. Se fai l'audit del processo che esegui tu, sarai portato a giustificare gli scostamenti invece di segnalarli.
In una PMI questo si risolve incrociando i ruoli. Chi si occupa della produzione può verificare il processo amministrativo; chi fa i preventivi può verificare la logistica. Non serve un titolo, serve obiettività.
L'audit di un processo dura circa un'ora e si compone di tre passi: intervista al process owner e a chi esegue il lavoro (20-30 minuti), osservazione diretta di come si svolge almeno un'attività (15 minuti), controllo delle registrazioni sul gestionale o sui fogli (15 minuti). Prendi appunti sulla checklist e registra data, processo, esito e azioni in un foglio di calcolo condiviso.
Esempio lavorato: l'audit del processo di preventivazione
Facciamo un conto su un'officina tipo, otto dipendenti e novecentomila euro di fatturato. Il titolare decide di verificare il processo di preventivazione, perché è un processo critico: tocca clienti e margine.
Il processo è documentato: ogni richiesta di preventivo va registrata nel gestionale entro la giornata, con i costi stimati e il margine previsto. L'audit confronta il documento con la realtà. Dal gestionale risultano 12 preventivi registrati nell'ultimo mese. Dalle email e dai fogli in officina ne saltano fuori altri 8, fatti a voce o su carta, mai passati dal gestionale.
Per quei 8 preventivi non c'è traccia del margine calcolato, e il prezzo è stato fatto a memoria dal titolare o dal capo officina. Su un ordine medio di 5.000 euro, sono 40.000 euro al mese di offerte senza controllo del margine, circa 480.000 euro l'anno. Non è una stima di perdita: è il valore delle offerte su cui l'azienda non ha alcuna visibilità.
La non conformità è chiara: il processo scritto dice una cosa, la pratica ne fa un'altra. La causa non è la pigrizia di chi fa i preventivi: il gestionale è lento e richiede due passaggi in più quando il cliente è in officina. La correzione non è «registrate di più», ma semplificare l'inserimento e definire che i preventivi fatti fuori dal gestionale non partono. Trovare la causa vera richiede il metodo dei 5 perché, di cui parliamo dopo.
Il passo successivo
Deleghe, processi e ruoli si sistemano lavorandoci sopra. Da Caos a Impresa sono tre giorni dal vivo a Bologna, su casi veri.
Guarda Da Caos a Impresa
Cosa fare con gli scostamenti trovati
Uno scostamento trovato è una buona notizia, se lo tratti come un segnale e non come una colpa. Il ciclo di correzione ha quattro passi.
-
Registra la non conformità. Scrivi processo, data, descrizione dello scostamento e prove raccolte. Non serve un modulo: bastano quattro righe sul foglio di calcolo.
-
Cerca la causa con il metodo dei 5 perché. Non fermarti al sintomo: se un ordine è partito in ritardo, chiediti perché cinque volte finché non trovi la causa di fondo. Il metodo è spiegato nel dettaglio qui: metodo dei 5 perché.
-
Definisci un'azione correttiva. L'azione correttiva è l'intervento che elimina la causa di uno scostamento, non solo il suo sintomo. Per ogni azione assegna un responsabile e una data di chiusura. Non più di una o due azioni per scostamento, altrimenti non si chiude niente.
-
Ri-verifica dopo qualche settimana. Torna sul processo e controlla che lo scostamento non si sia ripresentato. Se si ripresenta, la causa non era quella giusta e il ciclo riparte dal punto 2.
L'audit interno fallisce quasi sempre per uno di questi cinque errori.
-
Non trasformare la verifica in burocrazia. Se per ogni processo produci dieci pagine di verbale, l'audit muore dopo due giri. Una checklist compilata a mano e un foglio di calcolo bastano.
-
Non controllare solo la carta. Il fatto che un documento esista non significa che il processo funzioni. La verifica deve includere l'osservazione diretta e il controllo dei dati reali.
-
Non correggere il sintomo senza cercare la causa. Se rispondi a un errore con un richiamo o con una procedura più lunga, lo scostamento si ripresenterà. La causa vera sta quasi sempre nel processo, non nella persona.
-
Non fare l'audit del proprio lavoro da soli. Chi controlla se stesso tende a minimizzare. Incrocia i ruoli: è il modo più semplice per mantenere l'obiettività richiesta dalla norma.
-
Non aspettare la certificazione per iniziare. L'audit interno non è un adempimento per l'ente certificatore: è uno strumento di gestione. Secondo Accredia, al 31 dicembre 2024 i certificati ISO 9001 attivi in Italia sono 101.426 su oltre 4,5 milioni di imprese attive (Istat, Annuario 2024: 4.579.525 imprese nel 2022). Vuol dire che l'audit interno serve anche a chi non si certifica mai, cioè alla stragrande maggioranza delle PMI. Non aspettare un auditor esterno per capire se i tuoi processi reggono.
Da dove parti domani mattina
Scegli un processo critico, quello che tocca clienti o denaro. Prendi la checklist in quattro domande e dedicagli un'ora questa settimana. Se non hai una mappa scritta, mappa prima: come mappare un processo aziendale. Poi verifica, registra lo scostamento e assegna un'azione correttiva. È tutto quello che serve per iniziare.
Domande frequenti
Ogni quanto va fatto un audit interno dei processi?
Non esiste una frequenza imposta: la ISO 9001 chiede solo verifiche «a intervalli pianificati». Per una PMI il punto di partenza è un controllo all’anno sui processi critici, quelli che toccano clienti e denaro, e ogni 18-24 mesi su quelli di supporto. Aumenta la frequenza quando un processo cambia, quando c’è un errore o un reclamo, o quando l’audit precedente ha trovato scostamenti.
Serve essere certificati ISO 9001 per fare un audit interno?
No. L’audit interno è un’attività di gestione che serve prima di tutto a te, non a un ente certificatore. Su 4,6 milioni di imprese attive in Italia i certificati ISO 9001 sono circa 101mila: la stragrande maggioranza delle PMI opera senza certificazione e può comunque verificare i propri processi con una checklist e un’ora al mese.
Chi può fare l’audit se l’azienda non ha un auditor dedicato?
Chiunque conosca il processo, a patto di non verificare il proprio lavoro. In un’azienda da otto persone si incrociano i ruoli: chi fa la produzione verifica l’amministrazione, chi fa i preventivi verifica la logistica. Serve obiettività, non un titolo: un’ora di intervista più il controllo delle registrazioni basta.
Che differenza c’è tra mappare un processo e fare un audit?
Mappare significa descrivere per la prima volta i passi, i responsabili e gli output di un processo: si fa una volta. L’audit è la verifica periodica che quel processo, dopo mesi, funzioni ancora come è stato mappato. Se non hai una mappa, parti da lì: senza una base scritta l’audit non ha nulla a cui confrontare la realtà.
Cosa faccio quando trovo uno scostamento?
Lo registri come non conformità, poi cerchi la causa con il metodo dei 5 perché, senza limitarti a correggere l’effetto. Per ogni scostamento definisci un’azione correttiva, un responsabile e una data di chiusura. Infine ri-verifichi dopo qualche settimana che lo scostamento non si sia ripresentato.
Serve un software per fare l’audit interno?
No. Per una PMI bastano una checklist scritta e un foglio di calcolo dove registrare processo, data, esito e azioni correttive. Il software serve quando i processi da verificare sono decine e vuoi tracciare le scadenze automaticamente: sotto quella soglia è uno strumento in più che rischia di restare inutilizzato.
Delera CRM
Delera Agent AI
UmanValue
PMI Speed Test