Auditoria interna ISO 9001: passo a passo e checklist
A auditoria interna é o momento em que a empresa descobre, por conta própria, o que o organismo certificador vai encontrar depois. Quem faz a primeira costuma tropeçar nas mesmas dúvidas: quem pode auditar, o que exatamente a norma exige, até onde vai o escopo e o que fazer com o que aparece. Este guia responde a tudo isso pela ordem em que a auditoria acontece, com um checklist por cláusula para levar a campo.
O que a ISO 9001 exige de fato
A auditoria interna está na cláusula 9.2 da ISO 9001:2015, e vale a pena separar o que a norma exige do que é costume do mercado, porque muita coisa que se toma por obrigatória não está escrita em lugar nenhum.
A cláusula 9.2.1 pede auditorias internas a intervalos planejados para verificar duas coisas distintas: se o sistema de gestão da qualidade está conforme os requisitos da própria organização e os da norma, e se está implementado e mantido de forma eficaz. São perguntas diferentes: a primeira compara o sistema com o papel, a segunda pergunta se ele funciona.
A cláusula 9.2.2 detalha o programa: planejar, estabelecer, implementar e manter um ou mais programas de auditoria, considerando a importância dos processos, as mudanças que afetam a organização e os resultados de auditorias anteriores; definir critérios e escopo de cada auditoria; selecionar auditores de modo a assegurar objetividade e imparcialidade; reportar os resultados à direção pertinente; tomar correções e ações corretivas apropriadas sem demora indevida; e reter informação documentada como evidência.
O que a norma não diz: não fixa periodicidade anual, não exige auditor com certificado externo, não obriga a auditar tudo de uma vez e não define o formato do relatório. Isso é decisão da organização, desde que o programa cubra o sistema inteiro ao longo do ciclo e que a escolha esteja justificada.
Passo a passo da auditoria interna
- Montar o programa de auditoria. É a visão do ciclo inteiro, não de uma auditoria: quais processos, quando, com que frequência e por quem. Processos com histórico de não conformidades, com mudança recente de pessoas ou de sistema, ou que afetam diretamente o cliente, entram com mais frequência.
- Preparar o plano de cada auditoria. Escopo (quais áreas, processos e cláusulas), critérios (a norma, os procedimentos internos, os requisitos legais e os do cliente), datas, horários por área e auditores designados. O plano vai para os auditados antes, não na hora.
- Designar auditores imparciais. O critério da norma é objetividade e imparcialidade, e a aplicação prática é simples: ninguém audita o próprio trabalho. Em empresa pequena, onde todos fazem de tudo, a saída costuma ser a auditoria cruzada entre áreas ou um auditor externo contratado para atuar como interno.
- Preparar o checklist. Não para ler perguntas em voz alta, mas para não esquecer requisitos e para registrar a evidência vista em cada ponto. O checklist da seção seguinte serve de base.
- Executar a auditoria. Reunião de abertura, coleta de evidência e reunião de encerramento. A evidência vem de três fontes: documentos e registros, entrevistas com quem executa o processo e observação direta do trabalho. A pergunta útil não é «vocês têm o procedimento?», é «me mostre como você faz isso».
- Classificar as constatações. Cada desvio se registra com a evidência objetiva e o requisito descumprido, citado por cláusula. Separam-se não conformidades, observações e oportunidades de melhoria, porque tratar tudo como não conformidade enche o sistema de ações corretivas que ninguém fecha.
- Emitir o relatório e reportar à direção. O relatório consolida escopo, critérios, equipe, o que foi auditado, o que está conforme e o que não está. A norma exige que os resultados cheguem à direção pertinente, e eles são entrada obrigatória da análise crítica pela direção (cláusula 9.3).
- Tratar as não conformidades e verificar a eficácia. Correção é apagar o incêndio; ação corretiva é atacar a causa raiz para que não volte. A cláusula 10.2 pede as duas coisas e mais uma: verificar depois se a ação funcionou. Uma não conformidade fechada sem essa verificação é um dos achados mais comuns na auditoria de certificação.
Checklist de auditoria interna por cláusula
O checklist abaixo cobre as cláusulas 4 a 10 da ISO 9001:2015 com a pergunta que se faz em campo e a evidência que a responde. Serve como ponto de partida: cada organização acrescenta os seus próprios requisitos e os do cliente.
| Cláusula | O que perguntar | Evidência que responde |
|---|---|---|
| 4. Contexto | Quais questões internas e externas foram identificadas e quem são as partes interessadas? O escopo do sistema está definido e justificado? | Análise de contexto, matriz de partes interessadas, escopo documentado com as exclusões justificadas |
| 5. Liderança | A direção conhece a política da qualidade e os resultados do sistema? Quem responde por cada processo? | Política comunicada, atas de análise crítica, responsabilidades atribuídas e conhecidas por quem as tem |
| 6. Planejamento | Quais riscos e oportunidades foram tratados e o que se fez com eles? Os objetivos da qualidade têm indicador, prazo e responsável? | Matriz de riscos com ações e status, objetivos medidos com histórico, planos de ação |
| 7. Apoio | As pessoas têm a competência necessária e isso está comprovado? Os equipamentos de medição estão calibrados? Os documentos em uso são a versão vigente? | Matriz de competências e registros de treinamento, certificados de calibração, controle de versões no posto de trabalho |
| 8. Operação | Como se controlam os requisitos do cliente, o projeto, os fornecedores e a produção ou prestação do serviço? O que se faz com a saída não conforme? | Contratos e análise crítica de requisitos, avaliação de fornecedores, rastreabilidade, registros de produto não conforme |
| 9. Avaliação de desempenho | O que se mede, com que frequência e quem analisa? Como se mede a satisfação do cliente? A análise crítica cobriu todas as entradas exigidas? | Indicadores com série histórica, pesquisa ou reclamações analisadas, ata de análise crítica, relatórios de auditoria anteriores |
| 10. Melhoria | As não conformidades têm análise de causa e verificação de eficácia? O que mudou no sistema por causa delas? | Registros de não conformidade e ação corretiva com a verificação posterior preenchida |
Auditoria interna, de segunda e de terceira parte
Os três nomes aparecem misturados e confundem quem está começando. A diferença não está no método, que é o mesmo, mas em quem audita e para quem são os resultados.
| Tipo | Quem faz | Para que serve |
|---|---|---|
| Interna (primeira parte) | A própria organização | Verificar e melhorar o sistema antes de qualquer avaliação externa. É a exigida pela cláusula 9.2 |
| Segunda parte | Um cliente, ou quem ele contrate | Avaliar um fornecedor. Não substitui a interna nem dá certificado |
| Terceira parte | Um organismo certificador acreditado | Conceder e manter o certificado ISO 9001 |
A referência técnica de como conduzir qualquer uma delas é a ISO 19011, que é uma diretriz e não um requisito certificável: ninguém se certifica na ISO 19011, mas ela é onde estão os princípios da auditoria, a gestão do programa e a avaliação de auditores.
Os erros que mais aparecem
Auditar papel em vez de processo. A auditoria que passa o dia inteiro numa sala lendo procedimentos não consegue responder à segunda pergunta da cláusula 9.2, a da eficácia. Sem ir até o posto de trabalho e ver a tarefa acontecendo, só se verifica a existência do documento.
Auditor auditando a própria área. Acontece em empresa pequena por falta de gente, e derruba a imparcialidade que a norma pede em 9.2.2. A auditoria cruzada entre áreas resolve sem custo.
Não conformidade escrita sem requisito. Uma constatação do tipo «o setor está desorganizado» não é auditável nem defensável. A não conformidade precisa de três partes: o requisito descumprido com a cláusula, a evidência objetiva do que se viu e a descrição do desvio.
Correção no lugar de ação corretiva. Refazer o registro que faltava resolve o caso; não resolve a causa. Sem análise de causa raiz, a mesma não conformidade volta na auditoria seguinte, e aí ela já pesa muito mais.
Programa que nunca cobre o sistema inteiro. Auditar sempre os mesmos três processos, ano após ano, deixa áreas sem nenhuma auditoria em todo o ciclo. É um achado clássico na certificação, e se evita mantendo o programa numa única tabela com a data da última auditoria de cada processo.
Sobre os nossos cursos: em português temos hoje o curso ISO 45001 e o curso ISO/IEC 42001. O curso de ISO 9001 está disponível em espanhol. Se você quer ver a mesma auditoria pelo lado da saúde e segurança, veja a auditoria interna da ISO 45001 passo a passo; e se a dúvida ainda é de orçamento, quanto custa a certificação ISO 9001.
Perguntas frequentes
Com que frequência a auditoria interna da ISO 9001 deve ser feita?
A ISO 9001 não fixa uma frequência: a cláusula 9.2 fala em intervalos planejados e pede que o programa considere a importância dos processos, as mudanças que afetam a organização e os resultados de auditorias anteriores. Na prática, a maioria das empresas cobre todo o sistema ao longo de um ciclo de doze meses, distribuindo os processos em várias auditorias parciais ou concentrando tudo numa auditoria completa antes da avaliação do organismo certificador.
Quem pode ser auditor interno da ISO 9001?
A norma não exige um certificado específico nem um profissional externo: pede que a seleção dos auditores assegure a objetividade e a imparcialidade do processo, e que o auditor não audite o próprio trabalho. Na prática isso significa formar auditores de áreas diferentes, que se auditam entre si, ou contratar um auditor externo para atuar como auditor interno. A referência técnica de como conduzir a auditoria é a ISO 19011.
Qual a diferença entre auditoria interna e auditoria de certificação?
A auditoria interna é de primeira parte: a própria organização verifica o seu sistema, e os resultados são dela. A auditoria de certificação é de terceira parte: um organismo certificador independente avalia e concede o certificado. Os critérios são os mesmos, mas quem audita e o que está em jogo mudam.
A auditoria interna precisa cobrir todas as cláusulas de uma vez?
Não. O programa de auditoria pode dividir o sistema em várias auditorias ao longo do ciclo, desde que no final do período todos os processos e requisitos aplicáveis tenham sido auditados. O que não se admite é deixar um processo fora do programa sem justificativa.
Que registros a auditoria interna precisa deixar?
A cláusula 9.2.2 exige reter informação documentada como evidência da implementação do programa de auditoria e dos resultados das auditorias. Na prática: o programa anual, o plano de cada auditoria, o checklist ou as anotações de campo, o relatório, os registros de não conformidade e a verificação de eficácia das ações.