Audit interno dell'AIMS: guida pratica ISO 42001 con esempi
Cosa chiede davvero il punto 9.2 sull'audit interno: come costruire il programma (frequenza, metodi, responsabilità), garantire obiettività e imparzialità degli auditor, definire criteri e campo, riportare i risultati e conservare le evidenze.
Cosa prevede il punto 9.2
Questa guida pratica alla ISO 42001 spiega con esempi il punto 9.2: l'audit interno è la verifica periodica con cui l'organizzazione controlla che il sistema di gestione dell'IA (AIMS) rispetti la norma e i propri requisiti, e che sia davvero attuato e mantenuto efficace nel tempo.
Il punto 9.2 chiede un programma di audit pianificato: frequenza, metodi, responsabilità, criteri e campo definiti prima di partire. Gli auditor devono essere obiettivi e imparziali, senza verificare il proprio lavoro; i risultati vanno riportati ai responsabili dei processi interessati e le evidenze documentate vanno conservate come prova dell'esecuzione del programma.
Nell'esempio di Azienda Italiana S.p.A. il programma copre in un anno il chatbot di assistenza clienti e lo screening CV, con cinque audit calendarizzati. In questa guida pratica trovi due controlli, l'estratto del programma, sei domande d'audit con risposte e gli errori comuni da evitare.
In sintesi, la norma vuole vedere:
- Programma di audit con frequenza e metodi
- Criteri e campo definiti per ogni audit
- Auditor obiettivi, imparziali, competenti
- Risultati riportati ai responsabili
- Evidenze documentate e conservate
Esempio di controllo tecnico per il punto 9.2
Primo controllo: la checklist di audit interno costruita sui criteri della norma e sui requisiti AIMS dell'azienda. L'auditor la compila durante interviste, osservazioni e campionamento dei record: per ogni requisito annota evidenza vista, valutazione e riferimento al documento esaminato, così ogni giudizio resta verificabile anche a distanza di mesi da parte della Direzione e dell'auditor esterno.
Controllo tecnico collegato: il tracciamento dei rilievi nel registro non conformità: ogni rilievo ha codice, requisito di riferimento, evidenza oggettiva, gravità e responsabile dell'azione correttiva. Questa guida pratica consiglia di collegare ogni rilievo all'azione del punto 10.1: senza tracciamento, l'audit interno resta un'opinione e non un'evidenza.
Programma di audit interni 2026: esempio
| Trimestre | Processo auditato | Criteri | Auditor | Stato |
|---|---|---|---|---|
| Q1 | Chatbot assistenza clienti: controlli operativi | ISO 42001, Annex A | E. Ricci (ICT) | Completato |
| Q1 | Politica, ruoli, competenze (capitoli 4-7) | ISO 42001, requisiti interni | M. Ferri (Qualità) | Completato |
| Q2 | Screening CV: dati, bias, supervisione umana | ISO 42001, Annex A | E. Ricci (ICT) | Completato |
| Q3 | Fornitori e valutazione d'impatto | ISO 42001, A.2-A.5 | M. Ferri (Qualità) | Pianificato |
| Q4 | Monitoraggio, riesame, miglioramento (cap. 9-10) | ISO 42001, capitoli 9-10 | E. Ricci (ICT) | Pianificato |
Nota: gli auditor non verificano processi di propria responsabilità; l'imparzialità è dimostrata nella matrice di indipendenza allegata al programma.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto 9.2
Estratto del programma di audit interni: frequenza, metodi, responsabilità e criteri pianificati per l'anno.
Programma di audit interni AIMS 2026
Metodo
Programma annuale con copertura di tutti i processi IA; due auditor interni formati; metodo per interviste, osservazione e campionamento; rapporto ai responsabili entro dieci giorni.
Estratto
| Passo | Attività | Responsabile | Evidenza |
|---|---|---|---|
| 1 | Definizione di frequenza, criteri e campo di ogni audit | Responsabile AIMS | Programma approvato |
| 2 | Selezione di auditor imparziali e competenti | Direzione Generale | Matrice di indipendenza |
| 3 | Esecuzione: interviste, osservazione, campionamento dei record | Auditor interno | Checklist compilata |
| 4 | Classificazione dei rilievi: conforme, osservazione, non conformità | Auditor interno | Rapporto di audit |
| 5 | Restituzione dei risultati ai responsabili del processo | Auditor interno | Verbale di restituzione |
| 6 | Apertura delle azioni correttive e verifica di chiusura | Responsabile AIMS | Registro non conformità |
Ruoli e responsabilità
| Ruolo | Responsabilità nel 9.2 |
|---|---|
| Responsabile AIMS | Definisce programma, frequenza, metodi e criteri |
| Auditor interno | Esegue l'audit in modo obiettivo e riporta i risultati |
| Direzione Generale | Approva il programma e riceve la sintesi annuale |
| Responsabile di processo | Apre l'accesso alle evidenze e attua le azioni |
Checklist operativa
| # | Cosa fare |
|---|---|
| 1 | Approvare il programma con frequenza e metodi |
| 2 | Verificare l'imparzialità: nessun audit del proprio lavoro |
| 3 | Scrivere criteri e campo prima di iniziare |
| 4 | Riportare i risultati e archiviare le evidenze |
Esito
Primo semestre 2026: tre audit completati su cinque, due non conformità minori, azioni aperte e tracciate nel registro.
Le domande dell'audit interno sul punto 9.2
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto 9.2
Dott. Valerio Bellini
«Il 9.2 è lo specchio dell'AIMS: pianificate il programma coprendo ogni anno tutti i processi IA e difendete l'imparzialità degli auditor come un requisito, non come una cortesia.»
«In audit chiedo il programma e ricostruisco un audit a campione: piano, checklist, rapporto e azioni devono combaciare. Questa guida pratica lo ripete: contano le evidenze, non le intenzioni.»
Gli errori più comuni che incontro:
- Audit del proprio lavoro: Imparzialità violata: i rilievi perdono credibilità.
- Programma senza frequenza definita: Audit improvvisati, processi mai verificati per anni.
- Criteri e campo non scritti: L'auditor decide da solo cosa verificare: rilievi arbitrari.
- Risultati mai riportati ai responsabili: Rilievi senza padrone: nessuna azione correttiva parte.
- Evidenze ricostruite a posteriori: Checklist rifatte prima dell'audit esterno: non conformità.