ISO 19011:2026: co se změnilo pro interní auditory

Na konci května 2026 vyšlo čtvrté vydání normy ISO 19011 – Návod pro auditování systémů managementu. Nahrazuje vydání z roku 2018 a na rozdíl od certifikovatelných norem nemá žádné přechodné období: platí okamžitě.

ISO 19011 je „kuchařka“ pro všechny, kdo auditují systémy managementu podle ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001 a dalších norem. Interní auditoři se podle ní učí, certifikační orgány z ní vycházejí a zákazníci podle ní hodnotí audity u dodavatelů. Nové vydání není revoluce. Mění ale několik věcí, které se v běžné praxi interního auditu projeví hned: jak volíte metodu auditu, jak zacházíte s digitálními důkazy a co musí auditor umět.

Co zůstává stejné

Než se pustíme do změn, dobrá zpráva: základ normy zůstal beze změny.

• Sedm principů auditování platí dál: integrita, poctivá prezentace, náležitá odborná péče, důvěrnost, nezávislost, přístup založený na důkazech a přístup založený na riziku.
• Struktura normy je stejná: principy, řízení programu auditů, provádění auditu a hodnocení kompetence auditorů.
• Norma je stále návodem, ne souborem požadavků. Nikdo vás podle ní necertifikuje, ale certifikační auditor, zákazník i vaše vedení oprávněně očekávají, že interní audity podle ní řídíte.

7 změn, které ovlivní váš interní audit

1. Audit na dálku a hybridní audit jsou plnohodnotné metody

Ve vydání 2018 byl audit na dálku spíše okrajovou zmínkou. Nové vydání do normy převzalo návod z technické specifikace ISO/IEC TS 17012:2024 a zavádí pojmy jako metoda auditu na dálku a virtuální místo. Audit na místě, na dálku a hybridní audit jsou nyní rovnocenné možnosti.

• Co to znamená v praxi: Audit skladu přes videohovor už není „nouzové řešení“. Je to legitimní metoda, pokud ji umíte zdůvodnit a zajistit kvalitu důkazů.
• Jak se připravit: Rozhodněte předem, které procesy lze auditovat na dálku (např. řízení dokumentace, nákup, HR) a které vyžadují osobní přítomnost (výroba, údržba, BOZP na pracovišti). Pravidla zapište do postupu interního auditu.

2. Metoda auditu se volí a zaznamenává v každé fázi

Volba metody není jen technická otázka v den auditu. Norma s ní počítá v celém cyklu: v programu auditů, v plánu auditu, při jeho provádění i ve zprávě.

• Příklad z praxe: Ve zprávě z interního auditu chybí informace, že audit pobočky proběhl přes Teams. Certifikační auditor se pak ptá, jak jste ověřili stav pracoviště, a odpověď nikde není.
• Jak se připravit: Doplňte do šablony programu, plánu i zprávy z auditu kolonku „metoda auditu“ (na místě / na dálku / hybridní) a krátké zdůvodnění volby.

3. Digitální důkazy a jejich zabezpečení

Při auditu na dálku se sdílí obrazovky, cloudové dokumenty a záznamy z informačních systémů. Nové vydání klade větší důraz na důvěrnost, sledovatelnost a řízení přístupu k takto získaným důkazům.

• Příklad z praxe: Auditor si během videohovoru udělá snímky obrazovky s osobními údaji zaměstnanců a uloží je do soukromého úložiště. Vzniká riziko úniku dat i porušení GDPR.
• Jak se připravit: Stanovte, kam se ukládají důkazy z auditu, kdo k nim má přístup a jak dlouho se uchovávají. Pro audity na dálku používejte firemní platformy, ne soukromé účty.

4. ICT kompetence auditora

Předchozí vydání digitální dovednosti auditorů spíše předpokládalo. Nové vydání s nimi počítá výslovně: auditor má umět pracovat s digitálními nástroji a cloudovými systémy, rozumět rizikům kybernetické bezpečnosti při práci s důkazy a posoudit, kdy je důkaz na dálku dostatečně spolehlivý a kdy je potřeba jít osobně na místo.

• Jak se připravit: Doplňte ICT dovednosti do kritérií pro výběr a hodnocení interních auditorů. U zkušených auditorů, kteří s digitálními nástroji příliš nepracují, naplánujte krátké proškolení nebo je v auditech na dálku spojte s kolegou.

5. Konkrétnější rizika programu auditů

Přístup založený na riziku zůstává, nové vydání však uvádí konkrétnější příklady rizik, která má program auditů zvažovat. Patří k nim volba nevhodné metody, spolehlivost a bezpečnost technologií, výpadek klíčových auditorů nebo situace, kdy auditovaná strana nemá potřebnou techniku či dovednosti pro audit na dálku.

• Příklad z praxe: Celý program interních auditů stojí na jednom zkušeném auditorovi. Když onemocní, audity se odloží a firma přijde k certifikačnímu auditu s neúplným programem.
• Jak se připravit: Projděte program auditů optikou těchto rizik a ke každému významnému riziku stanovte opatření, například záložního auditora nebo test připojení před auditem na dálku.

6. Změna klimatu v kontextu organizace

V roce 2024 byly normy systémů managementu (včetně ISO 9001, ISO 14001 a ISO 45001) doplněny o požadavek, aby organizace zvážila, zda je změna klimatu pro ni relevantním tématem. Nové vydání ISO 19011 s tímto posunem počítá.

• Co to znamená v praxi: Auditor ověřuje, že organizace tuto otázku při určování kontextu posoudila. Nemusí přitom najít „klimatická rizika“. I závěr, že téma relevantní není, je v pořádku, pokud je podložený.
• Jak se připravit: Doplňte otázku na změnu klimatu do kontrolního seznamu pro audit kontextu organizace a zainteresovaných stran.

7. Data, analytika a umělá inteligence

Norma nově zmiňuje moderní digitální nástroje, včetně datové analytiky a nástrojů využívajících umělou inteligenci, jako možnou pomoc při plánování auditu a výběru vzorků. Žádný z nich ale nepředepisuje.

• Co to znamená v praxi: Pokud AI nebo datovou analýzu při auditu použijete, odpovědnost za závěry zůstává na auditorovi. Výstupy je potřeba ověřit a citlivá data do veřejných AI nástrojů nevkládat.

ISO 19011:2018 vs. ISO 19011:2026 v kostce

Kontrolní seznam: co upravit před dalším interním auditem

1. Postup interního auditu: doplňte pravidla pro volbu metody (na místě / na dálku / hybridní).
2. Šablony: do programu, plánu a zprávy z auditu přidejte údaj o použité metodě.
3. Program auditů: přehodnoťte rizika programu, včetně zastupitelnosti auditorů a technického zajištění.
4. Kompetence auditorů: doplňte ICT dovednosti do kritérií a naplánujte proškolení podle nového vydání.
5. Důkazy z auditu: určete, kde a jak se bezpečně ukládají.
6. Kontrolní seznamy: doplňte otázku na změnu klimatu v kontextu organizace.

Jsou vaši interní auditoři připraveni na nové vydání?

ISO 19011:2026 nemění podstatu auditu, ale mění způsob, jakým se audit plánuje, provádí a dokládá. Protože norma nemá přechodné období, vyplatí se upravit postupy a proškolit auditory ještě před dalším kolem interních auditů a před návštěvou certifikačního orgánu.

Nejrychlejší cestou je jednodenní Kvalifikační kurz na novou edici normy ISO 19011:2026, určený pro stávající interní auditory. Pokud teprve budujete tým auditorů, navazuje na něj například kurz Interní auditor ISO 9001 a ISO 19011 nebo Interní auditor integrovaného systému managementu.

Chcete proškolit celý tým přímo u vás ve firmě? Vyžádejte si nabídku firemního školení nebo nám napište na info@cems-cz.com, případně volejte +420 728 656 281.

Zdroje

• ISO 19011:2026 Guidelines for auditing management systems (4. vydání, květen 2026); evropská verze EN ISO 19011:2026
• ISO/IEC TS 17012:2024 Conformity assessment – Guidelines for the use of remote auditing methods in auditing management systems
• ISO 9001:2015/Amd 1:2024 a další normy systémů managementu: doplněk týkající se změny klimatu
• CQI | IRCA: ISO 19011:2026 revision – guidance for management system auditing
  https://www.quality.org/article/iso-190112026-revision-guidance-management-system-auditing