Анализ проекта ISO/DIS 19011:2025: новые требования к аудиту систем менеджмента

В настоящий момент на стадии публичного обсуждения находится проект международного стандарта ISO/DIS 19011:2025 «Руководящие указания по аудиту систем менеджмента». Документ определяет направления развития аудиторской деятельности на предстоящий период и содержит ряд существенных изменений по сравнению с действующей версией 2018 года.

Международная организация по стандартизации (ISO) в июле 2025 года инициировала пересмотр стандарта ISO 45001, чтобы адаптировать систему менеджмента безопасности труда и охраны здоровья (СМБТиОЗ) к современным реалиям. В январе вышла вторая версия проекта стандарта (так называемый Committee Draft). В нее уже внесли правки с учетом первых международных обсуждений, и теперь видно, в какую сторону будут меняться требования — еще до того, как документ перейдет на следующую стадию утверждения (DIS).

Разработчики стандарта декларируют необходимость пересмотра подходов к сбору и оценке свидетельств аудита. Существующие программы аудита не потребуют полной переработки, однако компаниям придется обновить методы, процедуры и критерии компетентности персонала. Главный акцент смещается в сторону использования технологий, проектирования аудитов на основе рисков и гибкости.

Общая характеристика изменений

Проект ISO 19011:2025 сохраняет общую структуру предшествующего издания. Область применения, принципы аудита, требования к управлению программами, проведению аудитов и компетентности аудиторов остаются согласованными с версией 2018 года.

Организациям предстоит обновить методы и процедуры с учетом новых акцентов: применение технологий при проведении аудитов и проектирование проверок на основе оценки рисков.

Принципы аудита

Семь принципов аудита сохранены в неизменных формулировках(честность, объективность, конфиденциальность, независимость и др.). Однако их трактовка в проекте 2025 года стала более современной. Например, принципы конфиденциальности и независимости теперь явно ссылаются на риски информационной безопасности и конфликты интересов, возникающие при удаленном доступе к данным через общие цифровые платформы.

Управление программой аудита (Пункт 5)

1. Более тесная интеграция дистанционных и гибридных методов.

В версии 2018 года дистанционные аудиты рассматривались в приложении А. В проекте 2025 года дистанционный аудит включен в пункт 5 и прямо указано, что в описании программы аудита должны быть указаны используемые методы аудита (на месте, дистанционно, гибридный), включая ссылки на Приложение А.16 и ISO/IEC TS 17012. Информация о программе аудита теперь должна учитывать применение цифровых технологий и баланс между дистанционными и очными методами для обеспечения достижения целей. При планировании ресурсов требуется учитывать пропускную способность каналов связи, доступность аппаратного и программного обеспечения, часовые пояса, языковые различия и требования к безопасности информационно-коммуникационных платформ.

2 Расширенное рассмотрение рисков и возможностей.

Требования к учету рисков и возможностей изложены более детально по сравнению с предыдущей редакцией. Риск-ориентированное мышление становится основным принципом систем менеджмента. В текст включены примеры рисков, связанных с выбором метода аудита, надежностью технологий, доступностью аудиторов, уровнем сотрудничества со стороны проверяемой организации и ее компетентностью в области информационных технологий.

Проведение аудита (Пункт 6)

В проектной версии решения о методе проведения аудита интегрированы во все этапы: инициирование, планирование, проведение и последующий контроль. При установлении контакта с проверяемой организацией аудиторы подтверждают не только область и критерии проверки, но и технологические решения, порядок обеспечения конфиденциальности, правила хранения, передачи и раскрытия электронной информации.

Планирование на основе рисков дополнено требованием учитывать риски, создаваемые самими методами аудита. К ним относятся риски для здоровья и безопасности, качества продукции и информационной безопасности при выездных или удаленных проверках.

Оценка осуществимости аудита включает проверку адекватности информационно-коммуникационных технологий, готовности проверяемой организации к взаимодействию и внешних обстоятельств, включая возможные ограничения на перемещения. Планы аудита должны предусматривать альтернативные варианты на случай, если запланированные методы не позволят достичь целей проверки.

Проект уточняет понятие места проведения аудита. Местом проведения признается любая точка доступа к информации аудиторской группы — физическая или виртуальная. Определение порядка доступа к информации приобретает критическое значение. Методы сбора данных могут корректироваться в ходе аудита, если выбранный способ не позволяет проверить доказательства с требуемой полнотой.

Оценка несоответствий должна сопровождаться указанием критериев оценки и применяемых методов сбора доказательств.

Компетентность аудиторов

Проект 2025 года сохраняет требования к знанию принципов аудита, стандартов систем менеджмента и организационного контекста. Дополнительно вводятся требования к навыкам работы с информационно-коммуникационными технологиями, пониманию методов дистанционного аудита и способности оценивать риски, связанные с применением цифровых инструментов.

Непрерывное профессиональное развитие аудиторов должно включать освоение методов дистанционного аудита, управления рисками и проектного подхода к организации проверок.

Приложение А: практические рекомендации

Приложение А к стандарту дополнено структурированным руководством по выбору методов аудита. Раздел А.16 содержит рекомендации по проведению дистанционных аудитов, основанные на положениях ISO/IEC TS 17012. В нем рассматриваются условия применимости дистанционных методов, оценка осуществимости, требования к безопасности платформ и порядок действий при сбоях технологий.

Рекомендации по использованию виртуальных локаций уточняют различие между удаленными методами и аудитом виртуальных объектов, включая облачные процессы. Это позволяет планировать репрезентативную выборку и методы наблюдения.

Практические выводы

Для организаций, применяющих ISO 19011:2018, переход к новой редакции не потребует перестройки сложившихся процессов. Структура стандарта, цикл PDCA, риск-ориентированный подход и модель компетенций сохраняют преемственность.

Актуализация потребуется в следующих направлениях:

• 1. Процедуры и руководства по аудиту необходимо дополнить описанием дистанционных и гибридных методов, включая вопросы оценки осуществимости, выбора технологий, обеспечения безопасности данных и действий в нештатных ситуациях.
• 2. Шаблоны и планы аудиторских программ должны фиксировать применяемые методы, виртуальные площадки и способы управления рисками.
• 3. Подготовка и оценка аудиторов должны учитывать навыки работы с информационными технологиями, проведения удаленных интервью, проверки цифровых доказательств и координации действий участников проверки.
• 4. Документация и отчеты должны содержать указания на способы получения доказательств и методы оценки несоответствий.

Проект ISO 19011:2025 закрепляет практику дистанционных и гибридных аудитов как стандартный формат проверок, дополняя ее четкими рекомендациями и согласованием с ISO/IEC TS 17012. Решения о выборе методов аудита принимаются на всех этапах на основе оценки рисков и возможностей достижения целей проверки.