Checklist di audit interno ISO 27001: struttura, rilievi e modello
L'audit interno è obbligatorio nella ISO/IEC 27001:2022 (punto 9.2): l'organizzazione verifica il proprio SGSI a intervalli pianificati secondo un programma di audit definito, con criteri e campo di applicazione stabiliti, auditor obiettivi e imparziali, risultati riferiti alla direzione pertinente ed evidenze conservate. La checklist organizza questo lavoro: una riga per ogni requisito dei punti da 4 a 10 e per ogni controllo applicabile dell'Appendice A, con cosa verificare, l'evidenza esaminata, il risultato (conformità, NC maggiore o minore, osservazione, opportunità di miglioramento) e il rilievo. La checklist ISMS-AUD-03 del kit NexoDocs in italiano ha 29 righe per i punti e tutti i 93 controlli.
Che cosa chiede la norma per l'audit interno
Il punto 9.2 ha due parti. Il 9.2.1 chiede audit che mostrino se il SGSI rispetta i requisiti propri dell'organizzazione e quelli della norma e se è attuato e mantenuto in modo efficace. Il 9.2.2 chiede un programma di audit (frequenza, metodi, responsabilità, pianificazione e reportistica) che consideri l'importanza dei processi e i risultati degli audit precedenti.
- Definire criteri e campo di applicazione di ogni audit.
- Scegliere auditor che assicurino obiettività e imparzialità: nessuno verifica il proprio lavoro.
- Riferire i risultati alla direzione pertinente.
- Conservare informazioni documentate come evidenza del programma e dei risultati.
La ISO 19011 fornisce linee guida generali per gli audit dei sistemi di gestione (campionamento, interviste, formulazione dei rilievi) ed è un buon riferimento di metodo.
Programma, piano, checklist e rapporto: a che cosa serve ciascuno
| Documento del kit | A che cosa serve | Quando si usa |
|---|---|---|
| ISMS-AUD-01 Procedura di audit interno | Le regole: chi fa l'audit, come si assicura l'indipendenza, come si classificano e seguono i rilievi | Una volta, rivista ogni anno |
| ISMS-AUD-02 Programma di audit interno | Il calendario annuale: quali processi, quando e con quale priorità (con l'esempio compilato dell'azienda fittizia NubeSur) | All'inizio del ciclo |
| ISMS-AUD-05 Piano di audit | Un singolo audit: campo, criteri, agenda, auditor e persone intervistate | Prima di ogni audit |
| ISMS-AUD-03 Checklist di audit interno | Lo strumento di lavoro dell'auditor: requisito per requisito, cosa si è verificato e cosa si è rilevato | Durante l'audit |
| ISMS-AUD-04 Rapporto di audit interno | Il risultato formale: rilievi, conclusioni e non conformità da trattare | Alla chiusura dell'audit |
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)Le colonne della checklist
| Colonna di ISMS-AUD-03 | Contenuto | Esempio |
|---|---|---|
| ID | Punto o controllo | 6.1.3 |
| Requisito da verificare | La domanda a cui si risponde | La Dichiarazione di Applicabilità giustifica inclusioni ed esclusioni? |
| Cosa verificare | Proposta di campione | Rivedere la Dichiarazione di Applicabilità vigente e 3 controlli esclusi |
| Evidenze esaminate | Documenti, registrazioni, interviste o campioni, con il loro identificativo | Dichiarazione di Applicabilità v2.1 approvata il 12 marzo; intervista al Responsabile del SGSI |
| Risultato | Scelta da un elenco chiuso | Conformità, NC maggiore, NC minore, Osservazione, Opportunità di miglioramento |
| Rilievo (requisito · evidenza · formulazione) | Il rilievo in tre parti | L'esclusione del controllo 8.28 non è giustificata (Dichiarazione v2.1) |
| Auditato | Funzione o persona intervistata | Esercizio IT |
Poiché il risultato viene da un elenco chiuso, il foglio «Riepilogo» conta in automatico ogni tipo di rilievo, separando punti e Appendice A, e mostra quante righe sono ancora «Non compilato». Sono i numeri che la direzione vuole vedere nel riesame.
Come classificare i rilievi
- NC maggiore: manca un intero requisito o una carenza mette in dubbio l'efficacia del SGSI (per esempio, non è mai stata fatta una valutazione dei rischi).
- NC minore: uno scostamento isolato che non compromette il sistema (per esempio, un registro di formazione non firmato).
- Osservazione: ancora conforme, ma può diventare una non conformità se non viene gestita.
- Opportunità di miglioramento: un suggerimento per fare meglio, senza non conformità.
- Non sottoposto ad audit: solo per i controlli dell'Appendice A fuori dal campo di questo audit. Per i punti da 4 a 10 l'opzione volutamente non esiste.
Ogni non conformità va nel registro delle non conformità e azioni correttive (punto 10.2) con causa, azione, responsabile e scadenza.
Audit interno in Italia: che cosa guardano certificatori e autorità
Un organismo di certificazione accreditato da Accredia verifica negli audit di stage 1 e 2 che siano stati completati almeno un audit interno con relativo rapporto e un riesame della direzione; rilievi senza evidenza documentata non gli servono. Se la vostra organizzazione rientra nel perimetro del D.Lgs. 138/2024 (recepimento della NIS2, autorità nazionale ACN), gli audit interni aiutano a dimostrare le misure di gestione del rischio adottate, ma non sostituiscono gli obblighi di legge di verifica o di notifica.
Errori frequenti nell'audit interno
- Usare una checklist generica senza guardare i rischi e i cambiamenti dell'anno.
- Scrivere «Conformità» senza annotare l'evidenza esaminata: l'auditor di certificazione non potrà fare affidamento sull'audit.
- Far verificare al Responsabile del SGSI i propri documenti.
- Rivedere solo documenti, senza campioni reali (log di accesso, modifiche, incidenti).
- Non portare i risultati al riesame della direzione (punto 9.3).
- Dimenticare la nuova domanda sul cambiamento climatico dell'emendamento 2024 (punto 4.1).
Modello: la checklist nel kit ISO 27001
Il kit ISO 27001 di NexoDocs in italiano contiene la checklist ISMS-AUD-03 in Excel senza macro, con i fogli «Punti» (29 righe da 4.1 a 10.2, compresa la domanda sul cambiamento climatico dell'Amd 1:2024), «Appendice A» (tutti i 93 controlli con una proposta di verifica) e «Riepilogo» (conteggio automatico per risultato). Completano la serie la procedura ISMS-AUD-01, il programma ISMS-AUD-02 con un esempio compilato, il piano ISMS-AUD-05 e il rapporto ISMS-AUD-04, tutti alimentati dagli stessi dati dell'organizzazione inseriti nel foglio «CONFIGURAZIONE».
Prossimo passo
Prova gratis o vai direttamente alla soluzione completa.
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)
Campione gratuito
Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.
Scarica il campione gratuito (in inglese)Domande frequenti
Ogni quanto si fa l'audit interno ISO 27001?
La norma chiede intervalli pianificati senza fissare un periodo. In pratica la maggior parte delle organizzazioni verifica l'intero SGSI almeno una volta l'anno, prima del riesame della direzione e prima dell'audit di certificazione o di sorveglianza.
Può farlo una persona interna all'azienda?
Sì, se è obiettiva e imparziale e non verifica il proprio lavoro. Le piccole organizzazioni spesso scambiano le funzioni o incaricano un auditor esterno solo per questa attività.
Bisogna verificare tutti i 93 controlli dell'Appendice A in ogni audit?
Il programma di audit deve coprire i controlli dichiarati applicabili nella Dichiarazione di Applicabilità. Si possono distribuire in base al rischio su più audit del ciclo, segnando «Non sottoposto ad audit» quelli non esaminati.
Che differenza c'è tra NC maggiore e NC minore?
Una NC maggiore riguarda un requisito assente o una carenza che mette in dubbio l'efficacia del SGSI; una NC minore è uno scostamento puntuale senza effetti sul sistema nel suo insieme.
La checklist basta per l'audit di certificazione?
No. È lo strumento di lavoro; il certificatore vorrà vedere anche il programma di audit, il rapporto, la gestione delle non conformità e il riesame della direzione.
Guide correlate
Documenti obbligatori ISO 27001:2022: elenco per punto della norma
Le informazioni documentate richieste dalla ISO/IEC 27001:2022 punto per punto (politica, rischi, SoA, obiettivi, audit) e i documenti attesi per l'Allegato A.
Leggi la guida →Quanto tempo serve per la ISO 27001? Piano di progetto in 8 fasi per PMI
Quanto tempo serve per implementare e certificare ISO/IEC 27001:2022 in una PMI: le 8 fasi settimana per settimana, cosa allunga i tempi e come accorciarli bene.
Leggi la guida →Dichiarazione di Applicabilità ISO 27001 (SoA): cos'è e come redigerla
Cosa deve contenere la Dichiarazione di Applicabilità ISO/IEC 27001:2022 per i 93 controlli, come giustificare le esclusioni, errori tipici. Con modello Excel.
Leggi la guida →Aggiornato: 2026-10-29