ISO 19011:2026 що змінилося для внутрішніх аудиторів?

У травні 2026 року опубліковано четверту редакцію ISO 19011 — міжнародної настанови щодо проведення аудитів систем управління. ISO 19011:2026 замінив редакцію 2018 року та став актуальною основою для планування внутрішніх аудитів, управління програмою аудиту, оцінювання компетентності аудиторів і проведення аудитів постачальників.

Стандарт був офіційно опублікований 27 травня 2026 року. Попередню редакцію ISO 19011:2018 після цього відкликано. Водночас ISO 19011 залишається настановою: він допомагає організувати аудит, але не встановлює вимог, за якими компанія може отримати окремий сертифікат.

На перший погляд може здатися, що внутрішнім аудиторам доведеться повністю перебудовувати свою роботу. Насправді основна логіка стандарту збереглася. Аудит, як і раніше, повинен бути системним, незалежним, доказовим і орієнтованим на ризики. Зберігаються принципи аудиту, підходи до управління програмою, послідовність проведення аудиту та вимоги до компетентності аудиторів.

Головні зміни пов’язані з тим, де, якими методами і за допомогою яких технологій проводиться аудит.

Зміст статті:

Головна зміна — дистанційний аудит більше не є винятком

В офіційному передньому слові ISO 19011:2026 названо дві основні зміни порівняно з редакцією 2018 року:

розширено настанови щодо дистанційних методів аудиту з урахуванням ISO/IEC TS 17012;
розширено додаток А, присвячений дистанційним методам і віртуальним місцям здійснення діяльності.

Саме ці два пункти ISO офіційно визначає як головні зміни четвертої редакції.

Дистанційний аудит згадувався й раніше. Проте переважно він сприймався як додатковий формат: наприклад, коли аудитор не може приїхати на підприємство або коли частину документів зручніше перевірити онлайн.

У редакції 2026 року дистанційний метод стає повноцінним способом проведення аудиторської діяльності. Він може застосовуватися окремо або поєднуватися з роботою безпосередньо на об’єкті.

Стандарт визначає дистанційний метод як проведення аудиторських дій із будь-якого місця, відмінного від місця знаходження організації, яку перевіряють. Такий метод можна використовувати для аудиту віртуальних процесів, віддалених підрозділів або іншого майданчика компанії.

Для внутрішнього аудитора це означає, що формату «аудит лише в переговорній кімнаті» вже недостатньо. Потрібно вміти працювати з відеозв’язком, корпоративними платформами, електронними записами, спільним доступом до екрана, цифровими маршрутами погодження та іншими джерелами інформації.

Долучайтесь до закритого Клубу “Новий Рівень”

Запрошуємо доєднатись до спільноти однодумців в нашому телеграм-каналі. На вас чекає додаткова інформація по стандартам, вебінари та інші події від TMS Ukraine!

Перейти

Віртуальні місця тепер потрібно включати до сфери аудиту

Компанія може мати завод, офіс, склад і кілька регіональних підрозділів. Але частина її роботи нерідко відбувається без прив’язки до конкретної будівлі.

Замовлення оформлюються в електронній системі. Працівники обслуговують клієнтів дистанційно. Рішення погоджуються в корпоративній платформі. Дані зберігаються у хмарних сервісах. Команда може працювати з різних міст або країн.

ISO 19011:2026 враховує таку реальність. У визначенні сфери аудиту тепер прямо зазначено, що вона може охоплювати не лише фізичні, а й віртуальні місця здійснення діяльності. Віртуальним вважається середовище, у якому організація виконує роботу або надає послуги онлайн незалежно від фізичного розташування працівників.

Ця зміна впливає на планування аудиту.

Коли аудитор визначає сферу перевірки, недостатньо перелічити офіс, виробничу дільницю та склад. Потрібно зрозуміти, де фактично виконується процес, де приймаються рішення, де створюються записи та де зберігаються докази його результативності.

Наприклад, аудит процесу закупівель може охоплювати не лише робочі місця працівників відділу, а й електронну систему вибору постачальників, цифрове погодження договорів, базу перевірки контрагентів та віддалену роботу членів тендерного комітету.

Бажаєте отримати консультацію по стандарту? Заповніть форму зв’язку!

В полі для коментарів вкажіть стандарт який вас цікавить.

Формат аудиту потрібно обирати відповідно до його цілей

Наявність відеозв’язку ще не означає, що аудит можна повністю провести дистанційно.

Перед аудитором постає інше питання: чи дозволить обраний метод отримати достатні й надійні докази?

Документи, записи, показники та маршрути погодження зазвичай зручно аналізувати онлайн. Співбесіди також можна проводити дистанційно. Але оцінювання виробничих умов, стану обладнання, реального виконання операцій, поводження з матеріалами або дотримання правил безпеки може вимагати фізичної присутності аудитора.

Тому дедалі частіше доцільним буде комбінований формат:

документи й дані перевіряються дистанційно;
працівники проходять онлайн-співбесіди;
критичні операції та фізичні умови оцінюються безпосередньо на місці.

Стандарт прямо допускає поєднання дистанційних і очних методів для проведення повного та результативного аудиту.

Завдання аудитора полягає не в тому, щоб обрати найзручніший формат. Потрібно визначити метод, який дозволить виконати цілі аудиту з прийнятним рівнем ризику.

Зростає значення оцінювання ризиків самого аудиту

Ризик-орієнтований підхід був одним із принципів ISO 19011:2018, тому він не з’явився у стандарті вперше. Проте у новій редакції увага до аналізу та зменшення ризиків посилюється, особливо під час використання технологій, дистанційної взаємодії та віртуальних середовищ. На це окремо звертає увагу повідомлення ISO/TC 176 про вихід нової редакції.

Перед дистанційним аудитом потрібно оцінити, що може завадити отриманню достовірних результатів.

Наприклад:

аудитор може бачити лише ту частину процесу, яку йому вирішили показати;
відеотрансляція може не давати достатнього огляду робочого місця;
частина записів може бути недоступною через обмеження прав доступу;
нестабільне з’єднання може перервати важливу співбесіду;
електронний документ може бути наданий без можливості перевірити його походження;
конфіденційна інформація може потрапити до сторонніх осіб;
працівник під час інтерв’ю може перебувати не сам і відповідати під впливом керівника.

За результатами такої оцінки аудитор може залишити дистанційний формат, доповнити його очною перевіркою або відмовитися від нього для окремих етапів.

Отже, план аудиту повинен містити не лише графік зустрічей. У ньому мають бути визначені методи отримання доказів, технології, обмеження, відповідальні особи та дії на випадок технічних або організаційних проблем.

Цифровий документ ще не є достатнім доказом

Під час традиційного аудиту аудитор міг оглянути паперовий журнал, поставити запитання відповідальному працівнику та спостерігати за виконанням операції.

У цифровому середовищі докази виглядають інакше. Це можуть бути:

електронні записи;
дані з корпоративної інформаційної системи;
історія змін документа;
автоматично сформований звіт;
запис відеоспостереження;
журнал операцій;
електронне погодження;
фотографія або відеотрансляція;
результат автоматизованого рішення.

Аудитор повинен оцінити не лише зміст такого доказу. Важливо з’ясувати, звідки отримані дані, хто має право їх змінювати, чи відображають вони повний процес і чи можна підтвердити їхню достовірність.

Скріншот показує, що інформація була на екрані в певний момент. Проте він не завжди підтверджує, як вона була сформована, чи є запис актуальним і чи не змінили його перед аудитом.

Тому цифрове середовище потребує кращого розуміння джерел даних, прав доступу, історії змін та способів перевірки інформації.

Конфіденційність потрібно планувати до початку аудиту

Під час дистанційного аудиту документи можуть передаватися електронною поштою, демонструватися через відеозв’язок або завантажуватися до спільного сховища.

Це створює додаткові питання:

Хто отримає доступ до матеріалів? Чи можна завантажувати файли на особистий комп’ютер аудитора? Чи дозволено вести запис зустрічі? Де зберігатимуться копії документів? Коли їх потрібно видалити? Чи можуть під час онлайн-інтерв’ю бути присутні сторонні особи?

ISO 19011:2026 також посилює увагу до безпеки даних, дистанційних і гібридних аудитів та використання сучасних технологій.

Такі правила бажано погодити до початку аудиту. Інакше аудитор може отримати доступ до інформації, яку організація не мала права передавати через обрану платформу, або втратити важливі докази через технічні обмеження.

Змінюється уявлення про компетентність аудитора

Знання стандарту та вміння складати чек-лист залишаються важливими. Але для сучасного аудиту цього вже недостатньо.

Внутрішньому аудитору потрібно вміти:

працювати з цифровими платформами, проводити дистанційні співбесіди, оцінювати електронні докази, розуміти обмеження технологій, підтримувати контакт з учасниками через екран і помічати ситуації, коли дистанційний метод не дає достатньої впевненості.

Окремі процеси можуть використовувати хмарні сервіси, аналітику даних, автоматизовані рішення, засоби відеоспостереження або штучний інтелект. Аудитор не обов’язково повинен бути розробником таких систем. Проте він має розуміти, які докази вони створюють, які обмеження мають і коли до групи аудиту потрібно залучити технічного експерта.

Тому компаніям варто переглянути власні критерії оцінювання внутрішніх аудиторів. Матриця компетентності повинна враховувати не лише знання ISO 9001, ISO 14001, ISO 45001 або іншого стандарту, а й здатність працювати в цифровому середовищі.

Що залишилося без принципових змін

ISO 19011:2026 не скасовує базову логіку професійного аудиту.

Аудитор, як і раніше, повинен дотримуватися принципів доброчесності, об’єктивного представлення результатів, належної професійної ретельності, конфіденційності, незалежності, доказового та ризик-орієнтованого підходу. Структура стандарту й надалі охоплює управління програмою аудиту, підготовку, проведення, звітування, подальші дії та оцінювання компетентності.

Не змінилася й головна вимога до доказів: вони повинні бути доречними до критеріїв аудиту та такими, що піддаються перевірці.

Технологія допомагає отримати інформацію, але не замінює професійного судження аудитора.

Що потрібно переглянути компаніям

Після виходу ISO 19011:2026 організації не потрібно повністю переписувати всю систему внутрішніх аудитів. Доцільніше перевірити, чи відображають чинні процедури реальні способи роботи компанії.

Насамперед варто переглянути програму внутрішніх аудитів. Вона має охоплювати фізичні та віртуальні процеси, віддалені команди, цифрові системи й місця зберігання важливої інформації.

У процедурі проведення аудиту потрібно передбачити очний, дистанційний і комбінований формати. Для кожного аудиту варто визначати, які методи дозволять отримати достатні докази.

Необхідно також уточнити правила доступу до електронної інформації, демонстрації екрана, запису онлайн-зустрічей, зберігання файлів та захисту конфіденційних даних.

Окремого перегляду потребує компетентність аудиторів. Компанія повинна переконатися, що вони вміють не лише читати вимоги стандарту, а й проводити інтерв’ю дистанційно, перевіряти цифрові записи та оцінювати обмеження обраного методу.

Корисно оновити й форми документів: план аудиту, чек-лист, звіт та форму оцінювання ризиків. У звіті бажано фіксувати, які частини аудиту проводилися дистанційно, які обмеження виникли та як вони вплинули на висновки.

Чи потрібно терміново переходити на ISO 19011:2026

ISO 19011 не є сертифікаційним стандартом, тому окремого переходу із заміною сертифіката для нього не існує. Компанія не отримує сертифікат відповідності ISO 19011. Стандарт використовується як настанова для побудови професійної та послідовної практики аудиту.

Проте відкладати його вивчення не варто. Організації вже працюють у цифрових системах, проводять дистанційні зустрічі, використовують віддалені команди та зберігають докази в електронному вигляді. Якщо методика внутрішнього аудиту цього не враховує, вона поступово втрачає зв’язок із реальною діяльністю компанії.

Що змінилося для внутрішнього аудитора на практиці

ISO 19011:2026 не змінює призначення внутрішнього аудиту. Він уточнює, як виконувати цю роботу в умовах, коли процеси більше не обмежені одним офісом або виробничим майданчиком.

Тепер аудитор повинен дивитися не лише на те, що перевіряти, а й на те:

де фактично виконується процес;
яким способом можна отримати надійні докази;
які ризики створює дистанційний формат;
чи достатньо цифрової інформації для висновку;
коли потрібна фізична присутність;
які компетенції необхідні групі аудиту.

Нова редакція робить дистанційний і комбінований аудит частиною звичайної аудиторської практики. Водночас вона підвищує відповідальність аудитора за вибір методів, достовірність цифрових доказів та обґрунтованість висновків.

Саме тому ознайомлення з ISO 19011:2026 потрібне не лише керівникам програм аудиту. Воно важливе для кожного внутрішнього аудитора, який хоче перевіряти реальну роботу процесів, а не лише документи, підготовлені до зустрічі.