Sua empresa recebeu o aviso: vem auditoria por aí. Antes de sair reunindo documento atrás de documento, o primeiro passo é entender qual auditoria será realizada, qual é o escopo e quais critérios serão avaliados. Isso muda diretamente o que precisa ser preparado.
Uma auditoria interna, uma auditoria feita por um cliente sobre um fornecedor e uma auditoria de certificação são situações diferentes. Elas têm relações, objetivos e consequências distintas. Tratar todas da mesma forma é uma das maneiras mais fáceis de gastar tempo preparando evidências que talvez nem respondam ao que será auditado.
Neste guia, você vai entender o que é auditoria, quais são os tipos de auditoria de primeira, segunda e terceira parte, como funciona o ciclo de uma auditoria de certificação e o que fazer para chegar mais preparado.
O que é auditoria?
A ISO 19011:2026, referência internacional para auditorias de sistemas de gestão, define auditoria como um processo sistemático, independente e documentado para obter evidências objetivas e avaliá-las objetivamente, com o objetivo de determinar em que medida os critérios de auditoria são atendidos.
Na prática, três características ajudam a entender essa definição:
- Sistemática: a auditoria segue método, planejamento, critérios e etapas definidos; não é uma conversa informal nem uma simples inspeção visual.
- Independente: a auditoria precisa preservar objetividade e imparcialidade. Em auditorias internas, isso significa evitar, sempre que possível, que alguém avalie diretamente o próprio trabalho ou uma atividade pela qual seja responsável.
- Documentada: o processo de auditoria, suas constatações e conclusões precisam ser registrados de forma rastreável.
Em essência, auditoria é uma comparação entre critérios e evidências. O critério pode vir de uma norma, contrato, procedimento interno, requisito legal ou outro requisito aplicável. A evidência pode incluir registros, documentos, entrevistas, observações, dados e outras informações verificáveis.
O auditor avalia essas evidências para concluir se os critérios definidos estão ou não sendo atendidos.
Isso também ajuda a entender o que uma auditoria de sistema de gestão não deve ser: uma busca por culpados ou uma avaliação baseada apenas em percepção. O foco é verificar, com evidência objetiva, se aquilo que deveria acontecer realmente acontece e se o sistema funciona conforme os critérios estabelecidos.
Quais são os tipos de auditoria?
A ISO 19011:2026 apresenta auditorias de primeira, segunda e terceira parte. Aificação considera principalmente a relação entre quem audita e a organização auditada.
| Tipo | Quem conduz | Relação com a organização auditada | Exemplo |
|---|---|---|---|
| Primeira parte | A própria organização ou alguém atuando em seu nome | Auditoria interna | Auditoria interna do SGI ou avaliação interna antes de uma auditoria externa |
| Segunda parte | Cliente, contratante ou outra parte interessada, diretamente ou por alguém em seu nome | Existe interesse direto da parte que solicita a auditoria | Cliente avaliando um fornecedor para homologação, contratação ou acompanhamento |
| Terceira parte | Organização auditora independente, organismo de certificação, acreditação ou autoridade competente, conforme o caso | Parte externa à relação direta entre organização e cliente | Auditoria para certificação de um sistema de gestão ou auditoria estatutária/regulatória |
Auditoria de primeira parte
É a auditoria interna. A própria organização avalia seu sistema, diretamente ou por meio de pessoas que atuem em seu nome. Ela pode ser usada para verificar processos, identificar falhas, avaliar conformidade e preparar a organização para auditorias externas.
Mesmo sendo interna, a objetividade continua sendo essencial. A organização deve estruturar a auditoria de forma que conflitos de interesse sejam reduzidos e que as conclusões possam ser sustentadas por evidências.
Auditoria de segunda parte
É conduzida por uma parte que possui interesse na organização auditada, como um cliente avaliando um fornecedor. Também pode ser executada por uma empresa contratada para atuar em nome dessa parte interessada.
Esse tipo de auditoria aparece com frequência em processos de homologação de fornecedores, avaliação de requisitos contratuais, desempenho, qualidade, meio ambiente, saúde e segurança ou outros critérios definidos entre as partes.
Auditoria de terceira parte
É realizada por uma organização auditora externa e independente. Um dos exemplos mais conhecidos é a auditoria conduzida por um organismo de certificação para verificar a conformidade de um sistema de gestão com normas como ISO 9001, ISO 14001 ou ISO 45001.
A própria ISO 19011 também inclui, entre as auditorias de terceira parte, auditorias de certificação e/ou acreditação e auditorias estatutárias, regulamentares e similares.
Um ponto importante: a ISO 19011 não é uma norma de certificação. Ela fornece diretrizes para auditorias. Portanto, uma organização não recebe “certificação ISO 19011”. A versão atualmente vigente é a ISO 19011:2026, quarta edição, publicada em maio de 2026, que substituiu a edição de 2018.
Para auditorias de terceira parte destinadas à certificação de sistemas de gestão, a referência de requisitos para os organismos certificadores é a ISO/IEC 17021-1. A ISO 19011 pode ser usada como orientação complementar.
Auditoria também pode serificada pelo que está sendo avaliado
Aificação por primeira, segunda e terceira parte responde principalmente a quem está auditando e qual é sua relação com a organização auditada. Mas auditorias também podem ser diferenciadas pelo objeto avaliado.
Existem auditorias de sistemas de gestão, conformidade legal, qualidade, meio ambiente, saúde e segurança ocupacional, segurança da informação, fornecedores, processos, além de auditorias financeiras, contábeis, fiscais e trabalhistas.
Este conteúdo está concentrado em auditorias de sistemas de gestão e conformidade, contexto mais próximo da atuação da DaMatta ESG. Auditorias financeiras, contábeis, fiscais e outras áreas especializadas possuem referenciais, profissionais e procedimentos próprios.
Como funciona uma auditoria de certificação?
Quando uma organização busca certificar um sistema de gestão, a auditoria de terceira parte segue requisitos próprios de certificação, com base, entre outros documentos aplicáveis, na ISO/IEC 17021-1.
Estágio 1
Na primeira etapa da certificação inicial, o organismo certificador avalia informações e condições necessárias para entender o sistema de gestão, seu escopo e o grau de preparação da organização para o Estágio 2.
Essa etapa pode envolver análise documental, entendimento dos processos, requisitos aplicáveis, locais, condições específicas do sistema e identificação de pontos que precisam ser resolvidos antes da auditoria seguinte.
Estágio 2
No Estágio 2, o foco passa a ser a implementação e a eficácia do sistema de gestão. O auditor busca evidências de que aquilo que está definido no sistema realmente funciona na prática.
A auditoria pode envolver atividades presenciais, remotas ou uma combinação de métodos, dependendo do escopo, dos riscos, das regras aplicáveis e da capacidade de obter evidência confiável.
Auditorias de supervisão e recertificação
A certificação de sistemas de gestão funciona em ciclos. Em um ciclo típico de três anos, são realizadas auditorias de supervisão entre a certificação inicial e a recertificação. Essas auditorias não precisam repetir integralmente todos os elementos avaliados na certificação inicial, mas devem permitir que o organismo certificador mantenha confiança de que o sistema continua atendendo aos requisitos.
Ao final do ciclo, a organização passa pelo processo de recertificação para renovação da certificação.
O que acontece quando a auditoria encontra uma não conformidade?
Uma auditoria pode gerar diferentes constatações. Quando existe evidência de que um requisito não foi atendido, é registrada uma não conformidade.
Em auditorias de certificação de sistemas de gestão, as não conformidades podem serificadas como maiores ou menores conforme os critérios aplicáveis.
- Não conformidade maior: está associada a uma situação que afeta a capacidade do sistema de gestão de alcançar os resultados pretendidos. Pode envolver falha sistêmica, ausência de controle necessário ou situações que gerem dúvida significativa sobre a eficácia do sistema.
- Não conformidade menor: é uma não conformidade que não compromete, por si só, a capacidade do sistema de gestão de alcançar os resultados pretendidos.
Na certificação inicial, não conformidades maiores precisam ser tratadas e ter suas correções e ações corretivas verificadas antes que a certificação possa ser concedida. Em ciclos de manutenção, falhas graves ou persistentes também podem afetar a situação da certificação.
Quem acredita organismos de certificação no Brasil?
No Brasil, a Coordenação-Geral de Acreditação do Inmetro (Cgcre) é o organismo de acreditação reconhecido pelo Governo Brasileiro para acreditar Organismos de Avaliação da Conformidade.
Antes de contratar um organismo de certificação, é recomendável verificar não apenas se ele é acreditado, mas também se o escopo de acreditação cobre a certificação que sua empresa procura.
Como se preparar para uma auditoria
A preparação muda conforme o tipo de auditoria, mas alguns passos funcionam como base para praticamente qualquer cenário.
- Confirme o escopo e os critérios. Identifique exatamente quais normas, cláusulas, requisitos legais, procedimentos, contratos, unidades, processos e períodos serão avaliados.
- Transforme critérios em pontos verificáveis. Não basta saber qual norma será auditada. É preciso entender quais evidências demonstram o atendimento de cada requisito aplicável.
- Localize as evidências antes da auditoria. Documento existente, mas impossível de encontrar, evidencia um problema de controle. Organize registros, responsáveis, versões e prazos antes da auditoria.
- Faça uma verificação interna prévia. Avalie os pontos críticos antes que o auditor externo faça isso. O objetivo não é esconder falhas, mas identificá-las com tempo para tratá-las.
- Revise não conformidades anteriores. Verifique se houve correção, análise de causa, ação corretiva e evidência de eficácia quando aplicável.
- Defina responsáveis. Cada processo, requisito e evidência relevante precisa ter alguém capaz de explicar como aquilo é controlado.
- Prepare as pessoas, não respostas decoradas. Quem será entrevistado deve compreender o próprio processo e saber onde estão suas evidências.
- Verifique evidências que dependem de terceiros. Licenças, certificados, documentos de fornecedores, prestadores e outros registros externos costumam ser descobertos tarde demais quando não existe controle preventivo.
O que o auditor normalmente procura?
Embora o conteúdo varie conforme o escopo, uma auditoria de sistema de gestão costuma buscar coerência entre três elementos:
- o que deveria ser feito, conforme requisitos aplicáveis;
- o que a organização diz que faz, por meio de seus processos e controles; e
- o que as evidências demonstram que realmente foi feito.
É justamente nessa ligação entre requisito, responsável, prazo, controle e evidência que muitas organizações começam a encontrar dificuldade quando a quantidade de obrigações aumenta.
Se sua equipe ainda precisa dar o primeiro passo para colocar esse controle em ordem, a DaMatta ESG disponibiliza uma planilha de gestão de requisitos legais para ajudar a estruturar requisitos, responsáveis, prazos e evidências em um único lugar. Acesse a planilha de requisitos legais da DaMatta ESG.
Erros comuns antes de uma auditoria
- Começar pela pasta de documentos em vez do escopo. Sem saber o que será avaliado, a equipe pode gastar horas reunindo material irrelevante.
- Confundir documento com evidência de eficácia. Ter um procedimento escrito não prova que o processo funciona.
- Descobrir requisitos vencidos na véspera. Licenças, condicionantes, treinamentos, inspeções e outras obrigações precisam de acompanhamento contínuo.
- Não conseguir relacionar evidência ao requisito correspondente. O arquivo existe, mas ninguém sabe exatamente o que ele comprova.
- Depender de uma única pessoa para localizar tudo. Quando o conhecimento está concentrado, a ausência de um responsável pode travar toda a auditoria.
- Tratar uma não conformidade antiga apenas no papel. O auditor buscará evidência de que o problema foi efetivamente tratado, não apenas encerrado administrativamente.
Perguntas frequentes sobre auditoria
Qual é a diferença entre auditoria interna e auditoria externa?
A auditoria interna corresponde à auditoria de primeira parte: é realizada pela própria organização ou em seu nome. As auditorias externas podem incluir auditorias de segunda parte, realizadas por clientes ou outras partes interessadas, e auditorias de terceira parte, realizadas por organizações auditoras independentes.
Quais são os três tipos de auditoria segundo a ISO 19011?
A ISO 19011 apresenta auditorias de primeira parte, segunda parte e terceira parte. A primeira corresponde às auditorias internas; a segunda inclui auditorias realizadas por clientes ou outras partes interessadas externas; e a terceira inclui, entre outros exemplos, auditorias de certificação, acreditação e auditorias estatutárias ou regulamentares.
Toda empresa precisa passar por auditoria de terceira parte?
Não. Isso depende do objetivo da organização e dos requisitos aplicáveis. Uma auditoria de terceira parte pode ser necessária para certificação, por exigência contratual, regulatória ou por outros critérios definidos para determinada atividade.
O que acontece se houver uma não conformidade maior?
Em uma auditoria de certificação, uma não conformidade maior pode impedir a concessão da certificação enquanto as correções e ações corretivas necessárias não forem verificadas. Em uma certificação já existente, situações graves ou persistentes podem afetar sua manutenção, conforme as regras aplicáveis ao processo.
Quanto tempo dura uma auditoria?
Depende do escopo, do tipo de auditoria, da complexidade dos processos, do número de unidades, da quantidade de pessoas envolvidas, dos riscos e dos critérios aplicáveis. Auditorias de certificação seguem regras específicas para determinação do tempo de auditoria.
Preciso de consultoria externa para me preparar?
Não necessariamente. A necessidade depende da competência da equipe interna, da complexidade do escopo e do tempo disponível. A organização continua responsável por seu sistema, seus controles e suas evidências, mesmo quando utiliza apoio externo.
Auditoria não começa quando o auditor chega
Uma organização bem preparada não precisa reconstruir sua conformidade na semana da auditoria. Requisitos, responsáveis, evidências, vencimentos, planos de ação e histórico precisam estar controlados continuamente.
Quando essas informações estão dispersas entre planilhas, pastas, e-mails e pessoas diferentes, a preparação para auditoria vira um trabalho de reconstrução: primeiro a equipe tenta descobrir o que deveria estar sendo cumprido; depois procura quem responde por aquilo; por fim, tenta localizar uma evidência que demonstre atendimento.
O EASY Compliance, da DaMatta ESG, foi desenvolvido para centralizar esse processo, conectando requisitos, responsáveis, evidências e controles em um único ambiente. Isso não substitui a auditoria nem garante conformidade por si só, mas reduz a dependência de buscas manuais e melhora a rastreabilidade das informações que sustentam a gestão.
Se a sua operação já precisa de algo além da planilha, com requisitos, responsáveis, evidências, vencimentos e histórico centralizados em um sistema – agende uma demonstração do EASY Compliance e veja como a DaMatta ESG estrutura esse controle na prática.
Fontes oficiais consultadas
- ISO 19011:2026 – Guidelines for auditing management systems
- ISO Online Browsing Platform – ISO 19011:2026
- ISO/IEC 17021-1 – Conformity assessment
- Inmetro – Coordenação-Geral de Acreditação (Cgcre)
- Inmetro – Consulta de Organismos Acreditados
Este conteúdo tem caráter informativo e não substitui a análise técnica, jurídica ou normativa aplicável à realidade de cada organização. A ISO 19011:2026 fornece diretrizes para auditorias de sistemas de gestão; auditorias de certificação de terceira parte estão sujeitas também aos requisitos específicos aplicáveis aos organismos de certificação e ao respectivo programa de certificação.
