В 2026 году ожидается публикация четвёртой редакции ISO 19011 — международного стандарта, определяющего руководящие указания по аудиту систем менеджмента . В отличие от «отраслевых» стандартов ISO 19011 носит сквозной характер: на него опираются аудиторы любых систем — ISO 9001, ISO 14001, ISO 13485, ISO 27001 и десятков других.
Предыдущая редакция 2018 года закрепила риск-ориентированный подход и расширила рекомендации по дистанционным (удаленным) аудитам. Версия 2026 года делает качественный скачок: она не просто обновляет терминологию, а переопределяет саму архитектуру аудита с учётом цифровой реальности, массового распространения удалённой работы и усложнения цепочек поставок . При этом базовая структура и ключевые принципы стандарта сохранены .
Ниже — разбор ключевых изменений, выстроенный по логике самого стандарта: от принципов и методов до компетенций аудиторов и практических приложений.
Изменение 1. Дистанционные и гибридные аудиты
Если редакция 2018 года упоминала возможность применения технологий при аудите, то версия 2026 года вводит структурированные и детализированные руководства по дистанционным и гибридным аудитам . Стандарт включает ISO/IEC TS 17012:2024 (национальная версия ГОСТ Р 72611-2026), описывающий руководящие указания к дистанционным аудитам, следовательно освоение таких аспектов, как:
- Достаточный выбор цифровых платформ;
- Валидация цифровых доказательств и информационная безопасность;
- Управление технологическими рисками;
- Минимальные требования для проведения виртуальных интервью и визитов.
Вывод. Дистанционный аудит не должен превращаться в формальный просмотр документов по видеосвязи. Необходимо заранее оценить: стабильность канала связи, безопасность платформы обмена данными, возможность подтверждения личности собеседника, наличие плана действий при потере соединения .
Изменение 2. Риск-ориентированный подход становится центральной осью аудита
Суть изменения. Риск-ориентированное мышление присутствовало в стандарте и ранее, однако версия 2026 года существенно усиливает его роль на всех этапах аудиторского цикла — от формирования программы до анализа выводов .
Что конкретно меняется:
- Аудитору рекомендуется учитывать возникающие риски (кибербезопасность, цифровизация )и их учёт при планировании .
- Приоритеты аудита определяются на основе сочетания вероятности и потенциального воздействия, а не механического расписания «раз в год по каждому процессу» .
- Оценивается зрелость системы менеджмента, а не только соответствие документов. Это означает, что аудитор должен уметь отличать «работающую систему» от «хорошо оформленной документации» .
Вывод. При планировании аудита должны быть явно задокументированы критерии приоритезации: почему выбран именно этот процесс, какой риск он закрывает, какие последствия может иметь его нерезультативность.
Изменение 3. Требования к компетентности аудиторов существенно расширяются
Суть изменения. Стандарт пересмотрен в сторону значительного усиления требований к компетенциям аудиторов, особенно в области информационно-коммуникационных технологий .
Что конкретно меняется:
- Вводится явное требование к владению методами дистанционного аудита, пониманию возможностей и ограничений цифровых инструментов .
- Аудитор должен уметь оценивать риски, связанные с использованием технологий, и обеспечивать целостность и достоверность цифровых свидетельств .
- Этичность, независимость, объективность и коммуникативные навыки сохраняются как базовая основа, но дополняются технологической грамотностью .
Вывод. В организации должна существовать процедура оценки компетентности аудиторов, включающая проверку цифровых навыков.
Изменение 4. Приложение A становится полноценным практическим руководством
Информативное приложение A, всегда служившее «шпаргалкой» для практиков, в новой редакции значительно расширено и дополнено конкретными операционными указаниями .
Практические выводы для организаций
Публикация ISO 19011:2026 не требует немедленной перенастройки всех процессов, но задаёт вектор, в котором будет развиваться аудиторская практика в ближайшие годы. Организациям имеет смысл уже сейчас обратить внимание на три аспекта :
- Готовность к дистанционным и гибридным аудитам. Поддерживают ли действующие процедуры сбор свидетельств в цифровой среде? Обеспечена ли безопасность данных при удалённом доступе?
- Компетентность внутренних аудиторов. Владеют ли они цифровыми инструментами, понимают ли принципы верификации данных в информационных системах, умеют ли оценивать риски, связанные с технологиями?
- Связность системы. Может ли организация продемонстрировать не просто наличие документов, а логическую цепочку «цели → процессы → показатели → улучшения», подтверждённую данными из разных источников?
