O que eu aprendi sobre auditoria ISO 9001

Existe uma frase dentro da ISO 19011 que eu demorei anos para levar a sério. Li ela por anos como quem lê bula, rápido e pulando justo a parte que importava. Ela muda a leitura de qualquer relatório de auditoria ISO 9001. A norma diz que convém que a evidência seja verificável e venha, no geral, de amostra. A auditoria se conduz em prazo curto e com recursos contados. Isso está escrito pela própria norma que ensina a auditar, no meio dos princípios que ela cobra de quem audita. Não é ressalva de rodapé. É a definição do instrumento.

Enquanto eu li aquilo como uma limitação a ser corrigida, eu entendia auditoria ISO 9001 pela metade. Amostra pequena parecia um defeito de orçamento, dessas coisas que mais dois dias de campo resolveriam. No dia em que eu passei a ler como desenho do método, a conta inteira virou. O que uma auditoria ISO 9001 encontra é o piso do que existe, e nunca o teto.

Este texto reúne o que eu aprendi sobre auditoria ISO 9001 depois de trocar essa leitura. São seis lições, e nenhuma delas é sobre como passar na auditoria. Elas são sobre o que o instrumento mede, o que ele não vai medir por construção. E sobre o que sobra para você fazer com a parte que ficou de fora da amostra.

Eu escrevo com credencial de auditor líder ISO 9000 (IRCA). E vou ser explícito sobre uma escolha logo aqui, antes que ela pese no meio do caminho. Não vai ter caso de cliente neste artigo. Nem empresa, nem ano, nem não conformidade com número de relatório. Achado de auditoria é informação de terceiro, e a própria norma trata confidencialidade como princípio. O que sustenta cada lição aqui é a norma, o método e uma ficha preenchida que você confere linha a linha.

No fim tem a parte que quase ninguém escreve sobre regra própria. Onde cada uma dessas seis falha, e o que eu uso no lugar quando ela falha. Tem também a ficha inteira em PDF, uma folha só. Você leva impressa no dia da auditoria ISO 9001 e escreve em cima.

As seis lições de auditoria ISO 9001, em resposta direta

Seis lições, na ordem em que derrubam quem começa. Certificado atesta sistema dentro de um escopo, não produto. Amostra é projeto do método, e o resultado é piso. Achado sem evidência não existe. Documento e prática divergem nos dois sentidos. Ninguém audita a própria área. O risco decide onde a auditoria ISO 9001 olha.

Repare no que essa lista não tem. Não tem checklist de requisito por requisito, não tem roteiro de como responder ao auditor e não tem promessa de aprovação. Esse material existe em quantidade no mundo e ele responde a outra pergunta, que é como sobreviver ao dia. A pergunta daqui é o que o instrumento consegue e não consegue enxergar.

As seis têm uma coisa em comum, e é ela que amarra o artigo: todas descrevem um limite. Limite de escopo, limite de amostra, limite de prova, limite de leitura, limite de quem olha e limite de para onde se olha. Uma auditoria ISO 9001 bem feita é uma conversa honesta sobre esses limites. Uma mal feita é a que finge que eles não existem.

E vale dizer o que este artigo não é. Não é um curso de auditoria e não substitui a leitura das normas. Quem vai auditar de verdade precisa da ABNT NBR ISO 9001:2015 e da ABNT NBR ISO 19011:2018 na mão, compradas na ABNT. O texto oficial é o critério e nenhum resumo ocupa o lugar dele.

A frase da norma que muda a leitura de todo relatório

A ISO 19011 é a norma que dá diretrizes para auditar sistemas de gestão. Ela não certifica ninguém e não vale como requisito contratual. Ela descreve como se conduz uma auditoria e, antes de qualquer técnica, ela lista sete princípios que quem audita precisa seguir.

Uma ressalva de edição, porque ela muda o que você cita. As passagens transcritas aqui são da ABNT NBR ISO 19011:2018, a edição que vigorou até maio de 2026. Nessa data saiu a quarta edição, a ISO 19011:2026, que substitui a anterior. Os sete princípios seguem os mesmos, com os mesmos nomes, e a abordagem baseada em risco continua entre eles. O que a revisão ampliou foi auditoria remota e híbrida, local virtual e uso de inteligência artificial. A redação foi ajustada, então cite sempre pela edição que estiver na sua mão.

O sexto deles é a abordagem baseada em evidência. A norma o define como o método racional para alcançar conclusões de auditoria confiáveis e reprodutíveis. Logo em seguida vem a frase que interessa aqui, e ela merece ser lida do jeito que está escrita: “Convém que a evidência de auditoria seja verificável. Convém que no geral ela seja baseada em amostras da informação disponíveis, uma vez que a auditoria é conduzida durante um período de tempo finito e com recursos limitados. Convém que o uso apropriado de amostras seja aplicado, uma vez que esta situação está intimamente relacionada à confiança que pode ser depositada nas conclusões de auditoria”.

Leia de novo a última parte. A norma amarra a confiança na conclusão ao uso apropriado da amostra. Ou seja: a qualidade de uma auditoria ISO 9001 não está em quantos requisitos ela percorreu. Está em onde ela olhou e no que ela declarou não ter olhado. Isso é diferente do que a maioria das empresas espera receber no relatório.

Tem um segundo trecho da norma que fecha o raciocínio, e ele aparece antes dos sete princípios. A aderência a eles é dita como pré-requisito para permitir que auditores trabalhando independentemente entre si cheguem a conclusões similares em situações similares. Esse é o teste. Não é ter razão, é ser reprodutível. Uma conclusão que só o seu faro alcança não passa nesse teste, por mais certa que ela esteja.

Quando eu entendi que reprodutibilidade era o alvo, a minha forma de escrever achado mudou. Deixei de escrever o que eu concluí e passei a escrever o caminho que leva à conclusão, com o registro identificado no meio. Não é burocracia. É a diferença entre um relatório que sustenta uma decisão e um relatório que sustenta uma discussão.

Lição 1: o certificado é do sistema, não do produto

Esta é a confusão mais cara do assunto e ela aparece de fora para dentro. Alguém vê o selo na parede do fornecedor e conclui que o produto é bom. Não é isso que uma auditoria ISO 9001 atesta. Ela atesta que existe um sistema de gestão capaz de entregar de forma consistente aquilo que a organização se comprometeu a entregar. Tudo isso dentro de um escopo declarado.

A distância entre as duas coisas é grande e ela é útil. Um sistema de gestão da qualidade bem montado reduz a chance de o problema passar sem ser visto. Ele cria caminho para a reclamação virar ação e obriga a empresa a medir. Nada disso promete que a peça que saiu hoje está dentro da especificação. Para isso existe inspeção de qualidade e existe controle de qualidade, que são outra família de atividade.

O blog tem um texto com um título que resume a coisa melhor do que eu: qualidade não tem nada a ver com certificado. Eu assino com uma ressalva. O certificado não prova qualidade, e mesmo assim a ausência total de sistema é um sinal ruim que se paga caro depois. As duas coisas convivem.

Na prática, a lição vira uma pergunta que eu faço antes de qualquer coisa: o que exatamente está dentro do escopo deste certificado? Escopo tem redação própria, tem unidade, tem atividade. Uma empresa pode ter a fábrica certificada e a área de serviços fora, ou uma planta dentro e três fora. Ler o escopo leva dois minutos e resolve metade das expectativas erradas sobre o que a auditoria ISO 9001 daquele fornecedor cobriu.

Isso muda também o que se cobra internamente. Quando a diretoria pergunta se a certificação garante que o cliente vai parar de reclamar, a resposta honesta é não. O que ela garante é que a reclamação vai ter dono, prazo e registro. Se a empresa quer o outro resultado, o caminho é indicadores de qualidade amarrados ao produto, e não mais uma auditoria ISO 9001.

Lição 2: a amostra é o método, e o resultado é um piso

Zero não conformidade não quer dizer zero problema. Quer dizer que, nos registros olhados, no período olhado, com o tempo que havia, nada apareceu. São duas afirmações bem diferentes e a segunda é a única que a auditoria ISO 9001 consegue fazer.

Essa não é uma opinião minha sobre auditoria. É o que a ISO 19011 escreve no princípio da abordagem baseada em evidência, e é por isso que a lição vem em segundo lugar. Ela reorganiza todas as outras. Um relatório de auditoria ISO 9001 é uma medição com incerteza declarada, igual a qualquer outra medição. Quem lê como veredicto absoluto está usando o número errado.

A consequência prática aparece na hora de comunicar o resultado. A área que não entrou na amostra não é conforme, e também não é não conforme. Ela é não medida, que é um terceiro estado e o mais fácil de perder no caminho. Quando o relatório some com esse terceiro estado, a organização inteira passa a acreditar em uma cobertura que nunca existiu.

Por isso eu escrevo o denominador. Quantos registros existiam, quantos foram examinados, de que período, e por qual critério eles foram escolhidos. Isso ocupa três linhas do relatório e muda a conversa da reunião de encerramento inteira. Sem o denominador, "conforme" e "olhei doze de setecentos" viram a mesma frase na cabeça de quem escuta.

Vale a comparação com amostragem na inspeção, que é um assunto com matemática própria. Lá o tamanho da amostra tem plano, tem nível de qualidade aceitável e tem risco calculado. Em auditoria de sistema, a amostra costuma ser bem menor e o critério é julgamento profissional, não fórmula. É mais um motivo para escrever o denominador em vez de confiar que ele está subentendido.

Baixe a ficha de decisão das seis lições em PDF, uma folha só

Lição 3: sem evidência verificável não existe achado

A coisa mais difícil que a formação de auditor me ensinou não foi encontrar problema. Foi calar sobre aquilo de que eu tenho certeza e não consigo provar. Existe uma regra dura por trás disso. Ela costuma ser dita em duas frases curtas: se foi visto, aconteceu; se há evidência objetiva e verificável, há fato. Fora disso não se supõe, e também não se infere.

Parece rigor excessivo até você virar do outro lado do balcão. Um achado sem registro identificado é indefensável em qualquer discussão posterior e, pior, ele contamina os achados que estão bem sustentados. Uma linha frouxa no relatório dá à organização auditada exatamente o argumento de que ela precisa para tratar o documento inteiro como opinião.

Na prática, a pergunta de controle que eu faço a mim mesmo antes de fechar cada parágrafo é sempre a mesma. Qual registro, com identificação e data, sustenta esta frase? Se a resposta demora, o parágrafo não vai. Se a resposta é "todo mundo sabe", o parágrafo definitivamente não vai.

Isso também disciplina a conversa em campo. Pergunta que começa com "vocês não acham que" produz concordância social e não produz evidência. Pergunta que começa com "me mostra" produz um documento, uma tela ou nada, e os três resultados são informação. A diferença entre as duas formas de perguntar é a maior parte do que separa auditoria de inspeção de opinião.

Existe uma vantagem colateral aqui que vale para muito além da auditoria ISO 9001. Quem se acostuma a exigir evidência de si mesmo melhora bastante em melhoria contínua. A maior parte dos projetos que morre no meio morre de causa suposta. A disciplina é a mesma e o custo de aprendê-la é o mesmo desconforto.

Lição 4: o desvio entre o documento e a prática

Uma auditoria de sistema de gestão trabalha com dois objetos ao mesmo tempo: o que está escrito e o que acontece. A maior parte do valor que ela entrega vem de comparar os dois. Esse é o tipo de achado que quase nenhuma outra atividade da empresa produz. Ninguém mais tem mandato para olhar as duas coisas juntas.

O desvio aparece nos dois sentidos, e vale distinguir. Tem o caso em que a prática é pior do que o documento, que é o que todo mundo espera encontrar. E tem o inverso, com a execução melhor que o papel. A equipe achou um jeito mais seguro de fazer, e ninguém atualizou o procedimento operacional padrão. O segundo caso é mais comum do que parece. Ele é um achado tão legítimo quanto o primeiro: o sistema perdeu a melhoria no momento em que a pessoa que a descobriu sai de férias.

A pergunta que separa os dois casos rápido é sobre autoria. Quem escreveu esse procedimento já executou a tarefa alguma vez? Documento escrito longe do trabalho nasce divergente e a divergência só cresce, porque quem executa não tem como reconhecer a própria atividade naquelas linhas. É um problema de padronização, e ele não se resolve com mais auditoria.

O tratamento também é diferente conforme o sentido do desvio. Prática pior que o documento pede ação sobre a execução, com treinamento, meio ou supervisão. Prática melhor que o documento pede ação sobre o documento, e rápido, antes que a melhoria se perca. Escrever as duas como a mesma não conformidade genérica de "não seguimento de procedimento" joga fora a informação mais útil que a auditoria ISO 9001 produziu naquele dia.

Quem quer se antecipar a esse achado tem um caminho barato antes de qualquer auditoria ISO 9001. Pegue os procedimentos críticos, sente ao lado de quem executa e compare linha por linha. Isso é literalmente o que a auditoria interna deveria estar fazendo o ano inteiro. É onde ela costuma render mais do que a auditoria de certificação.

Lição 5: independência é requisito de método, não de organograma

A ISO 19011 lista independência como um dos sete princípios. Ela a define como a base para a imparcialidade da auditoria e para a objetividade das conclusões. Note o que a definição coloca em jogo. Não é uma questão de etiqueta profissional nem de hierarquia. É a condição que faz a conclusão valer alguma coisa.

O teste é aquele mesmo do preâmbulo da norma: dois auditores trabalhando independentemente chegam a conclusões similares em situações similares. Auditoria feita por quem escreveu o procedimento não passa nesse teste, e o motivo não é má fé. É que a pessoa vai ler o documento com a intenção que ela colocou lá dentro. Essa intenção é invisível para qualquer outro leitor.

Na auditoria de certificação isso está resolvido por construção, porque quem audita vem de fora e responde a um organismo acreditado. O problema mora na auditoria interna, que é onde a maior parte das empresas realmente joga. Auditor interno que audita a própria área devolve o próprio reflexo, e o relatório sai limpo por motivo errado.

A saída que funciona em empresa de qualquer tamanho é auditoria cruzada. A qualidade audita produção, produção audita logística, logística audita qualidade. Ninguém precisa ser especialista na área auditada, e às vezes é melhor que não seja. Quem não conhece o jargão pergunta o óbvio e o óbvio é onde mora o achado. O que não pode é a mesma pessoa ser dona do processo e juíza dele.

Vale a mesma disciplina para consultoria. Quem implantou o sistema não é a melhor pessoa para auditar o sistema que implantou, ainda que seja a que mais conhece. Isso não é desconfiança, é o mesmo princípio da norma aplicado a um caso que a norma não precisa citar nominalmente para valer.

Lição 6: desde 2018 a amostra se dirige por risco

A revisão de 2018 da ISO 19011 acrescentou um sétimo princípio à lista. É a abordagem baseada em risco, definida como uma abordagem de auditoria que considera riscos e oportunidades. Isso é menos burocrático do que soa. Significa que o plano da auditoria ISO 9001 deixou de ser uma varredura proporcional e passou a ser uma escolha declarada.

A consequência é direta sobre a lição 2. Se a amostra é pequena por projeto, então onde ela cai importa mais do que o tamanho dela. Trinta registros escolhidos nos processos que sustentam a entrega ao cliente valem mais do que trezentos distribuídos igualmente por toda a empresa. Amostra grande e mal direcionada produz confiança sem cobertura, que é o pior resultado possível.

A pergunta de planejamento que eu uso é bruta de propósito. Se eu só puder olhar três processos nesta empresa, quais três derrubam a entrega ao cliente quando falham? A resposta quase nunca é a que está no organograma. Ela costuma estar em uma interface entre áreas. É por isso que gestão por processos ajuda mais a montar um plano de auditoria do que a lista de departamentos.

Isso conecta a ISO 9001 com o resto da família de normas de gestão de risco. A ISO 31000 dá o vocabulário e a gestão de riscos dá a prática, e as duas servem para responder onde a amostra deve cair. Uma auditoria ISO 9001 que ignora isso vira sorteio caro.

E vale registrar o que a mudança de 2018 não fez. Ela não autorizou o auditor a substituir evidência por avaliação de risco. Risco dirige para onde olhar; o que se escreve no relatório continua sendo só o que foi visto. Os dois princípios trabalham juntos e nenhum deles dispensa o outro.

Os sete princípios da ISO 19011, e o que cada um proíbe

Os princípios costumam ser lidos como declaração de boas intenções e eles são bem mais úteis do que isso. Cada um deles proíbe uma coisa concreta que dá vontade de fazer no meio de uma auditoria ISO 9001. É assim que eu leio a lista hoje.

• Integridade, dita pela norma como o fundamento do profissionalismo: barra auditar sob pressão de resultado combinado antes de começar.
• Apresentação justa, a obrigação de reportar com veracidade e exatidão: barra suavizar achado por conveniência e barra também engordar achado para justificar a visita.
• Devido cuidado profissional, a aplicação de diligência e julgamento: barra assinar relatório de trecho que você não conduziu.
• Confidencialidade, segurança de informação: barra levar o caso de um cliente para ilustrar conversa em outro. É o princípio que mantém este artigo sem nenhum caso.
• Independência, a base para a imparcialidade e a objetividade: barra auditar a própria área e barra auditar o sistema que você implantou.
• Abordagem baseada em evidência, o método racional para conclusões confiáveis e reprodutíveis: barra supor e barra inferir.
• Abordagem baseada em risco, que considera riscos e oportunidades: barra o plano de auditoria montado por conveniência de agenda.

Lido assim, o conjunto vira ferramenta de trabalho. Quando alguma coisa numa auditoria ISO 9001 está me incomodando e eu não sei nomear o quê, eu percorro os sete. Quase sempre um deles está sendo esticado. Os sete princípios da qualidade da ISO 9000 fazem um trabalho parecido do lado da organização. Eles não devem ser confundidos com estes, que são de quem audita.

Como se confere um certificado ISO 9001 sem acreditar em ninguém

Essa parte é operacional e resolve um problema real de quem compra. Certificado é documento de terceiro. Ele tem quatro campos que decidem se ele vale para o seu caso: a organização exata, o escopo, a validade e o organismo certificador.

O caminho para conferir sem depender do PDF que o fornecedor mandou é o IAF CertSearch, a base global de certificações acreditadas mantida pelo Fórum Internacional de Acreditação. Ela existe justamente porque certificado circula como arquivo e arquivo se edita. Consulta gratuita e devolve o registro pela raiz.

• Organização: o CNPJ e a unidade batem com quem vai te entregar? Grupo certificado não é filial certificada.
• Escopo: a atividade que você vai contratar está escrita ali dentro? Escopo de "produção de embalagens" não cobre o serviço de instalação.
• Validade: certificado tem ciclo, tem auditoria de manutenção e pode estar suspenso sem que o PDF antigo mude de aparência.
• Organismo: ele é acreditado, e por qual organismo de acreditação? Sem acreditação, a auditoria ISO 9001 que gerou aquele papel não passou por nenhum controle externo.

Esses quatro campos custam dez minutos e eliminam a maior parte dos mal-entendidos de homologação de fornecedor. E eles são exatamente o que a lição 1 pede: o certificado é do sistema, dentro de um escopo declarado, e o escopo está escrito.

Se a sua empresa está do outro lado, indo se certificar, vale entender antes por que certificar na ISO 9001 faz sentido para o negócio. E vale ver o que muda no dia a dia com a política da qualidade escrita e cobrada. Certificar sem essa clareza produz sistema de gestão que existe para a auditoria ISO 9001. Sistema assim é caro de manter e não devolve nada.

1,47 milhão de certificados, e por que esse número saltou 76% em um ano

O ISO Survey de 2024, publicado em setembro de 2025, registrou 1.474.118 certificados ISO 9001:2015 válidos no mundo, cobrindo 2.321.640 sites. É a norma de sistema de gestão mais certificada do planeta, com folga sobre a ISO 14001 e a ISO 45001.

Agora a parte interessante. No levantamento de 2023 esse número era 837.978. A variação entre os dois anos é de 75,91%. Ninguém em sã consciência acredita que o mundo certificou mais de seiscentas mil organizações a mais em doze meses. O próprio documento explica. Aquela edição marca uma mudança relevante de metodologia: os dados passaram a ser coletados diretamente do IAF CertSearch, com participação de 76 organismos de acreditação e mais de 2.400 organismos de certificação.

Eu trago esse número aqui de propósito, e não é para dizer que o mercado cresceu. É porque ele é o exemplo mais limpo que eu conheço do tema deste artigo inteiro. Um indicador subiu 76% e nada no mundo mudou: mudou o instrumento de medida. Quem lê a série sem ler a nota metodológica conclui exatamente o oposto do que aconteceu.

É o mesmo erro que a lição 2 descreve, com outra roupa. Lá, zero não conformidade virava zero problema porque ninguém olhou o denominador. Aqui, mais certificados vira mais adoção porque ninguém leu a nota de rodapé. Em auditoria ISO 9001 essa leitura é a competência central. Ela vale para o indicador do cliente do mesmo jeito que vale para o do organismo internacional.

Fica uma regra prática que eu uso em qualquer carta de controle ou painel que me mostram. Antes de explicar um salto, pergunte se o método de coleta mudou na mesma data. Salto grande com explicação de negócio é raro. Salto grande com troca de sistema, de fórmula ou de responsável pela coleta é o caso comum, e o mais fácil de confirmar em cinco minutos.

Ficha de decisão: uma linha por lição

O quadro a seguir condensa as seis lições em quatro colunas. Cada linha começa pelo sinal que denuncia a lição sendo ignorada. Depois vem a lição e a pergunta que eu faço em campo. A última coluna foi a que deu mais trabalho para escrever: a condição em que a minha própria pergunta deixa de funcionar.

Os dois filetes marcam mudança de momento. As duas primeiras linhas agem antes da auditoria ISO 9001, quando ainda dá para escolher escopo e plano. As duas do meio agem sobre o que se coleta em campo. As duas últimas agem sobre a comparação em si: contra o que ela é feita, e quem tem condição de fazê-la.

Ler o quadro rende pouco. O que rende é percorrer a primeira coluna e marcar quais sinais apareceram na sua última auditoria ISO 9001. Dois ou mais marcados apontam para o desenho do programa de auditoria, e não para a competência técnica de quem auditou. Desenho se corrige antes do próximo ciclo; competência não se corrige com relatório.

Onde cada uma das seis falha

Regra que nunca falha é propaganda. Estas seis falham, e conhecer a condição de falha de cada uma é a diferença entre aplicar e obedecer. Se você fosse ler uma seção só deste artigo, eu escolheria esta.

1. O certificado é do sistema: falha em operação de sítio único com produto único. Quando a empresa inteira faz uma coisa só, em um lugar só, o escopo do certificado e a atividade que interessa ao cliente praticamente coincidem. Insistir na diferença vira preciosismo que não ajuda ninguém a decidir. Ali eu troco a pergunta do escopo pela pergunta do histórico: quantos ciclos de manutenção este certificado já atravessou sem suspensão?
2. A amostra é o método: falha em processo de volume muito baixo. Se o processo teve doze ocorrências no ano inteiro, a amostra não é amostra, é o censo, e a cobertura deixa de ser o problema. O problema passa a ser o oposto: doze eventos não formam padrão, e uma não conformidade entre doze pode ser tanto falha sistêmica quanto acaso. A própria norma dá a régua aqui, ao condicionar a confiança na conclusão ao uso apropriado da amostra: apropriado não quer dizer maior, quer dizer adequado ao que se pretende concluir. Nesses casos eu paro de olhar frequência e passo a olhar a robustez do controle, que é uma pergunta de desenho e não de contagem.
3. Sem registro não há achado: falha quando o registro que faltava era, ele mesmo, o requisito. Se um controle exige registro e não há registro nenhum, a tentação é dizer que não há evidência de problema. Está invertido. Ali a ausência é a evidência, e o achado é sobre o controle não estar operando de forma verificável. A regra continua valendo, o que muda é o objeto sobre o qual ela se aplica.
4. Documento contra prática: falha em trabalho de conhecimento. Análise, projeto e atendimento complexo não têm passo fixo. Cobrar aderência literal a um procedimento nesse terreno produz não conformidade que não corresponde a nenhum risco. Onde eu não consigo descrever o passo, eu abandono o passo e escrevo o critério de saída. Ele diz o que o resultado precisa conter para ser aceito, e quem verifica isso.
5. A independência é do processo: falha em empresa pequena. Existem operações em que não há uma segunda pessoa com conhecimento suficiente para auditar a primeira, e nenhum arranjo interno resolve. A ISO 19011 prevê o caso quando escreve que, para pequenas organizações, pode não ser possível que auditores internos tenham total independência da atividade auditada, e que mesmo assim convém que se faça todo o esforço para remover a tendenciosidade. Aí a saída não é fingir. É contratar auditor externo para os processos críticos, usar auditoria cruzada no que for possível e registrar a limitação por escrito no relatório. Limitação declarada continua sendo um relatório utilizável; limitação escondida não.
6. O risco dirige o plano: falha da forma mais silenciosa das seis, porque falha enquanto está sendo bem executada. A norma pede que a abordagem baseada em risco influencie substancialmente o planejamento, a condução e o relato das auditorias, para que elas fiquem focadas no que é significativo para o cliente de auditoria. O plano se dirige, então, pelo mapa de risco da organização. Se esse mapa é otimista, a auditoria ISO 9001 vai cobrir com capricho exatamente aquilo que a empresa já sabia que era importante. O ponto cego da organização vira o ponto cego da auditoria, e o relatório volta confirmando a crença de origem.

Falta a situação que quase nenhum texto de regra descreve, que é duas condições de falha acontecendo ao mesmo tempo. A combinação mais perigosa junta essa última com a da amostra. Risco declarado pela própria organização, com amostra pequena, produz uma auditoria ISO 9001 que confirma a empresa para a empresa. Tudo conforme, tudo dentro do plano, nenhuma surpresa. A regra que eu uso quando as duas aparecem juntas é levantar da cadeira e entrar pela saída, em vez de entrar pelo mapa. Pego reclamação de cliente, devolução, retrabalho e atraso dos últimos doze meses, escolho os três maiores e ando para trás até o processo que os produziu. Evidência de fora não sabe do mapa de risco de ninguém, e é por isso que ela funciona aqui.

Ferramenta ajuda a organizar essa caminhada de trás para frente. O diagrama de Pareto ordena as saídas ruins por frequência e o diagrama de Ishikawa abre as hipóteses de onde elas nascem. Nenhum dos dois substitui a evidência que ainda vai ser coletada, e os dois evitam que a escolha dos três processos seja feita por intuição.

O que a auditoria ISO 9001 não vai achar por você

Junte a lição 2 com a lição 6 e aparece uma consequência que raramente é dita em voz alta dentro de uma reunião de encerramento. Existe uma categoria inteira de problema que uma auditoria ISO 9001 não é o instrumento certo para encontrar. E não é por falta de competência de quem audita.

Problema raro, por exemplo. Um evento que acontece uma vez por semestre tem chance quase nula de cair em uma amostra de dois dias. Problema que só aparece sob carga, também: a auditoria ISO 9001 acontece em um dia normal e o processo quebra no pico de dezembro. E problema de cultura, que é o mais escorregadio. Cultura não deixa registro identificado, e a lição 3 proíbe escrever sobre o que não tem prova.

Isso não desqualifica a auditoria ISO 9001. Cada instrumento mede o que foi feito para medir. Um controle estatístico de processo enxerga variação ao longo do tempo, coisa que nenhuma auditoria vê. Um sistema de tratamento de reclamação enxerga o que o cliente sentiu, coisa que nenhuma auditoria vê. A auditoria ISO 9001 enxerga aderência e consistência do sistema em um recorte. Três instrumentos, três alcances.

O erro caro é usar um no lugar dos três. Empresa que trata a auditoria ISO 9001 anual como o programa de qualidade inteiro fica com uma medição por ano. É uma medição por amostra, sobre um sistema que muda toda semana. É pouco por qualquer critério, e é por isso que a auditoria interna bem feita rende mais. Ela roda o ano inteiro e pode ir onde o dado de campo apontar.

Se você quer a lista completa do que compõe um programa de qualidade que não depende só de auditoria, a gente tem material aqui no blog sobre gestão da qualidade e sobre as 7 ferramentas da qualidade. A auditoria ISO 9001 é só um dos instrumentos desse programa, e não é o que roda com mais frequência.

O Guia Prático Lean Seis Sigma, que eu escrevi, trata desse limite no capítulo 2. Ele se chama “Melhoria Contínua e Gestão da Qualidade”, e nas páginas 14 e 15 está assim: “A implementação de sistemas de Gestão da Qualidade, como a ISO 9001, fornece estruturas para garantir a conformidade com padrões de qualidade estabelecidos. Contudo, a verdadeira Melhoria Contínua vai além do simples cumprimento de normas, implicando em uma cultura organizacional que valoriza a aprendizagem, a inovação e a correção proativa de problemas”. É a mesma fronteira desta seção, dita do lado de dentro: a norma dá a estrutura, e o que ela não alcança só aparece em quem aprende e corrige sem esperar o calendário.

A ficha para levar impressa

São as seis linhas do quadro em uma página, com os quatro campos preenchidos. A quinta coluna fica vazia para a sua anotação e a data. O formato foi pensado para prancheta e caneta, não para pasta de rede. A miniatura abre em tamanho grande aqui mesmo, sem trocar de aba.

Leve a ficha impressa para a sua próxima auditoria

Um uso que deu certo comigo: marcar a primeira coluna logo depois da próxima auditoria ISO 9001, com a data no alto da folha. No ciclo seguinte, abrir a folha velha antes de montar o plano novo. A comparação entre as duas responde uma pergunta difícil de responder de memória, que é se o programa corrige padrão ou apenas cumpre calendário.

E preencha também a coluna de onde a regra falha, com o caso da sua operação. As seis condições de falha que eu descrevi são as que eu encontro; a sua empresa vai ter uma sétima que eu não conheço. Regra própria com a falha própria escrita ao lado é a única forma de checklist que envelhece bem.

Se você tem auditoria marcada, comece por aqui

Quem leu até esta linha costuma estar em um de dois lugares: com uma auditoria ISO 9001 marcada no calendário, ou recém saído de uma. Nos dois casos eu seria prático, e faria nesta ordem.

Primeiro, leia o escopo do seu próprio certificado em voz alta para a equipe. Leva cinco minutos e resolve boa parte das expectativas erradas de dentro de casa. Segundo, escolha os três processos que derrubam a entrega ao cliente e confira se o plano da auditoria ISO 9001 passa por eles. Terceiro, pegue os procedimentos desses três e sente ao lado de quem executa, com o documento na mão.

Se você for o responsável por conduzir, vale ler como se preparar para uma auditoria. E se a decisão for de carreira, por que se tornar um auditor ISO cobre o caminho da formação. A ISO 9001 no mercado de trabalho abre portas em qualidade que outras credenciais não abrem. E é honesto dizer que a formação de auditor muda a forma de olhar processo mesmo para quem nunca vai auditar profissionalmente.

Se você quiser ir além destas seis lições, eu te convido a olhar três coisas. O método inteiro, em sequência, está no livro. Os modelos prontos para usar já na próxima semana estão no kit de ferramentas. E quem aprende melhor com alguém do lado tem as Academias de Certificação.

A frase com que eu fecho é a mesma com que eu abri, invertida. Uma auditoria ISO 9001 não diz que está tudo certo. Ela diz que, onde se olhou, no período que se olhou, nada apareceu. Quem entende isso passa a fazer a pergunta útil, que não é como passar na auditoria. É onde ela não vai olhar, e o que a empresa vai colocar naquele lugar.