Auditoria interna da qualidade: o passo a passo completo (programa, checklist e relatório)

Existe auditoria interna que é ritual de sofrimento anual — todo mundo esconde o que pode, o auditor preenche o checklist, o relatório morre numa pasta. E existe a que funciona como radar da gestão: acha o problema antes do cliente, do certificador e do prejuízo.

A diferença não é tamanho de empresa nem orçamento. É método. Em quinze anos auditando sistemas de gestão, vi auditoria excelente feita por uma dupla treinada numa empresa de 20 pessoas e vi auditoria teatral em multinacional com departamento dedicado. Este é o passo a passo completo — do programa anual até a verificação de eficácia.

Para que serve (de verdade) a auditoria interna

A auditoria interna (requisito 9.2 da ISO 9001:2015) verifica duas coisas: se o sistema de gestão atende aos requisitos (da norma e da própria empresa) e se está implementado e mantido eficazmente. Em duas perguntas: o que está escrito acontece na prática? E o que acontece na prática gera resultado?

A segunda é a que quase todo mundo esquece. Um processo pode ter procedimento lindo, registro completo e assinatura em tudo — e mesmo assim estar entregando refugo alto. Auditoria que só verifica a primeira pergunta produz relatório limpo em empresa que está perdendo dinheiro.

A referência técnica de como se audita é a ISO 19011 — uma diretriz, não uma norma certificável. Dela vêm os princípios da prática: integridade, apresentação justa, confidencialidade, independência e abordagem baseada em evidência, esse último o coração de tudo o que vem a seguir.

Fase 1 — Planejamento: o programa anual

Antes de qualquer auditoria existe o programa: o conjunto de auditorias planejadas para o período, com escopo, critérios, auditores e datas. Programa não é plano — o programa é o ano inteiro, o plano é de uma auditoria específica. Confundir os dois é achado clássico de certificador.

Critério de frequência por criticidade

A norma pede "intervalos planejados", não "uma vez por ano". Você decide a frequência de cada processo por critério, e o programa registra esse raciocínio. Três variáveis mandam:

• Importância: quanto mais perto do cliente, do produto ou de requisito legal, mais frequente;
• Mudanças: processo novo, sistema novo, layout novo, gente nova, fornecedor novo → antecipe. Mudança é onde o padrão escorrega;
• Resultados anteriores: setor com NCs recorrentes, reclamação de cliente ou indicador fora da meta volta para o topo da fila.

Para virar decisão: pontue cada processo de 1 a 3 nas três variáveis e some — critério escrito e defensável.

Soma	Criticidade	Frequência sugerida	Exemplos típicos
7 a 9	Alta	2 a 3 vezes por ano	Produção, atendimento, processo com requisito legal
5 a 6	Média	1 a 2 vezes por ano	Compras, manutenção, controle de fornecedores
3 a 4	Baixa	1 vez por ano	RH, TI de apoio, administrativo estável

Duas regras fecham o programa: nenhum processo fica de fora do ciclo anual e a direção aprova — programa sem respaldo é o primeiro a cair quando o mês aperta. E registre as revisões: auditoria remarcada é normal, remarcada sem registro vira "programa não cumprido".

Qualificação e imparcialidade do auditor

Qualificação é competência comprovada: entender a norma, dominar a técnica (planejar, entrevistar, amostrar, redigir achado) e conhecer minimamente o processo. Comprova-se com registro de treinamento, auditorias acompanhadas e avaliação. Registro é a palavra-chave — o certificador não pergunta se o auditor é bom, pergunta onde está a evidência da competência dele.

Imparcialidade é não auditar o próprio trabalho. Não basta "ser justo": a norma exige independência estrutural. E aí mora o problema da empresa pequena, onde a mesma pessoa que escreveu o procedimento, treinou a equipe e mantém o indicador é a única que entende de sistema de gestão.

Como resolver isso em empresa pequena

1. Auditoria cruzada entre pares: treine gente de áreas diferentes e faça rodízio — produção audita administrativo, administrativo audita logística, logística audita produção. Custa treinamento, não dinheiro novo;
2. Auditor externo contratado por dia: um consultor conduz a auditoria interna em nome da empresa. É plenamente aceito e costuma ser a melhor relação custo-benefício quando o SGQ é enxuto;
3. Divisão de papéis: o responsável da qualidade audita os processos operacionais e um segundo auditor audita os processos do próprio sistema — controle de documentos, análise crítica, tratativa de NC.

Fase 2 — Preparação de cada auditoria

Antes de marcar a data, leia: procedimentos do processo, NCs anteriores, indicadores recentes, reclamações de cliente e o relatório da última auditoria da área. Auditor sem contexto faz pergunta genérica e recebe resposta ensaiada; quem sabe que o indicador de prazo piorou nos últimos três meses faz uma pergunta que ninguém responde de improviso.

O plano de auditoria

O plano é de uma auditoria específica e cabe em uma página: objetivo (o que se pretende verificar), escopo (processo, área, período de registros), critérios (requisitos da ISO 9001, procedimentos internos, requisitos legais e do cliente), agenda (quem será entrevistado, quando, com horário de abertura e encerramento) e auditores designados.

Envie com alguns dias de antecedência, dizendo o que precisa estar disponível. Auditoria interna não precisa de pegadinha — o processo que só funciona quando avisado já revelou seu problema na primeira pergunta de rastreamento.

O checklist

O checklist organiza a verificação por requisito: o que vou perguntar, que evidência vou pedir, onde vou olhar. Estruture em colunas de requisito, pergunta, evidência encontrada e status (conforme / NC / observação / oportunidade). Ele guia, não engessa — os melhores achados surgem de um "me mostra como você faz" fora do script.

A marca de um bom checklist são perguntas abertas e verificáveis. "Existe controle de documentos?" é pergunta ruim. "Me mostre como você garante que o operador está usando a revisão vigente" é pergunta boa — força a demonstração, e a demonstração é a evidência. Se controle de documentos costuma render achado na sua empresa, monte uma trilha só para ele.

Trilha de auditoria por requisito da ISO 9001

Trilha é o caminho que leva da pergunta até a evidência. Use a tabela como mapa de partida, mantendo a lógica: sempre há um documento que promete, um registro que comprova e uma prática que confirma.

Requisito	Pergunta que abre a trilha	Evidência objetiva a buscar
6.1 Riscos e oportunidades	O que pode dar errado aqui e o que foi feito?	Levantamento de riscos, ações definidas e evidência de implementação
7.1.5 Recursos de monitoramento	Como você garante que esse instrumento mede certo?	Certificado de calibração vigente, identificação, critério de aceitação
7.2 Competência	Como essa pessoa foi habilitada para essa tarefa?	Registro de treinamento, avaliação de eficácia, matriz de competência
7.5 Informação documentada	Como você sabe que está com a versão válida?	Documento com revisão/data, lista mestra, ausência de cópia obsoleta
8.4 Fornecedores externos	Como esse fornecedor foi aprovado e é reavaliado?	Critério de seleção, registro de avaliação, histórico de desempenho
8.5.1 Controle da produção	Rastreie um lote/pedido do início ao fim	Ordem, registros de cada etapa, inspeções, liberação, entrega
10.2 Ação corretiva	Pegue a última NC: o que causou e como se sabe que resolveu?	Registro da NC, análise de causa, plano, verificação de eficácia com dado

Repare: a coluna do meio quase nunca tem pergunta de "sim ou não" — e a da direita nunca aceita "o fulano disse que faz".

Fase 3 — Execução: a arte de auditar gente

Reunião de abertura: o que dizer em 10 minutos

1. Confirme objetivo, escopo e critérios — em linguagem de gente, não de norma;
2. Explique o método: entrevista, verificação de registros, observação do processo e amostragem (diga que você vê amostras, não 100%);
3. Combine que os achados serão apresentados no encerramento, sem surpresa no relatório, e confirme horários e acessos;
4. Abra para dúvidas. Uma frase que desarma a sala: "não vim procurar culpado, vim procurar risco — se houver algo, melhor acharmos nós".

Técnicas de entrevista: perguntar sem intimidar

• Pergunte aberto: "como você faz o controle X?" rende muito mais que "você faz o controle X?", que só rende "sim";
• Peça demonstração: "me mostra" é a pergunta mais poderosa da auditoria. Documento explicado é teoria; documento sendo usado é evidência;
• Pergunte pelo processo, não pela pessoa: "o que costuma travar aqui?" gera informação; "por que você não preencheu?" gera defesa;
• Silêncio é técnica: espere dois segundos depois da resposta. A informação mais útil vem no complemento que a pessoa dá para preencher a pausa;
• Não corrija na frente da equipe nem discuta solução: achado primeiro, tratativa depois — quem define a ação é o dono do processo. Auditor que já sai dando solução perde a independência e ganha resistência.

Amostragem e evidência objetiva

Auditoria trabalha por amostra: você confere alguns registros e infere. O que separa amostra útil da decorativa:

• Varie o período: não pegue só o mês corrente, que está sempre organizado. Escolha um mês de pico, um de férias, uma data qualquer de meio ano atrás;
• Rastreie nos dois sentidos: do pedido até a entrega e do produto entregue de volta até a matéria-prima. O caminho de volta é o que revela buraco de registro;
• Amplie a amostra ao achar desvio: um registro sem assinatura? Pegue mais cinco. Se estiverem certos, é falha pontual (menor); se três dos cinco falharem, é sistêmica — e a classificação muda.

Evidência objetiva é informação verificável: registro, documento, medição, observação direta. Não é evidência a opinião do entrevistado sobre o próprio trabalho, o "sempre fazemos assim", a impressão do auditor. O teste é simples — se outro auditor não chegar à mesma constatação olhando o que você olhou, não é evidência, é palpite.

Reunião de encerramento: o que dizer

1. Reconheça o que está bem — começar pelo positivo é justiça, não diplomacia;
2. Reafirme que foi por amostragem: ausência de achado não é garantia de ausência de problema;
3. Apresente cada achado lendo requisito, evidência e constatação, classifique ali mesmo e confirme com o auditado se a evidência está correta;
4. Combine prazos: quando sai o relatório e até quando o setor devolve análise de causa e plano de ação;
5. Não negocie a existência do achado. Negocie a redação, se estiver imprecisa; nunca a evidência.

Como redigir um achado (com exemplos prontos)

Todo achado tem três partes, nessa ordem: requisito (o que deveria ser) + evidência (o que se constatou, com identificação, data e local) + constatação (a conclusão do desvio). Achado bem escrito já nasce meio tratado, porque o dono do processo entende exatamente o que precisa analisar. Copie a estrutura dos exemplos:

• Competência (7.2): "O procedimento PR-07, item 5.3, determina que operadores da célula de solda sejam treinados e avaliados antes da liberação para a função. Verificado em 14/05, no setor de Solda, que dois dos cinco operadores em atividade (crachás 118 e 224) não possuem registro de treinamento nem de avaliação de eficácia. Constatação: requisito de competência não evidenciado para parte dos operadores."
• Informação documentada (7.5): "A ISO 9001:2015, item 7.5.3, exige que a informação documentada esteja disponível e adequada para uso. Verificado em 14/05, no posto de embalagem, o uso da Instrução IT-12 revisão 02, enquanto a lista mestra indica a revisão 04 como vigente desde 03/2026. Constatação: documento obsoleto em uso no posto de trabalho."

Três vícios derrubam um achado: adjetivo no lugar de fato ("controle deficiente"), pessoa no lugar de processo ("a Maria não preencheu") e solução dentro do achado ("deveria criar uma planilha"). Descreva o desvio; causa e solução são trabalho da tratativa de não conformidade, com ferramenta apropriada como os 5 Porquês.

Classificação dos achados

Tipo	O que é	Exemplo
NC maior	Falha total de requisito, ausência de processo ou colapso sistêmico; risco direto ao cliente	Nenhum controle sobre documentos obsoletos na fábrica; nenhuma auditoria interna no ciclo
NC menor	Falha pontual e isolada, que não derruba o sistema	Um formulário de liberação sem assinatura em um lote, com os demais conformes
Observação	Conforme hoje, com risco de virar NC	Registro em dia, porém dependente de uma única pessoa sem substituto treinado
Oportunidade de melhoria	Sugestão de ganho, sem requisito ferido	Digitalizar um controle manual que consome horas por semana

A dúvida recorrente é entre maior e menor, e o critério prático é reincidência somada a impacto: desvio isolado e sem efeito no cliente é menor; repetido em várias amostras, ou capaz de expor o cliente a produto não conforme, é maior. Ampliar a amostra serve para responder isso.

Fase 4 — Relatório e acompanhamento

O relatório sai rápido (idealmente em até uma semana), objetivo e sem surpresa: tudo nele já foi dito no encerramento. Conteúdo mínimo: identificação (escopo, critérios, datas, auditores), o que foi verificado, pontos positivos, achados classificados com a tríade requisito/evidência/constatação e uma conclusão sobre a eficácia do processo — não só sobre a conformidade.

Daí em diante, cada NC entra no fluxo de tratativa: correção imediata, análise de causa, plano de ação com responsável e prazo e — a etapa que mais se perde — verificação de eficácia. Verificar eficácia não é conferir se a ação foi executada; é confirmar, com dado, que o problema parou de acontecer. Se o achado era documento obsoleto em uso, a eficácia se verifica voltando ao posto meses depois e olhando de novo.

O conjunto — achados por processo, status das ações e tendências — é entrada obrigatória da análise crítica da direção. Ali a auditoria deixa de ser evento do departamento da qualidade e vira informação de gestão, fechando o "Check" institucionalizado do ciclo PDCA.

Os erros que fazem a auditoria virar teatro

1. Auditar documento em vez de processo — o auditor senta numa sala, pede as pastas, confere assinaturas e vai embora sem pisar na operação. Isso é conferência documental. Auditoria é ir ao processo, ver a tarefa acontecendo e comparar com o padrão;
2. Achado sem evidência — "percebi certa desorganização no setor" não é achado, é opinião. Sem documento, data e identificação, o auditado não tem o que analisar;
3. Não acompanhar a ação — levantar dez NCs e nunca verificar eficácia ensina a empresa inteira que auditoria não tem consequência, e a credibilidade não volta rápido;
4. Auditor sem independência ou sem treinamento registrado — NC clássica de certificador, e das poucas sem argumento de defesa;
5. Tom de caça às bruxas — auditoria que humilha o auditado garante que na próxima ninguém mostra nada, e você passa a auditar a versão encenada do processo.

Começando do zero

Não monte tudo de uma vez: programa anual em uma página aprovado pela direção, auditores formados com o rodízio já definido, e um primeiro processo auditado do começo ao fim antes de partir para o segundo. Vale começar apoiado em um checklist de auditoria interna já estruturado por requisito e, se a norma for terreno novo, revisitar o guia prático da ISO 9001 antes da primeira visita. Sobre a revisão de 2026 da ISO 9001, ainda em andamento e não publicada: ela não muda a lógica descrita aqui — programa, imparcialidade, evidência objetiva e verificação de eficácia continuam sendo o núcleo.

Fontes e referências oficiais

O conteúdo acima é a minha leitura prática de quem aplica essas normas há 15 anos — mas requisito se confere no texto oficial. Consulte as fontes abaixo sempre que precisar da redação exata, da edição vigente ou da data da última alteração:

• ISO — família ISO 9000 / ISO 9001, gestão da qualidade — página oficial da ISO com escopo, edição vigente e status da norma.
• ISO 19011 — diretrizes para auditoria de sistemas de gestão — a diretriz técnica de como se audita (não é norma certificável).
• ABNT — Associação Brasileira de Normas Técnicas — onde comprar a versão brasileira (NBR) das normas ISO, em português.

Perguntas frequentes

Quem pode ser auditor interno?

Qualquer colaborador com treinamento em auditoria (interpretação da norma + técnica de auditoria) e independência do setor auditado — ninguém audita o próprio trabalho. O treinamento precisa estar registrado: é uma das primeiras evidências que o certificador pede.

Com que frequência fazer auditoria interna?

A norma pede 'intervalos planejados'. O usual é cobrir todos os processos ao menos 1 vez por ano, com frequência maior para processos críticos ou com histórico de problemas. O programa deve considerar importância, mudanças e resultados anteriores.

Auditoria interna pode ser terceirizada?

Pode — é comum contratar auditor externo para fazer a auditoria interna (chamada auditoria de segunda parte em nome da empresa). O que não pode é deixar de existir: ela é requisito (9.2) e o ensaio geral da certificação.

Qual a diferença entre não conformidade maior e menor?

Maior: falha total de um requisito ou colapso sistêmico (ex.: nenhuma auditoria interna realizada). Menor: falha pontual que não compromete o sistema (ex.: um registro isolado sem preenchimento). Maiores impedem a certificação até serem tratadas; menores exigem plano de ação.

O que é evidência objetiva em uma auditoria?

É informação verificável, que existe independentemente de quem a observou: um registro preenchido, um documento com data e revisão, uma medição, uma observação direta do processo acontecendo. Não é evidência objetiva o que alguém disse que faz, a impressão do auditor ou uma suposição. Regra prática: se outro auditor não conseguir chegar à mesma constatação olhando o que você olhou, não é evidência.

Quanto tempo deve durar uma auditoria interna?

Depende do tamanho e da complexidade do processo. Um processo de apoio simples se audita bem em 2 a 3 horas; um processo produtivo com várias etapas pede meio período ou mais. O erro comum é o extremo oposto: agendar 30 minutos por processo, o que só dá tempo de conferir documento — e auditoria de documento não é auditoria de processo.

A ISO 19011 é obrigatória para auditar?

Não. A ISO 19011 é uma diretriz, não uma norma certificável — ninguém é auditado 'contra' ela. Mas é a referência técnica de como se audita sistemas de gestão (princípios, programa, competência do auditor, condução) e vale muito a pena usá-la como base do seu procedimento interno.