Competências do auditor interno segundo a ISO 19011:2026 — como avaliar a equipa e planear a formação

A avaliação das competências de um auditor interno não deve começar pela pergunta sobre a formação concluída, mas pela qualidade das conclusões em que a organização pretende basear as suas decisões. Se a auditoria deve confirmar a eficácia real do controlo dos processos, a equipa auditora tem de saber identificar riscos, avaliar evidências e distinguir a conformidade aparente do funcionamento efetivo do processo. Caso contrário, a auditoria transforma-se numa formalidade que organiza documentos, mas não protege a organização contra uma avaliação incorreta da sua preparação, ações corretivas pouco eficazes ou uma falsa sensação de controlo.

Na perspetiva da gestão de topo, do responsável pela qualidade e da direção operacional, esta não é apenas uma questão de recursos humanos nem uma exigência isolada do sistema de gestão. É um elemento de controlo do risco operacional, da fiabilidade da informação de gestão e da qualidade das decisões tomadas após a auditoria. Por isso, a avaliação da equipa e o plano de formação devem ser concebidos a partir dos processos, dos riscos e dos objetivos da auditoria — e não do calendário de cursos ou da necessidade formal de encerrar uma etapa da implementação.

Uma auditoria tecnicamente fraca pode custar mais do que a ausência de auditoria

O maior custo de uma auditoria interna deficiente não surge no dia da auditoria nem durante a elaboração do relatório. Surge mais tarde, quando a organização atua com base num retrato que parece credível, mas não corresponde ao estado real do processo. O resultado pode traduzir-se em prioridades mal definidas, não conformidades não detetadas, ações corretivas inadequadas e na convicção de que o processo está sob controlo quando, na prática, não está.

A avaliação das competências dos auditores não é, portanto, uma formalidade. É a forma de verificar se a organização dispõe de uma equipa capaz de avaliar com credibilidade os aspetos relevantes para o desempenho do processo, para a conformidade e para o cliente. Muitas empresas continuam a recorrer a indicadores indiretos: participação numa formação, antiguidade, número de auditorias realizadas ou preenchimento correto de uma lista de verificação. Todos podem ter valor complementar, mas nenhum demonstra, por si só, que o auditor compreende o processo, reconhece o risco e sustenta as suas conclusões em evidências.

O problema torna-se particularmente visível nas organizações que estão a implementar um sistema ou a preparar-se para a certificação. A auditoria interna é frequentemente tratada como uma tarefa do projeto a concluir, e não como um instrumento para avaliar a preparação efetiva da organização. Como consequência, a equipa confirma a conformidade da documentação, mas não identifica fragilidades no controlo do processo, divergências entre instalações, mecanismos de supervisão ineficazes ou falhas no cumprimento dos requisitos por executantes e responsáveis pelos processos. A auditoria pode parecer correta e, ainda assim, não antecipar problemas que só serão revelados numa auditoria externa, numa reclamação de cliente ou numa perturbação operacional.

É por esta razão que a avaliação das competências dos auditores deve ser concebida com o mesmo rigor aplicado ao programa de auditorias: em função do objetivo da auditoria, da complexidade dos processos, do perfil de risco e da qualidade esperada das conclusões. Neste contexto, importa consultar tanto o artigo “Alterações à norma de auditoria — a nova ISO 19011:2026 e o seu significado para as organizações na Polónia” como o conteúdo Norma ISO 19011: Linhas de orientação para auditorias a sistemas de gestão — não como um conjunto de instruções formais, mas como referência para desenvolver uma supervisão madura.

Primeiro o perfil de risco, depois o perfil do auditor

As competências do auditor interno não podem ser definidas sem considerar os processos que serão auditados. O ponto de partida deve ser o perfil de risco da organização. Uma auditoria ao circuito documental apresenta exigências diferentes de uma auditoria à produção, às compras críticas, à soldadura, à manutenção ou à segurança e saúde no trabalho. Se o objetivo for avaliar a eficácia do controlo do processo, e não apenas a conformidade dos registos, o perfil do auditor deve refletir a natureza do processo, a variabilidade operacional, as consequências de uma falha e a relevância das decisões que a gestão pretende tomar com base nas constatações.

Na prática, isto exige abandonar um modelo de formação único e universal. A equipa auditora deve ser constituída de acordo com as necessidades reais da organização, sem partir do pressuposto de que todos os auditores têm de estar preparados para todas as áreas. A avaliação deve abranger, pelo menos, quatro dimensões: conhecimento dos critérios de auditoria, compreensão do processo, capacidade para recolher e avaliar evidências e comportamento profissional do auditor — incluindo imparcialidade, disciplina na formulação de conclusões e resistência à influência do responsável pelo processo.

Nas empresas polacas, um erro frequente consiste em formar a equipa apenas com pessoas que “conhecem o sistema”. Estes profissionais dominam geralmente os procedimentos, formulários e requisitos documentais, mas nem sempre conseguem verificar se os controlos funcionam nas condições reais de operação. A auditoria confirma então a existência de registos, mas não identifica fragilidades de supervisão, divergências entre turnos, dependência de colaboradores específicos ou riscos ocultos nas compras, no planeamento e na manutenção dos equipamentos. Em ambientes especializados, esta limitação é ainda mais evidente. Na produção soldada, o auditor deve compreender não só os critérios do sistema, mas também os requisitos técnicos, os registos da qualidade e a lógica de controlo de um processo especial. Por esse motivo, uma referência natural nesta área continua a ser ISO 3834 — como controlar a soldadura, as competências e os registos da qualidade na produção.

Do ponto de vista da gestão, isto implica criar uma matriz de competências comum a toda a equipa e, quando necessário, perfis específicos para áreas críticas. Em organizações com várias instalações ou que estejam a evoluir para requisitos setoriais, o perfil do auditor será ajustado à medida que aumentam a maturidade do sistema e o âmbito da avaliação pretendida. O mesmo se aplica a um especialista de processo sem preparação em auditoria: pode ser um membro muito útil da equipa, mas, sem disciplina de auditoria e imparcialidade, pode facilmente deixar de avaliar as evidências para passar a defender as próprias soluções. O plano de desenvolvimento deve, portanto, resultar do mapa de processos, dos respetivos responsáveis, dos critérios de auditoria e das áreas de risco elevado. No contexto industrial, esta abordagem também é ilustrada no artigo Como planear o roteiro de transição da NP EN ISO 9001 para a IATF 16949 numa empresa industrial.

Como avaliar a equipa sem criar uma competência meramente formal

A avaliação da equipa de auditores só é útil quando verifica a capacidade real para formular conclusões adequadas com base em evidências. Os indicadores indiretos são os mais suscetíveis de induzir em erro: certificado de conclusão de um curso, longa experiência profissional ou elevado número de auditorias realizadas. Podem ser considerados, mas não respondem à questão essencial: o auditor consegue distinguir a conformidade aparente do controlo eficaz do processo?

A avaliação não deve, por isso, começar pelo histórico de formação. Deve verificar como a pessoa prepara a auditoria, seleciona as amostras, formula as perguntas, reage a respostas incoerentes e sustenta as conclusões com evidências, em vez de intuição. A análise da experiência profissional é insuficiente se não for acompanhada pela observação do auditor em ação, pela revisão dos registos de auditorias anteriores e por uma discussão sobre o raciocínio que conduziu às conclusões.

Uma avaliação bem concebida não verifica apenas se o auditor “encontrou uma não conformidade”, mas se compreendeu o seu significado operacional. Não se pode avaliar da mesma forma uma pessoa que identifica a ausência de uma assinatura num formulário e outra que demonstra que a falta de controlo sobre a alteração de um parâmetro do processo aumenta o risco de reclamações, paragens ou decisões de compra incorretas. Os critérios úteis para uma matriz de competências são normalmente simples:

• preparação da auditoria,
• pertinência das perguntas,
• qualidade da amostragem,
• coerência das constatações,
• qualidade do relatório,
• forma de encerrar a auditoria com uma mensagem compreensível para o responsável pelo processo.

As competências interpessoais são particularmente importantes quando entendidas numa perspetiva operacional, e não apenas de imagem. Um auditor pode conhecer os requisitos e, ainda assim, conduzir a entrevista de uma forma que distorce a realidade do processo: aceita explicações demasiado depressa, cede à pressão hierárquica, evita perguntas em áreas sensíveis ou redige constatações tão genéricas que não permitem definir ações concretas. A avaliação da equipa deve, portanto, verificar a capacidade de resistir à pressão hierárquica, manter a disciplina baseada em evidências e encerrar a auditoria de forma clara.

Para um auditor principiante, pode ser suficiente conduzir corretamente uma parte da entrevista e documentar as evidências com rigor. De um auditor coordenador deve esperar-se mais: capacidade para distinguir o sintoma da causa, avaliar a relevância do risco e apresentar as constatações de forma útil para a gestão. Nas organizações que ainda estão a estruturar o sistema ou a preparar-se para a certificação, é preferível adotar uma lógica de avaliação da preparação, em vez de simular uma maturidade inexistente. Esta abordagem é bem ilustrada no artigo Auditoria de diagnóstico antes da NP EN ISO 9001 — como avaliar de forma rigorosa a preparação da organização sem custos excessivos.

A formação deve responder às lacunas, não ao calendário

Um plano de desenvolvimento para auditores internos só produz resultados quando parte das lacunas de competência identificadas. Uma pessoa pode precisar de estruturar a metodologia de auditoria: preparação, amostragem, formulação de constatações e encerramento. Outra pode dominar a técnica de auditoria, mas compreender insuficientemente a produção, as compras ou a manutenção, não conseguindo distinguir um desvio formal de um risco operacional. Outra ainda pode necessitar de desenvolver a análise de causas, a elaboração de relatórios ou a condução de entrevistas sob pressão ou em situações de conflito.

Uma formação igual para todos costuma limitar-se a completar os registos de formação, sem melhorar a qualidade das constatações. Por isso, o plano de desenvolvimento deve separar a componente comum a toda a equipa dos percursos especializados para áreas críticas. A base comum inclui normalmente os princípios de auditoria, a avaliação de evidências, a lógica das conclusões e a qualidade do relatório. O desenvolvimento dos auditores responsáveis por áreas de risco elevado — como segurança e saúde no trabalho, produção, compras, manutenção ou processos especiais — deve ser planeado separadamente.

Nestes casos, o conhecimento dos requisitos do sistema não é suficiente. É necessário avaliar se um desvio pode afetar a segurança, a qualidade do produto, a continuidade operacional ou a fiabilidade dos registos. É neste ponto que a organização deve decidir se desenvolve competências abrangentes em toda a equipa ou especializações para determinadas funções, bem como quantas pessoas necessitam efetivamente de atingir o nível de auditor coordenador.

Muitos erros surgem quando se tenta resolver todas as lacunas através de formação em sala. Algumas competências desenvolvem-se melhor em auditorias reais: coauditoria, observação de um auditor experiente, revisão de relatórios, análise de casos concretos e supervisão das primeiras auditorias autónomas. Quando a fragilidade está na análise de evidências, uma sessão prática baseada nos próprios registos e constatações costuma ser mais eficaz do que outra apresentação teórica sobre requisitos. Se o auditor tem dificuldades na condução da entrevista, o acompanhamento durante a auditoria será mais adequado do que uma nova formação genérica. Os percursos também devem ser diferenciados nas áreas especializadas: um auditor de processos administrativos não é preparado da mesma forma que um auditor de segurança e saúde no trabalho ou de matérias como a ISO 3834 — controlo da soldadura, competências e registos da qualidade na produção.

Um bom plano de desenvolvimento não define apenas o tema e a data. Deve indicar, sobretudo, o resultado operacional esperado. É necessário estabelecer antecipadamente qual o comportamento a alterar, em que tipo de auditoria e como será verificado o resultado. A medida da eficácia não é a presença na formação, mas, por exemplo, a maior pertinência das perguntas, uma amostragem mais adequada, menos constatações sem utilidade para a gestão, relatórios de melhor qualidade ou maior autonomia numa auditoria a várias instalações. As orientações da norma constituem uma referência, mas não substituem uma decisão de desenvolvimento baseada na observação do desempenho.

O programa de auditorias deve corresponder às competências disponíveis

Mesmo um auditor bem preparado não compensa erros cometidos ao nível do programa de auditorias. Se o âmbito for demasiado amplo, o tempo irrealista, as amostras selecionadas ao acaso e os processos críticos tratados da mesma forma que as áreas de suporte, o resultado poderá parecer correto, mas será enganador para a gestão. Nestas condições, a equipa auditora começa a trabalhar de forma reativa: reduz o tempo das entrevistas, limita a verificação de evidências e passa a avaliar declarações em vez do funcionamento do processo.

O planeamento das auditorias deve, portanto, partir do objetivo e da capacidade de execução, e não apenas de um calendário anual. O controlo de rotina, a avaliação da preparação antes de uma etapa importante do projeto, a verificação de alterações tecnológicas, organizacionais ou de propriedade e a preparação para a certificação exigem abordagens distintas. Deve considerar-se não só o nível da equipa auditora, mas também a disponibilidade de especialistas de processo, a sazonalidade das operações, a dispersão das instalações e a possibilidade de avaliar o processo através de registos ou a necessidade de observar o trabalho numa fase específica do ciclo operacional.

Na prática, a decisão não consiste simplesmente em determinar se todos os processos devem ser auditados anualmente. É necessário avaliar se a frequência e a profundidade da auditoria são adequadas ao risco, à maturidade do processo e à qualidade das constatações anteriores. A diferenciação dos formatos tende a produzir melhores resultados. Uma auditoria completa é adequada quando é necessário avaliar a coerência de todo o sistema de processos e controlos. Uma auditoria focalizada é útil para verificar uma alteração específica, a origem de uma reclamação, uma área com não conformidades recorrentes ou um processo de risco acrescido. Por sua vez, uma análise temática permite comparar o mesmo mecanismo entre várias unidades ou instalações, por exemplo, o controlo de registos, a qualificação de fornecedores ou o tratamento do produto não conforme.

Nas empresas que se preparam para a certificação, é especialmente importante não confundir o calendário do projeto com a efetiva capacidade de controlo. Pode ser útil recorrer à lógica de maturidade faseada descrita no artigo Como preparar uma empresa para a certificação NP EN ISO 9001 em 90, 180 e 270 dias — cenários realistas. O programa de auditorias também deve ser revisto regularmente com base no conhecimento já disponível sobre a organização: resultados de auditorias anteriores, reclamações, não conformidades, alterações organizacionais, desempenho dos processos, incidentes de segurança e saúde no trabalho e decisões resultantes de revisões e análises. Quando uma área mantém resultados fracos e outra apresenta um processo estável, sem desvios relevantes, não se justifica aplicar a ambas a mesma frequência e profundidade de auditoria.

Que decisões deve a gestão de topo tomar após esta avaliação?

A avaliação das competências da equipa auditora só cria valor quando conduz a decisões de gestão, e não apenas a um plano de formação. A gestão de topo deve, em primeiro lugar, determinar quais os processos que exigem auditores com competências reforçadas devido ao risco, à complexidade tecnológica, à dispersão organizacional ou à sua relevância para a conformidade e o desempenho operacional. Em paralelo, é necessário distinguir as lacunas que podem ser resolvidas internamente daquelas que justificam apoio externo temporário — por exemplo, nas primeiras auditorias a áreas especializadas, numa avaliação que abranja várias instalações ou quando a independência interna seria apenas aparente.

Desta avaliação deve resultar um modelo de controlo de competências simples, mas inequívoco. É necessário designar o responsável pelo processo de desenvolvimento dos auditores, estabelecer requisitos mínimos para os membros da equipa e para o auditor coordenador, bem como definir regras para atribuir, alargar e manter a autorização para auditar. Na prática, importa decidir se a matriz de competências fará parte de um procedimento formal ou se funcionará como uma ferramenta operacional controlada pelo responsável do sistema de gestão.

É igualmente importante definir critérios para avaliar a eficácia das auditorias após 6–12 meses: qualidade das constatações, adequação das conclusões, cumprimento dos prazos das ações pós-auditoria, recorrência das não conformidades e utilidade dos resultados para a revisão pela gestão e para as decisões operacionais. Numa organização em fase de implementação, estas decisões devem ser articuladas com o calendário necessário para alcançar a preparação para a auditoria, sem criar uma competência artificial para cumprir a data de certificação.

Se uma empresa planeia uma auditoria interna ao processo produtivo após uma alteração tecnológica significativa, mas a equipa dispõe apenas de preparação genérica, pode ser mais prudente combinar formação no posto de trabalho, participação de um auditor coordenador experiente e limitação do âmbito da primeira auditoria aos principais mecanismos de controlo. Numa pequena empresa, o mesmo modelo pode ser aplicado sem uma estrutura da qualidade extensa, desde que as funções estejam claramente separadas e se recorra de forma consciente a competências externas nas áreas em que a equipa interna ainda não consegue produzir conclusões suficientemente fiáveis.

• quais os processos que só devem ser auditados com a participação de auditores com competências especializadas,
• quais as lacunas de competência a resolver por formação, mentoria ou prática de auditoria,
• quando recorrer a apoio externo independente e qual deve ser o respetivo âmbito de responsabilidade.

Um sistema de competências de auditoria bem concebido reforça não só o alinhamento com as linhas de orientação aplicáveis às auditorias, mas sobretudo a qualidade das decisões de gestão, das ações de melhoria e do controlo dos riscos. Se, ao fim de um ano, a organização regista menos auditorias meramente formais, uma melhor diferenciação da profundidade da avaliação e constatações mais úteis para a gestão, isso significa que a avaliação de competências foi convertida num elemento real da governação organizacional, em vez de permanecer apenas como um registo de formação.