{"id":206529,"date":"2026-11-04T13:25:07","date_gmt":"2026-11-04T11:25:07","guid":{"rendered":"https:\/\/factorial.com\/blog\/?p=206529"},"modified":"2026-11-04T13:36:42","modified_gmt":"2026-11-04T11:36:42","slug":"audit-iso-27001","status":"publish","type":"post","link":"https:\/\/factorial.com\/blog\/it\/audit-iso-27001\/","title":{"rendered":"Audit ISO 27001: cosa verifica l\u2019auditor e come prepararsi"},"content":{"rendered":"

In un audit ISO 27001, un auditor esterno verifica che il sistema di gestione per la sicurezza delle informazioni dell’azienda sia conforme alla norma. Per farlo esamina la documentazione, intervista il personale e chiede di vedere, direttamente nei sistemi, le evidenze che i controlli vengono applicati nella pratica quotidiana<\/strong>.<\/p>\n

Molte aziende affrontano l’audit come se fosse una semplice verifica documentale. Si presentano con politiche impeccabili e scoprono in fase 2 che l’auditor vuole vedere la traccia dell’ultima uscita di un dipendente, la data dell’ultimo test di ripristino di un backup o la percentuale di portatili con la cifratura attiva in quel momento.<\/p>\n

In questo articolo vediamo quali tipologie di audit ISO 27001 esistono<\/strong>, come si svolge il processo, quanto dura, cosa controlla esattamente l’auditor e cosa succede se rileva delle non conformit\u00e0.<\/p>\n

Cos’\u00e8 un audit ISO 27001?<\/h2>\n

Un audit ISO 27001 \u00e8 un processo sistematico, indipendente e documentato<\/strong> in cui un auditor raccoglie evidenze e le valuta in modo oggettivo per stabilire in che misura l’organizzazione soddisfa i requisiti della norma. Oggetto dell’audit \u00e8 il sistema di gestione per la sicurezza delle informazioni (SGSI)<\/a>, entro il campo di applicazione definito, e non l’azienda nel suo complesso.<\/p>\n

L’auditor deve rispondere a due domande. La prima \u00e8 se il SGSI rispetta i requisiti delle clausole da 4 a 10 della ISO 27001<\/a>, che riguardano contesto, leadership, pianificazione, supporto, attivit\u00e0 operative, valutazione delle prestazioni e miglioramento. La seconda \u00e8 se i controlli dell’Allegato A dichiarati applicabili nella Dichiarazione di Applicabilit\u00e0<\/a> sono stati effettivamente attuati e funzionano.<\/p>\n

Tipologie di audit ISO 27001<\/h2>\n

Un’organizzazione certificata affronta diversi audit in ogni ciclo triennale. Alcuni sono svolti internamente, altri da un organismo di certificazione accreditato.<\/p>\n

\n\n\n\n\n\n\n\n\n
Tipo di audit<\/th>\nChi lo svolge?<\/th>\nQuando?<\/th>\nCosa verifica?<\/th>\n<\/tr>\n<\/thead>\n
Audit interno<\/strong><\/td>\nL’azienda stessa, tramite una persona indipendente o un auditor esterno incaricato<\/td>\nA intervalli pianificati, e almeno una volta prima della certificazione<\/td>\nL’intero SGSI nell’arco del programma di audit<\/td>\n<\/tr>\n
Audit di certificazione<\/strong><\/td>\nOrganismo di certificazione accreditato<\/td>\nAnno 0, in due fasi<\/td>\nLa documentazione in fase 1 e il funzionamento reale in fase 2<\/td>\n<\/tr>\n
Audit di sorveglianza<\/strong><\/td>\nOrganismo di certificazione accreditato<\/td>\nAnni 1 e 2 del ciclo<\/td>\nUna parte del sistema, le modifiche intervenute e i rilievi precedenti<\/td>\n<\/tr>\n
Audit di ricertificazione<\/strong><\/td>\nOrganismo di certificazione accreditato<\/td>\nAnno 3, prima della scadenza del certificato<\/td>\nL’intero SGSI e la sua evoluzione nel corso del ciclo<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n

1. Audit interno<\/h3>\n

La clausola 9.2 della norma impone di svolgere audit interni a intervalli pianificati<\/strong>, all’interno di un programma che ne stabilisca frequenza, metodi, responsabilit\u00e0 e perimetro. L’obiettivo \u00e8 individuare le non conformit\u00e0 prima che lo faccia l’organismo di certificazione. Senza un audit interno completo, del resto, non si pu\u00f2 accedere all’audit di certificazione.<\/p>\n

Chi lo conduce deve essere competente e imparziale<\/strong>, quindi non pu\u00f2 verificare processi che ha progettato o che gestisce. In un’azienda di 40 persone \u00e8 spesso un ostacolo concreto, perch\u00e9 chi conosce meglio il SGSI \u00e8 proprio chi lo ha costruito. La soluzione pi\u00f9 diffusa \u00e8 affidare l’audit interno a un auditor esterno, che offre anche un secondo parere sui processi e sull’analisi dei rischi.<\/p>\n

Insieme all’audit interno, la clausola 9.3 richiede il riesame della direzione<\/strong>. Entrambi devono essere completati e documentati prima della fase 1, e l’auditor esterno chieder\u00e0 quali decisioni ne sono scaturite.<\/p>\n

2. Audit di certificazione<\/h3>\n

\u00c8 l’audit che porta al certificato ed \u00e8 anche il pi\u00f9 impegnativo<\/strong>, perch\u00e9 \u00e8 la prima volta che qualcuno dall’esterno esamina l’intero sistema. Si articola in due fasi.<\/p>\n

Nella fase 1<\/strong>, l’auditor verifica che la documentazione sia completa e che l’organizzazione sia pronta. Nella fase 2<\/strong>, accerta che quanto documentato venga applicato nella pratica. Se l’esito \u00e8 positivo, l’azienda ottiene un certificato valido tre anni. Il percorso completo per arrivare a questo punto \u00e8 descritto nella guida su come ottenere la certificazione ISO 27001<\/a>.<\/p>\n

3. Audit di sorveglianza<\/h3>\n

Per tutta la validit\u00e0 del certificato, l’organismo torna almeno una volta l’anno<\/strong>. Il primo audit di sorveglianza deve svolgersi entro 12 mesi dalla decisione di certificazione. Sono audit pi\u00f9 brevi di quello iniziale e non coprono l’intero sistema. A ogni visita l’auditor seleziona una parte dei controlli e, nell’arco del ciclo, finisce per esaminarli tutti.<\/p>\n

Alcuni aspetti, per\u00f2, vengono verificati sempre.<\/p>\n