Gli indicatori dicono quanto, gli audit dicono come. Un audit è un processo sistematico, indipendente e documentato per ottenere evidenze e valutarle in modo obiettivo rispetto a criteri definiti: requisiti di legge, procedure aziendali, norma di sistema di gestione. A differenza dell'ispezione, che verifica condizioni fisiche in un momento, l'audit valuta se un processo è progettato e funziona in modo da produrre risultati costanti.
La UNI ISO 45001 al punto 9.2 richiede audit interni a intervalli pianificati, per verificare la conformità del sistema ai requisiti propri e della norma e la sua efficace attuazione. Per le aziende che adottano un modello organizzativo ai sensi dell'art. 30 del D.Lgs. 81/08 e del D.Lgs. 231/01, il sistema di controllo sull'attuazione del modello ha nell'audit lo strumento principale, e i rapporti di audit sono tra i documenti che l'organismo di vigilanza esamina e che un giudice può acquisire.
Il RSPP si trova spesso in una posizione delicata: progetta il sistema e quindi non può esserne auditor indipendente per le parti che ha costruito. Soluzioni praticabili sono gli audit incrociati tra stabilimenti dello stesso gruppo, l'impiego di auditor esterni per le aree più critiche o la formazione di auditor interni provenienti da altre funzioni, come qualità e ambiente, che garantiscono uno sguardo diverso e una buona conoscenza delle tecniche di verifica. Gli auditor interni vanno formati e la loro competenza documentata, come richiede la norma al punto 7.2.