La norma UNI EN ISO 19011 fornisce le linee guida per gli audit dei sistemi di gestione ed è il riferimento per strutturare un programma. Nella versione del 2018 elenca sette principi: integrità, presentazione imparziale, adeguata diligenza professionale, riservatezza, indipendenza, approccio basato sulle evidenze e approccio basato sul rischio. L'ultimo è il più rilevante per la sicurezza: la frequenza e la profondità degli audit devono dipendere da quanto un processo è critico e da come si è comportato in passato.
Un programma ben costruito non tratta tutti i processi allo stesso modo. In un'azienda di carpenteria pesante, il processo di sollevamento e movimentazione con carroponti, la gestione dei lavori in quota e i permessi di lavoro delle ditte esterne meritano un audit almeno annuale, mentre la gestione della documentazione degli uffici può essere verificata ogni due o tre anni. Processi con incidenti recenti, cambiamenti organizzativi o esiti negativi in audit precedenti salgono di priorità.
Il ciclo si articola in pianificazione, preparazione delle liste di riscontro, esecuzione con riunione di apertura, raccolta delle evidenze tramite interviste, osservazione e documenti, e riunione di chiusura con i rilievi. Il rapporto distingue non conformità, osservazioni e opportunità di miglioramento. Ogni rilievo deve essere supportato da un'evidenza verificabile, non da un'impressione: è questo che rende l'audit uno strumento di misura e non un'opinione autorevole.