Sotto il nome di audit si nascondono verifiche con scopi diversi, e confonderle porta a risultati deludenti. L'audit di conformità legale accerta che l'azienda rispetti gli obblighi applicabili: DVR aggiornato, nomine, formazione, verifiche periodiche delle attrezzature, certificazioni degli impianti, pratiche antincendio, adempimenti per gli appalti. La UNI ISO 45001 al punto 9.1.2 chiede proprio di valutare periodicamente la conformità ai requisiti legali e di conservarne evidenza documentata. È un audit prevalentemente documentale, ma deve includere verifiche a campione in campo.
L'audit di sistema valuta se i processi di gestione funzionano: come si identificano i pericoli quando cambia un processo, come si qualificano i fornitori, come si gestiscono le modifiche, come si chiudono le azioni. Qui l'evidenza nasce dal tracciare casi reali dall'inizio alla fine, ad esempio seguendo l'introduzione di una nuova pressa dall'ordine fino al primo utilizzo e verificando se valutazione dei rischi, formazione e aggiornamento del DVR sono avvenuti prima della messa in servizio.
L'audit operativo o di campo verifica come si lavora davvero rispetto a procedure e istruzioni: un permesso di lavoro a caldo durante una manutenzione, un'operazione di carico di un camion, un intervento elettrico in un quadro. È il più vicino alla realtà e quello che più spesso rivela la distanza tra il lavoro immaginato e il lavoro reale. Un programma completo combina i tre tipi, perché un'azienda può essere formalmente conforme e operativamente fragile, o viceversa.