La UNI EN ISO 19011, nella versione del 2018, fornisce le linee guida per gli audit dei sistemi di gestione. Non è una norma certificabile ma un riferimento metodologico applicabile a qualunque sistema, compreso quello per la salute e sicurezza secondo la ISO 45001 o un modello organizzativo ai sensi dell'art. 30 del D.Lgs. 81/08.
L'audit è definito come un processo sistematico, indipendente e documentato per ottenere evidenze oggettive e valutarle con obiettività, al fine di stabilire in quale misura i criteri dell'audit sono soddisfatti. Si distinguono audit di prima parte, cioè interni, svolti dall'organizzazione su se stessa; di seconda parte, svolti da un cliente su un fornitore o da una capogruppo sulle controllate; di terza parte, svolti da organismi indipendenti, come quelli di certificazione.
La norma indica sette principi. Integrità, come fondamento della professionalità. Presentazione imparziale, cioè obbligo di riferire in modo veritiero e accurato. Adeguata diligenza professionale. Riservatezza delle informazioni. Indipendenza, base dell'imparzialità e dell'obiettività delle conclusioni. Approccio basato sull'evidenza, perché le conclusioni devono poggiare su elementi verificabili. Approccio basato sul rischio, che orienta pianificazione e conduzione verso ciò che conta di più.
Per il RSPP l'audit è uno strumento diverso dal sopralluogo. Il sopralluogo cerca pericoli e situazioni non conformi; l'audit verifica se un sistema di regole e controlli funziona davvero, risalendo dalle evidenze ai processi che le hanno generate.