Un singolo audit è utile, ma il valore vero nasce da un programma, cioè un insieme di audit pianificati in un periodo definito, in genere un anno, con uno scopo comune. La ISO 19011 dedica una sezione specifica alla gestione del programma, che segue anch'essa il ciclo pianificare, attuare, verificare, agire.
Il programma parte dagli obiettivi: verificare la conformità legislativa, valutare l'efficacia del sistema di gestione, prepararsi alla certificazione, controllare i fornitori critici. Si definisce poi l'estensione: quali processi, reparti, siti e requisiti coprire e con quale frequenza. La frequenza segue il rischio: le aree con lavorazioni pericolose, molti cambiamenti o problemi emersi in passato meritano audit più frequenti; gli uffici amministrativi possono essere verificati a intervalli più lunghi.
Esempio per uno stabilimento con produzione, magazzino e manutenzione: nel primo trimestre un audit sulla gestione degli appalti e dei permessi di lavoro, nel secondo sulla gestione delle attrezzature e delle verifiche periodiche, nel terzo sulla gestione delle emergenze con osservazione di una prova di evacuazione, nel quarto sulla formazione e sulla sorveglianza sanitaria. In parallelo, audit brevi sul campo per reparto.
La norma chiede anche di valutare i rischi del programma stesso: auditor non disponibili, tempi insufficienti, accesso negato a un'area, scarsa collaborazione dei reparti. Infine il programma va monitorato e riesaminato: se un audit salta, occorre capire perché e riprogrammarlo, non semplicemente cancellarlo.