La credibilità di un audit dipende da chi lo conduce. La ISO 19011 richiede che gli auditor abbiano competenze generiche, legate al metodo, e competenze specifiche della disciplina e del settore. Le prime comprendono la conoscenza dei principi e delle tecniche di audit, la capacità di pianificare, intervistare, campionare, documentare e comunicare. Le seconde, per un audit di salute e sicurezza, comprendono la conoscenza della normativa applicabile, dei rischi tipici del settore e dei metodi di controllo.
Contano anche le qualità personali: la norma richiama comportamenti come essere etici, aperti, diplomatici, osservativi, perspicaci, versatili, tenaci, decisi, autonomi. Nella pratica, un buon auditor ascolta più di quanto parla, non si accontenta della prima risposta e sa distinguere il problema isolato dal difetto sistematico.
L'indipendenza è il punto delicato per il RSPP. Un auditor non dovrebbe verificare il proprio lavoro. Se il servizio di prevenzione ha redatto le procedure di gestione degli appalti, un audit su quelle procedure condotto dallo stesso RSPP ha un valore limitato. Le soluzioni possibili sono diverse: scambio di auditor tra stabilimenti dello stesso gruppo, coinvolgimento dell'auditor qualità o ambiente con un esperto tecnico di supporto, incarico a consulenti esterni per gli audit sui processi gestiti direttamente dal servizio.
Nelle piccole aziende l'indipendenza piena è difficile da ottenere. La norma ne tiene conto, ma chiede di fare ogni sforzo per eliminare la distorsione e favorire l'obiettività.