Audyt to systematyczna ocena zgodności SZBI z wymaganiami. Obejmuje dokumentację, wywiady, testy i dowody. Może być wewnętrzny lub niezależny.
Podmioty kluczowe muszą przejść pierwszy audyt obowiązkowy do 3 kwietnia 2028 r., a kolejne co najmniej raz na trzy lata. Audyt nie jest certyfikacją. Jego celem jest sprawdzenie, czy system działa i czy można to udowodnić.
W praktyce audytor patrzy na spójność między dokumentem, działaniem i dowodem. Najlepszym przygotowaniem jest wcześniejszy audyt wewnętrzny, pakiet dowodów i uprzątnięcie niezgodności.