Una auditoría interna ISO no debería ser únicamente una revisión para determinar si existen procedimientos, registros y evidencias.
Bien ejecutada, puede convertirse en una herramienta para identificar riesgos, debilidades de los procesos y oportunidades de mejora antes de que generen problemas mayores o sean detectados durante una auditoría de certificación.
Sin embargo, para conseguirlo es necesario superar una práctica todavía frecuente: preparar la auditoría siguiendo únicamente una lista de requisitos de la norma.
Una auditoría interna basada en riesgos requiere comprender primero la organización, sus procesos, sus objetivos y los riesgos que pueden afectar sus resultados.
Entonces, ¿cómo prepararla correctamente?
Una auditoría basada en riesgos orienta la planificación y ejecución de la auditoría hacia los aspectos que tienen mayor relevancia para la organización y su sistema de gestión.
Esto no significa dejar de verificar los requisitos de la norma ISO aplicable.
Significa que el auditor no debería limitarse a preguntar:
"¿Cumple o no cumple este requisito?"
También debería preguntarse:
"¿Dónde existe mayor riesgo de que el proceso no consiga el resultado esperado?"
Por ejemplo, dos procesos pueden formar parte del mismo sistema de gestión, pero no necesariamente deberían recibir exactamente la misma profundidad de auditoría.
Un proceso que presenta incumplimientos recurrentes, indicadores fuera de meta, cambios recientes, quejas de clientes o riesgos significativos puede requerir mayor atención que un proceso estable y con buenos resultados históricos.
La auditoría comienza entonces a utilizarse como una herramienta de gestión y no únicamente como una verificación documental.
Antes de elaborar el plan de auditoría es importante comprender qué está ocurriendo en la organización.
Esto implica revisar aspectos como:
- contexto interno y externo;
- partes interesadas pertinentes;
- riesgos y oportunidades;
- objetivos del sistema de gestión;
- cambios organizacionales;
- resultados de indicadores;
- auditorías anteriores;
- no conformidades;
- quejas o reclamos;
- acciones correctivas;
- cambios legales o regulatorios;
- cambios en procesos, personal, infraestructura o tecnología.
Esta información ayuda a determinar dónde debería concentrarse la auditoría.
Si la organización ha implementado recientemente un nuevo sistema informático, por ejemplo, podría existir un riesgo asociado con la transición.
Si un indicador presenta incumplimientos recurrentes, el auditor debería analizar qué está ocurriendo en ese proceso.
Si una auditoría anterior identificó una no conformidad, debería verificarse la eficacia de las acciones implementadas.
La preparación comienza, por tanto, mucho antes de realizar la primera entrevista.
Si queremos realizar una auditoría basada en riesgos, uno de los principales insumos debería ser precisamente la información sobre riesgos y oportunidades de la organización.
El auditor puede revisar las matrices existentes y preguntarse:
¿Cuáles son los riesgos más importantes?
¿Qué controles se han establecido?
¿Los controles realmente se están ejecutando?
¿Son eficaces?
¿Han aparecido nuevos riesgos?
¿Los cambios en el contexto han modificado los riesgos existentes?
Pero existe un punto adicional.
El auditor no debería asumir automáticamente que la matriz de riesgos contiene todos los riesgos relevantes.
Durante la auditoría puede identificar situaciones que no fueron consideradas originalmente por la organización.
Por eso, una buena auditoría también permite evaluar si la propia gestión de riesgos está funcionando adecuadamente.
Los indicadores pueden convertirse en una excelente guía para preparar una auditoría.
Supongamos que un proceso tiene como objetivo entregar pedidos dentro del tiempo acordado y durante varios meses su indicador permanece por debajo de la meta.
Una auditoría basada únicamente en documentos podría verificar que existe un procedimiento y que los registros están completos.
Una auditoría basada en riesgos debería ir más allá:
¿Por qué el proceso no está consiguiendo el resultado esperado?
El auditor podría revisar la planificación, los recursos, las responsabilidades, los controles operacionales, la gestión de proveedores, las competencias, los riesgos y las acciones adoptadas frente al incumplimiento.
Los indicadores ayudan así a dirigir la auditoría hacia la eficacia de los procesos, no solamente hacia la existencia de documentación.
Los hallazgos anteriores proporcionan información importante para planificar una nueva auditoría.
Antes de iniciar, conviene revisar:
- no conformidades de auditorías internas anteriores;
- hallazgos de auditorías de certificación;
- observaciones;
- acciones correctivas;
- reclamos;
- incidentes;
- problemas recurrentes.
Pero revisar que una acción haya sido marcada como "cerrada" no necesariamente demuestra que haya sido eficaz.
El auditor debería buscar evidencia de que el problema no volvió a ocurrir y que la causa identificada fue tratada adecuadamente.
Una acción correctiva implementada pero ineficaz continúa representando un riesgo para el sistema de gestión.
No todos los procesos necesariamente requieren la misma frecuencia, duración o profundidad de auditoría.
Al preparar el programa de auditoría pueden considerarse factores como:
- importancia del proceso;
- nivel de riesgo;
- resultados de auditorías anteriores;
- desempeño de indicadores;
- cambios recientes;
- complejidad;
- requisitos legales;
- quejas;
- incidentes;
- no conformidades recurrentes.
Esto permite asignar los recursos de auditoría de una manera más inteligente.
Los procesos de mayor criticidad pueden recibir mayor frecuencia o profundidad, mientras que aquellos que presentan un comportamiento estable pueden gestionarse de manera diferente, siempre respetando los requisitos aplicables al sistema de gestión.
Una vez establecido el programa, cada auditoría necesita una planificación específica.
El plan de auditoría debería establecer claramente aspectos como objetivos, alcance, criterios, procesos o áreas a auditar, horarios, responsables y equipo auditor.
Además, debería considerar las interfaces entre procesos.
Este punto es especialmente importante.
Muchos problemas no aparecen dentro de un departamento, sino cuando la información o responsabilidad pasa de un proceso a otro.
Por ejemplo:
Ventas → Operaciones
Compras → Bodega
Recursos Humanos → líderes de procesos
Producción → Control de Calidad
Por eso, auditar procesos implica seguir el flujo de trabajo y no limitarse a entrevistar departamentos de manera aislada.
Una lista de verificación puede ser útil para organizar la auditoría y evitar omisiones.
El problema aparece cuando se convierte en un cuestionario rígido.
Una buena pregunta de auditoría debería permitir seguir la evidencia.
En lugar de preguntar únicamente:
"¿Existe un procedimiento para evaluar proveedores?"
podríamos preguntar:
"Muéstreme cómo evaluaron al último proveedor incorporado."
A partir de esa evidencia pueden surgir nuevas preguntas:
¿Qué criterios utilizaron?
¿Quién realizó la evaluación?
¿Qué ocurrió con los resultados?
¿Existía algún riesgo asociado con ese proveedor?
¿Qué hicieron cuando un proveedor no alcanzó el resultado esperado?
Esta técnica permite pasar de verificar documentos a auditar el funcionamiento real del proceso.
Una auditoría interna normalmente no puede revisar el 100 % de las operaciones.
Por eso se utilizan muestras.
Pero una muestra basada en riesgos no necesariamente debería seleccionarse completamente al azar.
Puede ser conveniente revisar:
- operaciones de mayor valor;
- casos con errores;
- clientes con reclamos;
- proveedores críticos;
- actividades recientes;
- operaciones excepcionales;
- procesos que han cambiado;
- situaciones donde los indicadores muestran desviaciones.
El objetivo es utilizar el tiempo disponible para obtener evidencia relevante sobre el funcionamiento del sistema.
Esta es probablemente una de las diferencias más importantes.
Un proceso puede tener: procedimiento, formatos, registros, indicadores, responsables definidos, y aun así no conseguir los resultados esperados.
Por eso una auditoría interna debería evaluar tanto el cumplimiento como la eficacia.
Por ejemplo, no basta con comprobar que existe un indicador.
También deberíamos preguntar:
¿Se está midiendo según lo planificado?
¿Está cumpliendo la meta?
¿Se analizan los resultados?
¿Se toman acciones cuando existen desviaciones?
¿Las acciones generan mejoras?
La auditoría adquiere mucho más valor cuando permite conectar los requisitos ISO con el desempeño real de la organización.
Un error frecuente ocurre cuando, pocos días antes de la auditoría, comienza una carrera para completar registros, actualizar documentos y conseguir firmas pendientes.
Esto puede ayudar a organizar información, pero no debería confundirse con la preparación real de un sistema de gestión.
El objetivo de una auditoría interna no debería ser evitar no conformidades a cualquier costo.
Una no conformidad interna detectada oportunamente puede ser valiosa.
Permite identificar y corregir un problema antes de que genere consecuencias mayores o sea identificado por un cliente, una autoridad o un organismo de certificación.
Por eso, una buena auditoría interna debe ser exigente, objetiva y orientada a encontrar evidencia.
Antes de comenzar, recomendamos al menos verificar que se encuentre disponible y actualizada la información pertinente sobre:
Contexto y partes interesadas → riesgos y oportunidades → objetivos e indicadores → procesos → responsabilidades → requisitos legales y otros requisitos → información documentada → resultados operacionales → proveedores → competencias → no conformidades → acciones correctivas → auditorías anteriores → revisión por la dirección.
La información específica dependerá de la norma y del alcance del sistema de gestión.
Una auditoría de ISO 9001 tendrá énfasis diferentes a una auditoría de ISO 14001, ISO 45001 u otro sistema de gestión.
Aunque ambas utilizan principios y técnicas de auditoría, tienen propósitos diferentes.
La auditoría interna es realizada por la propia organización o en su nombre y constituye una oportunidad para evaluar el sistema antes de enfrentarse a evaluaciones externas.
Por eso puede ser conveniente contratar un servicio externo de auditoría interna ISO cuando la organización necesita independencia, experiencia técnica o una mirada diferente sobre su sistema de gestión.
Además, una auditoría interna correctamente ejecutada puede proporcionar información valiosa para la revisión por la dirección y para definir acciones de mejora.
Una auditoría interna ISO basada en riesgos debería permitir responder preguntas mucho más importantes que simplemente:
"¿Tenemos todos los documentos?"
Debería ayudarnos a determinar:
¿Nuestros procesos funcionan?
¿Estamos consiguiendo los resultados esperados?
¿Los principales riesgos están controlados?
¿Las acciones correctivas han sido eficaces?
¿Existen problemas que todavía no hemos identificado?
¿Dónde tenemos oportunidades de mejora?
Cuando la auditoría responde estas preguntas, deja de percibirse únicamente como una obligación asociada con la certificación y se convierte en una herramienta para la gestión.
En KONEGGUI ofrecemos servicios de auditoría interna, consultoría y asesoría para sistemas de gestión ISO, con un enfoque orientado a procesos, riesgos, cumplimiento y mejora.
Podemos apoyar a su organización en la planificación y ejecución de auditorías internas, identificación de hallazgos y evaluación de la eficacia de su sistema de gestión.
¿Está preparando su próxima auditoría interna o auditoría de certificación?
Preparemos su auditoría interna.