Auditoría Interna ISO 9001: Checklist para Certificar

La auditoría interna es la fase donde se decide si la auditoría de certificación será un trámite o una carrera contrarreloj. Y es también la que más organizaciones convierten en un formalismo: se agenda, se hace, se levanta un informe con dos observaciones menores y todo el mundo respira aliviado.

Ese alivio es el problema. Una auditoría interna que no encuentra nada no significa que el sistema esté bien: significa que no se buscó donde duele. Cuando llega el organismo certificador, que no tiene ese incentivo, aparece lo que estaba ahí desde el principio.

Para qué sirve realmente

Tiene un único propósito: encontrar los problemas mientras todavía hay margen para corregirlos sin plazo encima. No es un examen que haya que aprobar. Es la última oportunidad barata de fallar.

Esa distinción cambia todo el diseño. Si la auditoría interna se plantea como una demostración de que el sistema funciona, el auditor busca evidencia que confirme. Si se plantea como una búsqueda de fallos, busca donde la evidencia sea débil. Solo la segunda sirve.

Quién puede auditar

El requisito no negociable es la independencia: nadie audita su propia área. Un responsable de operaciones no audita operaciones, por bien formado que esté.

En organizaciones pequeñas esto se resuelve con auditoría cruzada —calidad audita operaciones, operaciones audita administración— o con un auditor externo contratado solo para esa fase. Lo que no funciona es que la misma persona que redactó los procedimientos verifique que se cumplen.

El auditor necesita además formación en auditoría, no solo conocimiento de la norma. Saber qué pide la cláusula es distinto de saber cómo obtener evidencia de que se cumple.

Cómo se prepara

Programa anual, no evento único. La norma espera un programa que cubra todos los procesos del alcance a lo largo del ciclo, priorizando por criticidad y por resultados de auditorías anteriores. Un proceso que dio problemas se audita más seguido.

Plan por auditoría. Antes de cada una: qué procesos, qué cláusulas, quién audita, a quién se entrevista y cuándo. Se envía con antelación. Sorprender al auditado no aporta nada y sí genera resistencia.

Lista de verificación preparada. No genérica descargada de internet, sino construida a partir de los procedimientos reales de la organización. Ahí está la mitad del valor del ejercicio.

Qué revisar en cada proceso

Sobre el terreno, cuatro preguntas resuelven la mayor parte:

¿Qué dice que hace? Se contrasta con el procedimiento documentado.

¿Qué hace en realidad? Se observa y se pregunta a quien ejecuta, no a quien supervisa.

¿Dónde está la evidencia? Registros concretos, con fecha, de que el control operó. Esta es la pregunta que más hallazgos genera.

¿Qué pasó la última vez que falló? Si no hay registro de ninguna falla, o el proceso es perfecto o nadie está registrando.

Checklist de auditoría interna

1. El programa anual está aprobado y cubre todos los procesos del alcance.
2. Los auditores son independientes del área que auditan y tienen formación en auditoría.
3. Cada auditoría tiene plan enviado con antelación.
4. La lista de verificación se construyó desde los procedimientos propios, no de una plantilla genérica.
5. Se entrevistó a quien ejecuta, no solo a quien supervisa.
6. Cada hallazgo tiene evidencia objetiva citada: documento, registro, fecha.
7. Los hallazgos se clasifican en no conformidad mayor, menor y oportunidad de mejora.
8. Cada no conformidad tiene análisis de causa, no solo corrección.
9. Las acciones correctivas tienen responsable y fecha.
10. Se verificó la eficacia de las acciones cerradas en auditorías anteriores.
11. Los resultados entraron en la revisión por la dirección.
12. Existe registro de todo lo anterior, disponible sin buscarlo.

El punto 10 es el que más se salta y el primero que revisa un auditor externo con experiencia.

Cómo redactar un hallazgo

Un hallazgo útil tiene tres partes y ninguna opinión:

El requisito. Qué exige la norma o el procedimiento propio. La evidencia. Qué se observó, con dato concreto: documento, número, fecha. La brecha. Por qué lo observado no cumple el requisito.

«El área no lleva buen control de la documentación» no es un hallazgo: es una queja. «El procedimiento PR-04 exige revisión anual de los registros de calibración; los equipos EQ-12 y EQ-15 muestran última revisión en marzo de 2024» sí lo es.

La diferencia importa porque de la redacción depende que el análisis de causa sea posible. Un hallazgo vago produce una acción correctiva vaga.

Qué hacer con las no conformidades

El error más extendido es confundir corrección con acción correctiva.

Corrección es arreglar el caso concreto: revisar los dos equipos con la calibración vencida. Acción correctiva es evitar que vuelva a pasar: entender por qué nadie detectó el vencimiento y cambiar eso.

Cerrar una no conformidad solo con la corrección garantiza que reaparezca en la siguiente auditoría. Y el auditor externo lo va a notar, porque revisará el histórico.

El análisis de causa no necesita una metodología sofisticada. Preguntar «por qué» tres veces suele bastar. Si la tercera respuesta señala a una persona, no se ha llegado al fondo; si señala a una decisión de diseño del proceso, sí.

Errores comunes

Auditar contra la norma y no contra los procedimientos propios. La norma dice qué hay que lograr; el procedimiento dice cómo lo hace tu organización. Se audita lo segundo.

Buscar el aprobado. Un informe sin hallazgos relevantes es una señal de alarma, no de éxito.

Auditar solo documentos. El documento existe y está firmado; la pregunta es si el proceso opera como dice.

Cerrar sin verificar eficacia. Se marca la acción como completada sin comprobar que resolvió el problema.

Dejarla para el mes anterior a la certificación. Sin tiempo para corregir, la auditoría interna se vuelve un trámite caro.

Dónde encaja en el panorama panameño

Conviene tener claro el mapa institucional. La DGNTI, del Ministerio de Comercio e Industrias, es «el ente nacional de normalización, que actúa en la elaboración, adopción o adaptación de normas». El Consejo Nacional de Acreditación, también del MICI, es «el Organismo Nacional de Acreditación de la República de Panamá» y acredita a organismos de evaluación de la conformidad.

Ninguno de los dos audita tu sistema de gestión: eso lo hace el organismo certificador que contrates. Tu auditoría interna es un requisito de la propia norma y responsabilidad exclusiva de la organización.

Por dónde empezar

Si tu primera auditoría interna está cerca, dedica más tiempo a construir la lista de verificación desde tus procedimientos que a buscar plantillas. Ahí está la diferencia entre un ejercicio útil y uno decorativo.

Puedes ver cómo trabajamos esta fase en auditoría de calidad, y el proceso completo hasta certificar en implementación ISO 9001. El panorama del área está en sistemas de calidad.

¿Quieres una segunda opinión sobre tu preparación? Agenda un diagnóstico gratuito de 15 minutos.