En resumen
La auditoría interna la exige el apartado 9.2 de todas las normas ISO de sistemas de gestión, y el organismo la revisa en la Etapa 1, la Etapa 2 y cada seguimiento.
El programa de auditoría parte de la importancia de los procesos y de los resultados anteriores, no del índice de la norma.
Quien audita debe ser competente y objetivo: nadie debería verificar su propio trabajo, tampoco en las empresas pequeñas.
Una no conformidad útil indica el requisito, la evidencia objetiva y el problema; el informe debe ser breve y basado en hechos.
Los resultados de las auditorías alimentan las acciones correctivas y la revisión por la dirección: planifica las tres actividades juntas.
Una auditoría interna bien hecha te ahorra sorpresas en la auditoría externa. Cómo eliges los procesos, a quién implicas y cómo redactas un informe útil son las tres decisiones que separan un control real de un trámite para archivar.
La auditoría interna ISO es un requisito de todas las normas de sistemas de gestión: ISO 9001, ISO 14001, ISO 27001, ISO 45001 y las demás construidas sobre la misma estructura. Sin embargo, muchas pymes la tratan como una formalidad: una checklist descargada, una vuelta rápida por las oficinas unas semanas antes de la visita del organismo, un acta que dice "sin hallazgos". Luego llega el auditor externo y encuentra en media jornada lo que la auditoría interna debería haber visto meses antes.
En esta guía vemos qué exige realmente la norma, cómo construir un programa de auditoría proporcionado a tu empresa, quién puede actuar como auditor sin perder objetividad, cómo realizar cada auditoría y cómo redactar un informe que la dirección lea y utilice. La referencia práctica es la ISO 19011, la directriz internacional para la auditoría de sistemas de gestión. Si antes necesitas repasar cómo funciona todo el proceso, empieza por nuestra guía sobre qué son las certificaciones ISO.
¿Qué es la auditoría interna ISO y qué exige la norma?
La auditoría interna es una verificación que la empresa realiza sobre sí misma, a intervalos planificados. Sirve para saber si el sistema de gestión cumple los requisitos y si funciona de verdad en la práctica.
Todas las normas ISO de sistemas de gestión comparten la estructura armonizada publicada por ISO e IEC, y la auditoría interna aparece siempre en el apartado 9.2. El texto común exige realizar auditorías internas a intervalos planificados para obtener información sobre dos aspectos: si el sistema es conforme a tus propios requisitos y a los de la norma, y si se implementa y mantiene eficazmente. La misma estructura define la auditoría interna como auditoría "de primera parte", realizada por la propia organización o por un tercero en su nombre.
Los requisitos del apartado 9.2 en la práctica
El apartado 9.2 tiene una segunda parte, dedicada al programa de auditoría, y es ahí donde se decide la calidad del trabajo. La norma exige planificar, establecer, implementar y mantener un programa que incluya frecuencia, métodos, responsabilidades, requisitos de planificación y elaboración de informes. Al construirlo debes tener en cuenta la importancia de los procesos implicados y los resultados de auditorías anteriores.
Para cada auditoría, la norma exige además definir los objetivos, los criterios y el alcance, seleccionar auditores que aseguren la objetividad y la imparcialidad, e informar de los resultados a los responsables pertinentes. Por último, necesitas información documentada como evidencia de la implementación del programa y de los resultados de las auditorías. Cada norma puede añadir detalles propios de su disciplina, pero este núcleo es idéntico en todas. Por eso, si tienes varias certificaciones, puedes gestionar un único programa integrado en lugar de muchas auditorías separadas.
Por qué el organismo de certificación siempre la revisa
La auditoría interna es uno de los primeros elementos que revisa el organismo de certificación. La ISO/IEC 17021-1, la norma que regula a los organismos, exige comprobar ya en la Etapa 1 que las auditorías internas y la revisión por la dirección se planifican y se realizan. En la Etapa 2 la auditoría interna está entre los elementos que se auditan, y cada auditoría de seguimiento debe incluirla de nuevo.
Hay también un efecto menos evidente. En su informe, el organismo también recoge cómo ha evaluado la auditoría interna y la revisión por la dirección. Dicho de otro modo, el auditor externo no se limita a comprobar que la auditoría interna existe: evalúa si ha funcionado. Una auditoría interna que no encontró nada, en una empresa donde el auditor externo sí encuentra varios problemas, es en sí misma una señal de que el control interno no se sostiene.
¿Cómo construyes un programa de auditoría que tenga sentido?
El programa de auditoría es el plan que establece qué verificar, cuándo, con quién y con qué métodos. Se construye antes de las auditorías individuales y se revisa cuando cambian los riesgos.
El error más común es copiar el índice de la norma y asignar una auditoría por apartado. Así se controlan requisitos desconectados del trabajo real, mientras que la norma pide partir de los procesos y de su importancia. Un buen programa responde en cambio a una pregunta concreta: ¿dónde puede fallar algo que importa a los clientes, al cumplimiento legal o a los objetivos de la empresa?
Elegir los procesos según su importancia y su riesgo
Parte del mapa de procesos y asigna a cada uno un nivel de atención. Los criterios útiles son pocos: el impacto en el cliente o en los resultados del sistema, las reclamaciones y no conformidades registradas, los cambios recientes (un nuevo software, un nuevo responsable, una nueva planta), los resultados de la auditoría anterior y los hallazgos del organismo.
Piensa en una empresa metalmecánica de 60 empleados certificada en ISO 9001. En el último año ha cambiado de ERP y ha recibido tres reclamaciones por retrasos en las entregas. Un programa sensato concentra la atención en la planificación de la producción y la logística, verifica cómo se migraron los datos de pedidos y listas de materiales, y aplica un control más ligero a procesos estables como la gestión de recursos humanos. La ISO 19011 llama a esta lógica enfoque basado en riesgos: lo utiliza tanto para planificar el programa como para decidir dónde dedicar el tiempo en cada auditoría.
Frecuencia: no todo cada año de la misma manera
La estructura armonizada no fija una frecuencia: habla de "intervalos planificados" y deja la elección en tus manos. Eso no significa que puedas auditar cuando te venga bien. Significa que la frecuencia debe estar justificada por la importancia de los procesos y por los resultados anteriores.
En la práctica, muchas empresas se aseguran de cubrir todos los procesos y todos los requisitos de la norma al menos una vez en el ciclo de certificación de tres años, y verifican los procesos críticos cada año o incluso con más frecuencia. Puedes repartir las auditorías a lo largo del año en lugar de concentrarlas en una sola semana: trabajas mejor, molestas menos a los departamentos y tienes tiempo de cerrar las acciones antes del seguimiento.
Un ejemplo de programa anual
Así podría ser el programa de una empresa de servicios TI con 35 personas, certificada en ISO 9001 e ISO/IEC 27001.
Proceso o área | Motivo de la elección | Periodo | Auditor |
|---|---|---|---|
Gestión de accesos e identidades | Hallazgo de la auditoría anterior, nueva herramienta de autenticación | Primer trimestre | Responsable de calidad (no implicado en el proceso) |
Desarrollo y despliegue de software | Proceso clave para el cliente, dos reclamaciones | Segundo trimestre | Auditor externo designado |
Proveedores y servicios en la nube | Nuevo proveedor crítico | Segundo trimestre | Responsable de TI de otro equipo |
Formación y concienciación | Proceso estable | Tercer trimestre | Responsable de calidad |
Gestión de incidentes y continuidad | Prueba de continuidad prevista en el año | Tercer trimestre | Auditor externo designado |
Liderazgo, objetivos y revisión | Cobertura de los requisitos del sistema | Cuarto trimestre | Auditor externo designado |
La tabla no es una plantilla para copiar: es un ejemplo de cómo cada fila tiene un motivo. Si una fila no tiene motivo, probablemente sobra, o hace falta pero con menos tiempo.
¿Quién debe realizar la auditoría interna?
La auditoría interna puede realizarla una persona de la empresa o un profesional externo designado. Lo que cuenta es que sea competente y mire el proceso con objetividad e imparcialidad.
La estructura armonizada exige seleccionar a los auditores y realizar las auditorías de forma que se asegure la objetividad y la imparcialidad del proceso. La ISO 19011 incluye la independencia entre sus siete principios de auditoría, junto con la integridad, la presentación ecuánime, el debido cuidado profesional, la confidencialidad, el enfoque basado en la evidencia y el enfoque basado en riesgos. El criterio práctico es sencillo: nadie debería verificar su propio trabajo.
Objetividad en las empresas pequeñas
En una empresa de 15 personas, la regla "nadie audita su propio trabajo" parece imposible de cumplir. No lo es, pero exige un mínimo de organización. Puedes hacer que el responsable técnico audite la administración y que la responsable administrativa audite la producción, siempre que hayan recibido una formación adecuada. Puedes intercambiar auditores con una empresa colaboradora, o designar a un auditor externo para los procesos en los que todos están implicados, como los de la dirección.
La propia ISO 19011 reconoce que sus indicaciones deben adaptarse al tamaño y a la complejidad del programa. Lo que no funciona es el responsable de calidad que audita los procesos que gestiona cada día, o el propietario que audita su propio liderazgo: en el mejor de los casos encontrará lo que ya sabe; en el peor, no verá nada. Lo importante es que el auditor no verifique su propio trabajo operativo.
Auditor interno o externo: cómo elegir
Un auditor interno conoce los procesos, las personas y la jerga de la empresa. Requiere menos coordinación y, bien formado, crece junto con el sistema. Su límite es la familiaridad: con los años tiende a dar por sentado lo que ve cada día.
Un auditor externo aporta una mirada nueva y una experiencia construida en muchas empresas, y conoce lo que esperan los organismos de certificación. El riesgo, si trabaja sin contexto, es una auditoría genérica. La solución más habitual en las pymes es mixta: auditores internos para los procesos operativos y un externo experto para los procesos transversales y para un control global antes del seguimiento.
Si te acompaña Complaion, esta elección ya está hecha: la auditoría interna la realiza tu Lead Auditor de Complaion: un profesional externo a tus procesos, que los audita con los criterios de la ISO 19011 sin formar parte de su operativa. Conoce tu sistema, pero nunca verifica un trabajo operativo propio.
Las competencias necesarias
La ISO 19011 dedica un capítulo entero a la competencia de los auditores: comportamiento personal, conocimientos y habilidades, y cómo se evalúan. Para una auditoría interna hacen falta tres cosas. Conocer la norma de referencia, al menos en los requisitos que se verifican. Conocer el proceso, para entender qué es normal y qué no. Y saber auditar: hacer preguntas abiertas, escuchar, pedir la evidencia, separar los hechos de las opiniones.
Conserva las evidencias de la formación y la experiencia de los auditores internos. El organismo puede pedirlas y, sobre todo, te ayudan a saber quién está preparado para cada proceso.
¿Cómo se prepara y se realiza una auditoría?
Cada auditoría del programa tiene un objetivo, unos criterios y un alcance definidos antes de empezar. Sin estos tres elementos, la auditoría se convierte en una charla.
La ISO 19011 describe la realización de la auditoría por fases: inicio, preparación, ejecución de las actividades, informe, finalización y seguimiento. No hace falta aplicarlas con la formalidad de una auditoría de certificación, pero la secuencia ayuda a no saltarse pasos. Veamos los tres momentos decisivos.
Objetivos, criterios y alcance: tres líneas que lo cambian todo
El objetivo dice por qué auditas: por ejemplo, verificar que los despliegues de software siguen el procedimiento de pruebas aprobado. Los criterios son la referencia con la que comparas lo que encuentras: los requisitos de la norma, tus procedimientos, las obligaciones legales o contractuales. El alcance establece qué entra: qué centros, qué departamentos, qué periodo.
Escribirlos antes te protege de dos errores opuestos. El primero es la auditoría demasiado amplia, que toca todo y no profundiza en nada. El segundo es la auditoría sin criterios, en la que el auditor juzga según sus preferencias. Una buena regla: si no sabes indicar el criterio de referencia de un posible hallazgo, ese hallazgo no es una no conformidad.
El plan y la checklist
El plan de auditoría indica fechas, horarios, personas que entrevistar y documentos que examinar. Compártelo con los responsables de los procesos unos días antes, para que las personas adecuadas estén disponibles y los documentos sean accesibles.
La checklist es útil, pero tiene que ser tuya. Constrúyela a partir de los criterios y los riesgos del proceso, no de un modelo genérico. En lugar de "¿Existe un procedimiento de gestión de proveedores?", escribe "Tomar tres pedidos a proveedores críticos del último semestre y verificar que el proveedor estaba cualificado en la fecha del pedido". La primera pregunta se cierra con un sí. La segunda produce evidencias verificables.
Recoger evidencias sobre el terreno
Las evidencias se recogen de tres formas: entrevistando a las personas, observando las actividades y examinando documentos y registros. Una buena auditoría las cruza. Si el procedimiento dice que cada cambio en el código lo revisa un compañero, pregunta al desarrollador cómo funciona, observa una revisión en curso y comprueba los registros de una muestra de cambios.
El muestreo es inevitable: no puedes revisarlo todo. Elige la muestra de forma razonada, dando prioridad a los casos de mayor riesgo y al periodo más reciente, y anota qué elementos has comprobado. Anota también lo que funciona: una auditoría interna que solo registra problemas da a la dirección una imagen distorsionada del sistema.
¿Cómo redactas un informe de auditoría que sirva de verdad?
El informe de auditoría es útil cuando quien lo lee entiende en pocos minutos qué funciona, qué no y qué hay que hacer. Debe basarse en evidencias, no en impresiones.
La ISO 19011 llama "hallazgos de la auditoría" al resultado de comparar las evidencias recogidas con los criterios de auditoría. Un hallazgo puede indicar conformidad o no conformidad, y puede señalar oportunidades de mejora. Las conclusiones de la auditoría son, en cambio, la síntesis global, que tiene en cuenta los objetivos y todos los hallazgos.
Cómo redactar una no conformidad
Una no conformidad bien redactada tiene tres elementos: el requisito no cumplido, la evidencia objetiva y la descripción del problema. Compara estas dos versiones.
Versión débil: "La gestión de proveedores no es adecuada." No dice qué requisito, no dice qué has visto, y el responsable del proceso no sabe por dónde empezar.
Versión útil: "El procedimiento de compras exige cualificar a los proveedores críticos antes del primer pedido. De cinco pedidos a proveedores críticos del segundo trimestre, dos se emitieron a un proveedor de servicios en la nube sin cualificación registrada en la fecha del pedido." El problema está acotado, es verificable e indica ya dónde buscar la causa. Para entender cómo se clasifican los hallazgos y cómo los valora el organismo, lee la guía sobre no conformidades mayores y menores.
La estructura de un informe esencial
Una auditoría interna no necesita informes de veinte páginas. Una estructura esencial funciona mejor, porque se lee.
Objetivo, criterios, alcance, fechas y auditores.
Personas entrevistadas y muestra examinada.
Síntesis en pocas líneas: el estado del proceso respecto al objetivo.
Puntos fuertes observados, con evidencias.
No conformidades, cada una con requisito, evidencia y descripción.
Observaciones y oportunidades de mejora, separadas de las no conformidades.
Conclusiones y próximos pasos acordados.
La estructura armonizada exige informar de los resultados a los responsables pertinentes: el informe debe compartirse con quien gestiona el proceso y llegar a la dirección. Consérvalo junto con las evidencias principales, porque es la información documentada que demuestra que la auditoría se realizó.
El tono importa
Un informe que suena a acusación genera defensas, no mejoras. Describe hechos, no personas: "el registro no está" en lugar de "el responsable no lo registró". Comparte los hallazgos ya en la reunión de cierre, para que nadie los descubra al leer el documento. Y distingue con claridad una no conformidad de una sugerencia: si todo se convierte en no conformidad, nada tiene prioridad.
¿Qué ocurre después de la auditoría interna?
La auditoría interna solo aporta valor si los hallazgos se convierten en acciones. El ciclo se cierra con las correcciones, las acciones correctivas y la revisión por la dirección.
Para cada no conformidad, la estructura armonizada exige reaccionar, controlando y corrigiendo el problema, y evaluar si hace falta una acción para eliminar su causa, de modo que no vuelva a ocurrir. Aquí muchos se quedan en la corrección: se cualifica el proveedor que faltaba y se cierra. Pero si dos pedidos de cinco no tenían cualificación, el problema está en el proceso, no en ese proveedor. La guía sobre acciones correctivas y análisis de causa raíz explica cómo llegar a la causa real sin quedarte en la primera respuesta.
El vínculo con la revisión por la dirección
Los resultados de las auditorías son una de las entradas obligatorias de la revisión por la dirección, junto con las no conformidades, las acciones correctivas y los resultados del seguimiento y la medición. Si la auditoría interna se hace poco antes de la revisión, la dirección decide con datos recientes. Si se hace después, decide con datos de hace un año.
Por eso conviene planificar juntas las auditorías internas y la revisión. Una secuencia típica: auditorías repartidas a lo largo del año, cierre de las acciones principales, revisión por la dirección y, después, auditoría de seguimiento. Lo tratamos en la guía sobre la revisión por la dirección.
Verificar la eficacia, no solo el cierre
Una acción correctiva cerrada no es necesariamente una acción eficaz. En la siguiente auditoría del mismo proceso, comprueba si el problema ha vuelto a aparecer y si la causa se ha eliminado de verdad. Registra el resultado en el programa: es una de las formas en que el propio programa mejora con el tiempo, como recomienda la ISO 19011 cuando trata el seguimiento y la revisión del programa de auditoría.
¿Cuáles son los errores más comunes en las auditorías internas?
Los errores recurrentes son casi siempre los mismos, en empresas de cualquier sector. Reconocerlos de antemano es la forma más rápida de subir el nivel.
El primero es la auditoría concentrada en el último mes antes del seguimiento. El calendario la hace cómoda, pero no deja tiempo para analizar las causas y cerrar las acciones: el organismo verá hallazgos abiertos y acciones correctivas escritas con prisa. El segundo es la checklist copiada de internet, que verifica que existen los documentos en lugar de que funcionan los procesos.
El tercer error es la auditoría autorreferencial: quien escribió el procedimiento lo audita y lo encuentra todo en orden. El cuarto es el informe sin evidencias, con frases como "proceso bajo control" que nadie puede verificar. El quinto es considerar cero hallazgos un buen resultado. Un sistema vivo siempre tiene algo que mejorar: una auditoría que no encuentra nada a menudo ha mirado poco.
Por último está el error de alcance. A lo largo del programa, las auditorías internas deben cubrir todos los requisitos de la norma y todo el alcance del certificado, centros incluidos. Si un centro o un proceso externalizado no aparece nunca, es ahí donde mirará el auditor externo. Para tener una visión completa de los requisitos que cubrir, consulta nuestras guías sobre ISO 9001 e ISO 27001.
¿Cómo te ayuda Complaion con la auditoría interna?
Si haces el proceso de certificación con Complaion, la auditoría interna la haces con nosotros: es tu Lead Auditor quien la realiza, con la objetividad de quien no trabaja en los procesos que audita, y quien te entrega el informe con los hallazgos y las acciones a emprender. No tienes que formar a un auditor interno ni buscar uno externo. El recorrido está pensado para sacar a la luz y cerrar las no conformidades antes de la visita externa: por eso nuestros clientes llegan a la auditoría externa con un éxito del 100 %.
Con Complaion, la auditoría interna deja de ser un trámite de última hora y pasa a formar parte del trabajo de cada mes. Te acompaña un Lead Auditor dedicado, que conoce tu empresa, te propone el camino más adecuado a tus necesidades, define contigo el programa de auditoría según los riesgos reales, no según el índice de la norma, y realiza las auditorías internas previstas.
La plataforma recoge las evidencias, gestiona los documentos con sus versiones y mantiene el calendario de auditorías, acciones correctivas y revisiones, para que ningún plazo te pille por sorpresa. Cuando llega la auditoría del organismo, el material ya está ordenado y el Lead Auditor te acompaña en la preparación. Es el modelo que ya utilizan más de 1.000 clientes para obtener y mantener sus certificaciones.
¿Quieres saber cómo plantear tu programa de auditoría interna? Habla con uno de nuestros expertos o solicita un presupuesto a medida para tu empresa.
Preguntas frecuentes sobre la auditoría interna ISO
¿La auditoría interna es obligatoria para la certificación ISO?
Sí. Todas las normas ISO certificables de sistemas de gestión construidas sobre la estructura armonizada exigen auditorías internas a intervalos planificados, en el apartado 9.2. El organismo de certificación comprueba ya en la Etapa 1 que se planifican y se realizan, y vuelve a revisarlas en la Etapa 2 y en cada seguimiento. Sin una auditoría interna completada, la empresa normalmente no está preparada para la certificación.
¿Con qué frecuencia hay que hacer la auditoría interna?
La norma no fija una frecuencia: exige intervalos planificados, establecidos según la importancia de los procesos y los resultados de auditorías anteriores. Muchas empresas cubren todos los requisitos al menos una vez en el ciclo de certificación de tres años y verifican cada año los procesos críticos. Lo importante es que la frecuencia esté justificada y documentada en el programa de auditoría.
¿Puede un empleado hacer la auditoría interna?
Sí, siempre que sea competente y asegure objetividad e imparcialidad. En la práctica, no debe verificar su propio trabajo. En las empresas pequeñas se resuelve haciendo que departamentos distintos se auditen entre sí, o confiando a un auditor externo los procesos en los que todos están implicados. Conserva las evidencias de formación y experiencia de quien audita.
¿Qué diferencia hay entre auditoría interna y auditoría de certificación?
La auditoría interna es de primera parte: la realiza la empresa sobre sí misma, directamente o a través de un tercero designado. La auditoría de certificación es de tercera parte: la realiza un organismo acreditado e independiente, conforme a la ISO/IEC 17021-1. La primera sirve para mejorar y prepararse; la segunda lleva a la decisión sobre el certificado.
¿Qué debe contener el informe de auditoría interna?
Objetivo, criterios, alcance, fechas, auditores y muestra examinada, y después los hallazgos: puntos fuertes, no conformidades y oportunidades de mejora. Cada no conformidad debe indicar el requisito, la evidencia objetiva y la descripción del problema. Cierran el informe las conclusiones y los próximos pasos acordados con los responsables.
¿Se puede hacer una única auditoría interna para varias normas ISO?
Sí. Las normas construidas sobre la estructura armonizada comparten el mismo apartado de auditoría interna, así que puedes gestionar un programa integrado y realizar auditorías combinadas, por ejemplo de calidad y seguridad de la información sobre el mismo proceso. Eso sí, debes cubrir los requisitos específicos de cada norma e indicar claramente en el informe a qué norma se refiere cada hallazgo.
¿Qué pasa si la auditoría interna encuentra no conformidades antes de la certificación?
Es normal, y es precisamente el objetivo de la auditoría. Debes corregir el problema, analizar su causa y decidir las acciones correctivas. El organismo no penaliza una auditoría interna que encuentra problemas: mira si se han gestionado de forma eficaz. Una auditoría interna que no encuentra nada, cuando luego el auditor externo sí encuentra varios hallazgos, es una señal peor.
