← Volver al blog Sistemas de gestión

Auditoría interna ISO 9001: cómo hacer una que sirva [2026]

Una auditoría interna sirve para encontrar los problemas de tu sistema antes de que los encuentre alguien a quien le cuesten caro: el auditor de certificación, un cliente que audita proveedores, o la realidad. Todo lo demás —el informe, la firma, el archivo— es la consecuencia administrativa de eso. Cuando una auditoría interna termina sin hallazgos, no es que el sistema esté impecable: es que la organización acaba de perder su único sistema de alarma.

Esta guía va a lo que decide si la tuya protege o decora: cómo se arma el programa anual, quién puede auditar y quién no, cómo se toma evidencia objetiva en vez de opiniones, cómo se redacta un hallazgo que se pueda cerrar, y qué partes de lo que se vende como obligatorio dejaron de serlo en 2015.

Para qué sirve, y cuándo es teatro

La auditoría interna tiene tres funciones reales, y conviene tenerlas separadas porque se optimizan distinto:

• Detectar desviaciones antes del auditor externo. Es el ensayo general. Se optimiza auditando lo incómodo, no lo que se sabe ordenado.
• Alimentar la revisión por la dirección. La cláusula 9.3 pide entre sus entradas los resultados de auditoría. Sin hallazgos, la revisión se queda sin la mitad de la información que la hace útil.
• Comprobar que el sistema describe la operación. Es la función que más valor entrega y la que menos se usa: la auditoría es la única actividad del año en que alguien compara sistemáticamente el papel con lo que pasa.

Cuatro señales de que la tuya es teatro

1. Se avisa con semanas y se audita lo que ya se ordenó. Si el área sabe qué expediente vas a pedir, lo que auditaste fue la preparación, no el proceso.
2. El auditor revisa documentos y no habla con quien ejecuta. La distancia entre el procedimiento y la realidad solo aparece en la entrevista al operario. Auditar la carpeta es auditar la intención.
3. Los hallazgos se cierran con «se dio capacitación». Capacitar es una corrección, no una acción correctiva: no explica por qué pasó ni cambia nada que impida la repetición.
4. El informe se escribe después del cierre, para que cuadre. Si el número de hallazgos se decide antes de auditar, lo que se está produciendo es evidencia, no información.

Qué exige la cláusula 9.2, sin adornos

Aquí se citan cláusulas y se parafrasean requisitos: el articulado de ISO 9001 tiene derechos de autor y, si necesitas el texto literal, se adquiere a través de un organismo de normalización. Lo que la 9.2 pide, en términos operativos, son seis cosas:

Lo que la norma no dice: ni la frecuencia exacta, ni el formato del informe, ni que haya que auditar todos los procesos en cada auditoría, ni que el auditor necesite un certificado personal. Todo eso lo decides tú, y por eso el programa es el documento que determina si el ejercicio sirve.

Para el detalle de cómo encaja esto con el resto del sistema, la guía del sistema de gestión de calidad ordena las cláusulas por fases; y para qué documentos exige la norma de verdad, la de procedimientos del SGC.

Quién puede auditar y quién no

La regla es corta: nadie audita su propio trabajo. El responsable de compras no audita compras; el que escribió el procedimiento no audita su cumplimiento; el responsable de calidad no se audita a sí mismo el sistema documental. En la práctica hay tres salidas, y todas son válidas:

1. Auditoría cruzada. El responsable de un área audita otra. Es lo más barato y funciona bien si hay formación mínima y un plan que impida el intercambio de favores.
2. Equipo mixto. Un auditor con formación acompañado por alguien que conoce el proceso técnico. El primero sostiene el método, el segundo detecta lo que un extraño no vería.
3. Auditor externo contratado como auditor interno. Es distinto del organismo de certificación. Resuelve la imparcialidad de un tirón y aporta comparación con otras organizaciones. Lo que esa persona o firma no puede hacer después es certificarte: ISO/IEC 17021-1 exige independencia entre consultoría y certificación.

Sobre la competencia: la guía internacional de referencia para auditar sistemas de gestión es ISO 19011:2018, que no es certificable ni obligatoria, pero es de donde salen los criterios que un auditor externo va a reconocer. Lo que tienes que poder demostrar es cómo determinaste que tu auditor es competente: formación recibida, experiencia previa, auditorías acompañadas antes de auditar solo.

El programa anual: lo que decide todo

El programa es la diferencia entre una auditoría que encuentra y una que pasea. No es un calendario: es una decisión sobre dónde mirar más. Se construye con cuatro criterios, en este orden:

1. Importancia del proceso. Donde hay dinero, riesgo para el cliente o requisito legal, se audita primero y más a fondo. La liberación de producto pesa más que la gestión de la papelería.
2. Resultados de auditorías previas. Un proceso con hallazgos el año pasado vuelve a entrar este año. Es literalmente lo que pide la 9.2.2 a, y es lo primero que un auditor externo comprueba en el programa.
3. Cambios. Proceso nuevo, sistema nuevo, planta nueva, responsable nuevo, cliente nuevo con requisitos distintos. Lo que cambió no tiene historia, y por eso es donde más aparece.
4. Quejas, no conformidades y desempeño de indicadores. Si un indicador lleva tres meses fuera de meta, ese proceso es candidato prioritario aunque le tocara en el último trimestre.

Reparto habitual en un ciclo de doce meses: todos los requisitos aplicables y todos los procesos del alcance se cubren al menos una vez; los procesos críticos, dos o tres; y se deja hueco para al menos una auditoría no programada si algo se descompone. El programa se aprueba al principio del ciclo y se ajusta con justificación, no se improvisa.

El plan y la lista de verificación

El programa es del año; el plan es de cada auditoría concreta y se envía al área con anticipación razonable —días, no semanas—. Lleva seis datos y ninguno es decorativo:

• Objetivo: qué se quiere determinar. «Verificar la conformidad del proceso de compras con la cláusula 8.4 y con PR-COM-01».
• Alcance: qué procesos, sitios y periodo de registros entran.
• Criterios: contra qué se audita. La norma, tus documentos, requisitos del cliente y requisitos legales aplicables.
• Equipo auditor y reparto de responsabilidades.
• Agenda por horas, con quién se va a entrevistar. Es lo que evita que el día se consuma esperando a que alguien se desocupe.
• Reuniones de apertura y cierre, con asistentes.

La lista de verificación no es un cuestionario de sí/no: es un guion de qué evidencia pedir. La versión que funciona tiene tres columnas por línea: el requisito, la evidencia que se va a solicitar, y el resultado con la referencia concreta del registro revisado. Una lista sin la tercera columna llena no prueba que se auditó.

Cómo se audita de verdad: evidencia objetiva

Auditar es recoger evidencia objetiva —hechos verificables— y compararla con un criterio. No es opinar, no es aconsejar y no es corregir sobre la marcha. Cuatro técnicas, y las cuatro se usan en la misma auditoría:

• Entrevista. Preguntas abiertas a quien ejecuta: «muéstrame cómo haces esto», no «¿sigues el procedimiento?». La segunda pregunta solo tiene una respuesta posible y no informa de nada.
• Revisión de registros. Muestreo, no censo. Se toma una muestra suficiente y se declara cómo se eligió; un muestreo dirigido a los expedientes que el área ofreció no es muestreo.
• Observación en sitio. Mirar el proceso ocurriendo. Es donde aparecen los formatos con versión vieja pegados en la pared y los pasos que nadie escribió.
• Trazabilidad de punta a punta. Tomar un caso real —un pedido, un lote, un servicio— y seguirlo desde la revisión de requisitos hasta la entrega y la posventa. Es la técnica que más hallazgos produce por hora invertida, porque los sistemas fallan en las costuras entre áreas.

Dos reglas de conducta que evitan la mayoría de los conflictos: el auditor no consulta —decir cómo arreglarlo lo vuelve juez y parte del hallazgo del año siguiente— y todo hallazgo se confirma con el auditado antes de la reunión de cierre, porque discutir hechos en público convierte una auditoría en una negociación.

Cómo se redacta un hallazgo

Un hallazgo mal redactado no se puede cerrar, y un hallazgo que no se puede cerrar se convierte en una discusión. La fórmula que funciona tiene tres partes y siempre en este orden:

La clasificación habitual tiene tres niveles y conviene usar los mismos que usará el organismo, para que el ensayo general se parezca a la función:

• No conformidad mayor: un requisito completo no se cumple, el fallo es sistémico, o compromete la capacidad del sistema de entregar producto conforme.
• No conformidad menor: incumplimiento aislado que no compromete al sistema. Un registro sin firmar, un formato con versión vieja en un puesto.
• Observación u oportunidad de mejora: no es incumplimiento; es un aviso. Repetida dos ciclos, es el anuncio de una menor.

Lo que se vende como obligatorio y no lo es

Después del informe: la acción correctiva

Aquí es donde se pierde la mitad del valor del ejercicio. La cláusula 10.2 pide tres cosas distintas y la mayoría de los sistemas solo hace la primera:

1. Corrección: arreglar el caso concreto. Evaluar a los tres proveedores que faltaban.
2. Análisis de causa: por qué pasó. No quién lo hizo. «El procedimiento no define quién dispara la evaluación anual ni en qué mes, así que nadie la dispara.»
3. Acción correctiva: qué cambia para que no se repita. «Se asigna la evaluación al comprador con fecha fija en el calendario del proceso y se incluye en el tablero mensual.»

Y la cuarta, que no es opcional: verificación de la eficacia, con fecha posterior y evidencia. Un hallazgo cerrado el mismo día en que se abrió casi siempre significa que solo hubo corrección. El auditor externo lo detecta mirando las fechas, que es la revisión más barata que existe.

8 errores que la vuelven inútil

1. Hacerla la semana anterior a la certificación. No demuestra que el sistema operó y no da tiempo a que las acciones correctivas muestren eficacia. Es el error que más etapas 2 reprograma.
2. Auditar documentos en vez de la operación. La carpeta siempre está bien; el proceso no siempre.
3. Que el auditor audite lo suyo. Incumple la 9.2.2 c y, más importante, no encuentra nada.
4. Avisar con semanas y pedir los expedientes por adelantado. Se audita la preparación del área, no su operación.
5. Redactar hallazgos como opiniones. Sin requisito ni evidencia no se pueden cerrar y terminan en discusión.
6. Cerrar todo con «se capacitó al personal». Es corrección disfrazada de acción correctiva. Si la causa era que el procedimiento no asignaba responsable, capacitar no cambia nada.
7. No llevar los resultados a la revisión por la dirección. La 9.3 los pide como entrada, y sin ellos la revisión se convierte en una presentación de logros.
8. Repartir el programa en partes iguales. El proceso que más duele y el que menos importa reciben lo mismo. Es la forma más silenciosa de no auditar.

Ejemplo resuelto: un programa anual completo

Empresa de servicios profesionales, 80 personas, un sitio, 12 procesos en el alcance. Así quedó el ciclo de doce meses:

El dato que importa del caso no es el 21, es el 14 de 21 concentrado en dos procesos. Eso es exactamente lo que el programa debe detectar para el ciclo siguiente: no repartir en partes iguales, sino volver a donde estaba el problema. Un programa que hubiera dado la misma atención a los doce procesos habría encontrado menos de la mitad.

Cuando llegó la auditoría de certificación, los hallazgos externos fueron 5, ninguno mayor. La relación entre las dos cifras es el rendimiento real de la auditoría interna: el detalle de lo que pasa en las etapas 1 y 2 está en cómo certificar tu empresa en ISO 9001.

Preguntas frecuentes

Conclusión

La auditoría interna es la única actividad del año en la que alguien compara sistemáticamente lo que la empresa dice que hace con lo que hace. Cuando se trata como trámite, esa comparación no ocurre y el sistema se degrada sin que nadie lo note hasta que llega un tercero.

Si vas a montar la tuya, tres decisiones ordenan el resto: reparte el programa por importancia y por historial, nunca en partes iguales; audita hablando con quien ejecuta y rastreando un caso de punta a punta, no revisando carpetas; y exige análisis de causa y verificación de eficacia antes de cerrar un hallazgo. Las tres se deciden al escribir el programa, no en la semana de la auditoría.