Auditorías internas, no conformidades y acciones correctivas
Vigenta lleva el programa anual de auditorías, la ejecución de cada una y los hallazgos que salen de ella. Cada no conformidad se registra con su origen y su severidad, se corrige el efecto, se analiza la causa raíz, se define la acción correctiva con responsable y fecha, y se cierra sólo después de verificar que fue eficaz. Sin esa verificación, el hallazgo sigue abierto.
El dolor que resuelve
Las mismas no conformidades vuelven cada año porque se cerró la corrección y nunca la causa.
Por qué cuesta hoy
El programa de auditoría interna suele existir en papel y no en la práctica: se planifican tres al año, se hacen dos, y de la que se hizo queda un informe en Word que nadie vuelve a abrir. Los hallazgos se apuntan en el acta y se pierden entre la reunión de cierre y la siguiente auditoría, que es exactamente el ciclo que la norma quería cerrar.
Una auditoría sirve si sus hallazgos tienen dueño, plazo y verificación de eficacia. Y eso obliga a que el hallazgo viva fuera del informe: como registro propio, con su clasificación, su análisis de causa, su acción y su comprobación posterior. El informe es el resumen; el hallazgo es el trabajo.
También hay que resolver la independencia, que es donde más programas se caen. La norma pide que el auditor no audite su propio trabajo, y en una empresa mediana eso obliga a cruzar áreas: quien lleva compras audita mantenimiento, y al revés. Es incómodo la primera vez y deja de serlo cuando el hallazgo se lee como información y no como reproche. El sistema puede impedir la asignación incorrecta; el resto es cultura y tarda un ciclo en asentarse.
Cómo funciona
-
Se arma el programa
Por proceso, por norma y por sitio, con la frecuencia que exige el sistema y con auditores asignados que no auditan su propio trabajo.
-
Se ejecuta la auditoría
Con su lista de verificación, su evidencia objetiva y sus notas, todo enlazado al requisito que se estaba auditando.
-
Se levanta el hallazgo
Con origen, severidad y requisito incumplido. Un hallazgo sin requisito citado no es un hallazgo: es una opinión.
-
Corrección primero
Lo inmediato: contener el efecto y disponer de lo afectado. Se registra por separado de la acción correctiva, que es lo que casi nadie distingue.
-
Causa raíz y acción correctiva
Con responsable y fecha comprometida, y con el análisis a la vista de quien la revise.
-
Verificación de eficacia
Pasado el plazo, alguien comprueba que la causa no volvió. Sólo entonces el hallazgo se cierra.
Qué queda registrado
Cada acción deja su rastro, y el rastro es lo que se enseña el día de la auditoría:
- El programa anual con su alcance por proceso, su criterio y su auditor asignado.
- La independencia del auditor respecto del área auditada, comprobada antes de programar.
- Cada hallazgo con su clasificación, su evidencia objetiva y la cláusula que incumple.
- El análisis de causa raíz, la acción acordada, su responsable y su fecha comprometida.
- La verificación de eficacia posterior, que es lo que permite cerrar el hallazgo de verdad.
Qué exige la norma
| Cláusula | Qué exige | Norma |
|---|---|---|
| 9.2 Auditoría interna | Programa, criterios, alcance, selección de auditores y reporte de resultados. | ISO 22000 |
| 10.2 No conformidad y acción correctiva | Reaccionar, evaluar la necesidad de acción, implementar, revisar la eficacia y conservar la evidencia. | |
| 8.7 Control de salidas no conformes | Identificación, tratamiento y registro de lo que no cumple. |
Cómo se nota que funciona
- Los hallazgos se cierran por eficacia comprobada y no por vencimiento del plazo.
- La auditoría de tercera parte no encuentra nada que la interna no hubiera visto antes.
- El programa se cumple porque cada auditoría tiene fecha, auditor y alcance desde enero.
Las auditorías consumen lo que las demás capacidades producen —documentos, registros, requisitos legales, indicadores— y devuelven hallazgos que se convierten en acciones correctivas del capítulo 10. La reincidencia se detecta porque el hallazgo nuevo se compara con los cerrados del mismo proceso, no porque alguien se acuerde.
Quién la usa
- Auditor interno
- Planifica, ejecuta y documenta su auditoría con la evidencia enlazada desde el propio hallazgo.
- Responsable del área auditada
- Recibe el hallazgo, propone la acción y responde de su plazo sin que haya que perseguirlo.
- Responsable del sistema
- Sigue el programa completo y ve qué hallazgos siguen abiertos y desde cuándo.
Con los procesos declarados y los auditores dados de alta, el programa se arma en una sesión. No hace falta esperar a tener el sistema completo: una auditoría sobre un alcance parcial declarado es mejor evidencia que un programa completo que no se ejecuta.
Un caso concreto
Un programa anual de cuatro auditorías internas se venía cumpliendo a medias porque el auditor y el área auditada eran la misma persona en dos de ellas. Al declarar los procesos y sus responsables, el sistema deja de permitir esa asignación y obliga a cruzar auditores entre áreas. La primera auditoría con el nuevo esquema abre once hallazgos, siete más que la del año anterior. Ninguno es nuevo: son los que antes no se apuntaban por no ponerse a uno mismo una no conformidad.
Los tropiezos más frecuentes
- Cerrar hallazgos con la acción ejecutada en vez de con la eficacia comprobada semanas después.
- Escribir el hallazgo como opinión y no como evidencia objetiva contra una cláusula concreta.
- Programar la auditoría interna tan cerca de la de certificación que no queda tiempo para actuar sobre lo que encuentre.
Cómo se mide
Los dos números que importan son el porcentaje del programa ejecutado en fecha y el porcentaje de hallazgos cerrados por eficacia comprobada. Un programa al cien por cien con hallazgos cerrados por vencimiento no es un sistema que audite: es uno que rellena actas.
Tres términos que conviene fijar
- Programa de auditoría
- La planificación anual con alcance, criterio, frecuencia y auditor por cada proceso. Sin él, la auditoría es una visita improvisada.
- Evidencia objetiva
- El hecho comprobable en el que se apoya un hallazgo. Sin ella el hallazgo es una opinión y el área auditada lo rebate con razón.
- Verificación de eficacia
- La comprobación posterior de que la acción resolvió la causa. Es lo que permite cerrar el hallazgo; ejecutar la acción no basta.
- Independencia del auditor
- La condición de no auditar el propio trabajo. Se comprueba al programar cruzando auditor y área, y es lo que da valor al hallazgo frente a un organismo de certificación.
Lo que no hace
No hay portal dedicado para auditores externos: se invita al auditor como usuario de sólo lectura limitado al alcance auditado y se le exporta el expediente de evidencias. Y no cierra hallazgos por antigüedad: sin verificación de eficacia, siguen abiertos aunque haya pasado un año.
Preguntas frecuentes
¿Cómo se levanta y se cierra una no conformidad?
Se registra el hallazgo con su origen y severidad, se aplica la corrección inmediata, se analiza la causa raíz, se define la acción correctiva con responsable y fecha, y se cierra sólo después de verificar su eficacia. Sin verificación, la no conformidad sigue abierta.
¿Cuál es la diferencia entre corrección y acción correctiva?
La corrección actúa sobre el efecto: elimina la no conformidad detectada. La acción correctiva actúa sobre la causa para que no vuelva a ocurrir. Confundirlas es el motivo más común de que un auditor rechace el cierre de un hallazgo.
¿Puedo dar acceso a mi auditor externo?
Sí, invitándolo como usuario de sólo lectura con acceso limitado al alcance auditado, y exportando el expediente de evidencias en un paquete. El portal dedicado para auditores externos no forma parte de la versión disponible.