Una auditoría interna de calidad ayuda a conocer cómo se aplica el sistema de gestión dentro de la organización. Para que la revisión aporte información útil, define de antemano qué proceso examinarás, con qué criterios, en qué periodo y quién puede auditarlo con competencia e imparcialidad. La selección debe explicar por qué ese proceso está incluido y qué conclusión permite extraer la evidencia obtenida.

El ISO 9001 Auditing Practices Group (APG) publica orientación educativa sobre auditorías internas. La guía APG propone orientar la programación de auditorías a riesgos, cambios, resultados anteriores e importancia de los procesos. En la práctica, eso invita a explicar por qué entra un proceso en el programa y qué información sostiene la prioridad. APG, “Guidance on Internal Audits” (PDF pp. 1–2, planificación basada en riesgos). Es orientación atribuida al grupo, no un calendario predeterminado ni un requisito adicional.

Programa y auditoría individual

El programa da una visión de conjunto: qué procesos o ubicaciones se auditarán, con qué prioridad y cómo se asignan recursos. Una auditoría concreta tiene su propio objetivo y alcance. Si el programa marca “compras” y el plan revisa solo la aprobación de proveedores durante un trimestre, comunica ese límite; no presentes la conclusión como revisión de todas las compras ni de todo el periodo.

Cuando el riesgo o antecedentes elevan la prioridad, el programa local puede revisar antes ese proceso, siempre documentando el criterio de selección. La guía APG menciona la importancia de los procesos, los cambios y los resultados anteriores como elementos de planificación; la decisión concreta sigue dependiendo de la organización. APG, “Guidance on Internal Audits” (PDF pp. 1–2, planificación basada en riesgos). Registra qué información usaste y por qué la prioridad responde a ella.

No confundas planificación de programa con frecuencia predeterminada. La guía dice que los criterios de frecuencia, duración y alcance deben definirse por la organización y que ISO 9001 no especifica una cifra universal para esos parámetros. APG, “Guidance on Internal Audits”, pp. 2–3. Una revisión más frecuente puede tener sentido para un proceso que cambió o acumula problemas, pero esa decisión debe justificarse con el método aplicable, no con un calendario inventado para toda empresa.

Define objetivo, alcance y criterios

El objetivo debe expresar qué quieres conocer. «Auditar el almacén» es demasiado amplio si el trabajo se concentra en una sola actividad. «Comprobar cómo se identifican y separan los materiales retenidos en la ubicación A durante los turnos seleccionados» permite preparar una muestra y saber qué evidencia servirá. Es una formulación hipotética, no una regla textual del APG.

El alcance establece los procesos, ubicaciones, periodos, productos o muestras revisados. Los criterios indican contra qué requisito, procedimiento o compromiso compararás la evidencia. Comprueba que la versión estaba vigente para el periodo auditado. Si el auditor usa un criterio que el proceso no conocía o que no aplica a esa actividad, el desacuerdo puede provenir de la selección del criterio y no de una desviación real.

Describe límites también cuando no puedas revisar toda la operación. Si el plan toma registros de dos turnos, indica qué turnos quedan fuera. Si el sistema digital conserva eventos durante un plazo limitado, registra las fechas que pudiste comprobar. Un muestreo no cubre automáticamente unidades, ubicaciones o periodos que no se seleccionaron.

Diseñar un alcance con procesos, ubicaciones, criterios y periodo observados facilita que la evidencia se interprete dentro del objetivo acordado. Una ficha puede recoger esos datos junto con responsables y límites de muestra. APG trata la planificación y ejecución en su guía de auditorías internas (PDF pp. 1–3, planificación y ejecución); la ficha aquí es una propuesta de trabajo, no una plantilla obligatoria. Su utilidad está en dejar claro qué se revisó y qué quedó fuera.

Selecciona auditores y protege la imparcialidad

La competencia depende del tipo de proceso y de la evidencia que se revisará. Una auditoría de medición puede requerir familiaridad con instrumentos y registros; una revisión de compras puede exigir entender criterios de proveedor y flujos de aprobación. No basta con asignar a alguien que conoce el área si no puede evaluar el criterio de forma consistente. Define qué conocimientos necesita el encargo y qué apoyo tendrá quien audita.

APG señala que la competencia e imparcialidad del auditor son factores que deben considerarse en la auditoría interna. El documento también habla de objetividad y de asignar personas con preparación apropiada para el encargo. APG, “Guidance on Internal Audits” (PDF pp. 2–3, competencia e imparcialidad del auditor). La guía trata estos puntos como orientación sobre el proceso; no establece una licencia profesional universal.

Si una persona audita una actividad en la que tiene responsabilidad directa, considera qué salvaguarda mantendrá una evaluación objetiva. Tal vez otro auditor revise la evidencia, o la asignación se haga a una persona que no ejecuta la tarea. La solución depende del procedimiento y del riesgo de sesgo. No ocultes un conflicto en la lista de asistencia; determina si puede afectar el resultado y cómo se controla.

El equipo auditor también debe saber cómo seleccionar y registrar evidencia. Una entrevista puede explicar cómo trabaja una persona; un registro puede indicar lo que quedó documentado; la observación puede mostrar el método en el momento revisado. Ninguna fuente responde por sí sola todas las preguntas. Si la conclusión depende de más de una, relaciona cada una con el criterio y el hallazgo.

Antes de empezar, traduce cada pregunta del objetivo en evidencia que puedas buscar. Si preguntas cómo se identifica un material retenido, puedes revisar el procedimiento vigente, seguir un caso desde su registro hasta la ubicación física y preguntar a la persona responsable qué ocurre cuando cambia el estado. La secuencia concreta depende del proceso y de las autorizaciones disponibles; no es una lista oficial del APG.

Anota qué comprobación responde a cada criterio para no acumular documentos que luego no intervienen en la conclusión.

La selección de una muestra también debe tener una explicación. Puedes elegir registros de periodos, ubicaciones o turnos distintos cuando el objetivo sea comprobar una transición entre ellos. Si escoges solo los casos más fáciles de encontrar, la evidencia podría dejar fuera precisamente la parte que quieres entender. Indica cómo localizaste los elementos, qué quedó excluido y por qué.

Una muestra dirigida puede ser adecuada para investigar una señal concreta, pero no permite calcular por sí sola la frecuencia de un problema en toda la población.

Cuando el procedimiento emplee entrevistas, evita registrar una respuesta como si fuera un hecho observado en el sistema. Identifica quién aportó la información y compárala con una evidencia pertinente si la conclusión depende de ella. A la inversa, que un registro esté completo no demuestra necesariamente que la actividad se ejecutó de la misma forma en todos los casos.

La conclusión debe corresponder al tipo de evidencia: una muestra documental describe los documentos revisados; una observación describe lo que ocurrió en el momento y lugar indicados.

Al redactar un hallazgo, conserva el vínculo entre criterio y evidencia. Una estructura de trabajo posible es: requisito o criterio, hecho observado, referencia que permite localizarlo y diferencia concreta. Es una ayuda editorial, no un formato exigido por la guía. Si no puedes identificar el criterio aplicable o reproducir el hecho, deja la conclusión abierta y aclara qué comprobación falta.

Tampoco conviertas automáticamente una oportunidad de mejora en una no conformidad: la clasificación debe seguir el procedimiento y los criterios que realmente aplican.

Evidencia, hallazgos y seguimiento

Anota hechos verificables: documento y revisión, registro, muestra, fecha, ubicación o conversación pertinente. Distingue lo que observaste de la interpretación. «El registro de la muestra no contiene el campo X» es distinto de «el personal ignora el procedimiento». La segunda frase atribuye una intención y una causa que requieren evidencia adicional.

Un hallazgo debe permitir reconstruir tres elementos: criterio aplicable, evidencia recopilada y diferencia observada. Si falta alguno, la conclusión puede ser prematura. Comprueba el hallazgo con la persona responsable para verificar que la evidencia está bien descrita y que no se aplicó un criterio equivocado. La conversación no cambia un dato por acuerdo; ayuda a corregir errores de interpretación o de alcance.

La guía APG explica que una auditoría puede informar a la dirección sobre la aplicación y eficacia del sistema y servir para identificar problemas y oportunidades de mejora. También relaciona el uso de resultados previos con la planificación futura. APG, “Guidance on Internal Audits”, pp. 1–3. No atribuyas una mejora al programa sin comparar el resultado con evidencia posterior.

Después de informar un hallazgo, sigue su tratamiento conforme al proceso local. La auditoría puede señalar una diferencia; la función responsable debe decidir cómo corregirla, si requiere analizar causa y qué acción corresponde. En la auditoría siguiente, revisa la evidencia de cierre dentro del alcance acordado. Que un formulario esté firmado no prueba, por sí solo, que la acción resultó eficaz.

Ejemplo de planificación acotada

Imagina que una empresa revisará cómo conserva el estado de materiales en cuarentena tras un cambio en el sistema de almacén. El programa da prioridad a esa actividad porque cambió el método de registro y en revisiones anteriores surgieron dudas sobre la identificación de lotes. No afirmamos que exista una desviación actual: son datos supuestos para explicar cómo se justifica una auditoría.

El objetivo puede ser verificar si los lotes marcados como retenidos se identifican y permanecen separados durante la recepción y el almacenamiento. El alcance hipotético cubre una ubicación, dos turnos y registros de un periodo que el plan indique. Los criterios podrían incluir el procedimiento interno vigente y el requisito de identificación aplicable; el equipo debe verificar sus versiones reales antes de auditar.

Quien audite tendría que revisar la competencia necesaria para interpretar el flujo y comprobar que no es responsable directo de la actividad evaluada, o documentar una salvaguarda. La muestra podría combinar registros seleccionados y observación del estado físico, si el procedimiento y las autorizaciones permiten esa revisión. No inventes un tamaño de muestra obligatorio: el método propio define cómo seleccionar casos según el objetivo.

Si se observa una etiqueta ausente, registra el lote, lugar, fecha y criterio comparado; no generalices a todo el almacén a partir de un solo caso. Si no se encuentra discrepancia en la muestra, informa qué elementos se revisaron, no que se demostró la ausencia de todo riesgo. En ambos resultados, conserva los límites que impiden extrapolar.

Para hacer operativa la decisión, el plan podría separar tres momentos: preparación, comprobación y comunicación. En la preparación, confirma con el responsable cuál es el procedimiento aplicable y cómo se identifica el estado de retención. Durante la comprobación, relaciona cada registro seleccionado con el lote y la ubicación física correspondiente, sin modificar producto ni sistema. En la comunicación, presenta solo lo que esa muestra permite afirmar y señala qué turnos o fechas quedaron fuera.

Son pasos propuestos para este caso hipotético; no equivalen a una instrucción del APG ni autorizan una intervención física.

Supón que un registro muestra un lote retenido, pero en la ubicación observada aparece sin la señal prevista en el procedimiento. El hecho verificable sería la diferencia entre el registro, la señal visible y el criterio vigente, junto con la fecha y la ubicación de la observación.

No concluyas de inmediato que el sistema completo falla: primero comprueba que el lote sea el mismo, que la señal requerida se aplique en esa etapa y que no existiera una transferencia autorizada. Si la diferencia se confirma, el informe puede describirla y pedir que se trate según el proceso local. La causa y la acción posterior las determina quien tiene esa responsabilidad, con la evidencia que corresponda.

También cabe un resultado sin discrepancias en los casos revisados. En tal situación, comunica cuántos registros o ubicaciones examinaste solo si esa selección está documentada, e indica el intervalo cubierto. La frase «no se detectó diferencia en la muestra revisada» es más precisa que «el almacén cumple» cuando el trabajo no cubrió todos los lotes, turnos y movimientos.

Si el equipo no pudo comprobar un criterio, registra esa limitación en vez de suplirla con una entrevista o con una captura que no permita reconstruir el evento.

El seguimiento debe responder al hallazgo original. Si se abre una acción, la revisión posterior puede comprobar si se ejecutó la medida acordada y si existe evidencia relacionada con el problema descrito. No presupongas un plazo estándar: la prioridad y fecha objetivo se establecen mediante el proceso interno aplicable.

Si la acción cerró en el sistema pero la evidencia muestra que la diferencia se repite, separa el estado administrativo del resultado observado y remite la cuestión a quien gestiona la acción. El auditor informa lo que comprobó; no decide por el área cómo corregir su operación.

En un programa pequeño, quien coordina puede registrar una razón breve para cada cambio de prioridad, por ejemplo, un proceso nuevo, una modificación del flujo o resultados previos que merecen una revisión. La nota debe apuntar a información comprobable, no a una puntuación inventada. Si se utiliza una matriz interna, explica qué factores compara, quién definió la escala y cuándo se revisará.

Una cifra de riesgo no sustituye el juicio documentado ni debe presentarse como umbral del APG. La propia guía deja que la organización determine frecuencia, duración y alcance; cualquier herramienta de priorización es una decisión local.

Finalmente, separa el programa de auditoría de las obligaciones de certificación. Una auditoría interna puede aportar información a la dirección, pero este artículo no promete que una visita, una lista de hallazgos o un plan de acciones garantice certificación, cumplimiento legal o ausencia de defectos. Si la conclusión afecta una liberación de producto, seguridad, una obligación regulatoria o una disputa contractual, involucra a la función competente y consulta el requisito vigente que rija ese asunto.

El ejemplo se limita a planificar una revisión interna de una actividad de almacén.

Límites de esta guía

APG no fija frecuencia, duración o alcance universal de auditorías; su documento es orientación no vinculante y los textos ISO citados no se consultaron por separado. El aviso del documento declara que no pasó por un proceso de aprobación de ISO, ISO/TC 176 o IAF. APG, “Guidance on Internal Audits” (PDF pp. 3–4, declaración y aviso). Conviene mantener esa atribución: el texto puede orientar, pero no debe citarse como requisito ISO ni como interpretación oficial.

La guía incluye referencias a ISO 9001, ISO 9004 e ISO 19011; aquí se atribuyen al APG sus recomendaciones y su resumen. No se infiere que ISO 9001 exija usar ISO 19011: el propio documento dice que no. Tampoco se establecen plazos, duración o frecuencia universal de las auditorías internas. Para una obligación aplicable, consulta el texto vigente que corresponda y el procedimiento de la organización.

El programa solo es útil si sus decisiones pueden explicarse. Conserva cómo se escogieron procesos, criterios, personas y muestras; registra lo que realmente se revisó y quién acepta el informe. Si un área queda fuera, indícalo. Si aparece una cuestión de seguridad, legislación o producto que requiere otra autoridad, deriva el asunto en lugar de extender la conclusión de auditoría más allá de la evidencia.

Preguntas frecuentes

¿Qué es una auditoría interna de calidad?

Es una revisión que realiza la organización sobre su propio sistema de gestión con criterios definidos, para conocer su aplicación y los aspectos que necesitan seguimiento. La guía APG describe la auditoría interna como fuente de información para la dirección, pero no sustituye la autoridad del procedimiento de la organización.

¿Cada cuánto hay que hacer una auditoría interna?

La guía APG indica que ISO 9001 no especifica una frecuencia, duración o alcance universal para cada auditoría. El programa propio debe fijar esos criterios considerando el proceso, los cambios y los resultados anteriores.

¿Quién puede realizar la auditoría?

El procedimiento de la organización debe definir competencia y asignación. La guía APG recomienda considerar la competencia, objetividad e imparcialidad del proceso de auditoría; no proporciona una credencial universal ni un curso obligatorio.

¿Qué evidencia se registra?

Registra los criterios aplicados, la evidencia observada, el alcance revisado y la conclusión relacionada con cada hallazgo. La muestra debe tener relación con el objetivo y sus límites deben quedar claros.

¿La guía APG es un requisito de ISO?

No. El propio documento dice que es material educativo y que no pasó por un proceso de aprobación de ISO, ISO/TC 176 o IAF. Úsalo como orientación atribuida, no como requisito normativo.