Auditoría interna ISO 9001 paso a paso (9.2): programa, checklist, informe y hallazgos
La auditoría interna es el requisito con la peor relación entre lo obligatorio que es y lo improvisado que se suele hacer. Nadie externo te la hace: el apartado 9.2 de UNE-EN ISO 9001:2015 —el numeral 9.2, como se le llama en gran parte de Latinoamérica— te toca a ti: planificarla, ejecutarla, documentarla y que además sirva de algo. Esta es la guía completa de principio a fin: el programa, quién puede auditar qué, la checklist, cómo ejecutar sin convertirlo en un interrogatorio, y qué hacer con lo que encuentres.
Para qué es, de verdad
Primero, el reencuadre: la auditoría interna no es un simulacro para aprobar la externa. Es tu radar — la ocasión de encontrar los problemas tú, con calma y sin consecuencias, antes de que los encuentre otro con menos cariño. Las empresas que la hacen con esa mentalidad llegan a la externa tranquilas. Las que la hacen por cumplir, llegan a ciegas.
El programa: qué, cuándo, quién
El programa anual recoge qué procesos se auditan, cuándo y por quién. Error típico: repartir todos los procesos en visitas idénticas, café para todos. La norma pide otra cosa — programar según importancia y resultados previos. El proceso que concentra tus no conformidades, el que cambió de responsable, el que tuvo hallazgos el año pasado: más frecuencia o más profundidad. El que lleva tres años impecable: revisión más ligera. El programa inteligente pone la lupa donde duele — y además así se lo puedes explicar al auditor externo cuando pregunte por tu criterio, que preguntará.
La independencia: quién audita a quién
Regla innegociable: nadie audita su propio trabajo. Objetividad e imparcialidad, dice la norma. ¿Y en una pyme donde calidad es una sola persona? Opciones reales: cruzar áreas — el de producción audita compras, el de compras audita producción, con formación básica de auditor —, contratar la auditoría interna fuera — perfectamente válido: interna se refiere al sistema, no a la nómina de quien la hace —, o combinar ambas. Lo que no vale es que el responsable de calidad audite de arriba abajo el sistema que él mismo administra y firme que todo está bien.
La checklist: preparar la visita
La checklist es tu guion, no tus esposas. Se construye desde tres fuentes: los requisitos de la norma que aplican al proceso, tu propio procedimiento — que es lo que más se incumple, por cierto: solemos incumplir más lo que nosotros mismos escribimos que lo que escribió ISO —, y los resultados anteriores: hallazgos pasados, no conformidades del área, lo que ya sabes que cojea. Preguntas abiertas y pegadas a la realidad del proceso, no un test de sí o no. Y en la visita, la checklist te asegura no olvidar nada — pero si aparece un hilo interesante que no estaba previsto, se tira del hilo. Los hallazgos buenos casi nunca estaban en la lista.
Ejecutar: evidencia objetiva, no opiniones
El día de la auditoría, tres principios sostienen todo lo demás:
- Audita el proceso, no a la persona. El tono lo es todo: "enséñame cómo lo hacéis" abre puertas; "demuéstrame que lo haces bien" las cierra.
- Evidencia objetiva. Cada cosa que anotes debe apoyarse en algo mostrable — un registro, un documento, una observación directa. "Me dio la sensación de desorden" no es un hallazgo; "los registros de mantenimiento de marzo y abril no estaban cumplimentados" sí.
- Sin sorpresas finales. Comenta lo que vas viendo; el auditado no debería enterarse de un hallazgo al leer el informe.
La auditoría interna que funciona se parece más a una conversación con evidencias que a un examen.
Hallazgos e informe
Lo encontrado se clasifica con honestidad: no conformidad — incumplimiento claro de un requisito —, observación — riesgo o debilidad que aún no incumple — y oportunidad de mejora — funciona, pero podría funcionar mejor. Y no te comas hallazgos por no incomodar: cada no conformidad que te tragas en la interna es una no conformidad regalada a la externa.
El informe, sin literatura: datos de la auditoría — proceso, fecha, auditor, criterios —, resumen de lo revisado, hallazgos con su evidencia y su requisito, y conclusión. Dos o tres páginas útiles valen más que quince decorativas.
Después: el destino de los hallazgos
Y aquí es donde el 9.2 se conecta con todo lo demás — o muere. Cada no conformidad de la auditoría entra en tu flujo habitual de NC: causa raíz, acción correctiva, verificación de eficacia, con el mismo rigor que exige cualquier no conformidad, que tratamos campo a campo en cómo redactar una no conformidad ISO 9001. Y ojo con la causa raíz de lo que encuentres: si cabe en "error humano", no has terminado de analizar — lo desarrollamos en por qué el auditor rechaza "error humano" como causa raíz.
Las observaciones y oportunidades, a tu plan de mejora con responsable y fecha. Y los resultados, a la revisión por la dirección: son una entrada obligatoria del apartado 9.3. La auditoría cuyo informe acaba en un cajón fue un teatro caro.
Un copiloto que lleva el 9.2 del programa al informe
En Evidran, el programa anual vive con su semáforo y su aviso por email si una auditoría vence; la checklist te la genera la IA a partir de la norma y del perfil de tu organización — y tú la editas antes de usar, que para eso el auditor eres tú —; cada hallazgo recibe su sugerencia de norma y apartado; todos entran a la bandeja de triage para convertirse en expediente o en acción del plan; y el informe sale en PDF. El 9.2 entero, del programa al informe, en un solo sitio.