Cómo crear un proceso de auditoría interna
Cómo diseñar un proceso de auditoría interna como ciclo y no como proyecto: un programa basado en riesgo que decide qué se audita, una comprobación de independencia en cada asignación y un cierre que vuelve a muestrear.
Cómo funciona
Lista todos los procesos antes de programar uno
El programa necesita un denominador. Escribe todos los procesos del alcance con su responsable y anota cuándo se auditó cada uno por última vez y qué salió de ahí. Los huecos de esa lista son el argumento del calendario, y convencen a la dirección con mucha más fiabilidad que el propio calendario por sí solo.
Deriva cada intervalo de una puntuación de riesgo
Puntúa cada proceso por impacto, cambio reciente e histórico de hallazgos, y deja que la puntuación fije el intervalo: trimestral para uno que ha fallado dos veces, una vez por ciclo para uno estable desde hace años. Anota el motivo junto al intervalo, porque a un auditor que pregunte por qué expediciones se audita cada tres años hay que darle una respuesta.
Escribe primero las filas del programa
En QueryChart las primeras filas son el programa y no la auditoría: una forma Start en «Revisar riesgos y hallazgos anteriores» y después las filas que construyen el calendario y asignan un auditor a cada entrada. Mantenerlas en el mismo diagrama que el trabajo de campo es lo que hace visible el ciclo a quien lo sigue.
Añade el control de independencia como decisión
Redacta la fila de asignación como pregunta, cambia después su columna «Shape» a Decision y dale a «Line to» dos números de fila, con las respuestas en «Line text» en el mismo orden. El recorrido de reasignación apunta de vuelta al control para comprobarlo otra vez, así que su número es menor que el de la fila donde está escrito.
Pon cada paso en el carril de quien responde
«Vertical lane» lleva el rol —responsable de calidad, auditor interno, auditado, alta dirección— y «Horizontal lane» lleva la fase. Los carriles son lo que hace comprobable la independencia de un vistazo: cuando las filas de trabajo de campo están en el mismo carril que el proceso auditado, el diagrama te está enseñando un hallazgo.
Cierra el ciclo en el carril del auditor
Añade la fila de verificación en el carril del auditor, dale un alcance —qué población, cuántos registros, después de cuánto tiempo— y enruta su fallo de vuelta a «Acordar causa raíz y acción correctiva». Después comparte el enlace con el auditado y no solo con el equipo de auditoría: quien vea esa fila sabe que el hallazgo cierra con el nuevo muestreo y no con el informe de acción.
Preguntas frecuentes
¿Con qué frecuencia hay que hacer auditorías internas?
A intervalos planificados fijados por el riesgo, lo que en la mayoría de los sistemas de gestión significa cada proceso al menos una vez por ciclo de certificación y los más expuestos bastante más a menudo. La ISO 9001 pide intervalos planificados y deliberadamente no nombra ninguna frecuencia, así que auditarlo todo una vez al año es una elección y no un requisito, normalmente mala, porque reparte un esfuerzo idéntico entre procesos con consecuencias muy distintas. La frecuencia también debería moverse: un proceso con dos hallazgos abiertos se ha ganado una revisita antes de tiempo.
¿Quién puede realizar una auditoría interna?
Cualquier persona formada en auditoría que sea independiente del área auditada: la restricción es la independencia, no la jerarquía. Vale un auditor de otro departamento, de otro centro o contratado. No vale el dueño del proceso, ni tampoco quien escribió el procedimiento que se está muestreando. Las organizaciones pequeñas resuelven esto intercambiando auditores entre funciones en lugar de renunciar al requisito, y el paso de asignación es donde corresponde la comprobación, porque la asignación es justo donde se crea el conflicto.
¿Cuándo se puede cerrar un hallazgo de auditoría interna?
Cuando un auditor ha vuelto a la población de la que salió el hallazgo, la ha muestreado otra vez y ha comprobado que ahora cumple el requisito. El cierre es un trabajo de campo con alcance, tamaño de muestra y fecha, no un campo que pasa de abierto a cerrado, y por eso espera a un intervalo acordado en lugar de a la semana siguiente: una muestra sacada el día después del arreglo demuestra que el arreglo se instaló, no que aguanta. Si la acción estaba bien elegida es una pregunta del proceso de acción correctiva.
¿Qué diferencia hay entre una no conformidad y una observación?
Una no conformidad es un incumplimiento de un requisito declarado y obliga a una acción correctiva; una observación es una debilidad o un riesgo emergente que no incumple nada y no lleva esa obligación. Así que clasificar es decidir un gasto y no elegir una palabra: clasifica de más y el registro carga con una obligación que nadie presupuestó, clasifica de menos y una que se debía queda discretamente saldada. Decídelo en la reunión de cierre, con el apartado citado y la muestra registrada.