Cómo crear un proceso de auditoría interna
Cómo diseñar un proceso de auditoría interna como ciclo y no como proyecto: un programa basado en riesgo que decide qué se audita, una comprobación de independencia en cada asignación y un cierre que vuelve a muestrear.
Un proceso de auditoría interna funciona en dos niveles: un programa basado en riesgo que decide qué procesos se auditan y con qué frecuencia, y la auditoría en sí, que planifica, muestrea, informa, corrige y después verifica.
En resumen
- El programa decide qué se audita y cuándo; una auditoría concreta es una iteración suya.
- La frecuencia sigue al riesgo, al cambio y al histórico de hallazgos, nunca a un calendario uniforme.
- La independencia es una propiedad de la asignación, lo que la convierte en una pregunta sobre carriles.
- El cierre es trabajo de campo: el auditor vuelve a muestrear la población de la que salió el hallazgo.
- Las no conformidades obligan a una acción correctiva y las observaciones no, así que clasificar es decidir un gasto.
El programa es el proceso, no la auditoría
Casi todos los mapas de auditoría interna documentan una auditoría y dejan el programa implícito. Así es como una organización acumula tres años de informes sobre las mismas tres áreas: las fáciles de agendar y aquellas en las que el auditado colabora. El programa es el proceso: un calendario derivado del riesgo, de los cambios recientes y de lo que encontraron las auditorías anteriores, que cubre todos los procesos en un periodo definido. Una auditoría concreta es una iteración suya.
La segunda decisión es en qué consiste un cierre. Verificar un hallazgo no es cambiar un estado: significa volver a la población de la que salió la muestra y sacar una muestra nueva contra el mismo requisito, registrada con un alcance y un tamaño como cualquier otra prueba. Eso es trabajo de campo, y por eso la fila de verificación está en el carril del auditor: quien implantó la acción no puede ser quien mida si los registros ahora cumplen.
El ejemplo de abajo es una vuelta del ciclo repartida en seis fases y cuatro roles. «¿El auditor es independiente del área?» se pregunta antes de planificar nada, porque la independencia es una propiedad de la asignación y no del auditor. Al otro extremo, «¿La acción correctiva fue eficaz?» lleva una rama «Reabrir» de vuelta a «Acordar causa raíz y acción correctiva»: uno de los dos únicos recorridos de este diagrama que apuntan hacia atrás, y el que devuelve un hallazgo a un segundo intento en lugar de mandarlo al registro.
Cuatro roles, un hallazgo cerrado
Fíjate en que el programa va antes de la primera auditoría, y en que una rama «Reabrir» devuelve un hallazgo a un segundo intento de acción correctiva.
Empieza por el programa
El diagrama abre en «Revisar riesgos y hallazgos anteriores» y no en una auditoría, después elabora el programa anual y asigna un auditor a cada entrada. Tres filas, y ninguna de ellas es una auditoría: justo la mitad que la mayoría de los mapas de auditoría interna deja fuera.
Independencia antes que planificación
«¿El auditor es independiente del área?» envía el No a «Reasignar a otro auditor», que apunta de vuelta al control para volver a preguntarlo. Solo entonces empieza la planificación: una lista de verificación, unas fechas confirmadas con el auditado y «Facilitar procedimientos y registros» situado en el carril del propio auditado.
El informe no es la meta
El trabajo de campo muestrea registros y clasifica lo que encuentra. «¿La evidencia cumple el requisito?» manda una «Brecha detectada» a «Registrar no conformidad u observación», los dos recorridos convergen en la reunión de cierre y se emite el informe. La mayoría de los mapas de auditoría interna se detiene en esa fila.
Un hallazgo se cierra cuando se verifica
La causa raíz se acuerda con el dueño del proceso, la acción se ejecuta en el plazo fijado y después decide «¿La acción correctiva fue eficaz?». «Reabrir» vuelve a la fila 16 en lugar de seguir adelante, y solo el recorrido verificado llega a la revisión por la dirección y a un registro conservado.
Cómo funciona
Lista todos los procesos antes de programar uno
El programa necesita un denominador. Escribe todos los procesos del alcance con su responsable y anota cuándo se auditó cada uno por última vez y qué salió de ahí. Los huecos de esa lista son el argumento del calendario, y convencen a la dirección con mucha más fiabilidad que el propio calendario por sí solo.
Deriva cada intervalo de una puntuación de riesgo
Puntúa cada proceso por impacto, cambio reciente e histórico de hallazgos, y deja que la puntuación fije el intervalo: trimestral para uno que ha fallado dos veces, una vez por ciclo para uno estable desde hace años. Anota el motivo junto al intervalo, porque a un auditor que pregunte por qué expediciones se audita cada tres años hay que darle una respuesta.
Escribe primero las filas del programa
En QueryChart las primeras filas son el programa y no la auditoría: una forma Start en «Revisar riesgos y hallazgos anteriores» y después las filas que construyen el calendario y asignan un auditor a cada entrada. Mantenerlas en el mismo diagrama que el trabajo de campo es lo que hace visible el ciclo a quien lo sigue.
Añade el control de independencia como decisión
Redacta la fila de asignación como pregunta, cambia después su columna «Shape» a Decision y dale a «Line to» dos números de fila, con las respuestas en «Line text» en el mismo orden. El recorrido de reasignación apunta de vuelta al control para comprobarlo otra vez, así que su número es menor que el de la fila donde está escrito.
Pon cada paso en el carril de quien responde
«Vertical lane» lleva el rol (responsable de calidad, auditor interno, auditado, alta dirección) y «Horizontal lane» lleva la fase. Los carriles son lo que hace comprobable la independencia de un vistazo: cuando las filas de trabajo de campo están en el mismo carril que el proceso auditado, el diagrama te está enseñando un hallazgo.
Cierra el ciclo en el carril del auditor
Añade la fila de verificación en el carril del auditor, dale un alcance (qué población, cuántos registros, después de cuánto tiempo) y enruta su fallo de vuelta a «Acordar causa raíz y acción correctiva». Después comparte el enlace con el auditado y no solo con el equipo de auditoría: quien vea esa fila sabe que el hallazgo cierra con el nuevo muestreo y no con el informe de acción.
Errores que debes evitar
Llenar el calendario mes a mes
Doce auditorías, una al mes, elegidas porque son cómodas de organizar. La cobertura parece completa y el riesgo no aparece por ninguna parte. Escribe cada frecuencia contra una puntuación de riesgo y las áreas incómodas dejan de ser aplazables.
Tratar el informe como el entregable
Emitirlo parece el final del trabajo, y casi todo el valor está aguas abajo. En un mapa, el peso corresponde a lo que viene después del informe: causa raíz, acción, verificación y qué hace distinto el siguiente programa.
Auditar el proceso que tú mismo gestionas
Es cómodo y anula el resultado: nadie muestrea sus propios registros contra su propio procedimiento y encuentra gran cosa. Intercambia auditores entre departamentos, o pide prestado uno formado de otro centro, en lugar de renunciar a la comprobación.
Hallazgos sin ningún apartado citado
Un hallazgo que no nombra el requisito que incumple es una opinión, y se disuelve hablando en la reunión de cierre. Cita el apartado o el procedimiento y la discusión se traslada a la evidencia, que es donde corresponde.
Construye tu propio ciclo de auditoría interna
Abre el ejemplo de auditoría interna como diagrama propio, fija tus propias frecuencias de auditoría y nombra a quien verifica un hallazgo antes de cerrarlo.
Guías relacionadas
Preguntas frecuentes
¿Con qué frecuencia hay que hacer auditorías internas?
A intervalos planificados fijados por el riesgo, lo que en la mayoría de los sistemas de gestión significa cada proceso al menos una vez por ciclo de certificación y los más expuestos bastante más a menudo. La ISO 9001 pide intervalos planificados y deliberadamente no nombra ninguna frecuencia, así que auditarlo todo una vez al año es una elección y no un requisito, normalmente mala, porque reparte un esfuerzo idéntico entre procesos con consecuencias muy distintas. La frecuencia también debería moverse: un proceso con dos hallazgos abiertos se ha ganado una revisita antes de tiempo.
¿Quién puede realizar una auditoría interna?
Cualquier persona formada en auditoría que sea independiente del área auditada: la restricción es la independencia, no la jerarquía. Vale un auditor de otro departamento, de otro centro o contratado. No vale el dueño del proceso, ni tampoco quien escribió el procedimiento que se está muestreando. Las organizaciones pequeñas resuelven esto intercambiando auditores entre funciones en lugar de renunciar al requisito, y el paso de asignación es donde corresponde la comprobación, porque la asignación es justo donde se crea el conflicto.
¿Cuándo se puede cerrar un hallazgo de auditoría interna?
Cuando un auditor ha vuelto a la población de la que salió el hallazgo, la ha muestreado otra vez y ha comprobado que ahora cumple el requisito. El cierre es un trabajo de campo con alcance, tamaño de muestra y fecha, no un campo que pasa de abierto a cerrado, y por eso espera a un intervalo acordado en lugar de a la semana siguiente: una muestra sacada el día después del arreglo demuestra que el arreglo se instaló, no que aguanta. Si la acción estaba bien elegida es una pregunta del proceso de acción correctiva.
¿Qué diferencia hay entre una no conformidad y una observación?
Una no conformidad es un incumplimiento de un requisito declarado y obliga a una acción correctiva; una observación es una debilidad o un riesgo emergente que no incumple nada y no lleva esa obligación. Así que clasificar es decidir un gasto y no elegir una palabra: clasifica de más y el registro carga con una obligación que nadie presupuestó, clasifica de menos y una que se debía queda discretamente saldada. Decídelo en la reunión de cierre, con el apartado citado y la muestra registrada.