Diagrama de flujo del escalado de hallazgos de auditoría

¿Qué es diagrama de flujo del escalado de hallazgos de auditoría?

La mayoría de los hallazgos de auditoría se cierran sin ruido. Este diagrama trata de los que no. El disparador es un hallazgo emitido en el informe de auditoría, y el proceso es lo que se sube cuando la acción correctiva acordada no llega: una reclamación y una fecha final, el escalado al dueño del proceso que realmente controla los recursos y, después, la revisión por la dirección, donde la organización financia la acción o acepta formalmente el riesgo. El diagrama sigue un hallazgo de principio a fin, desde el informe pasando por la clasificación, la asignación y la ruta de discrepancia, la acción acordada y su fecha límite, la rama de vencimiento y los dos peldaños de escalado, hasta la verificación de la evidencia y el cierre, con el comité informado de dónde acabó un hallazgo verificado.

Esto no es la auditoría en sí, y tampoco es el seguimiento rutinario. Elaborar el programa, comprobar la independencia del auditor, muestrear registros y redactar no conformidades pertenecen al proceso de auditoría interna. Seguir una acción que avanza según lo previsto, verificarla y comprobar si funcionó pertenecen al seguimiento de acciones correctivas, que termina en una comprobación de eficacia y no en un escalado. Tampoco es la ruta general de escalado de riesgos: esta escalera solo llega a una decisión de riesgo en su peldaño más alto, mientras que el escalado de riesgos de proyecto y corporativos arranca en el registro de riesgos. Este diagrama empieza donde el hallazgo ya existe y ya hay un responsable con nombre, y se gana su sitio justo donde el seguimiento rutinario deja de funcionar. Ese límite importa porque un escalado dibujado como rama lateral dentro de un diagrama de seguimiento es siempre la rama que nadie mantiene. Toma las clasificaciones, el periodo de gracia y los dos peldaños de aquí como punto de partida para adaptarlos a tu propio procedimiento de auditoría, a los requisitos de tu sistema de gestión y, donde aplique un esquema de certificación o regulatorio, a sus propias reglas para cerrar hallazgos.

Cuatro decisiones sostienen el proceso. «¿Mayor, menor u observación?» pone en marcha el reloj de respuesta y decide si la alta dirección se entera del hallazgo el primer día o en el siguiente informe; está en manos del auditor jefe porque clasificar es un juicio de auditoría y no una negociación. «¿El responsable discrepa del hallazgo?» da al auditado una vía real para rebatir un hallazgo, que es lo que evita que un desacuerdo aparezca más tarde en forma de silencio. «¿Evidencia entregada en la fecha límite?» es el disparador de toda la mitad de escalado del diagrama, y cada peldaño por debajo cuelga de esa única prueba. «¿Imponer la acción o aceptar el riesgo?» está a propósito en el carril de la alta dirección y no en el del auditor: el auditor informa de la exposición, la organización decide qué hacer con ella y solo un directivo responsable puede firmar una aceptación de riesgo.

Qué cubre este diagrama de flujo

En esta plantilla

• Cinco carriles (Auditor jefe, Responsable del hallazgo, Dueño del proceso, Alta dirección y Responsable de calidad / comité de auditoría) repartidos en seis fases: Hallazgo emitido, Asignar y acordar, Seguimiento de la respuesta, Primer escalado, Revisión por la dirección, y Verificar y cerrar
• Una decisión de clasificación con tres salidas, «¿Mayor, menor u observación?», que pone en marcha el reloj de respuesta: Mayor pasa por «Informar del hallazgo mayor a la alta dirección» antes incluso de nombrar a un responsable, y una observación se sale de la escalera hacia el registro de mejoras, y se reporta al comité de forma periódica en vez de reclamarse contra una fecha límite
• Una ruta de discrepancia que la mayoría de los diagramas de escalado se dejan fuera: «¿El responsable discrepa del hallazgo?» lo envía al responsable de calidad para «Revisar la discrepancia contra la evidencia», y «¿Se mantiene el hallazgo tras la revisión?» devuelve el hallazgo a la escalera o lo retira con una justificación registrada
• La bifurcación entre verificación y vencimiento: «¿Evidencia entregada en la fecha límite?» pasa una respuesta a «¿La evidencia cierra el hallazgo?», donde la evidencia insuficiente reabre la acción, y manda una respuesta vencida a «Reclamar al responsable y fijar fecha final»
• El periodo de gracia y el primer peldaño: «¿Responde dentro del periodo de gracia?» decide entre más trabajo y «Escalar al dueño del proceso con el histórico», adonde llega también un plan que falla dos veces en «¿El plan de acción es adecuado?», y donde «¿Bloqueado por recursos o por autoridad?» separa a un responsable lento de una acción sin financiación
• Dos salidas honestas en lo alto de la escalera: «¿Imponer la acción o aceptar el riesgo?» financia la acción y devuelve el plan para volver a acordarlo, o registra una aceptación de riesgo firmada que cierra con fecha de revisión

Cuándo usar esta plantilla

• Tienes hallazgos de la última auditoría todavía abiertos y nadie sabe decir en qué peldaño de la escalera de escalado está cada uno
• Estás escribiendo el apartado de escalado de un procedimiento de auditoría y necesitas que la reclamación, el periodo de gracia y los dos peldaños queden dichos y no solo sobreentendidos
• Los auditores han preguntado cómo se escalan los hallazgos vencidos, y la respuesta honesta hoy es que depende de quién esté reclamando
• La revisión por la dirección recibe una y otra vez los mismos hallazgos, y necesitas mostrar dónde se atascaron antes de llegar al orden del día
• Estás implantando la aceptación formal de riesgos y quieres la firma, el alcance y la fecha de revisión dibujados como un paso y no dejados en un correo

Cómo funciona

1. Cambia los carriles por tus roles

   Sustituye Auditor jefe, Responsable del hallazgo, Dueño del proceso, Alta dirección y Responsable de calidad / comité de auditoría por los roles que existen de verdad en tu organización. En una función de calidad pequeña, el auditor jefe y el responsable de calidad son la misma persona: fusiona esos carriles en vez de dibujar una entrega que nunca ocurre.

2. Escribe tus definiciones de clasificación en la primera decisión

   «¿Mayor, menor u observación?» es papel mojado hasta que cada grado tiene un criterio escrito y un plazo de respuesta. ISO 9001 solo habla de no conformidad; el reparto entre mayor y menor que usan casi todos los programas de auditoría viene de ISO/IEC 17021-1, la norma para los organismos que certifican sistemas de gestión, donde una mayor es la que afecta a la capacidad del sistema de gestión para lograr los resultados previstos. Indica después los días que concede cada grado.

3. Fija la fecha límite, la reclamación y el periodo de gracia

   Pon números reales en «Reclamar al responsable y fijar fecha final» y «¿Responde dentro del periodo de gracia?». Decide quién envía la reclamación, cuánto dura el periodo de gracia y si es el mismo para todos los grados. Un periodo de gracia que nunca se escribe se convierte en silencio en uno indefinido, y así es como un hallazgo envejece un año sin que nadie incumpla ninguna regla.

4. Nombra los dos peldaños y a quién se sienta en ellos

   Decide quién es realmente el primer peldaño. Suele ser el jefe directo del responsable del hallazgo, pero en un hallazgo transversal es el dueño del proceso que controla los recursos, que es como lo dibuja el diagrama. Nombra después al órgano del segundo peldaño, sea una revisión por la dirección, un comité de auditoría o un comité de riesgos, e indica cómo llega un hallazgo a su orden del día entre reuniones.

5. Define qué exige una aceptación de riesgo

   «Registrar la aceptación de riesgo firmada por dirección» necesita un formulario detrás: quién puede firmar, qué alcance cubre la aceptación, qué controles compensatorios aplican mientras tanto y cuándo caduca. Decide dónde se lleva después el riesgo aceptado, normalmente el registro de riesgos, y quién debe volver a mirarlo en la fecha de revisión que hayas fijado.

6. Acuerda qué evidencia cierra un hallazgo

   «¿La evidencia cierra el hallazgo?» es donde aterrizan casi todos los desacuerdos tardíos. Indica qué aceptará el auditor para cada tipo de acción: un procedimiento revisado con número de revisión, un registro de formación, una muestra de operaciones ejecutadas después del cambio. Decide también si el cierre es competencia exclusiva del auditor y si más adelante hay una comprobación de eficacia dentro de tu proceso de seguimiento.

7. Recórrelo contra tres hallazgos reales

   Coge tres hallazgos del último año: uno que cerró en plazo, otro que se venció y otro que acabó en un riesgo aceptado. Sigue a cada uno por el diagrama. Cualquier peldaño que la gente describa y no esté dibujado, o dibujado pero que se salte en la práctica, es el cambio que merece la pena hacer antes de publicar el proceso y empezar a medirlo.

Preguntas frecuentes

¿Cuáles son los pasos del escalado de un hallazgo de auditoría?

El hallazgo se clasifica como mayor, menor u observación en el informe de auditoría; uno mayor va a la alta dirección y una observación va al registro de mejoras. Se asigna a un responsable con nombre que lo acepta o discrepa; un hallazgo discutido se revisa y se mantiene o se retira con una justificación registrada. El responsable acuerda una acción correctiva y una fecha límite, el auditor comprueba que el plan es adecuado, y la acción se ejecuta publicando los avances. Si la evidencia llega en la fecha límite pasa a verificación; si no, se reclama al responsable con una fecha final y, una vez agotado el periodo de gracia, se escala al dueño del proceso, que acuerda un plan de recuperación y una fecha firme. Un bloqueo de recursos o de autoridad llega a la revisión por la dirección, que financia la acción o registra una aceptación de riesgo firmada. La evidencia verificada llega al comité de auditoría con el estado del hallazgo, y el hallazgo se cierra conservando el registro.

¿Qué diferencia hay entre escalar un hallazgo y hacerle seguimiento?

El seguimiento es el estado normal: la acción tiene responsable y fecha, el avance se ve, la evidencia llega, el auditor la verifica y, pasado un plazo, comprueba si el cambio realmente aguantó. No pasa nada raro, así que no hay que avisar a nadie. El escalado es lo que ocurre cuando el seguimiento deja de producir movimiento, y es un proceso distinto con roles distintos. Pregunta quién tiene autoridad para desbloquear la acción, sube el hallazgo por una escalera con nombres y fuerza una decisión en vez de otro recordatorio. Es tentador dibujar los dos juntos, pero eso esconde los peldaños dentro de un diagrama cuya línea principal da por supuesto que todo va según lo previsto. Usa un diagrama de seguimiento de acciones correctivas para el ciclo rutinario y este para la excepción, y deja explícita la costura: la prueba de vencimiento de aquí es la misma prueba con la que termina el diagrama rutinario.

¿Quién decide que un hallazgo de auditoría debe escalarse?

El escalado lo dispara la función de auditoría, no el responsable. El auditor jefe es dueño del reloj y de la reclamación, y el director de auditoría interna o el responsable de calidad es dueño de la decisión de llevar un hallazgo a la alta dirección. Las Global Internal Audit Standards de 2024 del IIA, en vigor desde el 9 de enero de 2025, sitúan esto en el director ejecutivo de auditoría: cuando concluye que la dirección ha aceptado un nivel de riesgo por encima del apetito o la tolerancia al riesgo de la organización, el asunto debe tratarse con la alta dirección y, si allí no se resuelve, debe escalarse al consejo. Esas mismas normas son explícitas en que resolver el riesgo no es tarea de la auditoría interna. En un sistema de gestión de la calidad, la vía equivalente es la revisión por la dirección, en el apartado 9.3 de ISO 9001:2015. Aplique lo que aplique, escribe el nombre en el diagrama en vez de dejarlo a quien se sienta con derecho a plantearlo.

¿Cuánto tiempo debe tener un responsable antes de escalar un hallazgo?

No hay una cifra universal, y el diagrama no lleva ninguna a propósito: la fecha límite, el periodo de gracia y el momento de cada peldaño son marcadores que debes sustituir por los tuyos. Fíjalos a partir del grado y no de un único número para toda la organización, para que un hallazgo mayor corra con un reloj corto y una observación no consuma la misma atención. Si estás certificado, aquí mandan las reglas de tu organismo de certificación y no son tuyas para moverlas: bajo ISO/IEC 17021-1, la corrección y la acción correctiva de una no conformidad mayor deben revisarse, aceptarse y verificarse antes de tomar una decisión de certificación, mientras que una menor necesita un plan de acción correctiva aceptado y se verifica en la auditoría siguiente. Un periodo de gracia interno que se salga de esos plazos no vale nada.

¿Qué registros necesita un hallazgo escalado?

Un hallazgo escalado se juzga por su rastro, así que registra el hallazgo contra el requisito y la evidencia, el responsable con nombre y la acción acordada con su fecha, cada reclamación y cuándo se envió, cada escalado y quién lo recibió, la decisión de la revisión por la dirección y la evidencia aceptada en el cierre. Cuando se acepte un riesgo, guarda la aceptación firmada con su alcance, sus controles compensatorios y su fecha de caducidad, y anota dónde se llevó el riesgo después. El apartado 10.2 de ISO 9001:2015 exige conservar como información documentada las no conformidades, las acciones tomadas y los resultados de cualquier acción correctiva, e ISO 19011:2018, la norma de directrices para auditar, saca el seguimiento como paso propio en el apartado 6.7, donde se verifican la realización y la eficacia, a menudo dentro de la auditoría siguiente. En la práctica, el registro que zanja una discusión es el más aburrido: a quién se avisó y cuándo.