Lista de verificación de auditoría: del borrador al registro

¿Qué es lista de verificación de auditoría: del borrador al registro?

Una lista de verificación de auditoría es un documento de trabajo, no un formulario. Se escribe para una auditoría concreta contra un juego concreto de criterios, se revisa antes de que nadie la use, se rellena con lo que realmente se vio y después se guarda como parte de la evidencia de que la auditoría ocurrió. El disparador es una auditoría que vence en el programa con un alcance y unos criterios asociados. El diagrama de arriba sigue esa lista de principio a fin: los criterios fijados, la biblioteca consultada por si existe una revisión previa, una pregunta escrita para cada requisito del alcance, el registro que cada pregunta debe ver citado al lado, una comprobación de cobertura, la revisión y aprobación del auditor líder, la emisión junto al plan de auditoría, las líneas trabajadas de una en una contra evidencia muestreada, cada una marcada conforme, no conforme o no aplicable, los hallazgos compilados y acordados con el auditado, el informe emitido y la lista ejecutada archivada.

Esto es la vida de la lista, no la del programa de auditoría. Aquí no hay planificación del programa, ni selección basada en riesgo de qué procesos se auditan este año, ni comprobación de la independencia del auditor, ni acción correctiva ni verificación de seguimiento: eso pertenece al ciclo de auditoría interna más amplio, y dibujarlo otra vez enterraría justo la parte que los profesionales fallan en la práctica. El diagrama termina en el informe y en la conservación, y entrega el testigo en un solo punto: una línea marcada como no conforme en «¿La línea es conforme, no conforme o no aplica?» sale de este diagrama como solicitud de acción correctiva a nombre del dueño del proceso. Mantener visible ese límite importa, porque una lista es perfectamente capaz de absorber la auditoría entera: en cuanto cada pregunta tiene una casilla, la gente empieza a tratar las casillas como si fueran la auditoría. Una lista apoya el juicio del auditor, no lo sustituye, y esta plantilla es un punto de partida para adaptar bajo tu propio procedimiento de auditoría, tus propios criterios y la revisión de un auditor competente, no algo que se adopte tal cual.

Cuatro de las ocho decisiones del diagrama sostienen el proceso. «¿Ya hay una lista aprobada en la biblioteca?» está en el carril del responsable de calidad porque la reutilización es una decisión de biblioteca y no del auditor: quien mantiene el juego de listas sabe qué revisión está vigente y qué encontró contra ella la auditoría del ciclo anterior. «¿La lista sirve para el alcance y los criterios?» está en manos del auditor líder y es la puerta de aprobación, con un bucle de corrección de vuelta a la redacción, porque una lista que induce la respuesta o se deja un apartado del alcance ya no se arregla una vez empezado el trabajo de campo. «¿La línea es conforme, no conforme o no aplica?» es la decisión para la que existe todo el documento, y tiene tres ramas a propósito, porque una hoja de dos salidas obliga al auditor a registrar como cumplido algo que nunca estuvo en el alcance. «¿Aparece un rastro fuera de la lista?» es la válvula de escape: devuelve al bloque de ejecución para que una respuesta inesperada añada una línea, en lugar de quedar fuera del registro porque no había casilla para ella.

Qué cubre este diagrama de flujo

En esta plantilla

• Cuatro carriles (Auditor líder, Auditor (autor de la lista), Auditado / dueño del proceso y Responsable de calidad) repartidos en seis fases: Alcance y criterios, Redactar la lista, Revisión y emisión, Ejecutar la lista, Hallazgos e informe, y Conservar y mejorar
• Una decisión «¿Ya hay una lista aprobada en la biblioteca?» en el carril del responsable de calidad, para que una lista reutilizada llegue con su última revisión y sus hallazgos anteriores en lugar de reescribirse de memoria cada ciclo
• El bucle de redacción que casi ningún diagrama de auditoría dibuja: una pregunta por requisito, el registro que debe ver citado al lado, y una comprobación «¿Cada criterio del alcance tiene una línea?» que devuelve los huecos a la redacción antes de la revisión
• La revisión de la lista como puerta de verdad, donde «¿La lista sirve para el alcance y los criterios?» aprueba el borrador para emitirlo con el plan de auditoría o lo devuelve para corregir las preguntas y el plan de muestreo
• La decisión de tres salidas «¿La línea es conforme, no conforme o no aplica?» trabajada línea a línea bajo el bucle «¿Quedan líneas en la lista?», donde la rama de no conformidad redacta el hallazgo contra su apartado y la tercera rama deja escrito por qué la línea no aplica aquí
• Cierre sobre evidencia acordada: una válvula «¿Aparece un rastro fuera de la lista?» que añade líneas durante el trabajo de campo, una comprobación «¿El auditado acepta la evidencia?» con una recomprobación que resuelve la discrepancia o la lleva sin resolver al informe, y la lista ejecutada archivada como registro

Cuándo usar esta plantilla

• Estás escribiendo la primera lista de verificación para un proceso y quieres acordar la redacción, la revisión y la conservación antes de que nadie empiece a rellenar casillas
• Vuestras listas se reutilizan año tras año y nadie sabe decir con qué revisión se trabajó ni qué cambiaron en ellas los hallazgos del ciclo anterior
• Los auditores devuelven hojas marcadas sin códigos de documento, así que un hallazgo no se puede volver a comprobar seis meses después
• Los auditados han empezado a preparar solo lo que pide la lista emitida y necesitáis una regla sobre qué se envía por adelantado y qué no
• Un auditor de certificación o de cliente ha pedido ver las listas ejecutadas que hay detrás de vuestros informes de auditoría interna y tenéis que enseñar dónde se guardan

Cómo funciona

1. Cambia los carriles por tus roles

   Sustituye Auditor líder, Auditor (autor de la lista), Auditado / dueño del proceso y Responsable de calidad por los títulos que usáis de verdad. En una organización pequeña el auditor líder y el responsable de calidad suelen ser la misma persona: fusiona esos carriles en vez de dibujar una revisión que nunca ocurre. Aun así, deja al auditado en un carril propio, porque de ahí salen los registros y la aceptación.

2. Escribe tus criterios en el primer paso

   Indica contra qué se compara esta lista: los apartados de la norma, el procedimiento y la revisión en vigor, el requisito del cliente o del contrato, o los tres. Anota en ese mismo paso el tamaño de muestra y cómo se elige la muestra. Unos criterios fijados después de escribir las preguntas producen una lista que audita las costumbres de quien la escribió y no el requisito.

3. Fija el estilo de pregunta y la columna de evidencia

   Decide que cada línea lleve una pregunta abierta y el registro que espera ver, y déjalo escrito en los pasos de redacción. Descarta las preguntas cerradas que se contestan con un sí y dale forma a la columna de evidencia: código de documento, fecha, lote u orden, y quién lo produjo. Esta es la única edición que hace que una lista ejecutada se pueda releer un año después.

4. Define la puerta de revisión y quién aprueba

   Nombra a quien revisa el borrador y qué está comprobando: cobertura de cada apartado del alcance, preguntas que no induzcan la respuesta y un plan de muestreo que el día de auditoría pueda sostener. Decide si la aprobación queda registrada en la propia lista o en el plan de auditoría, y si una revisión reutilizada necesita aprobarse otra vez o basta con una comprobación de cobertura.

5. Escribe tu regla de no aplica

   Acordad qué puede marcarse como no aplica, quién puede marcarlo y qué hay que escribir al lado. Una regla habitual es que el motivo cite la exclusión del alcance o la ausencia de la actividad, y que el auditor líder revise cada línea marcada así antes de emitir el informe. Sin una regla, esa rama se convierte en la salida discreta de cualquier pregunta incómoda.

6. Fija la conservación y dónde vive la lista ejecutada

   Anota en el paso de archivo la ubicación real, la convención de nombres y el periodo de conservación de las listas ejecutadas, las notas de muestreo y el informe. Añade cómo se protege la información confidencial o personal escrita en una línea. «En la libreta del auditor» no es una regla de conservación, y es justo lo que un auditor de certificación va a perseguir.

7. Recórrelo contra una auditoría ya cerrada

   Coge dos auditorías terminadas, una que fue limpia y otra que produjo un hallazgo discutido, y sigue sus listas por el diagrama. Cualquier paso que la gente describa y no esté dibujado, y cualquier casilla del diagrama que nadie ejecutara de verdad, es la edición que merece la pena hacer antes de publicar esto como procedimiento propio.

Preguntas frecuentes

¿Cuáles son los pasos del flujo de una lista de verificación de auditoría?

Una auditoría vence en el programa y se fijan el alcance, los criterios y el tamaño de muestra. El responsable de calidad consulta la biblioteca por si hay una lista aprobada y rescata su última revisión y sus hallazgos. El auditor lista los apartados del alcance, escribe una pregunta abierta y cita el registro para cada requisito, y comprueba que cada criterio tiene una línea. El auditor líder aprueba el borrador o lo devuelve para corregirlo. Se emite junto al plan de auditoría, el auditado deja preparados los registros y las líneas se trabajan de una en una: hacer la pregunta, anotar la evidencia, marcarla conforme, no conforme o no aplicable, y añadir una línea si el trabajo de campo saca algo nuevo. Los hallazgos se compilan a partir de las líneas no conformes, se acuerdan con el auditado y se informan. La lista ejecutada se archiva como registro de auditoría, la auditoría se cierra y lo que este ciclo encontró vuelve a la biblioteca de listas para el siguiente.

¿Qué diferencia hay entre una lista de verificación y un plan de auditoría?

El plan de auditoría es el acuerdo sobre la auditoría: qué entra en el alcance, contra qué criterios, en qué fechas, en qué áreas, con qué auditores y con qué auditados. La lista es el documento de trabajo que ejecuta ese plan línea a línea, y es donde se escribe la evidencia. Uno se acuerda con el auditado antes de la auditoría; la otra se rellena durante. En términos de ISO 19011, la lista es una de las formas de información documentada que el equipo auditor prepara para la auditoría, junto con los detalles del muestreo, y se prepara después del plan, no en su lugar. Separarlos importa en la práctica, porque el plan es a lo que el auditado dio su conformidad: un auditor que amplía la lista más allá del alcance acordado sin decirlo ha cambiado el plan por su cuenta.

¿Usar una lista de verificación limita lo que mira la auditoría?

No debería. La ISO 19011 incluye las listas de verificación en papel o digitales entre la información documentada que el equipo auditor prepara para la auditoría, y señala que el uso de estos medios no debería restringir la extensión de las actividades de auditoría, que puede cambiar como resultado de la información recogida durante la auditoría. Por eso este diagrama lleva una decisión «¿Aparece un rastro fuera de la lista?» después de trabajar la última línea. La lista es el suelo de lo que se examina, no el techo. El riesgo corre en las dos direcciones. Un auditor que trabaja pegado a las casillas pasará de largo justo lo que una respuesta acaba de revelar, y un auditor sin ninguna lista seguirá lo que le resulte interesante y dejará intacto un apartado del alcance. La posición sostenible es una lista que garantiza cobertura más una licencia declarada para añadir líneas, con todo lo añadido escrito en la hoja para que el registro coincida con lo que de verdad se examinó.

¿Qué debe contener cada línea de la lista de verificación?

Como mínimo: el requisito del que sale la línea, una pregunta abierta que no se pueda contestar con un sí, el registro o la actividad que la pregunta espera ver, la evidencia realmente muestreada y el resultado. La evidencia es la parte que la gente se deja. La ISO 9000 define la evidencia de la auditoría como los registros, declaraciones de hechos u otra información pertinente para los criterios de auditoría y verificable, y define los criterios de auditoría como el conjunto de políticas, procedimientos o requisitos contra los que se compara esa evidencia. Verificable es la palabra clave: un código de documento, un lote, una fecha, una referencia de orden o una persona con nombre los puede volver a comprobar otra persona, y una marca de verificación no. Citar la evidencia es además lo que permite a un hallazgo sobrevivir a la reunión de cierre, porque la discusión pasa de lo que le pareció al auditor a lo que muestra el registro.

¿Quién aprueba una lista de verificación de auditoría y cuánto tiempo se guarda?

La aprobación suele ser del auditor líder, y en una lista reutilizada la puerta práctica es una comprobación de cobertura contra los criterios en vigor, no una reescritura completa. Las organizaciones que mantienen una biblioteca de listas suelen dar al responsable de calidad la revisión maestra y al auditor líder la adaptación para cada auditoría concreta; cualquiera de los dos arreglos funciona mientras una persona con nombre firme que la lista cubre el alcance. La conservación la fija tu propio programa de auditoría. La ISO 19011 indica que la información documentada preparada para una auditoría y derivada de ella debería conservarse al menos hasta que la auditoría se complete, o según especifique el programa de auditoría, y la ISO 9001 exige conservar información documentada como evidencia de la implementación del programa de auditoría y de los resultados de la auditoría. En la práctica, las listas ejecutadas se guardan con el informe durante el mismo periodo.