Diagrama de flujo del proceso de auditoría

¿Qué es diagrama de flujo del proceso de auditoría?

Una auditoría tiene la misma forma tanto si es una auditoría interna de tu propio sistema de gestión, como una auditoría de segunda parte a un proveedor o una auditoría de certificación de un organismo externo. Un programa de auditoría decide qué se audita y con qué frecuencia. Cada auditoría concreta se acota y se planifica, se abre con el auditado, se evidencia muestreando registros y observando el trabajo, y se cierra con una reunión y un informe. Los hallazgos que salen de ahí se convierten en solicitudes de acción correctiva, y la auditoría no termina hasta que esas acciones se han verificado. La ISO 19011, la norma de directrices para auditar sistemas de gestión, describe esta misma secuencia: iniciar, preparar, realizar, informar, completar y hacer seguimiento.

La mayoría de las auditorías fallan en las uniones, no en los pasos. Un auditado que ve el alcance por primera vez la mañana de la auditoría se pasa el día buscando registros en lugar de responder preguntas. Un hallazgo redactado como una opinión, y no como una afirmación acompañada de evidencia objetiva, se discute durante semanas. Una solicitud de acción correctiva cerrada con la fuerza de un formulario firmado deja la misma no conformidad lista para volver a levantarse en la auditoría siguiente. Y una no conformidad mayor que espera al informe escrito pierde justo los días en los que la contención tenía sentido.

Esta plantilla es un ciclo de vida de auditoría operativo repartido en cinco carriles: Responsable del programa, Auditor, Auditado, Dirección y Calidad. Incluye los cuatro puntos donde las auditorías se bifurcan de verdad: si la evidencia cumple los criterios, cómo se clasifica un hallazgo, si se acepta el plan de acción correctiva y si las acciones implantadas se verifican como eficaces. El escalado de la no conformidad mayor está dibujado de forma explícita, para que sea una ruta definida y no una improvisación.

Qué cubre este diagrama de flujo

En esta plantilla

• Programa y planificación en tres carriles: el Responsable del programa define el programa anual de auditoría y asigna auditor, el Auditor acuerda alcance y criterios y emite el plan de auditoría, y el Auditado confirma fechas y prepara evidencias antes de que llegue nadie
• Trabajo de campo en el carril Auditor: celebrar la reunión de apertura, recoger evidencias y muestrear registros, y después la decisión «¿La evidencia cumple los criterios?», que manda lo conforme directamente a la reunión de cierre y una desviación a un hallazgo escrito respaldado por evidencia objetiva
• Una decisión a tres bandas, «¿Clasificación del hallazgo?», que separa Mayor, Menor y Observación, con cada rama yendo a un responsable distinto en lugar de caer las tres en la misma cola del informe
• El escalado de la no conformidad mayor hacia el carril Dirección: acordar la acción de contención inmediata antes de que se escriba el informe y volver después a la misma ruta de reunión de cierre e informe, para que el escalado quede igualmente registrado
• Informe y acción correctiva: la reunión de cierre, el informe de auditoría emitido, las solicitudes de acción correctiva que abre Calidad y el Auditado investigando la causa raíz y planificando acciones, con una decisión «¿Se acepta el plan de acción?» que devuelve los planes débiles para rehacerlos
• Verificación y cierre: implantar las acciones acordadas y después «¿Acciones verificadas como eficaces?», que devuelve las acciones no eficaces a la investigación de causa raíz y solo cierra la auditoría y actualiza el programa cuando la eficacia está verificada

Cuándo usar esta plantilla

• Estás escribiendo o actualizando un procedimiento de auditoría interna para un sistema de gestión como ISO 9001 o ISO 27001, que exigen auditorías internas a intervalos planificados contra un programa documentado
• Gestionáis un programa de auditorías a proveedores o de segunda parte, donde aplica el mismo ciclo de vida pero el auditado está fuera de vuestra organización y las rutas de escalado hay que nombrarlas por adelantado
• Os estáis preparando para una auditoría de certificación o de seguimiento y tenéis que mostrar al organismo certificador cómo se clasifican, se escalan y se cierran los hallazgos
• Estás formando a auditores y auditados nuevos sobre qué cuenta como hallazgo, qué aspecto tiene la evidencia objetiva y qué ocurre después de la reunión de cierre
• Queréis vaciar un atasco de acciones correctivas que se están cerrando con el papeleo completado en lugar de con el efecto verificado, que es exactamente para lo que sirve el bucle de eficacia de este diagrama

Cómo funciona

1. Renombra los carriles con tus roles reales

   Sustituye Responsable del programa, Auditor, Auditado, Dirección y Calidad por las funciones que realmente tienes. En organizaciones pequeñas el responsable del programa y Calidad suelen ser la misma persona, así que fusiónalos en lugar de dibujar un traspaso que nunca ocurre. Fusiones aparte, mantén una regla intacta: el carril del Auditor tiene que ser independiente de la actividad auditada, porque nadie puede auditar su propio trabajo.

2. Escribe tus propias definiciones de no conformidad en la decisión de clasificación

   Las ramas Mayor, Menor y Observación valen lo que valgan las definiciones que hay detrás. Un reparto habitual: una no conformidad mayor es un fallo sistémico o la ausencia de un control exigido, una menor es un incumplimiento aislado en un control que por lo demás funciona, y una observación no es una no conformidad. Escribe las vuestras junto al nodo de decisión, con un ejemplo de cada una, o la clasificación acabará negociándose en la reunión de cierre.

3. Define la regla de escalado y el reloj de las mayores

   Decide a quién de Dirección hay que informar de una no conformidad mayor, en cuánto tiempo y qué contención está autorizado a acordar: poner producto en cuarentena, detener una actividad o suspender a un proveedor. Después fija el plazo de cierre. Los organismos certificadores suelen imponer una ventana fija para las no conformidades mayores y retienen o suspenden la certificación hasta que se verifica la evidencia de corrección, así que alinea vuestro plazo interno con el que exija vuestro certificador.

4. Fija las reglas de evidencia y muestreo

   Registra cómo se seleccionan las muestras y de qué tamaño son, y establece que todo hallazgo debe emparejar una afirmación de no conformidad con la evidencia objetiva y con el apartado o requisito que incumple. Eso es lo que hace defendible un hallazgo cuando el auditado no está de acuerdo, y es la diferencia entre un informe de auditoría y una lista de opiniones.

5. Decide qué significa «verificado como eficaz» y quién lo firma

   El último nodo de decisión es donde se rompen en silencio casi todos los procesos de auditoría. Define la eficacia como una nueva comprobación de la actividad después de que la acción lleve funcionando un periodo declarado, no como la recepción de un formulario de cierre, y nombra a quien hace esa comprobación. Ajusta el bucle si vuestra política es abrir una nueva solicitud de acción correctiva en lugar de reabrir la original.

6. Publícalo como documento controlado

   Un procedimiento de auditoría es a su vez auditable, y un auditor preguntará qué versión estaba en vigor cuando se ejecutó una auditoría concreta. Comparte el diagrama aprobado donde lo vayan a encontrar auditores y auditados, conserva las versiones anteriores y registra quién aprobó cada revisión y cuándo, para que el historial de cambios del procedimiento esté disponible junto a los registros de auditoría que gobierna.

Preguntas frecuentes

¿Cuáles son las etapas principales de un proceso de auditoría?

Seis, en este orden: establecer el programa de auditoría y programar la auditoría concreta; planificarla acordando alcance, criterios y fechas y emitiendo el plan de auditoría; realizarla, empezando por la reunión de apertura y recogiendo después evidencias mediante muestreo de registros y observación del trabajo; generar y clasificar los hallazgos y confirmarlos en la reunión de cierre; emitir el informe de auditoría y abrir las solicitudes de acción correctiva; y hacer seguimiento hasta que las acciones estén verificadas y la auditoría se cierre con el programa actualizado. La ISO 19011 describe esta misma secuencia como iniciar, preparar, realizar, informar, completar y hacer el seguimiento de la auditoría.

¿Qué diferencia hay entre no conformidad mayor, no conformidad menor y observación?

Una no conformidad mayor es un fallo sistémico o la ausencia total de un control exigido, o un problema lo bastante grave como para poner en duda que el sistema pueda entregar los resultados previstos. Una no conformidad menor es un incumplimiento aislado en un control que por lo demás funciona según lo diseñado. Una observación, que a veces se registra como oportunidad de mejora, no es una no conformidad: no se ha incumplido nada, pero algo podría hacerse mejor. La división entre mayor y menor es la práctica habitual de los organismos certificadores que operan bajo ISO/IEC 17021-1, más que algo que prescriba la propia ISO 19011, así que si haces auditorías internas conviene que escribas tus propias definiciones y las mantengas consistentes entre auditores.

¿Qué ocurre cuando se levanta una no conformidad mayor?

Escala antes de que se escriba el informe. En esta plantilla la rama Mayor pasa directamente al carril Dirección para acordar una contención inmediata (poner en cuarentena el producto afectado, detener una actividad o suspender a un proveedor) y solo después vuelve a la ruta de reunión de cierre e informe. El sentido de la contención es limitar la exposición mientras aún se investiga la causa raíz; no es la acción correctiva. En un contexto de certificación, una no conformidad mayor suele tener que corregirse y verificarse dentro de un plazo definido, y el organismo certificador puede retener, suspender o retirar la certificación si no ocurre.

¿Cómo se verifica la acción correctiva antes de cerrar una auditoría?

Volviendo a comprobar la actividad, no archivando papeles. La corrección arregla el caso concreto encontrado; la acción correctiva ataca la causa raíz para que no se repita; la verificación confirma que la acción correctiva funcionó de verdad. En este diagrama el auditor primero acepta o rechaza el plan y, tras la implantación, la decisión «¿Acciones verificadas como eficaces?» cierra la auditoría o la devuelve a la investigación de causa raíz. La prueba práctica es volver a muestrear la misma actividad cuando la acción lleve en marcha el tiempo suficiente para dar resultados. Un formulario de cierre firmado es evidencia de que se completó, no de que fue eficaz.