Diagrama de flujo del proceso de auditoría

Cómo funciona

1. Renombra los carriles con tus roles reales

   Sustituye Responsable del programa, Auditor, Auditado, Dirección y Calidad por las funciones que realmente tienes. En organizaciones pequeñas el responsable del programa y Calidad suelen ser la misma persona, así que fusiónalos en lugar de dibujar un traspaso que nunca ocurre. Fusiones aparte, mantén una regla intacta: el carril del Auditor tiene que ser independiente de la actividad auditada, porque nadie puede auditar su propio trabajo.

2. Escribe tus propias definiciones de no conformidad en la decisión de clasificación

   Las ramas Mayor, Menor y Observación valen lo que valgan las definiciones que hay detrás. Un reparto habitual: una no conformidad mayor es un fallo sistémico o la ausencia de un control exigido, una menor es un incumplimiento aislado en un control que por lo demás funciona, y una observación no es una no conformidad. Escribe las vuestras junto al nodo de decisión, con un ejemplo de cada una, o la clasificación acabará negociándose en la reunión de cierre.

3. Define la regla de escalado y el reloj de las mayores

   Decide a quién de Dirección hay que informar de una no conformidad mayor, en cuánto tiempo y qué contención está autorizado a acordar: poner producto en cuarentena, detener una actividad o suspender a un proveedor. Después fija el plazo de cierre. Los organismos certificadores suelen imponer una ventana fija para las no conformidades mayores y retienen o suspenden la certificación hasta que se verifica la evidencia de corrección, así que alinea vuestro plazo interno con el que exija vuestro certificador.

4. Fija las reglas de evidencia y muestreo

   Registra cómo se seleccionan las muestras y de qué tamaño son, y establece que todo hallazgo debe emparejar una afirmación de no conformidad con la evidencia objetiva y con el apartado o requisito que incumple. Eso es lo que hace defendible un hallazgo cuando el auditado no está de acuerdo, y es la diferencia entre un informe de auditoría y una lista de opiniones.

5. Decide qué significa «verificado como eficaz» y quién lo firma

   El último nodo de decisión es donde se rompen en silencio casi todos los procesos de auditoría. Define la eficacia como una nueva comprobación de la actividad después de que la acción lleve funcionando un periodo declarado, no como la recepción de un formulario de cierre, y nombra a quien hace esa comprobación. Ajusta el bucle si vuestra política es abrir una nueva solicitud de acción correctiva en lugar de reabrir la original.

6. Publícalo como documento controlado

   Un procedimiento de auditoría es a su vez auditable, y un auditor preguntará qué versión estaba en vigor cuando se ejecutó una auditoría concreta. Comparte el diagrama aprobado donde lo vayan a encontrar auditores y auditados, conserva las versiones anteriores y registra quién aprobó cada revisión y cuándo, para que el historial de cambios del procedimiento esté disponible junto a los registros de auditoría que gobierna.

Preguntas frecuentes

¿Cuáles son las etapas principales de un proceso de auditoría?

Seis, en este orden: establecer el programa de auditoría y programar la auditoría concreta; planificarla acordando alcance, criterios y fechas y emitiendo el plan de auditoría; realizarla, empezando por la reunión de apertura y recogiendo después evidencias mediante muestreo de registros y observación del trabajo; generar y clasificar los hallazgos y confirmarlos en la reunión de cierre; emitir el informe de auditoría y abrir las solicitudes de acción correctiva; y hacer seguimiento hasta que las acciones estén verificadas y la auditoría se cierre con el programa actualizado. La ISO 19011 describe esta misma secuencia como iniciar, preparar, realizar, informar, completar y hacer el seguimiento de la auditoría.

¿Qué diferencia hay entre no conformidad mayor, no conformidad menor y observación?

Una no conformidad mayor es un fallo sistémico o la ausencia total de un control exigido, o un problema lo bastante grave como para poner en duda que el sistema pueda entregar los resultados previstos. Una no conformidad menor es un incumplimiento aislado en un control que por lo demás funciona según lo diseñado. Una observación, que a veces se registra como oportunidad de mejora, no es una no conformidad: no se ha incumplido nada, pero algo podría hacerse mejor. La división entre mayor y menor es la práctica habitual de los organismos certificadores que operan bajo ISO/IEC 17021-1, más que algo que prescriba la propia ISO 19011, así que si haces auditorías internas conviene que escribas tus propias definiciones y las mantengas consistentes entre auditores.

¿Qué ocurre cuando se levanta una no conformidad mayor?

Escala antes de que se escriba el informe. En esta plantilla la rama Mayor pasa directamente al carril Dirección para acordar una contención inmediata —poner en cuarentena el producto afectado, detener una actividad o suspender a un proveedor— y solo después vuelve a la ruta de reunión de cierre e informe. El sentido de la contención es limitar la exposición mientras aún se investiga la causa raíz; no es la acción correctiva. En un contexto de certificación, una no conformidad mayor suele tener que corregirse y verificarse dentro de un plazo definido, y el organismo certificador puede retener, suspender o retirar la certificación si no ocurre.

¿Cómo se verifica la acción correctiva antes de cerrar una auditoría?

Volviendo a comprobar la actividad, no archivando papeles. La corrección arregla el caso concreto encontrado; la acción correctiva ataca la causa raíz para que no se repita; la verificación confirma que la acción correctiva funcionó de verdad. En este diagrama el auditor primero acepta o rechaza el plan y, tras la implantación, la decisión «¿Acciones verificadas como eficaces?» cierra la auditoría o la devuelve a la investigación de causa raíz. La prueba práctica es volver a muestrear la misma actividad cuando la acción lleve en marcha el tiempo suficiente para dar resultados. Un formulario de cierre firmado es evidencia de que se completó, no de que fue eficaz.