Te acaban de asignar tu primera auditoría interna y la lista de dudas es larga: por dónde empezar, qué decirle al área auditada, cómo saber si un hallazgo es sólido. Saber cómo hacer una auditoría interna con método es lo que separa una revisión que mejora el sistema de una que solo genera papeleo y tensión.
Esta guía está pensada para el profesional que debe realizar auditorías internas en su organización y para quien se forma como auditor interno. No es una lista teórica: recorre el ciclo completo tal como lo describe el capítulo 6 de la ISO 19011, desde la planificación hasta el seguimiento, con las técnicas concretas de cada etapa. Al terminar sabrás preparar, ejecutar, documentar e informar una auditoría interna que resista cualquier revisión.
Qué necesitas antes de empezar una auditoría interna
Una auditoría interna necesita tres condiciones antes de arrancar: criterios definidos, un auditor independiente del área y un encargo formal dentro del programa de auditoría. Sin las tres, la auditoría pierde validez antes de empezar.
Los criterios de auditoría son el referente contra el que compararás lo que encuentres: la norma aplicable (ISO 9001, 14001, 45001), los requisitos legales y los procedimientos internos. Definir los criterios antes de pisar el área evita hallazgos subjetivos que el auditado pueda rebatir.
La independencia del auditor es un requisito, no una preferencia. Un auditor interno no puede auditar su propio trabajo ni el área donde reporta directamente. En una empresa pequeña, la solución es formar auditores de áreas distintas que se auditen de forma cruzada.
El encargo formal proviene del programa de auditoría, que es la planificación anual del conjunto de auditorías de la organización. El programa fija qué se audita, cuándo y con qué recursos; cada auditoría interna concreta se ejecuta a partir de un plan de auditoría específico.
Paso 1: Planifica la auditoría
Planificar una auditoría interna consiste en traducir el encargo del programa en un plan de auditoría concreto. El plan define objetivos, alcance, criterios, fechas, procesos a auditar y el equipo auditor. Un plan claro es la diferencia entre una auditoría enfocada y una que se dispersa.
Los objetivos responden para qué se hace la auditoría: verificar conformidad con la norma, evaluar la eficacia de un proceso o preparar la certificación. El alcance delimita qué procesos, áreas y periodo se revisarán. Los criterios fijan contra qué se compara la evidencia.
El plan de auditoría se comparte con el área auditada con antelación. Anticipar el alcance y las fechas no es "avisar para que escondan": es una práctica profesional que permite al área tener disponibles a las personas y los registros, y refleja que la auditoría busca colaboración, no emboscada.
Paso 2: Prepárate — revisión documental y checklist
La preparación de una auditoría interna empieza por revisar la documentación del sistema antes de ir al área. El auditor estudia procedimientos, registros previos, hallazgos de auditorías anteriores y requisitos aplicables, y con eso construye su lista de verificación.
El checklist de auditoría interna es la herramienta que ordena qué vas a comprobar y contra qué criterio. Un buen checklist no es un cuestionario de sí/no: es una guía de qué evidencia buscar en cada proceso, con espacio para anotar lo que encuentres. Preparar el checklist antes evita que la auditoría dependa de la memoria o la improvisación.
| Checklist del auditor interno · antes de ir al área | |
| ✔ | Criterios de auditoría definidos (norma, requisitos legales y procedimientos internos) |
| ✔ | Independencia confirmada (no auditas tu propia área) |
| ✔ | Plan de auditoría compartido con el área auditada |
| ✔ | Documentación revisada (procedimientos, registros y hallazgos previos) |
| ✔ | Checklist de verificación preparado por proceso |
| ✔ | Agenda y disponibilidad de personas clave confirmadas |
| ✔ | Método para registrar la evidencia listo (formato y dónde anotar) |
La preparación también define la logística. El auditor confirma agenda con el área, reserva el tiempo para cada proceso y prepara cómo registrará la evidencia. Llegar sin preparación obliga a improvisar y transmite falta de rigor al área auditada.
Paso 3: Conduce la reunión de apertura
La reunión de apertura inicia formalmente la auditoría interna y marca su tono. En pocos minutos, el auditor presenta el objetivo, el alcance, los criterios, la agenda y el método de trabajo al responsable del área. Una apertura clara baja la tensión y alinea expectativas.
La reunión de apertura cumple una función psicológica además de organizativa. El auditor aprovecha ese momento para dejar claro que la auditoría evalúa el sistema y no a las personas, y que los hallazgos son oportunidades de mejora. Ese encuadre inicial determina si el área colabora o se cierra.
La reunión de apertura debe ser breve y concreta. El auditor confirma la disponibilidad de las personas clave, aclara dudas sobre el alcance y acuerda cómo se comunicarán los hallazgos. Una apertura de diez minutos bien conducida ahorra fricciones durante toda la auditoría.
🔎 Pregunta de la práctica Soy auditor interno novato en una empresa de alimentos y me toca auditar a un jefe con más años y jerarquía que yo. ¿Cómo mantengo la autoridad sin generar conflicto?
Respuesta: Apóyate en el criterio y la evidencia, no en la jerarquía. Pregunta en abierto, escucha y refiere cada observación al requisito de la norma, nunca a la persona. Tu autoridad viene del método y de los hechos verificables, no del cargo. Mantén el tono colaborativo: auditas el sistema, no evalúas al jefe.
Paso 4: Recolecta la evidencia
La recolección de evidencia es el corazón de la auditoría interna y donde se juega su credibilidad. El auditor obtiene evidencia objetiva mediante cuatro técnicas: entrevistas, observación directa, revisión de registros y muestreo. La evidencia debe ser verificable; una impresión no sirve como evidencia.
| Técnica | En qué consiste | Cuándo usarla |
|---|---|---|
| Entrevista | Preguntar en abierto a quien ejecuta el proceso | Para entender cómo se hace realmente el trabajo |
| Observación directa | Ver el proceso en ejecución | Para contrastar lo que se dice con lo que se hace |
| Revisión de registros | Examinar documentos, formatos y datos | Para verificar que hay evidencia de lo que se afirma |
| Muestreo | Revisar una muestra representativa, no el total | Cuando el volumen impide revisarlo todo |
El muestreo basado en riesgos es la técnica que salva al auditor con poco tiempo. En lugar de intentar revisarlo todo, el auditor concentra el esfuerzo en los procesos de mayor impacto o con historial de problemas, y revisa una muestra representativa. Una auditoría con muestreo declarado es válida; una revisión superficial de todo, no.
Las preguntas del auditor deben ser abiertas, no dirigidas. Preguntar "muéstrame cómo registras esta operación" obtiene evidencia; preguntar "¿registras siempre esta operación, verdad?" induce la respuesta y la invalida. La calidad de la evidencia depende de la calidad de la pregunta.
🔎 Pregunta de la práctica Soy responsable de calidad y solo tengo medio día para auditar un proceso grande con cientos de registros. ¿Cómo priorizo sin perder validez?
Respuesta: Aplica muestreo basado en riesgos. Concentra el tiempo en las etapas de mayor impacto o con fallos previos, revisa una muestra representativa de registros y documenta qué alcance muestreaste. Declarar el muestreo mantiene la validez de la auditoría; intentar verlo todo en medio día solo produce una revisión superficial.
Paso 5: Documenta los hallazgos y cierra con la reunión de cierre
Un hallazgo de auditoría nace de comparar la evidencia recopilada con el criterio. El auditor documenta cada hallazgo con tres elementos: el requisito incumplido, la evidencia objetiva y la descripción del incumplimiento. Un hallazgo sin evidencia trazable es una opinión, y una opinión no se sostiene en una auditoría.
Los hallazgos se clasifican según su gravedad y naturaleza. Un hallazgo puede ser una conformidad, una no conformidad mayor, una no conformidad menor o una oportunidad de mejora. La clasificación correcta determina qué acción exige después cada hallazgo.
| Tipo de hallazgo | Qué significa | Qué exige después |
|---|---|---|
| Conformidad | Se cumple el criterio | Registrar como evidencia de cumplimiento |
| No conformidad mayor | Falla que rompe el sistema o su capacidad | Acción correctiva inmediata y verificación |
| No conformidad menor | Desviación puntual, sin ruptura del sistema | Acción correctiva con plazo acordado |
| Oportunidad de mejora | No incumple, pero puede optimizarse | Evaluar y decidir si se implementa |
La reunión de cierre presenta los hallazgos al área auditada antes de emitir el informe. El auditor expone cada hallazgo con su evidencia, sin abrir debate sobre culpables. La reunión de cierre no es una negociación de hallazgos: es la comunicación transparente de lo encontrado, con la evidencia sobre la mesa.
Paso 6: Redacta el informe y da seguimiento
El informe de auditoría documenta objetivos, alcance, criterios, hallazgos y conclusiones, y se entrega a la dirección. Un buen informe es claro, trazable y objetivo: cualquier lector debe poder rastrear cada hallazgo hasta su evidencia. El informe es el producto tangible de la auditoría interna.
El seguimiento cierra el ciclo de la auditoría. El área auditada define y ejecuta las acciones correctivas para las no conformidades, y el auditor verifica después que esas acciones se implementaron y fueron eficaces. Una auditoría sin seguimiento deja los hallazgos abiertos y desperdicia todo el trabajo previo.
Errores comunes al hacer una auditoría interna y cómo evitarlos
Los errores al hacer una auditoría interna suelen concentrarse en la ejecución: en cómo se recopila la evidencia y cómo se comunican los hallazgos. Reconocerlos de antemano protege la validez de la auditoría y su aceptación en la organización.
| Error frecuente | Por qué ocurre | Cómo evitarlo |
|---|---|---|
| Saltarse la reunión de apertura | Se cree que es un trámite prescindible | Abrir siempre: alinea alcance, criterios y tono con el área |
| Redactar hallazgos sin citar el requisito | Se describe el problema, no el incumplimiento | Referenciar la cláusula o criterio incumplido junto a la evidencia |
| Auditarlo todo sin muestreo ni foco | Se quiere abarcar el 100% del proceso | Aplicar muestreo basado en riesgos y declarar el alcance revisado |
| Registrar la evidencia de memoria | Se anota después, no en el momento | Registrar evidencia (documento, fecha, código) al momento de verla |
| Convertir la reunión de cierre en debate | Se discute la validez del hallazgo en la sala | Presentar hechos con evidencia; no negociar ni opinar |
El error más frecuente entre auditores nuevos es redactar hallazgos sin citar el requisito. Un hallazgo que dice "el área no controla bien sus registros" es rebatible y débil. Un hallazgo que dice "se encontraron tres registros de calibración sin firma, incumpliendo el procedimiento PR-07" es sólido, trazable e indiscutible.
Preguntas frecuentes
¿Cuáles son los pasos de una auditoría interna?
¿Qué se dice en la reunión de apertura de una auditoría?
¿Cómo se recolecta la evidencia en una auditoría interna?
¿Necesito certificarme para hacer auditorías internas?
¿Cuánto dura una auditoría interna?
Conclusión
Hacer una auditoría interna con método es una secuencia clara: planificar, preparar el checklist, abrir con transparencia, recolectar evidencia verificable, documentar hallazgos con su requisito, cerrar con hechos y dar seguimiento. Cada paso protege la validez del siguiente, y el conjunto convierte una tarea temida en una herramienta real de mejora.
Ejecutar una auditoría no se aprende leyendo los pasos, sino practicándolos: entrevistando, muestreando, redactando hallazgos trazables y conduciendo reuniones de apertura y cierre. Ese es el salto de "saber qué hacer" a "saber hacerlo", y es exactamente la competencia que las organizaciones buscan en un auditor interno.
