Tipos de auditoría: interna, externa y de certificación (primera, segunda y tercera parte)

Buscas "tipos de auditoría" y el resultado es una mezcla confusa: auditoría fiscal, financiera, informática y de sistemas de gestión, todas revueltas. Si tu contexto es calidad, ambiente o seguridad, la clasificación que te importa es una muy concreta: la que distingue las auditorías por quién las realiza. Entender los tipos de auditoría de sistemas de gestión es lo que te permite saber qué se espera de cada una y cuál te aplica a ti.

Esta guía está pensada para el profesional que necesita ubicar rápidamente qué tipo de auditoría enfrenta y quién debe realizarla. No mezcla la auditoría contable con la de gestión: se centra en la clasificación por primera, segunda y tercera parte —interna, a proveedores y de certificación— y aclara las confusiones que más se repiten en la práctica.

Los tipos de auditoría de sistemas de gestión se clasifican principalmente según quién la realiza y con qué relación respecto a la organización auditada. Esa clasificación distingue tres tipos: auditoría de primera parte, de segunda parte y de tercera parte. La ISO 19011 usa esta misma división como referencia.

La clasificación por partes responde a una pregunta simple: ¿quién audita a quién? La primera parte es la organización auditándose a sí misma; la segunda parte es un cliente auditando a su proveedor; la tercera parte es un organismo independiente auditando para certificar. Cada tipo tiene un propósito y un marco distintos.

El término "auditoría interna vs externa" se resuelve con esta tabla. La auditoría interna es la de primera parte. La auditoría externa engloba tanto la de segunda parte (un cliente te audita) como la de tercera parte (una certificadora te audita). Interna y externa no son dos tipos paralelos, sino una forma más amplia de agrupar las tres partes.

La auditoría de primera parte, o auditoría interna, es la que una organización realiza sobre su propio sistema de gestión. Su propósito es detectar problemas y oportunidades de mejora antes de que llegue una auditoría externa, y verificar que el sistema funciona como debería.

La auditoría interna exige independencia dentro de la organización. Quien audita no puede revisar su propio trabajo ni el área donde reporta. Una empresa forma auditores internos de distintas áreas para que se auditen de forma cruzada, garantizando objetividad sin necesidad de contratar a un externo.

La auditoría interna es la puerta de entrada profesional al oficio de auditor. Un profesional de calidad, ambiente o seguridad se forma como auditor interno y empieza a auditar dentro de su empresa, sin necesidad de una acreditación externa. La guía sobre cómo hacer una auditoría interna paso a paso detalla su ejecución completa.

La auditoría de segunda parte es la que una organización realiza sobre un proveedor o socio con el que tiene una relación de interés. El caso más común es la auditoría de proveedores: un cliente audita a su proveedor para decidir si lo homologa, lo mantiene o lo descarta.

La auditoría de segunda parte se rige por la ISO 19011, no por la norma de certificación. El cliente audita al proveedor contra sus propios requisitos de compra y, cuando aplica, contra la norma de gestión pertinente. El objetivo no es certificar, sino generar confianza para una decisión comercial basada en evidencia.

La auditoría de proveedores gana peso en cadenas de suministro exigentes. Sectores como automoción, alimentos y farmacéutica auditan a sus proveedores de forma habitual para asegurar que cumplen requisitos de calidad, ambientales o de seguridad. Saber conducir auditorías de segunda parte es una competencia valorada en áreas de compras y calidad.

🔎 Pregunta de la práctica Soy comprador industrial y debo auditar a un proveedor nuevo antes de homologarlo. ¿Qué tipo de auditoría es y qué marco aplico?

Respuesta: Es una auditoría de segunda parte. Tú, como cliente, auditas al proveedor contra tus requisitos de compra y, si aplica, contra su norma de gestión. Te guías por la ISO 19011, no por la ISO/IEC 17021-1, que rige solo a las certificadoras. El objetivo es decidir la homologación con evidencia, no emitir un certificado.

La auditoría de tercera parte, o auditoría de certificación, es la que realiza un organismo certificador independiente para otorgar o mantener un certificado. Es la auditoría que termina con el sello ISO 9001, ISO 14001 o ISO 45001 que la organización exhibe ante el mercado.

La auditoría de certificación se rige por la ISO/IEC 17021-1, no por la ISO 19011. La norma ISO/IEC 17021-1 establece los requisitos que deben cumplir los organismos de certificación para que su certificado tenga validez acreditada. Confundir el marco de la certificación con la guía general de auditoría es un error frecuente.

La auditoría de certificación se desarrolla en dos etapas. La etapa 1 es una revisión documental que comprueba si el sistema está diseñado conforme a la norma y si la organización está lista. La etapa 2 es la auditoría in situ que verifica que el sistema se implementa y funciona en la práctica. Superadas ambas, el organismo emite el certificado.

🔎 Pregunta de la práctica Soy jefe de calidad y la certificadora viene el próximo mes. ¿En qué se diferencia su auditoría de las internas que ya hicimos?

Respuesta: La auditoría de certificación es de tercera parte: la realiza un organismo independiente acreditado bajo ISO/IEC 17021-1, no bajo la ISO 19011. Llega en dos etapas —revisión documental y auditoría in situ— y su conclusión otorga o niega el certificado. Las auditorías internas preparan el sistema; la de tercera parte decide la certificación.

Además de la clasificación por partes, las auditorías se clasifican según su objeto y su combinación. Estas clases de auditoría complementan la división principal y ayudan a describir con precisión qué se está auditando.

Según el objeto, una auditoría puede ser de sistema, de proceso o de producto. La auditoría de sistema evalúa el sistema de gestión completo frente a una norma; la de proceso se centra en un proceso específico; la de producto verifica si un producto cumple sus especificaciones. Una auditoría de sistemas de gestión trabaja sobre el sistema y, dentro de él, sobre procesos, no sobre productos individuales.

Según su combinación, una auditoría puede ser combinada o integrada. Una auditoría combinada evalúa dos o más sistemas de gestión (por ejemplo, calidad y ambiente) en un mismo ejercicio. Una auditoría integrada audita un sistema de gestión integrado como un todo coherente. Ambas aprovechan la estructura común de las normas ISO para auditar con un solo equipo y ahorrar recursos.

Las confusiones sobre los tipos de auditoría nacen de mezclar quién audita, con qué marco y para qué. Aclararlas evita errores de decisión y de comunicación con clientes, proveedores y certificadoras.

La confusión más costosa es tratar la auditoría de segunda parte como si otorgara un certificado. Un proveedor auditado por un cliente no obtiene una certificación: obtiene una homologación o aprobación de ese cliente concreto. El certificado acreditado solo lo emite un organismo de tercera parte.

Los tipos de auditoría de sistemas de gestión se ordenan con una lógica clara: quién audita a quién. La primera parte es la organización revisándose a sí misma, la segunda parte es un cliente evaluando a su proveedor y la tercera parte es un organismo independiente certificando. Sumar las clasificaciones por objeto y por combinación permite describir cualquier auditoría con precisión y evitar las confusiones que más cuestan en la práctica.

Ubicar bien el tipo de auditoría es el primer paso; saber conducir una es el que abre puertas laborales. Formarte en el método de la ISO 19011 y practicar la auditoría interna es la vía para pasar de entender la clasificación a ejercer el oficio, con una certificación que respalde tu competencia.