Programa de auditoría, criterios y clasificación de hallazgos en 3 segundos.

ISO 19011 proporciona directrices para auditar sistemas de gestión en general (auditorías internas y auditorías de segunda y tercera parte), mientras que ISO 17021 se aplica específicamente a los organismos de certificación acreditados que realizan auditorías de tercera parte para emitir certificados. En la práctica, ISO 19011 es la guía que utilizan las empresas para gestionar su programa de auditorías internas y sus auditorías de segunda parte a proveedores. ISO 17021 es el estándar que deben cumplir AENOR, Bureau Veritas, TUV o SGS para poder certificar a sus clientes. Un responsable de calidad que prepara su programa anual de auditorías internas trabaja con ISO 19011, no con ISO 17021.

ISO 19011 cláusula 5 establece los elementos mínimos del programa de auditoría: objetivos del programa, alcance de cada auditoría (procesos, áreas, periodos), criterios de auditoría (normas, procedimientos aplicables), métodos de auditoría (entrevistas, observación, revisión documental), selección y competencia del equipo auditor, recursos necesarios y plazos. El programa debe revisarse y mejorarse con base en los resultados obtenidos. ISO 19011 también requiere que se gestionen los riesgos del propio programa de auditoría: qué puede impedir que las auditorías se realicen con la calidad prevista. La frecuencia de cada auditoría debe determinarse según el riesgo e importancia del proceso o área auditada.

ISO 19011 cláusula 7 define los atributos y competencias del auditor: conocimiento de los principios de auditoría, conocimiento del sistema de gestión que se audita (ISO 9001, ISO 14001, ISO 45001, etc.), conocimiento del contexto organizacional, habilidades de entrevista y comunicación, capacidad de análisis y pensamiento crítico, integridad y discernimiento. El auditor interno debe poder demostrar su competencia mediante formación específica en auditoría, experiencia en el área que va a auditar e independencia suficiente para emitir hallazgos objetivos. La norma recomienda que la selección del equipo auditor tenga en cuenta estas competencias de forma documentada, y que la organización mantenga un programa de desarrollo de auditores internos.

ISO 19011 cláusula 6.6 describe las técnicas de recogida de información: entrevistas al personal (en todos los niveles jerárquicos), observación directa de actividades y procesos, revisión de documentos e información documentada, y verificación de registros. La norma también contempla técnicas de muestreo cuando no es posible revisar el 100% de los registros. Las evidencias de auditoría deben ser verificables, objetivas y suficientes para soportar los hallazgos. ISO 19011:2018 (tercera edición) incorpora además directrices para auditorías remotas mediante tecnología (videoconferencia, acceso a sistemas documentales en línea), relevantes especialmente en auditorías de segunda parte a proveedores ubicados a distancia.

ISO 19011 cláusula 6.4.7 trata la clasificación de hallazgos. Una No Conformidad Mayor (NC Mayor) es el incumplimiento de un requisito que compromete significativamente la eficacia del sistema de gestión o pone en riesgo el logro de los resultados previstos (por ejemplo, ausencia total de un requisito exigido por la norma). Una No Conformidad Menor (NC Menor) es un incumplimiento puntual o aislado de un requisito que no invalida el sistema en su conjunto (por ejemplo, un registro incompleto o un procedimiento que no se sigue sistemáticamente). Una Observación de Mejora (OdM) no es un incumplimiento de requisito, sino una situación que, si se aborda, podría mejorar la eficacia del sistema. Los hallazgos deben quedar registrados con evidencias objetivas que los soporten.

Después de la auditoría, la organización auditada debe revisar los hallazgos, determinar las causas raíz de las no conformidades y definir acciones correctivas con responsable, plazo y criterio de verificación de eficacia. ISO 19011 indica que el responsable del programa de auditoría debe hacer seguimiento del estado de los planes de acción y verificar que se han cerrado adecuadamente. Para cada NC Mayor, el cierre debe verificarse formalmente (puede requerir visita de seguimiento). Los resultados de las acciones correctivas y el cierre de hallazgos deben alimentar la revisión del programa de auditoría y, en sistemas de gestión ISO 9001/14001/45001, la revisión por la dirección (cláusula 9.3). ISO 19011 recomienda también conservar la información documentada de todo el ciclo de auditoría.