Qué es una auditoría combinada de varias normas

La empresa tenía tres certificados y una queja recurrente: entre calidad, ambiente y seguridad y salud pasaba tres semanas al año atendiendo auditores, con tres planes distintos, tres equipos auditores y tres informes que había que cerrar por separado. Pidieron una auditoría combinada esperando pagar menos y terminar antes. El organismo la aceptó, y el resultado fue peor: el equipo pasó cinco días persiguiendo documentos en tres sistemas paralelos, salieron hallazgos por procesos que se contradecían entre sí y la reducción de tiempo que esperaban no aplicó. El problema no fue la auditoría combinada. Fue que no tenían un sistema integrado, tenían tres sistemas guardados en el mismo servidor.

Combinada, integrada y conjunta no son lo mismo

Los tres términos circulan mezclados y significan cosas distintas. Una auditoría combinada es la que evalúa dos o más normas de sistemas de gestión en un mismo auditado y al mismo tiempo: un plan, un equipo, un periodo. Un sistema de gestión integrado es la condición del auditado, no de la auditoría: significa que la organización tiene un solo sistema que atiende los requisitos de varias normas, con procesos, documentación y gobierno comunes. Una auditoría conjunta es otra cosa: dos o más organizaciones auditoras cooperando para auditar a un mismo auditado, algo poco frecuente fuera de esquemas específicos.

La distinción importa porque el beneficio real de la combinada depende del grado de integración. Auditar dos normas al mismo tiempo sobre dos sistemas separados no ahorra casi nada: el auditor tiene que recorrer dos veces cada proceso.

De dónde sale la reducción de tiempo

El tiempo de auditoría no lo inventa el organismo: se calcula a partir del número efectivo de empleados, la complejidad, los sitios y el sector, siguiendo reglas de acreditación. Cuando dos normas se auditan de forma combinada sobre un sistema realmente integrado, hay elementos que se auditan una sola vez —la política, la planificación, la revisión por la dirección, el control de la información documentada, la gestión de competencia, la auditoría interna, las acciones correctivas, el enfoque a procesos— y por eso el organismo puede aplicar una reducción sobre la suma de los tiempos individuales. Esa reducción tiene un tope y tiene que justificarse por escrito en el cálculo, no se concede por pedirla.

El organismo evalúa el grado de integración antes de decidir. Los criterios que mira son concretos y conviene conocerlos porque son, en la práctica, la lista de lo que hay que construir.

Qué mira el organismo para conceder la reducción

• —Que exista un solo conjunto de procesos documentados que atienda los requisitos de todas las normas, en vez de manuales paralelos que repiten lo mismo con distinto encabezado.
• —Una planificación única: contexto, partes interesadas, riesgos y oportunidades y objetivos tratados en un solo ejercicio, no tres análisis con tres matrices que no se hablan entre sí.
• —Una revisión por la dirección única, con una sola agenda que cubra las entradas exigidas por cada norma y decisiones que aplican al sistema completo.
• —Un programa de auditoría interna integrado, ejecutado por auditores competentes en todas las normas del alcance, con informes que cubren los tres marcos en el mismo recorrido de proceso.
• —Un tratamiento común de no conformidades, acciones correctivas, quejas y mejora, sin tres flujos distintos según de qué norma venga el hallazgo.
• —Responsabilidades y autoridades asignadas de forma unificada, con indicadores que la dirección revisa en conjunto y no en tres reportes separados.

Lo que no se puede combinar

Por más integrado que esté el sistema, cada norma conserva requisitos propios que se auditan por separado y consumen su propio tiempo. La identificación y evaluación de aspectos ambientales y el cumplimiento de la legislación ambiental son de la ISO 14001. La identificación de peligros, la evaluación de riesgos laborales, la jerarquía de controles y la consulta y participación de los trabajadores son de la ISO 45001. Los procesos específicos de producto, el diseño y el control de proveedores en la profundidad que exige calidad son de la ISO 9001. Un equipo auditor combinado tiene que ser competente en todas las normas del alcance, y esa es a menudo la restricción práctica: no todos los organismos tienen auditores calificados en las tres para el sector de la empresa, y agendar al equipo correcto toma más tiempo.

Cómo se reportan los resultados

La auditoría es una, pero las certificaciones siguen siendo independientes. El informe debe permitir identificar a qué norma corresponde cada hallazgo, porque una no conformidad mayor en el sistema ambiental afecta la decisión sobre ese certificado y no necesariamente sobre el de calidad. Lo mismo con los ciclos: si los certificados se emitieron en fechas distintas, sus vigilancias y recertificaciones caen en momentos distintos, y para combinar de verdad hay que alinear los ciclos antes, cosa que se hace ajustando la vigencia de uno de ellos con el organismo.

Dónde se rompe en la operación

La falla habitual es pedir la combinada como si fuera un descuento comercial, sin haber integrado nada por dentro: tres manuales, tres matrices de riesgo, tres revisiones por la dirección y un solo auditor que tiene que recorrerlo todo. En Puebla, donde los proveedores del corredor de Volkswagen y Audi sostienen a la vez requisitos de calidad automotriz, exigencias ambientales de la planta cliente y compromisos de seguridad y salud verificados en auditorías de segunda parte, la carga de auditorías separadas es de las que consumen el año entero del área. Integrar el sistema primero y combinar la auditoría después es el orden correcto, y es parte del trabajo que se hace en la Consultoría ISO 9001 en Puebla: la combinada es la consecuencia de un sistema integrado, no el atajo para no integrarlo.

En resumen

Una auditoría combinada evalúa dos o más normas al mismo tiempo con un solo plan y un solo equipo. La reducción de tiempo existe, tiene tope y se concede según el grado de integración real del sistema: procesos comunes, planificación única, una revisión por la dirección, auditoría interna integrada y un solo tratamiento de no conformidades. Los requisitos propios de cada norma se auditan aparte y el informe debe distinguir a qué certificado pertenece cada hallazgo. Sin integración por dentro, la combinada no ahorra: complica.