Qué se puede auditar de forma remota y qué no

La auditoría a distancia dejó de ser una salida de emergencia y hoy tiene reglas propias, reconocidas tanto por la ISO 19011 como por los criterios de los organismos de acreditación. La pregunta ya no es si se vale, sino qué se puede verificar de forma remota con la misma confianza que en sitio, y qué no. Responderla mal tiene dos costos: una auditoría que no detecta nada, o un organismo que invalida parte del alcance.

Qué se audita bien de forma remota

• —Documentación del sistema: política, procedimientos, lista maestra, control de versiones y aprobaciones.
• —Registros: acciones correctivas, resultados de auditorías previas, actas de revisión por la dirección, evaluaciones de proveedores, capacitación.
• —Indicadores y su cálculo: fórmula, fuente de datos y trazabilidad hasta el registro original.
• —Entrevistas de conocimiento y responsabilidad: qué hace cada quien, cómo reporta un problema, dónde consulta el documento vigente.
• —Procesos que ya viven en un sistema informático: compras, control documental, seguimiento de acciones.

Qué exige estar en sitio

Todo lo que dependa de observar condiciones físicas reales. La limpieza y el estado de una línea de producción, el manejo de residuos peligrosos, las condiciones de almacenamiento, el uso efectivo de equipo de protección, el estado de las instalaciones, el orden en almacén, las condiciones ambientales de un área controlada. También la verificación de que la planta que estás auditando corresponde al alcance declarado. Una cámara enseña lo que el que la sostiene decide enseñar, y esa es exactamente la limitación que hay que documentar.

El muestreo es el punto crítico

En sitio, el auditor camina hasta el archivero y elige. En remoto, el auditado comparte pantalla y muestra lo que abre. La forma de resolverlo es cambiar el orden: el auditor pide primero el listado completo —todas las órdenes del periodo, todos los lotes, todos los expedientes de personal— y a partir de ese listado selecciona él los registros que quiere ver. Si la muestra se elige después de ver el listado y no antes de que el auditado prepare la carpeta, la evidencia sirve. Si no, lo que se audita es la selección del auditado.

Planear la tecnología como parte del riesgo

El plan de auditoría remota tiene que incluir cosas que en sitio no existen: qué plataforma se usa, quién tiene acceso, cómo se comparte evidencia sin sacarla de control, qué pasa si se cae la conexión, cómo se maneja la confidencialidad de lo que se muestra en pantalla, y si se graba o no —y con qué consentimiento—. Esos son riesgos del programa de auditoría, y la norma pide considerarlos. Una auditoría que se interrumpió dos horas por fallas de red y aun así se reportó como completa es un problema de evidencia, no de mala suerte.

El modelo híbrido es hoy el estándar

La práctica más sólida no es elegir entre remoto y presencial, sino repartir: la revisión documental, los registros y las entrevistas de soporte se hacen a distancia días antes, y el tiempo en sitio se reserva íntegro para recorrer procesos, observar operación y verificar condiciones físicas. El resultado suele ser mejor que la auditoría tradicional, porque el auditor llega a la planta con las preguntas ya afiladas en lugar de gastar la primera mañana leyendo procedimientos en una sala de juntas.

Lo que hay que dejar documentado

El informe debe indicar qué actividades fueron remotas, con qué medios, qué no pudo verificarse a distancia y cómo se cubrió. Un informe que no distingue una cosa de la otra deja al organismo sin forma de evaluar la confianza de la evidencia. Eso es lo que resuelve un Software para auditorías internas y externas: el programa anual con el alcance y la modalidad de cada auditoría, la lista de verificación con la evidencia adjunta en el punto que la sustenta, y los hallazgos conectados directamente con su acción correctiva en lugar de vivir en un informe que nadie vuelve a abrir.