Qué es una auditoría testigo y por qué te toca

La reunión de apertura de la vigilancia empezó con una persona de más en la sala. Se presentó, dijo su nombre y el del organismo de acreditación, aclaró que no iba a hacer preguntas ni a participar en la auditoría, pidió firmar el acuerdo de confidencialidad y se sentó al fondo. Durante dos días siguió al auditor por la planta, tomó notas cuando el auditor pedía evidencia, tomó más notas cuando decidía no profundizar en algo, y en la reunión de cierre no dijo una palabra. El gerente de calidad salió convencido de que había sido la auditoría más estricta de los últimos cuatro años, y tenía razón, aunque el motivo no fuera el que suponía.

Quién audita al que te audita

La confianza en un certificado no descansa en la buena fe del certificador. Descansa en una cadena de evaluaciones: la empresa es auditada por un organismo de certificación, el organismo de certificación es evaluado por un organismo de acreditación, y los organismos de acreditación se someten entre ellos a evaluaciones por pares dentro de los acuerdos de reconocimiento del Foro Internacional de Acreditación. La auditoría testigo es el eslabón de campo de esa cadena: el punto donde el organismo de acreditación deja de revisar procedimientos en una oficina y va a ver cómo audita realmente un auditor, en una planta real, con un cliente real.

Es un requisito de la norma que rige a los organismos de acreditación, y por eso no es negociable para el certificador: tiene que presentar auditorías testigo con una frecuencia y una cobertura determinadas, distribuidas entre sus normas, sus sectores y sus auditores. De ahí sale la sensación de aleatoriedad. A una empresa le toca porque encaja en la combinación que el organismo de acreditación necesita observar ese año: esa norma, ese sector, ese auditor, esa etapa del ciclo.

Qué observa el testigo

Al auditor, no a la empresa. El evaluador del organismo de acreditación no está evaluando si tu sistema de gestión cumple: está evaluando si el auditor conduce la auditoría conforme a las reglas. Eso incluye cosas muy concretas.

• —Si el plan de auditoría cubre el alcance declarado y si el tiempo asignado corresponde al tamaño y la complejidad de la organización.
• —Si el auditor recoge evidencia objetiva antes de concluir, o si acepta afirmaciones sin verificarlas.
• —Si el muestreo es razonable: procesos, turnos, sitios y periodos, y no solo lo que estaba a la mano.
• —Si los hallazgos están bien redactados y bien clasificados: requisito incumplido, evidencia y declaración de la no conformidad, y una clasificación entre mayor y menor que resista revisión.
• —Si el auditor mantiene la imparcialidad y no cruza la línea de la consultoría, que es el error más vigilado: puede decir qué requisito no se cumple, no puede decir cómo resolverlo ni proponer soluciones.
• —Si la competencia del auditor corresponde al sector: en una planta de alimentos o de dispositivos médicos, el evaluador observa si el auditor entiende el proceso que está auditando o solo la estructura de la norma.

Qué implica para la empresa auditada

Tres cosas prácticas. La primera es el consentimiento: el organismo de certificación tiene que informar con anticipación y obtener la aceptación de la organización, junto con el acuerdo de confidencialidad del evaluador, que queda sujeto a las mismas obligaciones que el auditor. La segunda es que no genera costo adicional ni días extra de auditoría; el evaluador acompaña, no audita en paralelo. La tercera, y la más importante, es que las observaciones del testigo no producen hallazgos para la empresa: si el evaluador detecta que el auditor pasó por alto algo, la no conformidad se levanta contra el organismo de certificación, no contra la organización auditada.

Esa última parte suele tranquilizar a quien la escucha por primera vez y no debería tranquilizar del todo, por una razón indirecta que conviene anticipar.

El efecto secundario: la auditoría se vuelve más literal

Un auditor observado audita distinto. No porque en otras ocasiones haga mal su trabajo, sino porque bajo observación desaparecen los atajos razonables que hacen fluida una auditoría: el registro que se da por bueno porque se vio el año pasado, la muestra que se acorta porque el proceso venía limpio, la pregunta que no se hace porque el responsable ya explicó el punto en otra área. Todo eso se ejecuta al pie de la letra. La consecuencia es que aparecen hallazgos que en una auditoría normal se habrían quedado en observación, y que el tiempo alcanza más justo de lo habitual.

De ahí que el consejo práctico no sea prepararse distinto, sino prepararse completo: tener la evidencia del periodo disponible y no solo la del último mes, los registros accesibles sin depender de una sola persona, y a los dueños de proceso presentes. Una auditoría testigo es mala noticia únicamente para el sistema que se sostenía en la costumbre del auditor.

Puedes negarte, y conviene saber qué pasa

La organización puede no aceptar la presencia del evaluador, y hay razones legítimas: confidencialidad reforzada por contrato con un cliente, restricciones de acceso a áreas sensibles, momentos operativos críticos. La negativa no afecta la certificación ni genera consecuencias para la empresa. Lo que sí ocurre es que el organismo de certificación tiene que buscar otra auditoría para cumplir su cuota de testificación, y que si el motivo es de área restringida suele bastar con acotar el acceso del evaluador a esa zona en lugar de negar la visita completa.

Dónde se rompe en la operación

El problema no es el testigo: es que la auditoría literal encuentra lo que la auditoría fluida perdona. Registros del periodo que no se localizan porque están repartidos entre carpetas y correos, hallazgos del ciclo anterior cerrados sin evidencia de verificación de eficacia, indicadores sin serie histórica, competencias sin soporte. Es un riesgo conocido en las plantas del corredor automotriz y aeroespacial de Puebla, donde muchas operaciones sostienen certificados que un corporativo revisa cada año y donde la vigilancia no admite reprogramarse por falta de evidencia. Llegar a cualquier auditoría con la trazabilidad completa del periodo —programa, hallazgos, acciones, verificación de eficacia e indicadores— es justamente lo que se construye durante la implementación en la Consultoría ISO 9001 en Puebla, y es lo que hace que la presencia de un evaluador de acreditación sea un dato y no un problema.

En resumen

La auditoría testigo es la evaluación en campo que el organismo de acreditación hace sobre el organismo de certificación, observando a su auditor mientras audita a una empresa real. Se avisa con anticipación, requiere consentimiento y confidencialidad, no cuesta más y no genera hallazgos contra la organización auditada: los hallazgos van contra el certificador. Su único efecto real sobre la empresa es indirecto y predecible: ese día la auditoría se ejecuta al pie de la letra. Es también la razón de fondo por la que un certificado acreditado vale fuera de casa.