Qué cuenta como evidencia objetiva en una auditoría

El jefe de producción lo dijo con toda honestidad y con cierto orgullo: "aquí revisamos cada lote antes de liberarlo, llevamos veinte años haciéndolo, lo que pasa es que no lo escribimos". El auditor le creyó. Y aun así escribió la no conformidad. No porque dudara de la palabra del jefe, sino porque una auditoría no puede concluir sobre lo que una persona afirma: concluye sobre lo que puede verificarse. Si el criterio de liberación vive en la cabeza de una persona, el sistema no tiene forma de demostrar que se aplicó ayer, ni de sostenerlo cuando esa persona no esté.

La definición es más estrecha de lo que parece

La ISO 9000, que es la norma de vocabulario para los sistemas de gestión de la calidad, define evidencia objetiva como los datos que respaldan la existencia o la veracidad de algo, y aclara que puede obtenerse mediante observación, medición, ensayo u otros medios. Dos palabras cargan el peso: datos y verificable. Lo que sostiene una conclusión de auditoría no es la afirmación de que algo ocurre, sino el rastro que permite comprobar que ocurrió, quién lo hizo, cuándo, con qué criterio y con qué resultado.

La ISO 19011 agrega el otro lado: la evidencia de auditoría son los registros, declaraciones de hechos u otra información pertinente para los criterios de auditoría y que es verificable. Nótese que las declaraciones sí entran, pero con la condición de ser pertinentes y verificables. Una declaración que nadie puede corroborar contra nada no es evidencia; es una hipótesis.

De dónde sale la evidencia

• —Los registros del proceso: órdenes, bitácoras, hojas de verificación, resultados de inspección, reportes de mantenimiento, expedientes de personal, minutas con decisiones y responsables.
• —La observación directa en el sitio: ver la actividad ejecutándose, con el operador que la hace, en el momento en que la hace. Es la fuente más difícil de discutir y la que más rápido revela la distancia entre lo escrito y lo real.
• —Las entrevistas al personal que ejecuta el trabajo, no solo a quien lo administra. Sirven para verificar competencia, toma de conciencia y comprensión del proceso, y para orientar dónde buscar registros.
• —Los datos de los sistemas informáticos y los indicadores, con la condición de que se pueda reproducir de dónde salen: una gráfica sin fuente rastreable no demuestra nada.
• —Las mediciones, ensayos y resultados de laboratorio, con la trazabilidad del equipo con el que se obtuvieron y su estado de calibración.
• —La documentación del sistema y la de origen externo —normas, reglamentos, especificaciones de cliente, fichas técnicas— siempre que esté bajo control y en la versión vigente.
• —Los resultados de auditorías anteriores, internas y externas, y la evidencia del cierre de sus hallazgos, que el auditor usa para verificar eficacia y no solo cumplimiento formal.

Cuándo la evidencia es suficiente

No basta con que exista: tiene que ser pertinente al criterio que se está auditando, verificable por alguien distinto de quien la presenta y suficiente para sostener la conclusión. Suficiente no significa mucha. Significa que cubra la variabilidad relevante: si el proceso corre en tres turnos, evidencia de un solo turno no sostiene una conclusión sobre el proceso; si hay cinco familias de producto, cinco registros del mismo producto tampoco. Por eso la suficiencia se relaciona directamente con el muestreo: el auditor amplía la muestra cuando la evidencia que va encontrando no le alcanza para decidir si lo que vio es un caso aislado o un patrón.

La corroboración es la otra mitad. Una entrevista se corrobora con un registro; un registro se corrobora con la observación de la actividad; una gráfica se corrobora con los datos crudos. Cuando dos fuentes independientes apuntan a lo mismo, la conclusión se sostiene. Cuando se contradicen, ahí está el hallazgo.

Lo que no cuenta como evidencia

No cuenta la afirmación sin respaldo, por más creíble que sea la persona. No cuenta la opinión ni el juicio de valor: que el proceso funcione bien es una apreciación, que el índice de rechazo sea de dos por ciento es un dato. No cuenta un documento sin control del que nadie puede decir si es la versión vigente. No cuentan los registros firmados en bloque el día anterior a la auditoría, que se detectan con una facilidad que sorprende a quien los firma: misma tinta, misma letra, secuencia perfecta, sin una sola corrección en seis meses de operación. Y no cuenta un procedimiento como evidencia de ejecución: el procedimiento demuestra que la actividad está definida, no que se hace.

De la evidencia al hallazgo

Un hallazgo bien redactado tiene tres partes y ninguna sobra: el requisito incumplido —de la norma, del sistema propio, del cliente o legal—, la evidencia concreta que lo demuestra con su identificación exacta, y la declaración de la desviación. "No se evidenció el control de los dispositivos de medición" no es un hallazgo; es una queja. "El calibrador identificado CAL-12, utilizado en la inspección final de la línea 2, presenta etiqueta de calibración vencida desde el 14 de marzo y se encontró en uso el 21 de agosto" sí lo es: cualquiera puede ir a verificarlo. Esa precisión no es un formalismo del auditor, es lo que permite a la organización atacar la causa en vez de adivinar qué le están señalando.

Dónde se rompe en la operación

El patrón más común no es la mala fe, es el conocimiento tácito: procesos que funcionan bien porque la gente sabe hacerlos, con criterios que nunca se escribieron y decisiones que no dejan rastro. Funciona hasta que el auditor pregunta cómo se decidió liberar ese lote, o hasta que se va la persona que sabía. En León, donde buena parte del clúster del calzado y la marroquinería opera con equipos de larga trayectoria y oficio transmitido en el piso, la brecha entre lo que se hace bien y lo que se puede demostrar es el hallazgo que más se repite al certificar. Convertir ese oficio en criterios definidos y registros que se generan solos al ejecutar el trabajo, sin volverlo burocracia, es parte de lo que se hace en la Consultoría ISO 9001 en León.

En resumen

Evidencia objetiva son los datos verificables que respaldan la existencia o veracidad de algo, y provienen de registros, observación en sitio, entrevistas, mediciones, datos de sistemas y documentación bajo control. Para sostener una conclusión tiene que ser pertinente, verificable y suficiente para cubrir la variabilidad del proceso, y se corrobora entre fuentes independientes. No cuentan las afirmaciones sin respaldo, las opiniones, los documentos sin control ni los registros fabricados. Y el hallazgo que se construye con ella nombra el requisito, la evidencia exacta y la desviación.