Qué debe incluir un informe de auditoría interna

El informe tenía dos páginas y media. Una portada, una lista de seis no conformidades con su cláusula, y una línea final que decía que el sistema opera de manera adecuada. La dirección lo leyó en tres minutos y no supo responder la única pregunta que le importaba: si el sistema sirve para lo que fue diseñado, o si esas seis no conformidades son síntomas del mismo problema. El informe no mentía. Simplemente no era un informe de auditoría: era un listado de hallazgos con carátula.

Qué exige la ISO 19011

La norma que guía la auditoría de sistemas de gestión define el contenido mínimo del informe, y conviene tomarlo literal porque casi todos los informes incompletos omiten los mismos elementos:

• —Los objetivos de la auditoría: para qué se hizo. Verificar conformidad con la norma, evaluar la eficacia de un proceso, preparar la certificación o dar seguimiento a hallazgos previos no son el mismo objetivo y no producen el mismo informe.
• —El alcance: qué procesos, áreas, turnos, sitios y periodo se cubrieron, incluyendo la identificación de las unidades funcionales auditadas.
• —Los criterios: contra qué se auditó. No solo la norma, también los procedimientos internos, los requisitos legales aplicables y los requisitos del cliente que apliquen.
• —La identificación del auditor líder, el equipo auditor y los participantes por parte del auditado.
• —Las fechas y los lugares donde se realizaron las actividades, incluyendo si hubo actividades remotas.
• —Los hallazgos con la evidencia objetiva que los sustenta y su clasificación.
• —Las conclusiones de la auditoría, referidas a los objetivos que se plantearon al principio.
• —Una declaración sobre el grado en que se cumplieron los criterios de auditoría.

La norma también sugiere elementos que no son obligatorios y que en la práctica hacen la diferencia: el plan de auditoría con el resumen del proceso seguido, los obstáculos encontrados —un área que no estaba operando, un responsable ausente, información que no se pudo obtener—, las opiniones divergentes entre el equipo auditor y el auditado que no se resolvieron, las oportunidades de mejora identificadas, las buenas prácticas dignas de replicarse, los planes de acción acordados y una declaración de confidencialidad con la lista de distribución.

La conclusión no es la lista de hallazgos otra vez

El error más frecuente es cerrar el informe repitiendo en prosa lo que ya estaba en la tabla. La conclusión es un juicio profesional que responde a los objetivos: si el sistema es conforme, si es eficaz para alcanzar los resultados previstos, si el proceso auditado está bajo control y qué tan capaz es la organización de sostenerlo. Ahí es donde el auditor agrega valor, porque puede ver lo que no se ve desde adentro: que las cuatro no conformidades de áreas distintas comparten la misma causa, que un proceso conforme en papel depende de una sola persona, o que el sistema mejoró exactamente en lo que se auditó el año pasado y en nada más.

La declaración sobre el grado de cumplimiento de los criterios es otro elemento que suele faltar, y es el que permite comparar el informe de este año con el del anterior. No es una calificación numérica ni una nota: es una afirmación clara sobre si los criterios se cumplieron, se cumplieron parcialmente y en qué medida, sustentada en la evidencia recolectada.

Los defectos que hacen inservible un informe

• —Hallazgos sin evidencia objetiva: escribir que el control de documentos es deficiente, sin decir qué documento, en qué área, en qué versión y contra qué requisito.
• —Juicios sobre personas en vez de sobre el sistema. El hallazgo es del proceso; el nombre del operador no aporta y contamina la relación con el área auditada.
• —Recomendar la solución. El auditor describe la brecha; definir la acción es responsabilidad del auditado, que es quien conoce su proceso y quien va a responder por el resultado.
• —Confundir oportunidad de mejora con no conformidad, en cualquiera de las dos direcciones. Bajar una no conformidad a observación para no incomodar es el vicio más caro, porque el problema queda sin acción correctiva.
• —Omitir lo que se auditó y no se encontró nada. Un informe que solo enumera lo que falló no permite saber qué alcance tuvo la auditoría ni qué quedó sin cubrir.

La fecha de emisión también es un requisito

La ISO 19011 pide que el informe se emita en el plazo acordado y que, si se retrasa, se comuniquen las razones al auditado y al responsable del programa de auditoría. No es formalismo: un informe que llega tres semanas después de la reunión de cierre encuentra al área con otras prioridades, con la evidencia enfriada y con el contexto perdido. El informe se revisa y aprueba conforme al programa, se distribuye a quienes define el propio programa, y desde ese momento arranca el plazo para que el auditado presente su análisis de causa y su plan de acción. Todo lo que pase después —seguimiento, verificación de eficacia, cierre— cuelga de esa fecha.

Del documento suelto al programa completo

El informe es la salida visible de un ciclo que empezó mucho antes: programa anual, plan de cada auditoría, competencia del equipo auditor, evidencia recolectada, hallazgos, acciones y verificación de eficacia. Cuando cada pieza vive en un archivo distinto, la trazabilidad se pierde y la pregunta de qué pasó con el hallazgo del año pasado se responde buscando en correos. Un Software para auditorías internas y externas mantiene el programa, los planes, las listas de verificación, los hallazgos con su evidencia y el seguimiento de cada acción en el mismo lugar, de modo que el informe se arma con lo que ya se registró y el cierre de cada hallazgo queda documentado sin perseguir a nadie.

En resumen

Un informe de auditoría interna completo lleva objetivos, alcance, criterios, equipo, fechas y lugares, hallazgos con evidencia, conclusiones referidas a los objetivos y una declaración del grado de cumplimiento. Lo que lo vuelve útil, sin embargo, no está en la lista: está en que la conclusión diga algo que la organización no podía ver desde adentro, y en que llegue a tiempo para que todavía se pueda hacer algo con ella.