Equipo Consultto
Especialistas en sistemas de gestión · 11 sep 2026
El auditor interno de la planta llevaba tres años haciendo el mismo recorrido con el mismo formato. Auditaba el área que le tocaba, llenaba la lista de verificación, marcaba conforme en casi todo y entregaba un informe de dos páginas que nadie discutía. Cuando el organismo certificador pidió ver cómo se había determinado su competencia, la carpeta solo tenía una constancia de un curso de dieciséis horas tomado en 2022. Nadie lo había evaluado desde entonces, nadie había revisado un informe suyo con criterio y nadie sabía explicar por qué auditaba esas áreas y no otras. El hallazgo no fue contra el auditor: fue contra el programa que lo puso ahí sin reglas.
La ISO 19011 es la norma que da las directrices para auditar sistemas de gestión. No establece requisitos que se cumplan o se incumplan, sino orientación sobre cómo gestionar un programa de auditoría, cómo planear y conducir cada auditoría, y cómo evaluar la competencia de quien la realiza. Es la referencia que usan las organizaciones para sus auditorías internas y para las auditorías que le hacen a sus proveedores, y por eso aplica igual a un sistema de calidad, a uno ambiental, a uno de seguridad y salud o a los tres auditados a la vez.
Lo primero que hay que entender es lo que no es. No es una norma certificable: ninguna empresa se certifica en ISO 19011 y ningún auditor obtiene un certificado emitido contra ella. Tampoco es la norma que rige a los organismos certificadores, que operan bajo un estándar distinto, el de requisitos para organismos que auditan y certifican sistemas de gestión. Esa distinción explica por qué la ISO 19011 habla de directrices y recomendaciones en vez de obligaciones: quien la usa decide cuánto de ella adopta, y el nivel de adopción es en sí mismo una decisión del sistema.
La versión vigente organiza el tema en cuatro bloques: los principios de la auditoría, la gestión del programa, la realización de la auditoría y la competencia y evaluación de los auditores, más un anexo con orientación práctica sobre métodos, contexto, liderazgo, procesos y cumplimiento legal. Los principios son siete: integridad, presentación imparcial, debido cuidado profesional, confidencialidad, independencia, enfoque basado en la evidencia y enfoque basado en el riesgo. El último es el que más cambió la práctica, porque obliga a que el programa se diseñe alrededor de lo que puede salir mal y no alrededor del organigrama.
La distinción entre programa y auditoría es la que más se pierde en la práctica. Una auditoría es un evento concreto, con un alcance, unos criterios y un informe. El programa es el conjunto de auditorías planificadas para un periodo y un propósito determinado, con sus recursos, sus responsables, su seguimiento y su mejora. Quien gestiona el programa no es el auditor: es una persona designada con autoridad para decidir qué se audita, con qué frecuencia y con qué profundidad, y esa designación debe estar documentada.
El programa se construye desde el riesgo y el desempeño, no desde una plantilla anual que reparte procesos en doce meses. Un proceso con reclamaciones recurrentes, con personal nuevo, con un cambio de tecnología reciente o con hallazgos abiertos de la auditoría anterior merece más frecuencia y más profundidad que uno estable desde hace años. La norma llama a esto enfoque basado en el riesgo aplicado al programa, y es lo que separa un programa vivo de un calendario que se copia y se le cambia el año.
El programa también define los métodos. La auditoría puede ser presencial o remota, y puede ser interactiva (entrevistas, recorridos, observación del trabajo) o no interactiva (revisión de registros, análisis de datos, revisión documental). Elegir el método no es un detalle logístico: observar cómo se ejecuta realmente una operación en piso da evidencia que ninguna revisión de registros produce, y revisar un año de datos de un indicador revela tendencias que ninguna entrevista de dos horas alcanza. Un buen programa combina ambos de forma deliberada.
La realización sigue una secuencia que conviene respetar: inicio y contacto con el auditado, revisión de la información documentada, preparación del plan y de los documentos de trabajo, reunión de apertura, recopilación y verificación de la evidencia, generación de hallazgos, conclusiones, reunión de cierre, informe y seguimiento. Cada paso existe por una razón. La revisión documental previa evita gastar el tiempo de piso leyendo procedimientos; el plan acordado con el auditado evita que la mitad de las personas clave estén de viaje; el seguimiento es lo que convierte el informe en cambios reales.
La evidencia de auditoría es información verificable: lo que se ve, lo que se mide, lo que está registrado y lo que varias fuentes confirman. Una opinión no es evidencia, y una afirmación sin sustento tampoco. Los hallazgos se producen al comparar esa evidencia contra los criterios de auditoría, que son la norma aplicable, los requisitos del cliente, los requisitos legales y la propia documentación de la empresa. Un hallazgo bien redactado cita el criterio, describe la evidencia y explica en qué consiste el apartamiento; sin esas tres partes, se convierte en una discusión de interpretaciones.
La competencia del auditor es el capítulo que más se ignora y el que más se pregunta en auditoría externa. La norma pide determinar qué competencia se necesita según la naturaleza de lo que se va a auditar, y esa competencia combina conocimiento genérico (principios de auditoría, la norma aplicable, técnicas de muestreo, redacción de hallazgos) con conocimiento específico del sector y del proceso. Alguien que nunca ha visto un proceso de inyección difícilmente auditará su plan de control con profundidad, aunque conozca la norma de memoria.
Y la competencia se evalúa, no se declara. Los métodos que la norma sugiere son la revisión de antecedentes y formación, la retroalimentación del auditado y del equipo, la entrevista, la observación en campo durante una auditoría real y la revisión de los informes que produce. Después de esa evaluación viene el mantenimiento: participación continua en auditorías, actualización cuando cambia la norma y desarrollo cuando cambia el alcance. La carpeta del auditor debería contar esa historia completa, no solo guardar la constancia del curso inicial.
¿Quieres implementar tu sistema de gestión?
La ISO 9001 obliga a llevar a cabo auditorías internas a intervalos planificados para verificar dos cosas: que el sistema es conforme con los requisitos propios de la organización y con los de la norma, y que está implementado y mantenido de forma eficaz. Sobre esa base pide planificar, establecer, implementar y mantener un programa de auditoría que incluya la frecuencia, los métodos, las responsabilidades, los requisitos de planificación y el informe, y que considere la importancia de los procesos, los cambios y los resultados de las auditorías previas.
Además exige definir los criterios y el alcance de cada auditoría, seleccionar auditores y realizar auditorías que aseguren la objetividad y la imparcialidad del proceso, informar los resultados a la dirección pertinente, tomar las correcciones y acciones correctivas adecuadas sin demora injustificada y conservar la información documentada como evidencia de la implementación del programa y de los resultados. La frase sobre objetividad e imparcialidad es la que impide que alguien audite su propio trabajo, y es donde tropiezan las empresas pequeñas con un solo auditor formado.
La norma no obliga a usar la ISO 19011, pero la cita como referencia y en la práctica es imposible cumplir el requisito con criterio sin apoyarse en ella. Los resultados de la auditoría interna son, además, una entrada obligatoria de la revisión por la dirección, junto con las no conformidades y las acciones correctivas, de modo que un programa débil no se queda en el área de calidad: contamina la información con la que la alta dirección toma decisiones sobre el sistema.
En automotriz, la IATF 16949 sube la exigencia de manera explícita. Además de la auditoría del sistema de gestión de calidad, obliga a auditorías de proceso de manufactura y a auditorías de producto, con frecuencias definidas, y pide que los auditores internos estén calificados con criterios documentados que incluyen el conocimiento del enfoque a procesos, de las herramientas centrales y de los requisitos específicos del cliente. También exige auditar todos los turnos y auditar el proceso de manufactura en el turno en que ocurre, no solo en el horario cómodo.
En inocuidad alimentaria, los esquemas reconocidos exigen que el programa cubra el plan de inocuidad completo, los programas prerrequisito y la verificación del sistema, con auditorías internas que no pueden concentrarse todas en el mismo mes del año. En dispositivos médicos, la ISO 13485 conserva el requisito con el mismo espíritu pero con más peso sobre los registros, porque el expediente de la auditoría forma parte de la evidencia que revisa la autoridad regulatoria. Y en seguridad de la información, la ISO 27001 liga la auditoría interna con la declaración de aplicabilidad: el programa debe cubrir los controles declarados aplicables, no una muestra cómoda de ellos.
El programa casi nunca se cae por falta de formato: se cae porque nadie lo gestiona como un proceso con dueño, riesgo y resultados. Se forma a dos personas, se reparte el calendario, se auditan las mismas áreas con las mismas preguntas y el informe se archiva. Dos años después el sistema tiene hallazgos externos en procesos que la auditoría interna declaró conformes doce veces seguidas. En Querétaro, donde conviven proveedores aeroespaciales que cargan requisitos de cliente muy específicos, plantas automotrices del corredor del Bajío, manufactura de precisión y agroindustria de exportación, ese programa débil sale caro: el cliente audita en segunda parte y encuentra en dos días lo que el programa interno no vio en un año. Ordenar eso (programa basado en riesgo, criterios explícitos, auditores evaluados en campo y seguimiento de la eficacia) es parte de lo que se estructura en la Consultoría ISO 9001 en Querétaro, donde la auditoría interna se trata como el mecanismo de control del sistema y no como un trámite previo a la certificación.
La ISO 19011 da las directrices para auditar sistemas de gestión: principios, gestión del programa, realización de la auditoría y competencia del auditor. No es certificable y no rige a los organismos de certificación, pero es la referencia con la que se construye una auditoría interna que sirva para algo. Su aporte más útil es obligar a pensar el programa desde el riesgo y el desempeño, a conducir la auditoría sobre evidencia verificable y a evaluar la competencia de quien audita en vez de suponerla. La ISO 9001 exige el programa, la objetividad, los criterios, el informe y las acciones; la 19011 explica cómo hacerlo sin convertirlo en un ritual.
Empieza hoy
Sin compromisos. Sin presentaciones genéricas. Te escuchamos, entendemos tu empresa y te decimos honestamente qué necesitas y cómo podemos ayudarte.
Reunión confirmada
Solicitud enviada · Mié 2 Abr, 10:00 AM
Déjanos tus datos y un consultor se pone en contacto contigo en menos de 30 minutos.