Qué es una lista de verificación de auditoría

La auditoría interna del proceso de compras duró tres horas y no encontró nada. El auditor había descargado una lista de verificación con los requisitos de la norma convertidos en preguntas y una columna de cumple y no cumple, y la recorrió con el jefe de compras en su oficina. Se evalúan los proveedores, sí. Se conservan los registros, sí. Se comunican los requisitos, sí. Once semanas después, el auditor del organismo pidió los expedientes de los cinco proveedores dados de alta en el último año, encontró tres sin evaluación inicial, uno aprobado por correo y una especificación desactualizada en el quinto, y levantó una no conformidad. La diferencia entre las dos auditorías no fue la competencia del auditor. Fue el documento con el que cada uno se sentó a trabajar.

Qué es y qué no es

La lista de verificación es un documento de trabajo que el equipo auditor prepara durante la planificación de la auditoría, a partir del plan, del alcance y de la información recopilada sobre el proceso que va a auditar. La norma que guía las auditorías de sistemas de gestión la menciona entre los documentos de trabajo que sirven para registrar la información recopilada, y deja claras dos cosas: que su preparación es responsabilidad del equipo auditor y que no debe restringir las actividades de la auditoría, porque el rumbo puede cambiar con lo que aparezca durante el trabajo de campo.

Lo que no es: no es la norma con casillas. Un documento que reproduce los requisitos de la cláusula 4 a la 10 y pide marcar cumple no es una lista de verificación, es un índice. No define qué evidencia se va a pedir, no orienta la muestra, no considera el riesgo del proceso y no deja rastro de lo que se examinó. Su resultado previsible es una auditoría de confirmación: se pregunta si se hace, se contesta que sí, y se marca.

Para qué sirve de verdad

Sirve para tres cosas concretas. La primera es cobertura: garantizar que en el tiempo asignado se toquen los puntos que se planificaron y no solo los que el auditado quiera mostrar. La segunda es consistencia: cuando el programa anual lo ejecutan varios auditores en varias áreas, la lista es lo que hace comparables los resultados entre procesos y entre ciclos. La tercera, y la que más se desaprovecha, es dejar registro de la evidencia examinada. Si la lista tiene espacio para anotar qué documento se revisó, de qué fecha, qué registro se muestreó y con qué número, la auditoría queda demostrada; si solo tiene una palomita, lo que queda es la afirmación de que se revisó algo.

Qué debe incluir

• —El proceso o área, los criterios aplicables y las cláusulas o requisitos que se van a cubrir en esa sesión, junto con el responsable con quien se va a trabajar y el tiempo asignado.
• —Preguntas abiertas construidas sobre el enfoque a procesos: cuáles son las entradas, quién define los criterios, cómo se sabe que el proceso está bajo control, qué se mide, qué pasa cuando el resultado se sale de lo previsto y qué se hace con las salidas.
• —La evidencia que se va a solicitar, definida antes: qué registro, de qué periodo, cuántos casos y con qué criterio se van a elegir. Una lista que dice revisar registros de capacitación no orienta nada; una que dice tres expedientes del personal que ingresó en el último semestre sí.
• —Espacio para anotar la evidencia realmente examinada, con su identificación —número de orden, folio, fecha, lote, nombre del documento y versión—, porque eso es lo que después sostiene o desmonta un hallazgo.
• —Los puntos de conexión con otros procesos: qué recibe de compras, qué entrega a producción, qué hallazgos previos hubo en esa interfaz. Ahí es donde aparecen la mayoría de las no conformidades reales.
• —Referencias a los antecedentes: hallazgos de la auditoría anterior en ese proceso, no conformidades del organismo, quejas de clientes relacionadas, indicadores fuera de meta y cambios recientes en el proceso o en el personal.
• —Un espacio de resultado con la conclusión del auditor y la referencia al hallazgo levantado, para que el rastro de la lista al informe sea directo.

Cómo se construye una que sí encuentre cosas

Se construye del proceso hacia la norma, no de la norma hacia el proceso. El punto de partida es el mapa del proceso a auditar, sus riesgos, sus indicadores y su historial; el punto de llegada es la cláusula con la que se va a redactar el hallazgo si algo no está. Un auditor que empieza por la cláusula 8.4 y baja al proceso hace preguntas genéricas; uno que empieza por los cinco proveedores nuevos del año y sube a la cláusula encuentra lo que el ejemplo del inicio no encontró.

Los mejores insumos para el diseño son los que ya existen y casi nunca se consultan: los hallazgos del ciclo anterior en ese proceso, las no conformidades del organismo, las quejas y devoluciones asociadas, los indicadores con tendencia adversa, los cambios organizativos y las áreas que llevan dos ciclos saliendo limpias, que suelen ser las que menos se han auditado en profundidad. Con eso la lista deja de ser un formato y se vuelve una hipótesis de dónde puede estar el problema.

Los errores que la vuelven decorativa

El primero es reutilizarla intacta año tras año: el proceso cambia, los riesgos cambian y la lista se queda auditando el sistema de hace tres ciclos. El segundo es responderla con sí y no sin anotar la evidencia, que deja la auditoría sin sustento y hace imposible defender un hallazgo cuando el auditado lo apela. El tercero es tratarla como un guion cerrado: si durante la entrevista aparece un indicio que la lista no contemplaba, la lista se abandona y se sigue el rastro, porque limitar la auditoría a lo que estaba escrito es exactamente lo que la norma advierte que no debe pasar. Y el cuarto es que la prepare alguien distinto de quien va a auditar, con lo que el auditor llega a leer preguntas que no entiende.

Es un documento de trabajo, y también un registro

Una vez llenada, la lista deja de ser una herramienta y pasa a ser parte de la evidencia del programa de auditoría. Los organismos la piden con frecuencia cuando evalúan la profundidad de la auditoría interna: comparan lo que la lista dice que se revisó con los hallazgos levantados y con lo que ellos mismos encuentran en el mismo proceso. Cuando la auditoría interna reportó cero hallazgos y el organismo levanta tres en la misma área, la lista de verificación es el documento que explica por qué, y la explicación suele ser que se preguntó en vez de muestrear. Por eso conviene conservarla con el informe y no desecharla al terminar.

Dónde se rompe en la operación

La lista suele vivir en el escritorio del auditor. Se prepara en una hoja de cálculo personal, se imprime, se llena a mano, se guarda en una carpeta y no vuelve a mirarse. El resultado es que nadie puede saber qué requisitos se cubrieron en el ciclo, qué procesos llevan dos años sin auditarse a fondo ni qué hallazgo salió de qué evidencia. Un Software para auditorías internas y externas mantiene el programa, el plan de cada auditoría, los criterios, la muestra examinada y los hallazgos con su seguimiento en el mismo expediente, de modo que la cobertura del ciclo se lea en un reporte y la lista de verificación deje de ser un papel suelto para convertirse en el rastro de lo que realmente se auditó.

En resumen

La lista de verificación es un documento de trabajo que prepara el equipo auditor a partir del plan, del riesgo del proceso y del historial, y su función es asegurar cobertura, dar consistencia entre auditores y registrar la evidencia examinada. Debe traer preguntas abiertas, la muestra definida antes, espacio para anotar qué se revisó y referencia a los antecedentes del proceso. No debe restringir la auditoría: si aparece un rastro nuevo, se sigue. Y una vez llenada es evidencia del programa, no un borrador: es el documento con el que se demuestra que la auditoría interna miró donde tenía que mirar.