Cómo se arma un programa anual de auditoría

La mayoría de los programas de auditoría se arman igual: se listan todos los procesos, se reparten a lo largo del año y se audita cada uno una vez, con la misma profundidad. Es ordenado, es fácil de defender en papel y es una forma casi garantizada de invertir semanas de trabajo sin encontrar nada relevante. La cláusula 9.2 no pide cobertura pareja: pide que la frecuencia, los métodos y el alcance se determinen considerando la importancia de los procesos, los cambios que afectan a la organización y los resultados de auditorías previas.

Programa y plan no son lo mismo

El programa de auditoría es la visión anual: qué se audita, cuándo, con qué frecuencia y con qué criterios. El plan de auditoría es el documento de cada auditoría concreta: fechas, horarios, auditores asignados, procesos y cláusulas a revisar, personal a entrevistar. Los auditores externos piden ambos, y confundirlos es un hallazgo frecuente: se presenta un calendario anual como si fuera el plan de cada auditoría, sin alcance ni criterios definidos por evento.

Cómo se decide la frecuencia

• —Importancia del proceso: los procesos que impactan directamente la conformidad del producto o servicio se auditan más seguido que los de apoyo. Producción o diseño no pueden tener la misma frecuencia que compras de papelería.
• —Resultados previos: un proceso que generó hallazgos el año pasado se audita antes y con más profundidad. Un proceso estable durante tres ciclos puede espaciarse.
• —Cambios: un proceso nuevo, un cambio de responsable, una línea nueva o un cambio de software justifican auditar fuera del calendario.
• —Riesgo asociado: los procesos con riesgos altos identificados en el análisis de riesgos merecen más atención, porque ahí es donde una falla cuesta más.
• —Requisitos del cliente o legales: hay sectores donde el cliente o la regulación fijan frecuencias mínimas que no son negociables.

La independencia del auditor

La norma exige que los auditores no auditen su propio trabajo. En empresas chicas esto se resuelve con auditoría cruzada: el responsable de compras audita producción y viceversa. Lo que no es válido es que el responsable de calidad audite el proceso de calidad, ni que el dueño del proceso se autoevalúe y eso se registre como auditoría interna. Es uno de los hallazgos más fáciles de detectar para un auditor externo, porque basta comparar el organigrama con las firmas del informe.

Por qué el programa se cae a medio año

El patrón se repite: el programa se arma en enero, se cumple hasta marzo y en julio ya nadie sabe qué se auditó ni qué hallazgos siguen abiertos. Cuando llega la auditoría de certificación se reconstruye a la carrera, y ahí es donde aparecen los huecos: auditorías sin informe, hallazgos sin cierre, procesos que quedaron fuera del ciclo. Tener el programa vivo —con cada auditoría, su informe, sus hallazgos y su estado de cierre en un mismo lugar— es lo que hace un Software para auditorías internas ISO: el programa anual se ejecuta con alertas por fecha, los hallazgos quedan ligados a su auditoría de origen y la cobertura del ciclo se ve de un vistazo en lugar de reconstruirse a mano la semana previa.