Auditoría interna ISO 9001, 14001, 27001 y 37001 en Ecuador

La auditoría interna es el mecanismo con el que una empresa verifica, por su cuenta, que su sistema de gestión funciona como debería: que se cumple lo documentado, que se cumple la norma y que el sistema realmente mejora. No es una formalidad: las normas ISO la exigen como requisito, y es la mejor herramienta para llegar sin sorpresas a la auditoría de certificación.

Tagline realiza auditorías internas de su sistema de gestión de calidad y, si lo prefiere, forma a su propio equipo de auditores internos. En ambos casos el objetivo es encontrar los problemas antes que el organismo certificador, cuando todavía hay tiempo de corregirlos.

La guía de cómo prepararse, qué revisa el auditor y cómo se cierran los hallazgos está en auditoría ISO 9001.

El objeto de la evaluación es el control interno: la auditoría no lo diseña ni lo ejecuta, lo verifica.

¿Cuánto dura una auditoría interna?

Depende del alcance —número de procesos, sitios y normas— y de la madurez del sistema, no de una tarifa por horas. En una empresa pequeña con una sola norma y un solo sitio, el trabajo de campo se resuelve en uno o dos días; un sistema integrado con varias sedes se planifica por ciclos a lo largo del año, porque ISO 19011 pide un programa de auditorías y no una visita única. Lo que sí conviene fijar antes de contratar es el entregable: plan, ejecución con evidencia objetiva, informe con hallazgos clasificados y seguimiento del cierre.

Al dimensionarla pesan, además, el número de personas y turnos dentro del alcance, los procesos tercerizados que haya que verificar y la cantidad de normas. En un sistema integrado, auditar varias normas a la vez suele requerir menos tiempo que auditarlas por separado, porque los requisitos comunes —contexto, riesgos, información documentada, revisión por la dirección— se revisan una sola vez. Al trabajo de campo se suman la revisión documental previa, la redacción del informe y la verificación posterior del cierre de las acciones correctivas.

¿Para qué sirve una auditoría interna?

• Verifica conformidad: comprueba que la operación coincide con lo documentado y con la norma.
• Detecta hallazgos a tiempo: no conformidades y oportunidades de mejora antes de la auditoría externa.
• Alimenta la mejora continua: los hallazgos son insumo de la revisión por la dirección.
• Prepara la certificación: una empresa que audita bien por dentro llega tranquila a la auditoría de tercera parte.

Auditoría interna, externa y de certificación

Conviene no confundirlas. La auditoría interna (primera parte) la realiza la propia empresa o un consultor a su nombre. La auditoría de segunda parte la hace un cliente a su proveedor. La auditoría de certificación (tercera parte) la ejecuta un organismo de certificación acreditado e independiente, y es la única que otorga el certificado. Tagline cubre la primera parte y le prepara para la tercera; no emitimos certificados, porque la imparcialidad lo impide.

¿Cómo trabaja Tagline?

1. Programa de auditoría: definimos alcance, criterios, procesos a auditar y calendario.
2. Ejecución: revisamos documentación, entrevistamos y observamos la operación contra los requisitos.
3. Informe de hallazgos: no conformidades, observaciones y oportunidades de mejora, con evidencia.
4. Plan de acción: acompañamos la corrección de causas raíz y el cierre de hallazgos.
5. Formación de auditores internos, si su empresa quiere desarrollar la capacidad por dentro.

Con el criterio de una auditoría de certificación

Un auditor interno formado verifica que el sistema cumple. Cuando la auditoría interna se planifica y se ejecuta con el criterio de una auditoría de certificación, cambian tres cosas:

• Criterio de auditor de certificación: el muestreo, las entrevistas y la profundidad se planifican como lo hará el organismo certificador, no como una revisión documental.
• Hallazgos redactados como los verá el organismo: requisito citado, evidencia objetiva y una clasificación coherente con la que aplicará la auditoría externa.
• Cierre antes de la auditoría externa: las no conformidades se corrigen y se verifica su eficacia cuando todavía hay tiempo, no después de la visita del certificador.

Las auditorías internas y pre-auditorías de certificación de Tagline en ISO 9001, ISO 14001 e ISO 45001 las dirige un auditor de Tagline con formación certificada en auditoría interna de sistemas integrados en esas tres normas, distinto del equipo que implementó el sistema. En ISO 27001 e ISO 37001, el perfil del auditor que se asigna se presenta antes de contratar.

Normas que auditamos

Si su empresa opera dos o más de estas normas, la auditoría se planifica una sola vez sobre su sistema integrado de gestión, con un solo programa y los hallazgos identificados por norma.

Pre-auditoría de certificación: qué incluye

La pre-auditoría es una auditoría interna completa, planificada con el formato de la auditoría de certificación y realizada antes de la visita del organismo certificador. Su objetivo es que la auditoría externa no encuentre nada que su empresa no haya visto y tratado primero. Incluye:

1. Plan y programa: alcance, procesos, sedes, criterios y agenda acordada con su equipo.
2. Lista de verificación por cláusula de la norma, más los procedimientos propios y los requisitos legales aplicables.
3. Entrevistas y revisión documental: personal que ejecuta, registros, indicadores y evidencia de la revisión por la dirección.
4. Informe de hallazgos clasificados en no conformidad mayor, no conformidad menor, observación y oportunidad de mejora, cada uno con su requisito y su evidencia.
5. Plan de acciones correctivas con análisis de causa, responsables y fechas.
6. Verificación de cierre: comprobamos la eficacia de las acciones antes de la auditoría externa.

La pre-auditoría no sustituye la auditoría de certificación ni garantiza su resultado: la decisión de certificar la toma el organismo acreditado. Lo que sí hace es que su empresa llegue con los hallazgos tratados y la evidencia ordenada. El paso siguiente está descrito en cómo certificar ISO 9001 en Ecuador.

Cómo se desarrolla una auditoría interna, paso a paso

1. Programa anual: qué procesos se auditan, cuándo y con qué criterio, priorizando los de mayor riesgo y aquellos con hallazgos previos. No todos los procesos requieren la misma frecuencia.
2. Plan de la auditoría: alcance, fechas, auditores asignados y agenda por área, comunicada con anticipación al responsable de cada proceso.
3. Revisión documental previa: procedimientos, registros e indicadores del proceso, antes de pisar el área. Llegar sin haber leído convierte la auditoría en una entrevista general.
4. Ejecución in situ: entrevistas al personal que ejecuta —no solo al jefe—, observación de la actividad real y muestreo de registros. La pregunta útil no es "¿tienen el procedimiento?" sino "muéstreme cómo lo hizo la última vez".
5. Registro de hallazgos con evidencia objetiva: cada uno debe indicar el requisito incumplido, la evidencia concreta y dónde se constató. Un hallazgo sin evidencia es una opinión y el auditado lo rebatirá con razón.
6. Reunión de cierre con los responsables, para presentar los hallazgos antes de emitir el informe y evitar sorpresas.
7. Informe y seguimiento: el valor no está en el informe sino en el cierre de las acciones, con verificación de eficacia. Un hallazgo que se repite auditoría tras auditoría indica que se atacó el síntoma y no la causa.

Qué entrega el servicio

La auditoría interna deja un expediente que después revisa el auditor externo. Esto es lo que se entrega:

Formación de auditores internos

Capacitamos a su personal en los requisitos de la norma, en técnicas de auditoría y en cómo redactar hallazgos con evidencia objetiva. Es la forma de que el sistema no dependa de un consultor externo cada año y de que la mejora continua se vuelva una rutina de la organización. Se articula bien con nuestros programas de capacitación en gestión de calidad y normas ISO.

Cómo se clasifican los hallazgos

Clasificar mal un hallazgo es la fuente número uno de fricción entre auditor y auditado. La distinción práctica:

• No conformidad mayor: ausencia total de un requisito, una falla que compromete la capacidad del sistema de entregar resultados, o un incumplimiento reiterado que ya fue observado antes. En certificación, bloquea el certificado hasta su cierre.
• No conformidad menor: un incumplimiento puntual y aislado que no compromete al sistema en su conjunto. Se cierra con acción correctiva y evidencia.
• Observación: una situación que aún cumple, pero que evolucionará a no conformidad si no se atiende. Es la categoría más útil de una auditoría interna y la más desaprovechada.
• Oportunidad de mejora: una recomendación que no responde a ningún incumplimiento. No exige acción correctiva y no debe registrarse como si lo fuera.

Dos reglas que sostienen la credibilidad del ejercicio: el hallazgo se redacta contra el requisito, no contra la persona, y toda no conformidad exige análisis de causa, no solo la corrección inmediata. Cambiar el registro mal llenado corrige el síntoma; entender por qué se llenó mal evita que vuelva a ocurrir en los otros veinte registros del mismo tipo.

Guías de la norma auditada y del ciclo de certificación

La auditoría interna revisa el sistema contra la norma antes de que lo haga el certificador. Estas guías cubren el marco y cada etapa:

• Qué es ISO 9001 — la norma que más se audita internamente y qué exige en esencia.
• Requisitos de ISO 9001:2015 — cláusula por cláusula, el checklist real del auditor interno.
• Cómo prepararse para una auditoría ISO — qué revisar antes y cómo se organiza la agenda.
• Etapas de implementación de ISO 9001 — en qué punto del proyecto entra la auditoría interna.
• Cómo certificar ISO 9001 en Ecuador — la certificación externa que sigue a la interna.
• Cuánto cuesta certificar ISO 9001 — el presupuesto del ciclo completo, auditorías incluidas.
• Certificación ISO: qué es y qué tipos existen — las normas certificables y su lógica común.
• Qué es un sistema de gestión de calidad — el objeto auditado, con sus procesos y registros.
• Sistema integrado de gestión — cómo se audita una sola vez lo que cumple varias normas.

¿Cada cuánto se hacen las auditorías internas?

La norma no fija una frecuencia exacta: exige un programa de auditoría basado en la importancia de los procesos y en los resultados de auditorías previas. En la práctica, la mayoría de las organizaciones audita todo su sistema al menos una vez al año, antes de la auditoría de certificación o de seguimiento, y refuerza con auditorías adicionales los procesos críticos o aquellos donde aparecieron no conformidades. Lo importante es que ningún proceso del alcance quede sin auditar dentro del ciclo.

¿Qué perfil debe tener un auditor interno?

Un auditor interno necesita tres cosas: conocer los requisitos de la norma, dominar técnicas de auditoría —cómo planificar, entrevistar, observar y redactar hallazgos con evidencia— y, sobre todo, ser objetivo e imparcial. No requiere ser experto en todos los procesos, pero sí saber hacer las preguntas correctas y sustentar cada hallazgo en evidencia, no en opiniones. Por eso la formación de auditores es una inversión que vuelve a la empresa autosuficiente para auditarse año tras año.

El vocabulario del hallazgo

Buena parte de las discusiones en una auditoría interna se evitan usando bien cuatro términos. Una no conformidad es el incumplimiento de un requisito y necesita tres cosas para sostenerse: el requisito citado, la evidencia objetiva y la descripción del incumplimiento; sin requisito es una sugerencia, sin evidencia es una impresión. La acción correctiva no es la corrección: la corrección elimina el efecto, la acción correctiva elimina la causa. Y para llegar a esa causa se usan dos herramientas complementarias: el diagrama de Ishikawa, que abre las familias de causas posibles, y los 5 porqués, que profundizan la rama que los datos señalaron. Si el análisis termina en «error humano» o «falta de capacitación», faltan preguntas.

¿La auditoría interna reemplaza a la de certificación?

No. Son complementarias y obligatorias por separado. La auditoría interna es un requisito que la propia empresa ejecuta para verificar y mejorar su sistema; la auditoría de certificación la realiza un organismo acreditado e independiente y es la única que otorga o mantiene el certificado. Una empresa no puede certificarse "saltándose" la auditoría interna: el organismo certificador, de hecho, revisa que el programa de auditorías internas exista y se cumpla como evidencia de que el sistema se gestiona.

Los lineamientos para auditar sistemas de gestión están en la norma ISO 19011. Si quiere llegar a su auditoría de certificación sin sobresaltos, conversemos su caso.

¿Qué diferencia hay entre auditor interno y auditor líder?

El auditor interno está formado para auditar el sistema de su propia organización, de primera parte. El auditor líder es quien dirige un equipo auditor: para auditorías de certificación, el organismo certificador suele exigirle un curso de auditor líder, experiencia y su propia calificación. Un curso aprobado no equivale a estar inscrito en un registro de auditores como el de IRCA, y ninguna de las dos cosas es una acreditación, que se otorga a los organismos de certificación y no a las personas. En una auditoría interna, lo que se nota es el muestreo, la redacción de los hallazgos y cómo se clasifican.

¿Puede la misma persona implementar y auditar?

No conviene. ISO 9001 pide seleccionar a los auditores y realizar las auditorías de forma que se asegure la objetividad e imparcialidad del proceso (cláusula 9.2.2), y eso significa que quien audita no audita su propio trabajo. Por eso, en Tagline, la auditoría interna la dirige alguien distinto del equipo que implementó el sistema: el consultor que levantó los procesos y redactó los procedimientos no evalúa sus propios entregables.

¿Sirve la auditoría interna para la transición a ISO 9001:2026?

Sí. ISO 9001:2026 se publicó el 16 de septiembre de 2026 y el período de transición termina el 30 de septiembre de 2029 (requisitos de transición de Global ACI, 16-sep-2026): hasta entonces los certificados 2015 siguen siendo válidos, y desde el 31 de marzo de 2028 las certificaciones nuevas solo se emiten contra ISO 9001:2026. La auditoría interna contra la nueva edición es el paso en que se verifica que la brecha quedó cerrada antes de migrar en la auditoría de seguimiento o de recertificación. El proceso completo está en implementación ISO 9001.