Auditoría interna ISO 9001 (cláusula 9.2): cómo hacerla en una pyme sin teatro

La auditoría interna es el requisito con peor relación fama/utilidad de toda la norma. Mal hecha, es teatro: alguien rellena un checklist un viernes por la tarde para tener el papel antes de la certificación. Bien hecha, es la herramienta más barata que existe para llegar a la auditoría de certificación sin sorpresas — porque es exactamente el mismo examen, hecho por ti, con margen para corregir.

Qué exige exactamente la cláusula 9.2

Cuatro cosas: auditorías internas a intervalos planificados; un programa de auditoría que considere la importancia de los procesos y los resultados de auditorías previas; auditores objetivos e imparciales; y conservar registros del programa y de los resultados.

Lo que NO exige: un procedimiento documentado de auditoría interna (aunque suele ser útil tenerlo), auditar todo el sistema en una sola sesión, ni un auditor con certificación oficial (IRCA o similar).

Quién puede auditar: el problema real de la pyme

La norma pide objetividad e imparcialidad: nadie debe auditar su propio trabajo. En una empresa de 30 personas donde calidad lo lleva una persona, esto tiene tres soluciones prácticas:

Formar a 2-3 personas internas de áreas distintas que se auditan cruzadas: administración audita producción, producción audita compras. Formación necesaria: un curso corto de auditor interno (1-2 jornadas, presencial u online) o formación interna documentada sobre la norma y la técnica de auditoría. Es la solución más robusta a largo plazo.

Contratar un auditor externo puntual solo para la auditoría interna (300-600 € la jornada en España). No es consultoría de implantación: es un servicio acotado. Útil el primer año, cuando nadie interno tiene todavía experiencia.

Modelo mixto: externo el primer año con personal interno acompañándole como formación práctica; interno a partir del segundo. Para la mayoría de pymes, el mejor equilibrio coste/aprendizaje.

El programa de auditoría: menos es más

El programa es la planificación anual: qué procesos se auditan, cuándo y por quién. Para una pyme, un calendario de una página es suficiente.

Criterio que exige la norma y que casi nadie aplica: la frecuencia debe ponderar la importancia del proceso y el histórico. Traducción práctica: el proceso productivo o el que acumula no conformidades se audita más a fondo o más a menudo que recursos humanos. Un programa donde todos los procesos reciben exactamente la misma atención revela que se hizo con regla, no con criterio — y los auditores de certificación lo comentan.

Frecuencia mínima defendible: ciclo completo del sistema al menos una vez al año. Muchas pymes lo resuelven en 1-2 jornadas concentradas; también es válido repartir por trimestres si el ritmo de la empresa lo permite.

Cómo ejecutarla: el método en cuatro pasos

Preparación. El auditor interno revisa el procedimiento o la práctica del proceso a auditar, los hallazgos previos y prepara una lista de verificación propia. Sin preparación, la auditoría deriva en charla.

Ejecución con triangulación. El mismo método del auditor de certificación: comparar lo que dice el documento, lo que dice la persona y lo que muestra el registro. Técnica concreta que funciona: seguir un pedido real de punta a punta — de la oferta a la entrega — atravesando todos los procesos implicados. Un solo hilo bien tirado descubre más que veinte preguntas genéricas.

Registro de hallazgos. Cada hallazgo con: qué se encontró (hecho, no opinión), dónde, qué requisito incumple (de la norma o de tu propio sistema) y la evidencia. "El almacén está desordenado" no es un hallazgo; "tres referencias sin identificar en la zona de producto no conforme, incumpliendo el punto X del procedimiento Y" sí lo es.

Cierre. Los hallazgos entran en el circuito de no conformidades y acciones correctivas (cláusula 10.2) con responsable y plazo, y el resultado global alimenta la revisión por dirección, donde es entrada obligatoria.

Los errores que convierten la auditoría interna en teatro

Cero hallazgos. Una auditoría interna sin hallazgos no demuestra que todo está bien: demuestra que no se buscó. El auditor de certificación desconfía sistemáticamente de auditorías internas inmaculadas — y con razón. Una buena auditoría interna en una pyme normal produce entre 5 y 15 hallazgos entre no conformidades y oportunidades de mejora.

Hacerla la semana antes de la certificación. Necesitas margen para tratar los hallazgos: análisis de causa, acción, y algo de evidencia de eficacia. Calendario sano: auditoría interna 2-3 meses antes de la certificación, revisión por dirección después de tratarla. El encaje en el proyecto completo está en Cómo certificarse en ISO 9001 paso a paso.

El checklist genérico descargado. Las listas de 200 preguntas de internet producen auditorías burocráticas que no tocan la realidad de la empresa. Mejor 20 preguntas escritas por ti sobre TUS procesos, más el hilo de un pedido real.

Qué esperará ver el auditor de certificación

En fase 1 comprobará que existe programa y al menos un ciclo completo ejecutado; sin eso no hay fase 2. En fase 2 revisará: la cualificación e imparcialidad de quien auditó, los informes con hallazgos concretos, y el tratamiento de cada hallazgo hasta su cierre. La auditoría interna bien documentada es además tu mejor coartada ante hallazgos menores: "lo detectamos nosotros y está en tratamiento" transforma un problema en evidencia de que el sistema funciona — como se explica en la guía de la auditoría de certificación.