Cómo se redacta un hallazgo de auditoría

El producto final de una auditoría no es la visita ni la reunión de cierre: son los hallazgos escritos. La ISO 19011 los define como el resultado de evaluar la evidencia recopilada contra los criterios de auditoría, y esa definición contiene la fórmula completa de su redacción: criterio, evidencia y la comparación entre ambos. Un hallazgo bien redactado se corrige; uno mal redactado se discute, se apela y se muere en la junta de cierre. La redacción decide el destino del hallazgo más que el hallazgo mismo.

Las tres piezas obligatorias

• —El criterio: el requisito exacto contra el que se evaluó —la cláusula de la norma, o el procedimiento interno con su código y versión vigente. "La norma" o "el sistema" no son criterios.
• —La evidencia: los hechos verificables encontrados —qué se revisó, dónde, cuándo y cuántos, con folios, fechas y números de equipo que permitan volver a encontrarlos.
• —El enunciado del incumplimiento: una frase que declara la brecha entre lo que el criterio exige y lo que la evidencia muestra.

El criterio se cita, no se alude

"Incumple la ISO 9001" no es un criterio: es una acusación sin artículo. El hallazgo serio cita la cláusula específica o el documento interno exacto, porque de esa cita depende todo lo que sigue: contra qué se analiza la causa, contra qué se verifica el cierre y ante quién se puede apelar. Citar bien también obliga al auditor a releer el requisito antes de escribirlo, que es donde mueren los falsos hallazgos —una buena parte de las supuestas no conformidades son requisitos que el auditor recordaba distinto de como están escritos.

La evidencia debe poder rastrearse

La prueba de una buena evidencia es que un tercero pueda reproducir el recorrido: "3 de los 5 expedientes revisados (folios 1042, 1057 y 1063) no tenían la evaluación de eficacia registrada" se puede verificar; "los expedientes suelen estar incompletos" no. La evidencia habla de hechos y registros, nunca de personas culpables: se escribe "el instructivo en la estación 4 corresponde a la versión 2, la vigente es la 5", no "el operador usa documentos obsoletos". El sistema falló en retirar el documento; la persona es el síntoma, no el hallazgo.

Lo que un hallazgo nunca debe contener

• —Opiniones y diagnósticos de cultura: "falta compromiso con la calidad" no es auditable ni corregible.
• —Soluciones encubiertas: "debe implementarse un control automatizado" prescribe la acción, que es decisión del auditado, no del auditor.
• —Generalizaciones sin muestra: "el personal no está capacitado" sin decir quiénes, cuántos ni contra qué requisito.
• —Varios incumplimientos amontonados en un solo hallazgo, que después nadie puede cerrar porque cada parte requiere una causa distinta.

Clasificar viene después de redactar

La clasificación —no conformidad mayor, menor, observación, oportunidad de mejora— es un juicio sobre el hallazgo ya escrito: extensión, riesgo, reincidencia, falla total o puntual del requisito. Cuando la redacción es buena, la clasificación se defiende sola; cuando es mala, la junta de cierre se convierte en regateo de categorías. Y la observación no es el premio de consolación del auditor inseguro: es una situación que aún no incumple el criterio pero apunta a hacerlo, y se redacta con el mismo rigor de evidencia.

Del bloc de notas al cierre verificado

Un hallazgo bien redactado inicia un ciclo que dura meses: análisis de causa del auditado, plan de acción, evidencia de implementación y verificación de eficacia, multiplicado por cada hallazgo de cada auditoría del programa. Ese seguimiento es lo primero que se pierde cuando los hallazgos viven en informes PDF y correos. Un Software para auditorías internas y externas mantiene cada hallazgo con su criterio, su evidencia, su clasificación y su responsable, y no lo deja cerrar sin la verificación registrada — que es exactamente lo que el auditor de certificación revisa del programa interno.