Qué es la competencia de un auditor interno

La norma exige que las auditorías internas las realicen auditores competentes y que el proceso sea objetivo e imparcial. Lo que no dice en ninguna parte es que competencia equivalga a haber tomado un curso. Esa equivalencia la inventó la práctica, y es la razón de que muchas organizaciones tengan una carpeta llena de diplomas y auditorías internas que no encuentran nada. El diploma acredita formación; la competencia se demuestra con desempeño.

Los cuatro componentes

• —Educación: la base formativa que permite entender el proceso auditado y su contexto técnico.
• —Formación como auditor: el conocimiento de la norma de referencia, de los principios de auditoría y de las técnicas —planificación, muestreo, entrevista, evidencia, redacción de hallazgos.
• —Experiencia laboral: el conocimiento real del sector y de los procesos, sin el cual el auditor no distingue lo relevante de lo anecdótico.
• —Experiencia auditando: horas de auditoría acompañadas y luego dirigidas, que es donde la técnica se convierte en criterio.

El atributo que no se enseña en el curso

A los cuatro anteriores se suma el comportamiento personal, y en la práctica es el que separa a un auditor útil de uno que solo recorre una lista. Un buen auditor es observador, tenaz para seguir un hilo cuando la respuesta no cuadra, capaz de mantener el criterio ante presión jerárquica, y suficientemente diplomático para obtener información en lugar de provocar defensa. Un auditor técnicamente impecable pero incapaz de sostener un hallazgo incómodo frente al dueño del proceso produce informes limpios de una realidad que no lo está.

Imparcialidad: la regla concreta

El requisito se enuncia de forma simple —el auditor no debe auditar su propio trabajo— y se incumple de forma sutil. No solo se rompe cuando alguien audita el proceso que ejecuta, sino también cuando audita el que diseñó, el que supervisa o el de un área de la que depende jerárquicamente. En organizaciones pequeñas, donde una persona toca todo, la salida no es fingir independencia: es documentar cómo se preserva la objetividad —auditores cruzados entre áreas, un auditor externo contratado para los procesos donde no hay independencia posible, o revisión de los hallazgos por alguien ajeno al proceso.

Cómo se evalúa y cómo se mantiene

La competencia se evalúa contra criterios definidos por la propia organización, y esos criterios deben existir por escrito antes de nombrar auditores. Los métodos habituales son la revisión de antecedentes, la observación en campo durante una auditoría real, la revisión de los informes que produce y la retroalimentación de los auditados. Y no es permanente: se mantiene con práctica regular y actualización cuando cambia la norma o el proceso. Un auditor formado hace cinco años que audita una vez al año y no leyó la revisión vigente de la norma dejó de ser competente aunque su diploma no caduque.

Qué revisa el auditor de certificación

Cuando el organismo externo evalúa el proceso de auditoría interna, mira tres cosas encadenadas: los criterios de competencia definidos, la evidencia de que cada auditor los cumple, y —la que más pesa— la calidad de los hallazgos producidos. Un programa con auditores certificados que en tres años solo levantó observaciones menores de formato es una señal de alerta, no de madurez. Sugiere que las auditorías se ejecutan para cumplir el requisito, no para encontrar problemas, y a partir de ahí el auditor externo revisa con más profundidad porque asume que hay hallazgos esperándolo.

La evidencia que hay que poder mostrar

En el momento de la auditoría de certificación hay que poder mostrar, por cada auditor, su formación, su experiencia, las auditorías que ha realizado, cómo se evaluó su competencia y cómo se resolvió su independencia respecto de lo que auditó. Eso normalmente vive repartido entre recursos humanos, la carpeta del responsable del sistema y correos. Un Software para auditorías internas y externas mantiene el programa anual, los equipos asignados por auditoría, el perfil de cada auditor y los hallazgos que produjo, de modo que la independencia y la competencia se demuestran con el registro y no con una explicación oral.