Qué son los criterios de auditoría y cómo se definen

En una auditoría interna a una distribuidora de autopartes, el auditor levantó una no conformidad porque en el almacén no se respetaba la regla de primeras entradas, primeras salidas. El jefe de almacén pidió que le mostraran dónde estaba escrita esa regla. No estaba en el procedimiento, ni en el contrato con el cliente, ni en ninguna norma aplicable. El hallazgo se tuvo que retirar. El auditor tenía razón en que era una buena práctica, pero no tenía un criterio contra el cual compararla.

Qué son los criterios de auditoría

La ISO 19011 define los criterios de auditoría como el conjunto de requisitos que se usan como referencia para comparar la evidencia objetiva. Un hallazgo es justamente el resultado de esa comparación: la evidencia cumple o no cumple con el criterio. Si el criterio no está definido, lo que queda es la opinión del auditor, y una opinión no se puede sostener frente al auditado ni frente a la dirección.

Qué puede ser un criterio

• —Los requisitos de la norma que se audita, como la ISO 9001, la ISO 14001 o la IATF 16949.
• —Las políticas, procedimientos, instrucciones y especificaciones de la propia organización.
• —Los requisitos legales y reglamentarios que aplican al proceso o al producto.
• —Las obligaciones contractuales y los requisitos específicos del cliente.
• —Los códigos de conducta o compromisos voluntarios que la organización haya adoptado.

Criterios, alcance y objetivos

Los tres se confunden con frecuencia. El objetivo dice para qué se hace la auditoría, por ejemplo, verificar que el proceso de compras está listo para la auditoría de certificación. El alcance dice qué se revisa: procesos, áreas, turnos, sitios y periodo. Los criterios dicen contra qué se revisa. La ISO 9001 en 9.2.2 b) pide definir los criterios y el alcance de cada auditoría, y la ISO 19011 pide que queden en el plan de auditoría para que el auditado sepa de antemano contra qué será evaluado.

Cómo se definen

• —Partir del objetivo de la auditoría y de los riesgos del proceso, no de una lista genérica de cláusulas.
• —Citar los documentos con su número y revisión vigente, para que no haya duda de cuál versión aplica.
• —Incluir los requisitos del cliente y los legales cuando el proceso los tenga, no solo la norma.
• —Comunicarlos al auditado en el plan, antes de la auditoría.
• —Redactar cada hallazgo citando el criterio exacto que no se cumple.

Errores frecuentes

• —Usar como criterio la experiencia del auditor o lo que se hacía en su empresa anterior.
• —Poner en el plan solo la norma y luego levantar hallazgos contra procedimientos internos que nadie mencionó.
• —Auditar contra un procedimiento obsoleto porque el auditor imprimió la versión anterior.
• —Convertir una buena práctica en no conformidad, cuando lo correcto es registrarla como oportunidad de mejora.

Cómo se sostiene

Para que cada auditoría tenga criterios claros, conviene que vivan dentro del mismo registro que el plan y los hallazgos. Un Software para auditorías internas y externas permite ligar cada auditoría con los requisitos de la norma y los documentos vigentes que se van a revisar, y obliga a que cada hallazgo cite el criterio que incumple, lo que elimina las no conformidades sin sustento.

En resumen

Los criterios de auditoría son los requisitos contra los que se compara la evidencia: normas, procedimientos, requisitos legales y compromisos con el cliente. Se definen con el objetivo y el alcance, se comunican en el plan y se citan en cada hallazgo. Sin un criterio escrito no hay no conformidad, solo una opinión.