Los 7 hallazgos que más se repiten en la auditoría interna, y cómo cerrarlos

hace 4 días

4 min de lectura

Una auditoría interna que "sale limpia" año tras año debería preocupar a la dirección. Rara vez significa que el sistema es perfecto; con frecuencia significa que la auditoría no está mirando donde debe. El costo aparece después, cuando el organismo de certificación encuentra lo que el equipo interno no vio.

En nuestras auditorías y acompañamientos vemos una y otra vez los mismos siete hallazgos. Coinciden con los que los organismos de certificación reportan como más comunes. Los presentamos con el numeral de ISO 9001:2026, aunque la mayoría tiene un equivalente directo en ISO 14001 e ISO 45001, porque las tres comparten la Estructura Armonizada.

Una aclaración de rigor: no existe una estadística oficial pública de ISO o de los organismos de acreditación que ordene las no conformidades por frecuencia. Esta lista recoge experiencia de campo, no un ranking estadístico.

1. Objetivos sin plan ni medición (6.2)

La empresa tiene metas, a veces muy ambiciosas, pero no puede mostrar qué se va a hacer, con qué recursos, quién responde, cuándo termina y cómo se evaluará el resultado. La norma pide esos cinco elementos.

Qué debe buscar el auditor interno: para cada objetivo, el plan con responsable y fecha, y el último dato de seguimiento.

2. Riesgos identificados, pero sin acciones eficaces (6.1)

La matriz de riesgos existe y está bien presentada, pero las acciones no se integraron a los procesos y nadie evaluó si funcionaron. En la versión 2026 la norma trata riesgos y oportunidades por separado, lo que hace más visible esta brecha.

Qué debe buscar: una acción de la matriz, el proceso donde se ejecuta y la evidencia de que se evaluó su eficacia.

3. Formación sin evidencia de competencia (7.2)

Hay listas de asistencia y certificados de cursos, pero no se demuestra que la persona sea competente para su cargo. Asistir no es lo mismo que ser competente.

Qué debe buscar: el perfil del cargo, la evidencia de educación, formación o experiencia que lo cumple y, cuando hubo formación, la evaluación de su eficacia.

4. Documentos obsoletos en uso (7.5)

En el puesto de trabajo circula una versión anterior del procedimiento, o un formato que ya no existe en el listado maestro. Es uno de los hallazgos más fáciles de encontrar en sitio y más difíciles de detectar desde la oficina.

Qué debe buscar: compare lo que se usa en el área con la versión vigente. La auditoría de escritorio no lo encuentra.

5. Proveedores sin evaluación ni reevaluación (8.4)

Se compra a los mismos proveedores de siempre, sin criterios definidos de selección, evaluación, seguimiento del desempeño y reevaluación. La versión 2026 añade que, cuando corresponda, se informe a los proveedores los requisitos para sus interacciones con clientes y otras partes interesadas.

Qué debe buscar: los criterios escritos, la última evaluación de un proveedor crítico y qué se decidió con el resultado.

6. Revisión por la dirección incompleta (9.3)

El acta no cubre todas las entradas que exige la norma, o las cubre pero no deja decisiones, recursos ni responsables. La versión 2026 suma, entre las entradas, los cambios en las necesidades y expectativas de las partes interesadas.

Qué debe buscar: contraste el acta con la lista de entradas y salidas del 9.3, una por una.

7. Acción correctiva sin causa raíz (10.2)

Se corrige el efecto, pero no se analiza la causa, o el análisis se queda en "error humano". Tampoco se verifica la eficacia de la acción. Es el hallazgo más costoso, porque hace que los otros seis regresen en la siguiente auditoría.

Qué debe buscar: el análisis de causa documentado y la evidencia, con datos, de que el problema no se volvió a presentar.

Cómo se redacta un buen hallazgo

ISO 19011:2026, la guía internacional para auditar sistemas de gestión (ISO), define el hallazgo de auditoría como el resultado de evaluar la evidencia recopilada frente a los criterios de auditoría. En la práctica, un hallazgo bien redactado tiene tres partes:

Parte	Qué contiene	Ejemplo
Criterio	El requisito: norma, ley, procedimiento o contrato.	ISO 9001:2026, 7.5.3: la información documentada debe estar disponible e idónea para su uso donde y cuando se necesite, con control de cambios.
Evidencia	Lo que se vio, se leyó o se escuchó, y que se puede verificar.	En el área de despacho se usa el formato F-12 versión 2; la vigente es la 4.
Hallazgo	La comparación entre ambos.	No conformidad: la información documentada en uso no es la vigente.

Si el auditor no conoce el criterio, o se conforma con lo que le dicen en lugar de buscar evidencia verificable, el hallazgo simplemente no aparece. Por eso la calidad de la auditoría interna depende, ante todo, de la formación del auditor.

Nuestra recomendación

Antes de su próxima auditoría interna:

Revise estos siete puntos con su equipo de auditores y asegúrese de que el programa de auditoría los cubre.
Defina objetivos para cada auditoría, como pide ahora el 9.2.2 de la versión 2026.
Exija evidencia, no declaraciones: un documento, un registro, una observación en sitio.
Actualice a sus auditores internos en ISO 9001:2026 e ISO 19011:2026. Un auditor que audita con criterios 2015 no verá las brechas nuevas.

Preguntas frecuentes

¿Una no conformidad en la auditoría interna es mala noticia? No. Es la mejor noticia posible si llega antes que la auditoría externa: da tiempo para corregir y analizar la causa.

¿Estos hallazgos aplican también a ISO 14001 e ISO 45001? Sí. Objetivos, riesgos, competencia, información documentada, revisión por la dirección y acción correctiva son cláusulas comunes de la Estructura Armonizada. El de proveedores tiene su equivalente en los controles operacionales y en las compras y contratistas de cada norma.

¿Quién puede ser auditor interno? La norma pide que los auditores sean objetivos e imparciales, y que no auditen su propio trabajo. ISO 19011 da orientación sobre la competencia que deben tener.

¿Cada cuánto se hace la auditoría interna? A intervalos planificados, según la importancia de los procesos, los cambios y los resultados de auditorías anteriores. La norma no fija una frecuencia única.

Cómo trabajamos en 180 grados

Formamos auditores internos en ISO 9001, ISO 14001, ISO 45001 e ISO 19011:2026 a través de Academy 180, y realizamos auditorías internas con criterios de la versión 2026.

Escríbanos a proyectos180grados@gmail.com o visite 180gradosconsultores.org.