Los objetivos de la Auditoría de los Sistemas de Gestión

La auditoría es una herramienta que nos permite mejorar el sistema de gestión de forma continua mediante la verificación del cumplimiento de todos los requisitos en base a una norma de referencia. El hecho de encontrar desviaciones e incumplimientos, que posteriormente se corrijan, proporcionan un mantenimiento y mejora continua.

Para que esta herramienta sea efectiva, es imprescindible fijar, antes de que se realice el proceso de auditoría, los objetivos que nos proponemos para que la auditoría sea efectiva y cumpla con su propósito.

Considerando las dos premisas anteriores, en este artículo se explicará la importancia de fijar unos objetivos asociados al proceso de auditoría, así como algunos ejemplos que nos servirán para que esta herramienta nos sea de gran ayuda para aumentar la eficacia y eficiencia de nuestro sistema de gestión.

En primer lugar el cliente, es decir, el Responsable del Sistema de Gestión conjuntamente con la Dirección de la empresa, deberán fijar y describir las metas que se quieren alcanzar en cada uno de los procesos de auditoría, independientemente del tipo y del sistema de gestión que se vaya auditar.

La secuencia de acciones a realizar es la siguiente:

Durante la elaboración del Programa de Auditoría (Elaborado por la empresa):

- Se fijan y describen objetivos que se quieren alcanzar en cada uno de los procesos de auditoría. Los objetivos deben ser coherentes con la dirección estratégica de la empresa y servir de apoyo a la política y los objetivos del sistema de gestión.

- Se planifican las acciones a realizar para alcanzar las metas propuestas.

- Se asignan los recursos necesarios para alcanzarse.

En el Plan de la Auditoría (Elaborado por parte del Auditor):

- Se tendrán en cuenta a la hora de elaborar el Plan de la Auditoría. Por lo tanto, el encargado del Sistema de gestión de la empresa, le facilitará al auditor los objetivos aprobados. Éste deberá considerarlos durante la elaboración del Plan.

- Se incluirán los objetivos en el documento, y si procede se realizará la explicación necesaria para garantizar el cumplimiento de los mismos.

- La empresa deberá verificar que todos los objetivos se contemplen en el plan de la auditoría. Además de los objetivos, antes de dar la aprobación del documento, la empresa deberá verificar que la planificación se ajuste a las necesidades y recursos durante los días que dura la auditoría, y garantizar así que el proceso se desempeñe y cumpla con los objetivos fijados.

Durante la auditoría:

- Se analizará y evaluará el desempeño de los objetivos de la auditoría. A medida que el auditor verifique los diferentes requisitos, tendrá que comprobar que se esté siguiendo planificación de los objetivos.

- A medida que avance la auditoría se deberá verificar el cumplimiento de la planificación de los objetivos. En el caso que se detecten desviaciones habrá que corregirlas, y modificar el plan de la auditoría si es necesario. Tanto las desviaciones detectadas como las acciones correctoras aplicadas deberán constar en el informe final de auditoría.

Cierre de la auditoría:

- En el informe de auditoría deberá constar el grado de cumplimiento de los objetivos establecidos.

- No será hasta la entrega y cierre completo de los hallazgos encontrados en la auditoría, que se cumplan con todos objetivos establecidos de la misma.

En la siguiente tabla podéis visualizar la información anterior:

Aspectos que se deben tener en cuenta para fijar los Objetivos de una Auditoría

Siguiendo las recomendaciones de la norma ISO 19011:2018 "Directrices para la auditoría de los sistemas de gestión" en su apartado 5.2 "Establecimiento de los objetivos del programa de auditoría", se detallan una serie de consideraciones que se deben tener en cuanta a la hora de fijar los diferentes objetivos. Y estas son las siguientes:

- "Las necesidades y expectativas de las partes interesadas pertinentes, tanto externas como internas."

- "Las características y los requisitos de los procesos, productos, servicios y proyectos, y cualquier cambio en ellos."

- "Los requisitos del sistema de gestión."

- "La necesidad de evaluar a los proveedores externos."

- "El nivel de desempeño del auditado y el nivel de madurez de los sistemas de gestión, como se refleja

en los indicadores de desempeño pertinentes (por ejemplo, los KPI), la ocurrencia de no conformidades o incidentes o quejas de las partes interesadas."

- "Los riesgos y oportunidades identificados para el auditado."

- "Los resultados de auditorías previas."

Por ejemplo, para que una auditoría sea realmente útil, los resultados de la evaluación deben reflejar el funcionamiento real y cotidiano de todas y cada una de las actividades que se realizan. Es decir, si al realizar una auditoría, la persona encargada de realizar una determinada tarea no está presente, y la explicación la realiza otra, que sabe realizarla pero que no lo hace habitualmente, el auditor no podrá evaluar y verificar que lo que se le explica es realmente lo que se esté haciendo. En este caso, no podrá obtener una información verídica ni sobre el proceso, ni sobre la capacitación del auditado. Por lo tanto, habrá fallado tanto la planificación y alguno de los objetivos marcados, como consecuencia será que el resultado de la auditoría puede que no esté del todo correcto por no disponer de información vital para la verificación y evaluación de los requisitos del sistema, y se detecte alguna anomalía cuando no es verdad, o bien no se detecten hallazgos importantes que impiden el correcto funcionamiento de algún proceso en cuestión.

Considerando la explicación anterior, aspectos como estos, deben estar contemplados en la evaluación de riesgos y oportunidades del Programa de Auditoría. Explicado en una artículo anterior.

Siguiendo con las recomendaciones de la norma ISO 19011:2018, muestra una serie de ejemplos de objetivos, entre ellos están los siguientes:

- "Identificar las oportunidades para la mejora del sistema de gestión y de su desempeño."

- "Evaluar la capacidad del auditado para determinar su contexto."

- "Evaluar la capacidad del auditado para determinar los riesgos y oportunidades, y para identificar e implementar acciones eficaces para abordarlos."

- "Cumplir todos los requisitos pertinentes, por ejemplo los requisitos legales y reglamentarios, los compromisos de cumplimiento, los requisitos de certificación con una norma de sistemas de gestión."

- "Obtener y mantener la confianza en la capacidad de un proveedor externo."

- "Determinar la idoneidad, la adecuación, y la eficacia continuas del sistema de gestión del auditado."

- "Evaluar la compatibilidad y la alineación de los objetivos del sistema de gestión con la dirección estratégica de la organización."

Por otro lado, analizando la realidad de nuestra empresa, podemos establecer objetivos que nos ayuden a controlar algunos factores que podrían ocasionar un riesgo significativo en el resultado de la auditoría, por ejemplo:

El grado de coordinación entre auditor, auditado, instalaciones y funcionamiento del proceso a inspeccionar (ISO 9001). Imaginaros una empresa en el que en su alcance del sistema se incluye el proceso de fabricación de tornillos. La fabricación de estas piezas es puntual y sólo se realiza bajo pedido. Como el proceso se incluye en el alcance, el auditor tiene que verificar si cumple con los requisitos para evaluar su cumplimiento o incumplimiento de los mismos. Si en el proceso de auditoría no coincide con la fabricación de estos productos, el auditor no podrá verificar si se realiza adecuadamente el proceso, se tendrá que conformar con la supervisión documental de otra partida sin poder verificar el proceso de fabricación. Debe dejar constancia de ello en el informe de auditoría. En el caso de auditorías de certificación, si está en el alcance y se quiere incluir en el certificado, se deberá auditar en su totalidad, por lo tanto, la coordinación es imprescindible.   

Otro ejemplo asociado al mismo objetivo, en este caso basado en la norma ISO 45001. Se quiere verificar el cumplimiento por parte de los trabajadores del cumplimiento de las normas de seguridad cuando estos trabajan en las instalaciones del cliente, ya que la empresa dispone de procedimientos para ello. La empresa, con bastante antelación, deberá solicitar a su cliente, permiso para que el auditor pueda supervisar a los trabajadores de la empresa realizando sus tareas en instalaciones ajenas. En algunas ocasiones resulta complicado, ya que es posible que el propio auditor tenga que realizar un curso de formación de seguridad para acceder a las instalaciones, además de ser acompañado en todo momento por un trabajador perteneciente a la empresa del cliente.

Otro aspecto importante y que tendría todo el sentido del mundo incluirlo como objetivo, es la medición o valoración del grado capacitación tanto del auditor como del auditado. En el caso del auditor, en disponer de la experiencia y formación adecuadas para auditar unos procesos en concreto además del sistema de gestión en cuestión. Y, por el otro lado, el responsable del sistema de gestión de la empresa que será el encargado de ir guiando, explicando y proporcionando documentación al auditor, debe tener un amplio conocimiento tanto en el sistema de gestión como en todas las actividades que se realizan en la empresa. Si alguno de los dos no es adecuado, los resultados de la auditoría pueden no ser correctos y el análisis que se extraerá del proceso será erróneo y no servirá para la mejora continua del sistema. 

En conclusión, se deberá analizar en cada caso qué aspectos pueden provocar un determinado riesgo u oportunidad en el proceso de auditoría, y en base a esa información, y otros aspectos estratégicos y del propio sistema de gestión a evaluar, determinar los diferentes objetivos que se esperan cumplir, las acciones a realizar para garantizar su cumplimiento, así como la planificación de las mismas y los recursos necesarios para lograrlos.

Existen numerosas herramientas que se utilizan para la planificación y el control de los objetivos. Algunas de ellas pueden ser el diagrama de Gantt o Cuadro de Mando Integral (CMI). Esta última se utiliza sobre todo para gestionar los objetivos estratégicos de la empresa.