Auditoría interna ISO 9001: del programa anual al plan de acción
La cláusula 9.2 obliga a auditar el sistema a intervalos planificados. Lo que no dice es cada cuánto, quién, ni con qué profundidad — y ahí es donde se decide si la auditoría interna sirve para algo o es un trámite anual.
Qué exige la cláusula 9.2 y qué no
ISO 9001 pide auditorías internas a intervalos planificados para comprobar dos cosas: que el sistema cumple los requisitos de la norma y los propios de la organización, y que está implementado y mantenido de forma eficaz. Exige además mantener información documentada como evidencia de la ejecución del programa y de los resultados.
Lo que no exige es tan importante como lo que exige: no fija una frecuencia mínima, no impone una lista de verificación, no obliga a que el auditor tenga una titulación concreta y no dice que haya que auditarlo todo cada vez. Esas cuatro decisiones son tuyas, y son las que un auditor externo te pedirá que justifiques.
ISO 19011:2026 ya está en vigor
ISO 19011 es la norma que da directrices para auditar sistemas de gestión: cómo se gestiona un programa de auditoría, cómo se realiza una auditoría y qué competencia se espera de quien la hace. No es certificable —es una guía— pero es la referencia internacional para construir los procedimientos de auditoría interna.
Su cuarta edición, ISO 19011:2026, sustituye a la de 2018. La versión española, UNE-EN ISO 19011:2026, está en vigor desde el 16 de junio de 2026. Si tu procedimiento de auditoría interna cita ISO 19011:2018, esa referencia ya no es la vigente.
Qué no vas a leer aquí, y por qué. No detallamos qué cambia dentro de la edición 2026. El texto de la norma es de pago y no lo hemos contrastado; lo que circula ahora mismo sobre auditoría remota o competencias del auditor procede de resúmenes de terceros. Preferimos decirte que la referencia cambió —que es el dato accionable— antes que repetir un detalle que no podemos verificar.
A esto se suma que ISO 9001:2026 se publicó en septiembre. Dos normas nuevas el mismo año, y ambas afectan a lo mismo: lo que auditas y cómo lo auditas.
Programa anual y plan de auditoría: no son lo mismo
El programa
El conjunto de auditorías previstas para un periodo. Debe dejar claro por qué se audita lo que se audita: importancia del proceso, cambios que afecten a la organización y resultados de auditorías anteriores. Es el documento que demuestra que hay criterio y no costumbre.
El plan
El documento de una auditoría concreta: alcance, criterios, procesos, fechas, personas y orden. Se comparte antes con los auditados, porque una auditoría no es una inspección sorpresa.
Qué tipo de auditoría necesitas
«Auditoría de calidad» nombra tres cosas distintas, y elegir mal cuesta tiempo y dinero. La diferencia no está en cómo se hacen, sino en quién las hace y qué obtienes.
| Tipo | Quién la hace | Para qué | Qué obtienes | ¿Certifica? |
|---|---|---|---|---|
| Interna (primera parte) | La propia organización, o alguien contratado por ella | Comprobar que tu sistema funciona como dices, antes de que lo mire alguien de fuera | Hallazgos propios y margen para corregir | No |
| De proveedor (segunda parte) | Un cliente, sobre su proveedor | Verificar que quien te suministra cumple lo acordado | Confianza en la cadena de suministro | No |
| De certificación (tercera parte) | Una entidad de certificación acreditada | Obtener o mantener el certificado | El certificado, si procede | Sí |
QualitySupport no realiza auditorías de certificación ni es una entidad certificadora. Trabajamos en la primera columna: preparar, revisar y acompañar.
Hallazgos: cómo se clasifican y con qué criterio
Más útil que la taxonomía es saber cómo se decide entre una categoría y otra. Lo que sigue es criterio profesional de uso común, no texto normativo: ISO 9001 no define estas categorías.
- No conformidad mayor
- Ausencia total de un requisito, o un fallo que rompe la capacidad del sistema para lograr lo previsto. También varias menores del mismo requisito que, juntas, muestran que el control no existe en la práctica.
- No conformidad menor
- Un incumplimiento puntual y aislado que no compromete el sistema. El control existe y funciona; ha fallado en un caso concreto.
- Observación
- Algo que cumple hoy pero muestra una debilidad: una práctica que depende de una sola persona, un registro que se lleva de memoria, un plazo que se cumple por poco.
- Oportunidad de mejora
- No hay incumplimiento. Es una propuesta. Conviene separarla del resto para que nadie la trate como un deber ni la ignore por no serlo.
Evidencias: qué vale y qué no
Una evidencia es un hecho verificable, no una afirmación. «Revisamos los proveedores cada año» no es evidencia; el registro de la última evaluación, con fecha y criterio aplicado, sí. La diferencia es si alguien ajeno puede comprobarlo sin fiarse de tu palabra.
Vale un registro, un dato de un sistema, un documento firmado, una observación directa de cómo se ejecuta un proceso o una entrevista contrastada con alguno de los anteriores. No vale una declaración sin respaldo, ni un procedimiento que describe lo que debería ocurrir sin nada que demuestre que ocurre.
El error más caro es el contrario al que se teme: no es tener poca evidencia, es tener mucha y desordenada. En auditoría no cuenta lo que existe, cuenta lo que se puede encontrar y enseñar en el momento en que lo piden.
Después de la auditoría: acciones y seguimiento
El informe no cierra nada por sí solo. Cada no conformidad necesita corrección —lo que se hace con el caso concreto— y, cuando procede, acción correctiva, que es lo que se hace con la causa para que no se repita. Es una de las áreas que conviene revisar con especial atención en una auditoría: si sólo se arregla el caso, se cierra el hallazgo y al año siguiente vuelve.
El cierre exige evidencia de que la acción se ejecutó y de que fue eficaz. Y los resultados alimentan el siguiente programa: un proceso con hallazgos repetidos pide más frecuencia, no la misma.
Cómo tratar cada hallazgo, paso a paso, está en la guía de no conformidades y acción correctiva.
Preguntas frecuentes
¿Cada cuánto hay que hacer una auditoría interna?
ISO 9001 no fija una frecuencia mínima. Exige un programa de auditoría que tenga en cuenta la importancia de los procesos, los cambios que afecten a la organización y los resultados de auditorías anteriores. Cubrir todo el alcance una vez al año es una opción práctica porque encaja con el ciclo de certificación, pero un proceso crítico o recién cambiado puede necesitar más de una revisión al año y uno estable puede necesitar menos.
¿Programa y plan de auditoría son lo mismo?
No, y conviene no confundirlos. El programa es el conjunto de auditorías previstas para un periodo, con su alcance y su lógica de prioridades. El plan es el documento de UNA auditoría concreta: qué procesos, qué días, con quién y en qué orden. Un auditor externo pedirá los dos, y pedirá que el programa explique por qué se auditó lo que se auditó.
¿Puede alguien auditar su propio trabajo?
No. El auditor no debe auditar su propia actividad, porque la imparcialidad es lo que da valor al hallazgo. En una organización pequeña eso no siempre se resuelve con una regla: la salida habitual es cruzar responsabilidades —quien lleva compras audita producción y al revés— y, cuando ni eso es posible sin comprometer la imparcialidad, contratar a alguien externo para ejecutar la auditoría interna.
¿Se puede contratar a un externo para la auditoría interna?
Sí. Sigue siendo una auditoría interna —de primera parte— porque la encarga y la usa la propia organización; lo que cambia es quién la ejecuta. Es una opción razonable cuando nadie en la organización puede auditar un proceso sin auditar el suyo. Lo que un externo no puede hacer es certificarte: eso exige una entidad de certificación acreditada, que es otra cosa.
¿Es obligatorio usar una lista de verificación?
No es obligatoria. Es útil para no dejarse requisitos y para que dos auditores distintos cubran lo mismo, pero una lista mal usada convierte la auditoría en un ejercicio de marcar casillas y hace perder lo que de verdad aporta: mirar evidencia y preguntar por lo que no encaja.
¿Qué diferencia hay entre la auditoría interna y la de certificación?
Quién la hace y para qué sirve. La interna la encarga la organización para verse a sí misma y corregir antes; la de certificación la hace una entidad acreditada y es la que concede o mantiene el certificado. La interna no certifica nada, y por eso mismo es donde conviene que aparezcan los problemas.
¿Qué pasa si la auditoría interna sale mal?
Es, en el peor de los casos, una buena noticia con mal aspecto. Una auditoría interna que no encuentra nada puede significar que se ha mirado poco, no que el sistema sea perfecto. Los hallazgos se clasifican, se analizan sus causas y se abren acciones con responsable y plazo; lo que un auditor externo valora no es que no hubiera hallazgos, sino que los que hubo se trataran y se cerraran con evidencia.
¿Tengo que auditar todas las cláusulas cada vez?
No necesariamente en cada auditoría, pero sí a lo largo del programa: todo el alcance del sistema debe quedar cubierto en el periodo que el programa defina. Repartirlo permite dedicar más tiempo a lo crítico en vez de recorrerlo todo superficialmente una vez al año.
Antes de auditar, conviene saber por dónde va a doler
La evaluación gratuita te da una lectura del estado de tu sistema en pocos minutos: sirve para decidir dónde poner el foco del programa de auditoría en vez de repartir el tiempo por igual. No sustituye a la auditoría: la orienta.