Una auditoría interna ISO es una revisión planificada de evidencias para determinar cómo se aplican los criterios definidos en uno o más sistemas de gestión. Certisafe Perú puede planificar y realizar la revisión dentro del alcance acordado, considerando procesos, sedes, documentos, entrevistas y actividades pertinentes. El resultado comunica hallazgos para que la organización decida cómo atenderlos.
Una auditoría interna ayuda a comprobar el funcionamiento del sistema, pero no certifica a la empresa ni garantiza un resultado ante un organismo certificador. La auditoría es una herramienta de evaluación que apoya las responsabilidades de quienes gestionan el sistema. El uso de sus resultados y la priorización de acciones corresponden a la organización.
Cuándo solicitar una auditoría interna
La empresa puede requerir una auditoría cuando tiene un sistema en funcionamiento y desea revisar evidencias frente a criterios determinados. Puede tratarse de una revisión periódica del programa interno, la preparación para una evaluación externa, la revisión de un proceso con cambios o una mirada independiente a un área que la propia organización no puede auditar con suficiente objetividad.
Antes de solicitar el servicio, defina qué decisión espera tomar con el informe. Si todavía desconoce las principales brechas, un diagnóstico de sistemas de gestión puede ofrecer una línea de partida. Si busca estructurar un nuevo sistema, consulte implementación de sistemas de gestión. La auditoría interna se centra en evaluar un sistema o parte de él frente a criterios establecidos; no tiene como objetivo crear el sistema desde cero.
Criterios y alcance de auditoría
Los criterios son referencias con las que se comparan evidencias. Pueden incluir requisitos de una norma aplicable, procedimientos internos, requisitos contractuales o compromisos que la empresa defina para la auditoría. Deben precisarse antes de iniciar; si cambian durante la revisión, se debe aclarar cómo afecta ese cambio a la planificación y comunicación de resultados.
El alcance identifica sedes, procesos, áreas, periodos y actividades incluidos. Una auditoría de un proceso no representa automáticamente a toda la organización. Delimitar el alcance evita que el lector interprete hallazgos fuera de las áreas evaluadas. También permite organizar disponibilidad de personas, horarios, documentación y accesos.
En sistemas integrados, los procesos comunes pueden revisarse en conjunto cuando los criterios y el objetivo lo permiten. Sin embargo, cada norma conserva requisitos propios. La planificación debe mostrar qué criterios se aplican a qué proceso y cómo se registrarán los resultados. Consulte la página de implementación general o las páginas de ISO 9001, ISO 14001 e ISO 45001 para distinguir los estándares comprendidos en el alcance.
Planificación de la revisión
La planificación considera objetivo, criterios, alcance, responsables, agenda, método de obtención de evidencia y forma de informar hallazgos. También toma en cuenta actividades de alto riesgo, turnos, temporadas, interrupciones y restricciones de acceso que puedan afectar la revisión. Una agenda realista permite que las personas necesarias participen sin detener procesos de forma innecesaria.
Antes de la visita, la empresa facilita la información que se haya acordado y designa a quien coordinará el acceso a áreas y responsables. El auditor determina qué evidencia necesita para responder a los criterios y puede solicitar aclaraciones. La disponibilidad de documentos no reemplaza la observación de la actividad; a la vez, una observación aislada no basta para afirmar cómo se comporta un proceso en todo momento.
La asignación del auditor debe considerar objetividad e independencia respecto de las actividades revisadas. Si la empresa pide revisar un proceso en el que el auditor participó directamente, esa situación debe comunicarse para valorar imparcialidad y límites. Certisafe no debe atribuir credenciales de auditor específicas al equipo sin confirmar el nombre exacto de la formación o certificación correspondiente.
Cómo se recopila evidencia
La evidencia se obtiene mediante revisión de documentos y registros, entrevistas, observación de actividades u otras fuentes que sean pertinentes para los criterios. El método se elige según la pregunta de auditoría. Las entrevistas ayudan a entender cómo se aplica un control; los registros pueden mostrar resultados o decisiones; la observación ayuda a contrastar el procedimiento con las prácticas.
Una auditoría utiliza muestras, no necesariamente revisa todos los registros o transacciones del periodo. La muestra y el periodo considerado se describen para que los responsables entiendan el contexto de una conclusión. Si la evidencia es insuficiente o contradictoria, el auditor puede pedir información adicional o registrar una limitación. Una ausencia de documentos en el momento de la entrevista no equivale automáticamente a demostrar que el proceso nunca se ejecuta.
Los datos personales y la información de clientes deben manejarse con cuidado. La empresa debe acordar qué documentación compartirá, quién tendrá acceso y cómo se comunicará. El informe debe contener la información necesaria para explicar hallazgos, no detalles sensibles que no aporten a la conclusión.
Hallazgos, conclusiones e informe
Un hallazgo relaciona evidencia comprobable con un criterio específico. El informe debe distinguir entre conformidad, incumplimiento u oportunidad de mejora según el método y las definiciones pactadas. Cuando exista una no conformidad, se describe el requisito, la evidencia que sustenta la conclusión y el proceso o área afectada. La redacción debe ser concreta para que los responsables puedan investigar causas y valorar acciones.
El informe no debe usar lenguaje que exceda la evidencia ni asignar responsabilidades personales sin sustento. Una observación es más útil cuando describe qué se revisó, qué se encontró y por qué importa en relación con el criterio. Si hay limitaciones, como áreas inaccesibles o datos no disponibles, deben explicitarse en el contexto del resultado.
La decisión de aceptar un hallazgo, analizar causas, definir correcciones y verificar acciones corresponde a los responsables internos de la organización. El auditor puede aclarar el significado de la evidencia y el criterio, pero no debería diseñar o aprobar acciones que luego audite con falta de objetividad, salvo que el alcance lo permita y se gestione el conflicto.
Seguimiento de acciones
Después de recibir el informe, la organización determina si requiere corregir una situación inmediata, analizar causas, prevenir su repetición o reforzar controles. Las acciones deben corresponder al hallazgo y al riesgo del proceso. Una respuesta limitada a corregir un registro no necesariamente soluciona la razón por la que se produjo el problema.
El seguimiento verifica si la acción acordada se ejecutó y si existe evidencia de su eficacia cuando esa revisión forma parte del programa. El servicio inicial no incluye seguimiento automático; la propuesta debe especificar si habrá revisión posterior, quién participará y qué evidencia se solicitará. Si el seguimiento se contrata por separado, deben acordarse sus criterios y fechas.
Auditoría de sistemas integrados
Una auditoría integrada coordina criterios y procesos comunes cuando una organización utiliza más de una norma. Puede reducir duplicación de entrevistas o revisar interfaces entre funciones, siempre que el plan identifique qué requisitos se evalúan. Calidad, ambiente y SST pueden compartir procesos de planificación o control documental, pero no son el mismo sistema ni producen hallazgos intercambiables.
Si la necesidad es revisar exclusivamente calidad, describa el alcance ISO 9001. Para ambiente, indique el sistema ISO 14001. Para SST, especifique procesos y obligaciones relacionados con ISO 45001 y normativa peruana aplicable. La auditoría no evalúa obligaciones que no se hayan incluido en los criterios acordados.
Diferencia entre auditoría interna, diagnóstico e inspección
La auditoría compara evidencia con criterios y comunica conclusiones. El diagnóstico explora brechas para ordenar prioridades sin ser necesariamente una auditoría formal. Una inspección suele concentrarse en condiciones o elementos definidos en una zona o actividad, según el procedimiento de la empresa. Los tres mecanismos pueden complementarse, pero responden preguntas diferentes.
La evaluación de Certisafe tampoco es una inspección de SUNAFIL. SUNAFIL es una autoridad pública de fiscalización y orientación dentro de sus competencias. La auditoría contratada por la empresa no tiene facultades públicas ni impone sanciones. Si busca una revisión regulatoria o legal, identifique expresamente ese propósito y confirme quién tiene competencia para prestarla.
Qué preparar para cotizar
Para definir la propuesta, indique:
- Norma o conjunto de criterios que se revisará.
- Procesos, sedes, áreas, turnos y periodo.
- Objetivo y motivo de la auditoría.
- Documentación del sistema y programa interno existente.
- Restricciones de acceso, idiomas o horarios.
- Persona que coordinará y responsables que participarán.
- Si requiere reunión de cierre, informe o seguimiento posterior.
Facilite solo información necesaria y acuerde cómo proteger documentos comerciales, datos personales y registros. La propuesta establece actividades, agenda y entregables; no se debe asumir una cantidad fija de auditores, días o procesos sin conocer el alcance.
Modalidad de atención
Certisafe coordina atenciones presenciales o virtuales en Lima Metropolitana según el servicio. Para otras regiones, la modalidad y logística se revisan antes de presentar la propuesta. Algunas partes de una auditoría pueden realizarse remotamente si los criterios, evidencias y condiciones lo permiten; no se debe prometer que todas las tareas puedan revisarse a distancia. El método y los accesos se acuerdan para cada organización.
Programa de auditoría y cobertura periódica
La organización define un programa para determinar qué procesos revisará, con qué frecuencia y bajo qué criterios. La planificación puede priorizar procesos que cambian, asuntos relevantes para el sistema, resultados de auditorías anteriores o necesidades de clientes. No implica que todos deban auditarse con una misma periodicidad ni que exista un calendario universal para cualquier organización. La empresa conserva la responsabilidad de asignar recursos, revisar el programa y ajustar prioridades ante cambios. Si contrata un servicio externo para una parte del programa, debe comunicar auditorías previas, límites de alcance y actividades de alto impacto. Los hallazgos repetidos también pueden indicar que conviene revisar causas, controles o la forma de hacer seguimiento, en lugar de repetir la misma auditoría sin modificar su propósito.
Los documentos finales deben identificar versión, fecha, alcance y responsables de elaboración o recepción. Mantener esas referencias ayuda a vincular los hallazgos con la evidencia revisada y facilita consultar decisiones en una auditoría posterior.
Solicite una auditoría interna ISO
Indique sistema, criterios, procesos, sedes, objetivo y periodo deseado. Si la organización aún no sabe si necesita auditoría o diagnóstico, describa la decisión que busca tomar. Contacte a Certisafe Perú para definir alcance, agenda, evidencias y entregables.
¿La auditoría interna entrega una certificación?
No. El informe comunica hallazgos frente a criterios definidos. Un organismo de certificación independiente evalúa y decide sobre la certificación.
¿Cuánto dura una auditoría?
La duración depende de cantidad de procesos, sedes, turnos, criterios, disponibilidad de información y objetivo. Se estima al definir el alcance; no existe un número de días universal.
¿Una auditoría interna puede revisar varias normas?
Sí, cuando el alcance y el plan incluyen criterios de cada norma. Deben identificarse por separado los requisitos particulares y los procesos compartidos.
¿Certisafe puede auditar su propio trabajo de implementación?
La asignación debe considerar objetividad. Si existió participación directa en el proceso, se debe revelar y evaluar cómo evitar un conflicto antes de aceptar la auditoría.
¿Qué ocurre si no se puede acceder a un área?
La limitación se comunica y se determina cómo afecta el alcance o las conclusiones. La propuesta puede reprogramar la actividad o registrar claramente que esa área no se evaluó.