ISO 19011:2026 DIRECTRICES PARA AUDITORÍA DE LOS SISTEMAS DE GESTIÓN

4.   PRINCIPIOS DE LA AUDITORÍA

4.1   Generalidades

La auditoría se caracteriza por depender de varios principios. Estos principios deberían ayudar a hacer de la auditoría una herramienta eficaz y fiable en apoyo de las políticas y controles de gestión, proporcionando información sobre la cual una organización puede actuar para mejorar su desempeño. La adhesión a esos principios es fundamental para proporcionar conclusiones de la auditoría que sean pertinentes y suficientes, y para permitir a los auditores, que trabajan independientemente, alcanzar conclusiones similares en circunstancias similares.

La orientación dada en los Capítulos 5 a 7 se basa en los siete principios señalados en los apartados 4.2 a 4.8.

4.2   Integridad

La integridad es el fundamento de la profesionalidad.

Los auditores y las personas que gestionan un programa de auditoría deberían:

a)    desempeñar su trabajo de forma ética, con honestidad y responsabilidad;

b)    emprender actividades de auditoría solo si son competentes para hacerlo;

c)    desempeñar su trabajo de manera imparcial, es decir, permanecer ecuánimes y sin sesgo en todas sus acciones;

d)    ser sensibles a cualquier influencia que se pueda ejercer sobre su juicio mientras lleva a cabo una auditoría.

4.3   Presentación imparcial

La presentación imparcial es la obligación de informar con veracidad y exactitud.

Los hallazgos, conclusiones e informes de la auditoría reflejar con veracidad y exactitud las actividades de auditoría. Se debería informar de los obstáculos significativos encontrados durante la auditoría y de las opiniones divergentes sin resolver entre el equipo auditor y el auditado. La comunicación debería ser veraz, exacta, objetiva, oportuna, clara y completa.

4.4   Debido cuidado profesional

El debido cuidado profesional es la aplicación de diligencia y juicio al auditor.

Los auditores deberían proceder con el debido cuidado, independientemente de la importancia de la tarea que desempeñan y la confianza depositada en ellos por el cliente de la auditoría y por otras partes interesadas. Un factor importante al realizar su trabajo con el debido cuidado profesional es tener la capacidad de hacer juicios razonados en todas las situaciones de la auditoría.

4.5   Confidencialidad

La confidencialidad es la seguridad y privacidad de la información.

Los auditores deberían proceder con discreción en el uso y la protección de la información adquirida en el curso de sus actividades de auditoría. La información de la auditoría no debería usarse inapropiadamente para beneficio personal del auditor o del cliente de la auditoría, o de modo que perjudique los intereses legítimos del auditado. Este principio incluye el tratamiento apropiado de la información sensible o confidencial.

4.6   Independencia

La independencia es la base para la imparcialidad de la auditoría y la objetividad de las conclusiones de la auditoría.

Los auditores deberían ser independientes de la actividad que se audita siempre que sea posible, y en todos los casos deberían actuar de una manera libe de sesgo y conflicto de intereses. Los auditores deberían mantener la objetividad a lo largo del proceso de auditoría para asegurarse de que los hallazgos y las conclusiones de la auditoría están basados solo en la evidencia de la auditoría.

Cuando no resulte posible que los auditores internos sean independientes de la actividad que se audita, deberían hacerse todos los esfuerzos para eliminar el sesgo y fomentar la objetividad.

4.7   Enfoque basado en la evidencia

El enfoque basado en la evidencia es el método racional para alcanzar conclusiones de la auditoría fiables y reproducibles en un proceso de auditoría sistemático.

La evidencia de la auditoría debería ser verificable. Debería basarse en muestras de la información disponible, ya que una auditoría se lleva a cabo durante una duración especificada y con recursos finitos. Debería aplicarse un uso apropiado del muestreo, ya que está estrechamente relacionado con la confianza que puede depositarse en las conclusiones de la auditoría.

4.8   Enfoque basado en el riesgo

El enfoque basado en el riesgo es un enfoque de auditoría que considera los riesgos y oportunidades.

El enfoque basado en el riesgo debería influir sustancialmente en la planificación y la implementación del programa de auditoría, y en la planificación, la realización y la presentación de informes de auditoría a fin de asegurar que las auditorías se centran en asuntos que son importantes para el cliente de la auditoría y para alcanzar los objetivos del programa de auditoría.

VIDEO

5.   GESTIÓN DE UN PROGRAMA DE AUDITORÍA

5.1   Generalidades

Debería establecerse un programa de auditoría. Este puede incluir auditorías que traten una o más normas de sistemas de gestión u otros requisitos, realizadas por separado o en combinación (auditoría combinada).

La extensión de un programa de auditoría debería basarse en el tamaño y la naturaleza del auditado, así como en la funcionalidad, la complejidad, el tipo de riesgos y oportunidades, el alcance y el nivel de madurez de los sistemas de gestión que se van a auditar.

La funcionalidad del sistema de gestión puede ser aún más compleja en el caso de múltiples ubicaciones o cuando hay funciones importantes contratadas externamente.

Debería prestarse especial atención a dónde se toman las decisiones importantes y al diseño, planificación y revisión del programa de auditoría.

El programa de auditoría debería adaptarse de acuerdo con el tamaño y la complejidad de la organización.

Al fin de comprender el contexto del auditado, el programa de auditoría debería tener en cuenta los siguientes aspectos de la organización:

-       los objetivos organizacionales;

-       las cuestiones externas e internas pertinentes;

-       las necesidades y expectativas de las partes interesadas pertinentes;

-       la aplicación de tecnología, como herramientas digitales;

-       los requisitos de seguridad y confidencialidad de la información.

A la hora de asignar recursos y métodos al programa de auditoría, debería darse prioridad a los asuntos del sistema de gestión con mayor riesgo inherente y menores niveles de desempeño.

Deberían asignarse personas competentes para gestionar el programa de auditoría (véase 5.4.2).

El programa de auditoría debería incluir la información e identificar los recursos que permitan que las auditorías se realicen eficaz dentro de los periodos de tiempo especificados. Esta información debería incluir lo siguiente:

a)    los objetivos del programa de auditoría (véase 5.2);

b)    los riesgos y oportunidades asociados con el programa de auditoría (véase 5.3) y las acciones para abordarlos;

c)    el alcance (extensión, límites, ubicaciones) de cada auditoría dentro del programa de auditoría;

d)    el calendario (número/duración/frecuencia) de las auditorías;

e)    los tipos de auditoría, tales como internas o externas;

f)     los criterios de auditoría;

g)    los métodos de auditoría a emplear, incluyendo los métodos de auditoría remota (véase el Capitulo A.16);

h)  los criterios para seleccionar al equipo auditor (líder del equipo auditor, auditores y, según sea necesario, expertos técnicos);

i)     los criterios para la participación de observadores, según sea pertinente;

j)     el contexto de la organización sobre la base de cuestiones externas e internas;

k)    la información documentada pertinente.

Parte de esta información no siempre está disponible hasta que se completa una planificación de auditoría más detallada.

La implementación del programa de auditoría debería seguirse y evaluarse, de manera continua (véase 5.6), para asegurarse de que han alcanzado los objetivos de su programa de auditoría. El programa de auditoría debería revisarse a fin de determinar la necesidad de cambios y posibles oportunidades para la mejora (véase 5.7).

La figura 1 ilustra el flujo del proceso para la gestión de un programa de auditoría.

NOTA 1   Esta figura ilustra la aplicación del ciclo Planificar-Hacer-Verificar-Actuar en este documento.

NOTA 2   La numeración de los capítulos/apartados hace referencia a los capítulos/apartados pertinentes de este documento.

NOTA 3   La realización de las actividades de seguimiento de una auditoría (véase 6.7) no es siempre aplicable, como ilustran las líneas discontinuas.

Figura 1. Flujos de procesos para la gestión de un programa de auditoría y la realización de una auditoría

5.2   Establecimiento de los objetivos del programa de auditoría

El cliente de la auditoría debería asegurarse de que los objetivos del programa de auditoría se han establecido para dirigir la planificación y realización de auditorías y debería asegurarse de que el programa de auditoría se ha implementado eficazmente. Los objetivos del programa de auditoría deberían ser coherentes con la dirección estratégica del cliente de la auditoría, su contexto, y servir de apoyo a las políticas y los objetivos de su sistema de gestión.

Estos objetivos pueden basarse en las siguientes consideraciones:

a)    las necesidades y expectativas de las partes interesadas pertinentes, tanto externas como internas;

b)    las características y los requisitos de los procesos, productos, servicios y proyectos, y cualquier cambio en ellos;

c)    los requisitos del sistema de gestión, incluyendo los distintos requisitos específicos cubiertos durante una auditoría combinada;

d)    la necesidad de evaluar a las organizaciones que forman parte de la cadena de suministro;

e)    el nivel de desempeño del auditado y el nivel de madurez de los sistemas de gestión, como se refleja en los indicadores de desempeño pertinentes, la ocurrencia de no conformidades o incidentes o quejas de las partes interesadas;

f)     los riesgos y oportunidades identificados para el auditado;

g)    los resultados de auditorías previas.

Ejemplos de objetivos de un programa de auditoría pueden incluir lo siguiente:

-    identificar las oportunidades para la mejora del sistema de gestión y de su desempeño;

-    evaluar la capacidad del auditado para determinar su contexto;

-   evaluar la capacidad del auditado para determinar los riesgos y oportunidades, y para identificar e implementar acciones eficaces para abordarlos;

-  determinar el cumplimiento de todos los requisitos pertinentes, por ejemplo, los requisitos legales y reglamentarios, los compromisos de cumplimiento, los requisitos de certificación con una norma de sistemas de gestión;

-    establecer el nivel de confianza en la capacidad de una organización de la cadena de suministro;

-      determinar la idoneidad, la adecuación y la eficacia continuas del sistema de gestión del auditado;

-     evaluar la compatibilidad y la alineación de los objetivos del sistema de gestión con la dirección estratégica de la organización.

5.3   Determinación y evaluación de los riesgos y oportunidades del programa de auditoría

Hay riesgos y oportunidades relacionados con el contexto del auditado que pueden asociarse con un programa de auditoría y pueden afectar al logro de sus objetivos. Las personas responsables de la gestión del programa de auditoría deberían identificar los riesgos y oportunidades y presentarlos al cliente de la auditoría al desarrollar el programa de auditoría y los requisitos de recursos para que puedan tratarse adecuadamente.

Los riesgos pueden estar asociados con lo siguiente:

a)   la planificación, (por ejemplo, el fracaso al establecer objetivos de la auditoría pertinentes y apropiados, así como al determinar la extensión, número, duración, ubicaciones y calendario de las auditorías);

b)    los recursos, (por ejemplo, conceder insuficiente tiempo, equipos y/o formación para desarrollar el programa de auditoría o para realizar una auditoría, la falta de auditores competentes; la pérdida de auditores o de disponibilidad de auditores);

c)    la selección del equipo auditor, (por ejemplo, competencia global insuficiente para realizar auditorías eficazmente, falta de independencia e imparcialidad de los auditores);

d)    la selección del método de auditoría (por ejemplo, in situ, en remoto, teniendo en cuenta la capacidad del método seleccionado para lograr el objetivo de auditoría definido) (véase los Capítulos A.1, A.15 y A.16);

e)    la comunicación, (por ejemplo, procesos/canales de comunicación ineficaces);

f)     la implementación, (por ejemplo, una coordinación ineficaz de las auditorías dentro del programa de auditoría, no realizar las auditorías de acuerdo con el programa de auditoría o no considerar la seguridad y confidencialidad de la información);

g)    el control de la información documentada, (por ejemplo, determinación ineficaz de la información documentada necesaria requerida por los auditores y las partes interesadas pertinentes, fracaso a la hora de proteger adecuadamente los registros de auditoría);

h)    el seguimiento, revisión y mejora del programa de auditoría, (por ejemplo, seguimiento ineficaz de los resultados del programa de auditoría);

i)     el patrocinio (por ejemplo, fracaso en comprometer al liderazgo para hacer posible una implementación eficaz del programa de auditoría);

j)     la disponibilidad y la cooperación del auditado y la disponibilidad de evidencias a muestrear;

k)    la seguridad de los métodos de las tecnologías de la información y las comunicaciones (por ejemplo, selección de plataformas ineficaces o no seguras).

Las oportunidades para mejorar el programa de auditoría pueden incluir:

-       permitir llevar a cabo múltiples auditorías en una única visita;

-       minimizar el tiempo y las distancias de viajar a las ubicaciones;

-      igualar la competencia del equipo auditor con el nivel de competencia requerido para alcanzar los objetivos de la auditoría;

-       seleccionar el método de auditoría a utilizar para que esté alineado con la capacidad y disponibilidad de las tecnologías de la información y las comunicaciones.

5.4   Establecimiento del programa de auditoría

5.4.1   Roles y responsabilidades de las personas responsables de la gestión del programa de auditoría

Las personas responsables de la gestión del programa de auditoría deberían:

a)    asegurarse de que se mantiene la integridad del programa de auditoría y de que no se ejerce una influencia indebida sobre el programa de auditoría;

b)  establecer la extensión del programa de auditoría de acuerdo con los objetivos pertinentes (véase 5.2) y cualquier restricción conocida;

c)    determinar las cuestiones externas e internas, y los riesgos y oportunidades que pueden afectar al programa de auditoría, e implementar acciones para abordarlos, integrando estas acciones en todas las actividades de auditoría pertinentes, según sea apropiado;

d)  asegurarse la selección de los equipos auditores y la competencia general para las actividades de auditoría, asignando roles, responsabilidades y autoridades, y respaldando al liderazgo, según sea apropiado;

e)     establecer todos los procesos pertinentes, incluyendo:

1)    los objetivos, los alcances y los criterios de auditoría de las auditorías, la determinación de los métodos de auditoría y la selección del equipo auditor;

2)   la coordinación y programación de todas las auditorías dentro del programa de auditoría;

3)    la evaluación de la competencia de los auditores (véase 7.2);

4)    las comunicaciones externas e internas, según sea apropiado;

5)    la resolución de conflictos y el tratamiento de las quejas;

6)    el seguimiento de la auditoría, si procede;

7)    la presentación de informes al cliente de la auditoría y a las partes interesadas pertinentes, según sea apropiado;

f)     determinar y asegurar la provisión de todos los recursos necesarios;

g)  asegurarse de que se prepara y mantiene la información documentada apropiada, incluyendo los registros del programa de auditoría;

h)    hacer el seguimiento, revisar y mejorar el programa de auditoría;

i)    comunicar el programa de auditoría al cliente de la auditoría y, según sea apropiado, a las partes interesadas pertinentes.

Las personas responsables de la gestión del programa de auditoría deberían solicitar su aprobación al cliente de la auditoría.

5.4.2   Competencia de las personas responsables de la gestión del programa de auditoría

Las personas responsables de la gestión del programa de auditoría deberían tener la competencia necesaria para gestionar el programa, de forma eficaz y eficiente, incluyendo conocimientos sobre:

a)  los principios (véase el Capítulo 4), métodos y procesos de auditoría (véase en los Capítulos A.1 y A.2);

b)  las normas de sistemas de gestión, otras normas pertinentes y documentos de referencia/orientación;

c)  la información relativa al auditado y a su contexto (por ejemplo, las cuestiones externas/internas, las partes interesadas pertinentes y sus necesidades y expectativas, las actividades de negocio, los productos, servicios y procesos del auditado);

d)  los requisitos legales y reglamentarios aplicables y otros requisitos pertinentes a las actividades de negocio del auditado.

Según sea apropiado, puede considerarse el conocimiento de gestión de riesgos, gestión de proyectos y procesos y de tecnologías de la información y las comunicaciones.

Las personas responsables de la gestión del programa de auditoría deberían participar en las actividades apropiadas de desarrollo profesional continua para mantener la competencia necesaria para gestionar el programa de auditoría.

5.4.3   Establecimiento del alcance del programa de auditoría

Las personas responsables de la gestión del programa de auditoría deberían determinar el alcance del programa de auditoría. Este puede variar dependiendo de la información proporcionada por el cliente de la auditoría o el auditado sobre su contexto (véase 5.3).

NOTA   En ciertos casos, dependiendo de la estructura o las actividades del auditado, el programa de auditoría consiste únicamente en una sola auditoría.

Otros factores que tienen impacto en el alcance de un programa de auditoría pueden incluir lo siguiente:

a)    el objetivo, alcance y duración de cada auditoría y el número de auditorías a llevar a cabo, el método de presentación de informes y, si aplica, el seguimiento de la auditoría;

b)    las normas de sistemas de gestión;

c)    el número, importancia, complejidad, similitud y las ubicaciones de las actividades que se van a auditar;

d)    los factores que influyen en la eficacia del sistema de gestión;

e)   los criterios de auditoría aplicables, tales como los acuerdos planificados para las normas de sistemas de gestión pertinentes, los requisitos legales y reglamentarios y otros requisitos con los que la organización está comprometida;

f)   los resultados de auditorías internas o externas previas y revisiones por la dirección previas, si es apropiado;

g)    los resultados de una revisión previa del programa de auditoría;

h)    el idioma, las cuestiones culturales y sociales;

i)    las inquietudes de las partes interesadas, tales como quejas de clientes, incumplimientos de los requisitos legales y reglamentarios y otros requisitos con los que la organización está comprometida, o cuestiones de la cadena de suministro;

j)    los cambios significativos en el contexto del auditado o sus operaciones y los riesgos y oportunidades asociados;

k)   la disponibilidad de tecnologías de la información y las comunicaciones (por ejemplo, ancho de banda de red adecuado, hardware y software informático y de red adecuados) para apoyar las actividades de auditoría, en particular el uso de métodos de auditoría remota (véase el Capítulo A.16);

l)  la ocurrencia de eventos externos e internos (por ejemplo, no conformidades de productos o servicios, incidentes que afecten a la seguridad de la información, la salud y la seguridad o el medio ambiente);

m)  los riesgos y oportunidades de negocio, incluyendo las acciones para abordarlos.

5.4.4   Determinación de los recursos del programa de auditoría

Al determinar los recursos para el programa de auditoría, las personas responsables de la gestión del programa de auditoría deberían considerar:

a)    los recursos financieros y de tiempo necesarios para desarrollar, implementar, gestionar y

b)    mejorar las actividades de auditoría;

c)    los métodos de auditoría (véase el Capítulo A.1);

d)  la disponibilidad individual y global de auditores y expertos técnicos que tengan la competencia apropiada para los objetivos particulares del programa de auditoría (por ejemplo, la inclusión de intérpretes);

e)  la extensión del programa de auditoría (véase 5.4.3) y los riesgos y oportunidades relacionados con el programa de auditoría (véase 5.3);

f)     el tiempo y costos de transporte, alojamiento y otras necesidades de la auditoría;

g)    el impacto de las diferentes zonas horarias e idiomas;

h)    la disponibilidad de tecnologías de la información y las comunicaciones (por ejemplo, los recursos técnicos requeridos para establecer una auditoría usando tecnologías que apoyen la colaboración remota);

i)     la disponibilidad de las herramientas, la tecnología y los equipos requeridos;

j)  la disponibilidad de la información documentada necesaria, según lo determine el establecimiento del programa de auditoría (véase el Capítulo A.5);

k)    los requisitos relacionados con las instalaciones, incluyendo las autorizaciones y equipos de seguridad (por ejemplo, verificación de antecedentes, equipos de protección personal, capacidad para llevar indumentaria industrial adecuada).

5.5   Implementación del programa de auditoría

5.5.1   Generalidades

Una vez que se ha establecido el programa de auditoría (véase 5.4.3) y que se han determinado los recursos relacionados (véase 5.4.4), se debería implementar la planificación operacional y la coordinación de todas las actividades dentro del programa.

Las personas responsables de la gestión del programa de auditoría deberían:

a)  comunicar las partes pertinentes del programa de auditoría, incluyendo los riesgos y oportunidades implicados, a las partes interesadas pertinentes e informarles periódicamente de su progreso, usando los canales de comunicación externos e internos establecidos;

b)   definir los objetivos, el alcance y los criterios para cada auditoría individual;

c)   seleccionar los métodos de auditoría (véase el Capítulo A.1);

d)  coordinar y programar las auditorías y otras actividades pertinentes al programa de auditoría;

e)    asegurarse de que los equipos auditores tienen la competencia necesaria (véase 5.5.4);

f)   proporcionar los recursos necesarios individuales y globales para los equipos auditores (véase 5.4.4);

g)   asegurarse de que las auditorías se realizan de acuerdo con el programa de auditoría, gestionando los riesgos, oportunidades y cuestiones operacionales según surjan durante el despliegue del programa;

h)   asegurarse de que la información documentada pertinente relativa a las actividades de auditoría se gestiona y mantiene adecuadamente (véase 5.5.7);

i) definir e implementar los controles operacionales (véase 5.6) necesarios para el seguimiento del programa de auditoría;

j)    revisar el programa de auditoría a fin de identificar oportunidades para mejorarlo (véase 5.7).

5.5.2   Definición de los objetivos, el alcance y los criterios para una auditoría individual

Cada auditoría individual debería basarse en unos objetivos, un alcance y unos criterios de auditoría definidos. Estos deberían ser coherentes con los objetivos globales del programa de auditoría.

Los objetivos de la auditoría definen qué es lo que se va a lograr con la auditoría individual y pueden incluir lo siguiente:

a)    la determinación del grado de conformidad del sistema de gestión que se va auditar, o partes del mismo, con los criterios de auditoría;

b)   la evaluación de la capacidad del sistema de gestión para ayudar a la organización a cumplir los requisitos legales y reglamentarios pertinentes y otros requisitos con los que la organización está comprometida;

c)    la evaluación de la eficacia del sistema de gestión para lograr sus resultados previstos;

d)    la detección de oportunidades para la mejora del sistema de gestión;

e)  la evaluación de la idoneidad y adecuación del sistema de gestión con respecto al contexto y a la dirección estratégica de la organización;

f)   la evaluación de la capacidad del sistema de gestión para establecer y alcanzar los objetivos y abordar eficazmente los riesgos y oportunidades, en un contexto cambiante, incluyendo la implementación de las acciones relacionadas;

g)    la consideración de cualquier norma de auditoría de sistemas de gestión específica del sector.

El alcance de la auditoría debería ser coherente con el programa de auditoría y con los objetivos de la auditoría. Incluyendo factores como las ubicaciones, las funciones, las actividades y los procesos que se van a auditar, así como el periodo de tiempo cubierto por la auditoría.

Los criterios de auditoría se utilizan como una referencia frente a la cual se determina la conformidad. Pueden incluir uno o más de los siguientes: políticas aplicables, procesos, procedimientos, criterios de desempeño incluyendo objetivos, requisitos legales y reglamentarios, requisitos del sistema de gestión, información relativa al contexto y a los riesgos y oportunidades según determine el cliente de la auditoría (incluyendo los requisitos de las partes interesadas pertinentes externas/internas), códigos de conducta sectoriales u otros acuerdos planificados.

En caso de algún cambio en los objetivos, el alcance o los criterios de la auditoría, el programa de auditoría debería modificarse, si es necesario, y comunicarse a las partes interesadas para su aprobación, si es apropiado.

Cuando se audita más de una disciplina a la vez, es importante que los objetivos, el alcance y los criterios de la auditoría sean coherentes con los programas de auditoría pertinentes para cada disciplina. Algunas disciplinas pueden tener un alcance que abarque a toda la organización, y otras pueden tener un alcance que abarque a un subconjunto de la organización.

5.5.3   Selección y determinación de los métodos de auditoría

Las personas responsables de la gestión del programa de auditoría deberían seleccionar y determinar los métodos para llevar a cabo la auditoría de manera eficaz y eficiente, dependiendo de los objetivos, el alcance y los criterios de la auditoría definidos.

Las auditorías pueden llevarse a cabo en el sitio, remotamente, o como una combinación. El uso de estos métodos debería estar adecuadamente equilibrado, basándose, entre otras cosas, en la consideración de los riesgos y oportunidades asociados.

Cuando dos o más organizaciones auditoras llevan a cabo una auditoría conjunta del mismo auditado, las personas responsables de la gestión de los diferentes programas de auditoría deberían estar de acuerdo en los métodos de auditoría y considerar las implicaciones para la provisión de recursos y la planificación de la auditoría, incluyendo el impacto en la organización. Si un auditado opera dos o más sistemas de gestión de disciplinas diferentes, pueden incluirse auditorías combinadas en el programa de auditoría.

El Anexo A proporciona orientación adicional sobre métodos de auditoría. Los métodos pueden incluir entrevistas, uso de listas de verificación y cuestionarios, revisión de documentos, muestreo, observación del trabajo, análisis de datos y revisión in situ.

5.5.4   Selección de los miembros del equipo auditor

Las personas responsables de la gestión del programa de auditoría deberían designar a los miembros del equipo auditor, incluyendo al líder del equipo auditor y a cualquier experto técnico necesario para la auditoría específica.

Un equipo auditor debería seleccionarse teniendo en cuenta las competencias necesarias para alcanzar los objetivos de la auditoría individual dentro del alcance definido. Si solo hay un auditor, el auditor debería realizar todas las tareas aplicables al líder de un equipo auditor.

NOTA El Capítulo 7 contiene orientación sobre la determinación de las competencias requeridas para los miembros del equipo auditor y describe los procesos para evaluar auditores.

Para asegurarse de la competencia global del equipo auditor, deberían llevarse a cabo los siguientes pasos:

-    la identificación de la competencia necesaria para lograr los objetivos de la auditoría;

-  la selección de los miembros del equipo auditor, de tal manera que la competencia necesaria esté presente en el equipo auditor.

Al decidir el tamaño y la composición del equipo auditor para una auditoría especifica, debería considerarse lo siguiente:

a)   La determinación de la competencia necesaria para lograr los objetivos de la auditoria.

b)   La complejidad de la auditoría.

c)   Si la auditoría es combinada o conjunta.

d)   Los métodos de auditoría seleccionados.

e)   El proceso de auditoría se realiza de manera objetiva e imparcial.

f)    La capacidad de los miembros del equipo auditor para trabajar e interactuar eficazmente con los representantes del auditado y las partes interesadas pertinentes.

g)  Las cuestiones externas/internas pertinentes, como el idioma de la auditoría, y las características sociales y culturas del auditado. Estas cuestiones pueden tratarse a través de las habilidades propias del auditor, o bien a través del apoyo de un experto técnico. Puede ser necesario un intérprete.

h)  El tipo y la complejidad de la auditoría (por ejemplo, zonas horarias, número de ubicaciones, procesos que se van a auditar).

i)   Los permisos de viaje (por ejemplo, autorizaciones de seguridad, permisos sanitarios, visados, según proceda).

Cuando proceda, las personas responsables de la gestión del programa de auditoría deberían consultar con el líder del equipo auditor sobre la composición del equipo auditor.

Si los auditores del equipo auditor no cubren la competencia necesaria, los expertos técnicos con competencia complementaria deberían estar disponibles para apoyar al equipo.

Los auditores en formación pueden incluirse en el equipo auditor, pero deberían participar bajo la dirección y orientación de un auditor.

Durante la auditoría pueden ser necesarios cambios en la composición del equipo auditor (por ejemplo, si surge un conflicto de intereses o un problema de competencia). Si surge una situación así, debería resolverse con las partes apropiadas (por ejemplo, el líder del equipo auditor, las personas responsables de la gestión del programa de auditoría, el cliente de la auditoría o el auditado) antes de que se realice cualquier cambio.

5.5.5   Asignación de responsabilidades al líder del equipo auditor para una auditoría individual

Las personas responsables de la gestión del programa de auditoría deberían asignar al líder de un equipo de responsabilidad de llevar a cabo la auditoría individual.

La asignación debería hacerse con tiempo suficiente antes de la fecha programada de la auditoria, para asegurarse de la planificación eficaz de la auditoría.

Para asegurarse de la realización eficaz de la auditoría individual, debería proporcionarse al líder del equipo auditor la siguiente información:

a)    los objetivos de la auditoría;

b)    los criterios de auditoría y la información documentada pertinentes;

c)    el alcance de la auditoría, incluyendo la identificación de la organización y sus funciones y los procesos que se van a auditar;

d)    los procesos de la auditoría y los métodos asociados;

e)    la composición del equipo auditor;

f)     los detalles de contacto del auditado, y las ubicaciones, el marco temporal y la duración de las actividades de auditoría que se van a llevar a cabo;

g)    los recursos necesarios para llevar a cabo la auditoría;

h)   la información necesaria para evaluar y abordar los riesgos y oportunidades identificados para el logro de los objetivos de la auditoría;

i)    la información que apoya al líder del equipo auditor en sus interacciones con el auditado para la eficacia del programa de auditoría.

La información sobre la asignación también debería cubrir, según sea apropiado, lo siguiente:

-    el idioma de trabajo y del informe de la auditoría, cuando sea diferente del idioma del auditor o del auditado, o de ambos;

-     las conclusiones requeridas de la auditoría y a quién se han de distribuir;

-     los temas relacionados con la confidencialidad y la seguridad de la información, según lo requiera el programa de auditoría;

-    cualquier acuerdo sobre seguridad, salud y medio ambiente para los auditores;

-    los requisitos de transporte o de acceso a ubicaciones remotas;

-    cualquier requisito de confidencialidad, de seguridad física, de acceso y de autorización;

-   cualquier acción a revisar (por ejemplo, las actividades de seguimiento de una auditoría previa);

-    la coordinación con otras actividades de auditoría (por ejemplo, cuando equipos distintos están auditando procesos similares o relacionados en ubicaciones diferentes, o en el caso de una auditoría conjunta).

Cuando se lleva a cabo una auditoría conjunta es importante alcanzar un acuerdo entre las organizaciones que llevan a cabo las auditorías, antes de que la auditoría comience, sobre las responsabilidades específicas de cada parte, especialmente en lo que concierne a la autoridad del líder del equipo auditor designado para la auditoría.

5.5.6   Gestión de los resultados del programa de auditoría

Las personas responsables de la gestión del programa de auditoría deberían asegurase de que se realizan las siguientes actividades:

a)   la evaluación del cumplimiento de los objetivos para cada auditoría dentro del programa de auditoría;

b)  la revisión y aprobación de los informes de la auditoría relativos al cumplimiento del alcance y los objetivos de la auditoría;

c)    la revisión de la eficacia de las acciones tomadas para tratar los hallazgos de auditoría;

d)    la distribución de informes de auditoría a las partes previamente determinadas;

e)    la determinación de la necesidad de alguna auditoría de seguimiento.

Las personas responsables de la gestión del programa de auditoría deberían considera, cuando sea apropiado, comunicar las conclusiones de la auditoría y las buenas prácticas a otras áreas de la organización.

5.5.7   Gestión de registros relacionados con la auditoría

Las personas responsables de la gestión del programa de auditoría deberían asegurarse de que se generan, gestionan y conservan registros de la auditoría para demostrar la implementación del programa de auditoría. Deberían establecerse procesos para asegurarse de que se tratan las necesidades de seguridad de la información y de confidencialidad asociadas con los registros de la auditoría.

Los registros pueden incluir lo siguiente:

a)    los registros relacionados con el programa de auditoría, tales como:

1)    el calendario de auditorías;

2)    los objetivos y la extensión del programa de auditoría;

3)   aquellos que abordan los riesgos y oportunidades y las cuestiones externas e internas pertinentes del programa de auditoría;

4)    las revisiones de la eficacia del programa de auditoría.

b)    Los registros relacionados con cada auditoría, tales como:

1)    los planes de auditoría y los informes de auditoría;

2)    las evidencias de la auditoría y los hallazgos de la auditoría;

3)    la retroalimentación pertinente del auditado, los auditores y las partes interesadas;

4)    los informes de no conformidad;

5)    los informes de correcciones y acciones correctivas;

6)    las actividades de seguimiento de la auditoría.

c)    Los registros relacionados con el equipo auditor que cubran temas tales como:

1)    la evaluación de la competencia y el desempeño de los miembros del equipo auditor;

2)    los criterios para la selección de los equipos auditores y los miembros del equipo y la formación de los equipos auditores;

3)    el mantenimiento y la mejora de la competencia.

La forma y el nivel de detalle de los registros deberían demostrar que se han alcanzado los objetivos del programa de auditoría.

5.6   Seguimiento del programa de auditoría

Las personas responsables de la gestión del programa de auditoría deberían asegurar la evaluación de:

a)    el cumplimiento de los calendarios de auditoría y el logro de los objetivos del programa de auditoría;

b)   el desempeño de los miembros del equipo auditor, incluyendo el líder del equipo auditor y los expertos técnicos;

c)    la capacidad de los equipos auditores para implementar el plan de auditoría;

d)   la retroalimentación de los clientes de la auditoría, de los auditados, de los auditados, de los expertos técnicos y de otras partes pertinentes;

e)    la suficiencia y adecuación de la información documentada en el proceso de auditoría.

Algunos factores pueden indicar la necesidad de modificar el programa de auditoría. Estos pueden incluir cambios en:

-    los hallazgos de la auditoría;

-    el nivel demostrado de la eficacia y la madurez del sistema de gestión del auditado;

-    la eficacia del programa de auditaría;

-    el alcance de la auditoría o la extensión del programa de auditoría;

-    el sistema de gestión del auditado;

-    las normas, y otros requisitos con los que la organización está comprometida;

-    las organizaciones que forman parte de la cadena de suministro;

-    los conflictos de interés identificados;

-    los requisitos del cliente de la auditoría.

5.7   Revisión y mejora del programa de auditoría

Las personas responsables de la gestión del programa de auditoría y el cliente de la auditoría deberían revisar el programa de auditoría para evaluar si se han alcanzado sus objetivos. Las lecciones aprendidas de la revisión del programa de auditoría deberían usarse como entradas para la mejora del programa.

Las personas responsables de la gestión del programa de auditoría deberían asegurar lo siguiente:

-    la revisión de la implementación global del programa de auditoría;

-    la identificación de áreas con oportunidades para la mejora;

-    la implementación de cambios al programa de auditoría, si es necesario;

-  la revisión del desarrollo profesional continuo de los auditores, de acuerdo con el apartado 7.6;

-    la presentación de informes de los resultados del programa de auditoría y la revisión de estos con el cliente de la auditoría y las partes interesadas pertinentes, según sea apropiado.

La revisión del programa de auditoría debería considerar lo siguiente:

a)    los resultados y tendencias del seguimiento del programa de auditoría;

b)  la conformidad con los procesos del programa de auditoría y con la información documentada pertinente;

c)    la evolución de las necesidades y expectativas de las partes interesadas pertinentes;

d)    los registros del programa de auditoría;

e)    los métodos de auditoría alternativos o nuevos;

f)     los métodos alternativos o nuevos para evaluar a los auditores;

g)  la eficacia de las acciones para abordar los riesgos y oportunidades, y cuestiones externas e internas, asociados con el programa de auditoría;

h)   las cuestiones de confidencialidad y seguridad de la información relacionadas con el programa de auditoría.

VIDEO

6.   REALIZACIÓN DE UNA AUDITORÍA

6.1   Generalidades

Este capítulo contiene orientación sobre la preparación y realización de una auditoría específica como parte de un programa de auditoría. La Figura 1 proporciona una visión general de las actividades desempeñadas en una auditoría típica. El grado de aplicación de las disposiciones de este capítulo depende de los objetivos y del alcance de la auditoría específica.

6.2   Inicio de la auditoría

6.2.1   Generalidades

La responsabilidad de llevar a cabo la auditoría corresponder al líder del equipo auditor designado (véase 5.5.5) hasta que la auditoría finalice (véase 6.6).

Para iniciar una auditoría, deberían considerarse los pasos de la Figura 1; sin embargo, la secuencia puede diferir dependiendo del auditado, de los procesos y de las circunstancias específicas de la auditoría.

6.2.2   Establecimiento del contacto con el auditado

El líder del equipo auditor debería asegurarse de que se establece contacto con el auditado en un plazo de tiempo adecuado para:

a)    confirmar los canales de comunicación con los representantes del auditado;

b)    confirmar la autoridad para llevar a cabo la auditoría;

c)    proporcionar información pertinente sobre los objetivos de la auditoría, el alcance, los criterios, los métodos y la composición del equipo auditor, incluyendo a los expertos técnicos;

d)    solicitar acceso a la información pertinente con propósitos de planificación, incluyendo información sobre los riesgos y oportunidades que la organización ha identificado y la manera en que se abordan;

e)    confirmar los requisitos legales y reglamentarios aplicables y otros requisitos pertinentes para las actividades, procesos, productos y servicios del auditado;

f)    confirmar lo acordado con el auditado respecto al grado de difusión y al tratamiento (por ejemplo, almacenamiento, transferencia o revelación) de la información confidencial;

g)    hacer los preparativos para la auditoría incluyendo el plan de auditoría;

h)  determinar cualquier disposición específica de la ubicación en cuanto al acceso, seguridad y salud, seguridad física, confidencialidad u otras cuestiones;

i)   acordar la asistencia de observadores y la necesidad de guías o intérpretes para el equipo auditor;

j)    determinar cualquier área de interés, inquietud o los riesgos para el auditado en relación con la auditoría específica;

k)    resolver las cuestiones relativas a la composición del equipo auditor con el auditado o el cliente de la auditoría.

6.2.3   Determinación de la viabilidad de la auditoría

Debería determinarse la viabilidad de la auditoría para proporcionar la confianza razonable en que los objetivos de la auditoría pueden lograrse.

La determinación de la viabilidad debería tener en cuenta factores tales los siguientes:

a)    la información suficiente y apropiada para planificar y llevar a cabo la auditoría;

b)    la cooperación adecuada del auditado;

c)    el tiempo y otros recursos adecuados para llevar a cabo la auditoría;

d)   los eventos o circunstancias locales, regionales o mundiales que pudieran afectar a la auditoría programada.

NOTA   Los recursos incluyen el acceso adecuado y apropiado a tecnologías de la información y las comunicaciones.

Cuando la auditoría no es viable, debería proponerse al cliente de la auditoría una alternativa, de acuerdo con el auditado.

6.3   Preparación de las actividades de auditoría

6.3.1    Realización de la revisión de la información documentada

Los miembros del equipo auditor deberían revisar la información documentada para el sistema de gestión pertinente con el fin de:

-   reunir información para comprender las operaciones del auditado, los riesgos inherentes, y preparar las actividades de auditoría y los documentos de trabajo de auditoría aplicables (véase 6.3.4) (por ejemplo, sobre procesos, o funciones);

-  establecer una visión general de la extensión de la información documentada para determinar la conformidad potencial con los criterios de auditoría y detectar las posibles áreas de inquietud, como deficiencias, omisiones o conflictos.

La información documentada debería incluir, pero no se limita a, documentos y registros del sistema de gestión, así como a informes de auditoría previos. La revisión debería tener en cuenta al contexto de la organización, incluyendo su tamaño, naturaleza y complejidad, y sus riesgos y oportunidades relacionados. También debería tener en cuenta el alcance, los criterios y los objetivos de la auditoría.

NOTA   Se proporciona orientación sobre cómo verificar información en el Capítulo A.5.

6.3.2   Planificación de la auditoría

6.3.2.1   Enfoque basado en riesgos para la planificación

El líder del equipo auditor debería adoptar un enfoque basado en riesgos para planificar la auditoría, con base en la información del programa de auditoría y en la información documentada proporcionada por el auditado.

La planificación debería facilitar la programación y la coordinación eficientes de las actividades de auditoría a fin de alcanzar los objetivos eficazmente.

La aplicación práctica del enfoque basado en el riesgo puede incluir el establecimiento de prioridades de la auditoría en función de factores como la complejidad del producto/proceso, las quejas de clientes, los hallazgos de auditorías previas y los cambios en los entornos reglamentarios u operacionales.

El nivel de detalle proporcionado en el plan de auditoría debería reflejar el alcance y la complejidad de la auditoría. Al planificar la auditoría, el líder del equipo auditor debería considerar lo siguiente:

a)    la composición del equipo auditor y su competencia global;

b)    las técnicas de muestreo apropiadas (véase el Capítulo A.6);

c)    los riesgos para el logro de los objetivos de la auditoría generados por una planificación ineficaz de la auditoría;

d)    las oportunidades para mejora la eficacia y eficiencia de las actividades de auditoría;

e)    los riesgos para el auditado generados al realizar la auditoría.

Los riesgos para el auditado pueden originarse por la presencia de los miembros del equipo auditor que influyen adversamente en las disposiciones del auditado para la seguridad y salud, el medio ambiente y la calidad, y sus productos, servicios, personal o infraestructura del auditado (por ejemplo, contaminación de espacios limpios).

Para las auditorías combinadas, debería prestarse especial atención a las interacciones entre los procesos operativos y los objetivos y prioridades que concurren en los distintos requisitos de los sistemas de gestión.

Al identificar riesgos potenciales en las auditorías conjuntas, debería prestarse especial atención a la coordinación de los distintos equipos de auditoría, incluyendo las disposiciones de muestreo y de duración de la auditoría, para asegurar el logro de los objetivos de la auditoría.

6.3.2.2   Detalles de la planificación de la auditoría

La planificación de la auditoría debería considerar los riesgos de las actividades de auditoría en los procesos del auditado y proporcionar la base para el acuerdo entre el cliente de la auditoría, el equipo auditor y el auditado en lo relativo a la realización de la auditoría. El alcance y el contenido de la planificación de la auditoría pueden diferir, por ejemplo, entre la auditoría inicial y las posteriores, así como entre las auditorías externas e internas. La planificación de la auditoría debería ser lo suficientemente flexible para permitir los cambios que pueden hacerse necesarios a medida que las actividades de auditoría se vayan llevando a cabo.

La planificación de la auditoría debería tratar o hacer referencia a lo siguiente:

a)    los objetivos de la auditoría;

b)  el alcance de la auditoría, incluyendo la identificación de la organización y de sus funciones, así como los procesos que van a auditarse;

c)    los criterios de auditoría y cualquier información documentada;

d)   las ubicaciones (físicas y virtuales), las fechas, el horario y la duración previstos de las actividades de auditoría que se van a llevar a cabo, incluyendo las reuniones con la dirección del auditado, los descansos y las reuniones del equipo auditor;

e)    la necesidad de que el equipo auditor se familiarice con las instalaciones y procesos del auditado (por ejemplo, realizando una visita a las ubicaciones físicas, o revisando las tecnologías de la información y las comunicaciones);

f)   los métodos de auditoría que se van a usar, incluyendo el grado en que se necesita el muestreo de la auditoría para obtener suficientes evidencias de la auditoría;

g)   los roles y responsabilidades de los miembros del equipo auditor, así como los guías y los observadores o intérpretes;

h)   la asignación de los recursos apropiados basada en la consideración de los riesgos y oportunidades relacionados con las actividades que se han de auditar.

La planificación de la auditoría debería tener en cuenta, según sea apropiado:

-    la identificación de los representantes del auditado en la auditoría;

-   el idioma de trabajo y del informe de la auditoría, cuando sea diferente del idioma del auditor o del auditado, o ambos;

-    los contenidos esperados del informe de la auditoría;

-   los preparativos logísticos y de comunicaciones, incluyendo los preparativos específicos para las ubicaciones que se van a auditar;

-    las acciones específicas a tomar para tratar las oportunidades que surjan;

-    los temas relacionados con la confidencialidad y la seguridad de la información;

-   las actividades de seguimiento de una auditoría previa u otras fuentes (por ejemplo, las lecciones aprendidas, las revisiones de proyectos);

-    las actividades de seguimiento de la auditoría planificada, según se requiera;

-    la coordinación con otras actividades de auditoría, en el caso de una auditoría conjunta.

Los planes de auditoría deberían presentarse al auditado y al cliente de la auditoría, según se requiera. Cualquier cuestión sobre los planes de auditoría debería resolverse entre el líder del equipo auditor, el auditado y, si fuera necesario, las personas responsables de la gestión del programa de auditoría.

6.3.3   Asignación de las tareas al equipo auditor

El líder del equipo auditor, consultando con el equipo auditor, debería asignar a cada miembro del equipo la responsabilidad para auditar procesos, actividades, funciones o lugares específicos y, según sea apropiado, la autoridad para la toma de decisiones. Tales asignaciones deberían tener en cuenta la imparcialidad, la objetividad y la competencia de los auditores y el uso eficaz de los recursos, así como los diferentes roles y responsabilidades de los auditores, los auditores en formación y los expertos técnicos.

El líder del equipo auditor debería realizar reuniones del equipo auditor, cuando sea apropiado, para distribuir las asignaciones de trabajo y decidir los posibles cambios. Los cambios en las asignaciones de trabajo pueden hacerse a medida que la auditoría se va llevando a cabo para asegurar el logro de los objetivos de la auditoría.

6.3.4   Preparación de la información documentada para la auditoría

Los miembros del equipo auditor deberían recopilar y revisar la información pertinente a las tareas de auditoría asignadas y preparar la información documentada para la auditoria, usando cualquier medio apropiado. La información documentada para la auditoría puede incluir, pero no se limita a:

a)    listas de verificación;

b)    detalles de muestreo de auditoría;

c)    información audiovisual.

El uso de estos medios no debería restringir la extensión de las actividades de auditoría, que pueden cambiarse como resultado de la información recopilada durante la auditoría.

NOTA   Se proporciona orientación sobre la preparación de documentos de trabajo de auditoría en el Capítulo A.13.

La información documentada preparada para la auditoría, y la que resulta de su uso, debería conservarse al menos hasta que finalice la auditoría, o según se especifique en el programa de auditoría. La conservación de la información documentada después de finalizada la auditoría se describe en el apartado 6.6. La información documentada generada durante el proceso de auditoría que contenga información confidencial o protegida, incluyendo imágenes y grabaciones audiovisuales, debería salvaguardarse de manera adecuada en todo momento por los miembros del equipo auditor.

6.4   Realización de las actividades de auditoría

6.4.1   Generalidades

Normalmente las actividades de auditoría se realizan en una secuencia definida como se indica en la Figura 1. Esta secuencia puede variar para adaptarse a las circunstancias de auditorías específicas.

Las actividades de auditoría pueden realizarse simultáneamente y pueden depender del resultado de actividades de auditoría previas.

6.4.2 Asignación de los roles y las responsabilidades de los guías y los observadores

Los guías y los observadores pueden acompañar al equipo auditor con la aprobación del líder del equipo auditor, del cliente de la auditoría y/o del auditado, según se requiera. Ellos no deberían influir ni interferir en la realización de la auditoría. Si esto no se puede asegurar, el líder del equipo auditor debería tener el derecho de negarse a que los observadores tomen parte en ciertas actividades de auditoría.

Para los observadores, cualquier disposición para el acceso, la seguridad y salud, el medio ambiente, la seguridad física y la confidencialidad debería gestionarse entre el cliente de la auditoría y el auditado.

Los guías, designados por el auditado, deberían asistir al equipo auditor y actuar cuando lo solicite el líder del equipo auditor o el auditor a quien han sido asignado. Sus responsabilidades deberían incluir lo siguiente:

a)    ayudar a los auditores a identificar a las personas que participarán en las entrevistas y a confirmar los horarios y las ubicaciones;

b)    acordar el acceso a ubicaciones específicas del auditado;

c)   asegurarse de que los miembros del equipo auditor y los observadores conocen y respetan las reglas concernientes a los acuerdos específicos para el acceso a la ubicación, la seguridad y salud en el trabajo, el medio ambiente, la seguridad física, la confidencialidad y otras cuestiones, y que se abordan los riesgos;

d)    ser testigos de la auditoría en nombre del auditado, cuando sea apropiado;

e)  proporcionar aclaraciones o ayudar en la recopilación de información, cuando sea necesario.

6.4.3   Realización de la reunión de apertura

El propósito de la reunión de apertura es:

a)    confirmar el acuerdo de todos los participantes (por ejemplo, auditado, equipo auditor) sobre el plan de auditoría;

b)    presentar el equipo auditor y sus roles;

c)    asegurarse de que se pueden realizar todas las actividades de auditoría planificadas.

Debería celebrarse una reunión de apertura con la dirección del auditado y, cuando sea apropiado, con aquellos responsables de las funciones o de los procesos que se van a auditar. Durante la reunión, debería darse la posibilidad de realizar preguntas.

El grado de detalle debería ser coherente con la familiaridad del auditado con el proceso de auditoría. En muchos casos (por ejemplo, en auditorías internas en una organización pequeña) la reunión de apertura puede consistir simplemente en comunicar que se está realizando una auditoría y explicar la naturaleza de la auditoría.

Para otras situaciones de autoría, la reunión puede ser formal y se debería conservar registro de los asistentes.

El líder del equipo auditor debería presidir la reunión. Se debería presentar a los demás participantes, incluyendo los observadores, guías, expertos técnicos e intérpretes, y explicar sus roles.

Según sea apropiado, se deberían confirmar o explicar los siguientes puntos:

-     los objetivos, alcance y criterios de la auditoría;

-   el plan de auditoría y otras disposiciones pertinentes con el auditado, como la fecha y hora de la reunión de cierre, cualquier reunión intermedia entre el equipo auditor y la dirección del auditado, y cualquier cambio necesario;

-    los canales de comunicación formal entre el equipo auditor y el auditado;

-     el idioma que se va a utilizar durante la auditoría;

-    los métodos de auditoría para gestionar riesgos para la organización que puedan resultar de la presencia de los miembros del equipo auditor;

-     las evidencias de auditoría a recopilar mediante un proceso de muestreo;

-     que durante la auditoría se mantiene informado el auditado del progreso de la misma;

-     la disponibilidad de los recursos e instalaciones que necesita el equipo auditor;

-     los temas relacionados con la confidencialidad y la seguridad de la información;

-    los acuerdos pertinentes para el equipo auditor relativos al acceso, seguridad y salud, seguridad física, emergencia y otros acuerdos;

-     las actividades en el sitio que pueden tener impacto en la realización de la auditoría.

Según sea apropiado, se debería considerar la presentación de la información sobre los siguientes elementos:

-  el método de informar los hallazgos de la auditoría incluyendo los criterios para la categorización de las no conformidades, si existen;

-    las condiciones bajo las cuales la auditoría puede darse por terminada;

-    cómo trata los posibles hallazgos de la auditoría durante la auditoría;

-   cualquier plan de retroalimentación del auditado sobre los hallazgos de la auditoría o conclusiones de la auditoría, incluyendo las quejas o apelaciones.

6.4.4   Comunicación durante la auditoría

Durante la auditoría, puede ser necesario llegar a acuerdo formales para la comunicación dentro del equipo auditor, así como con el auditado, el cliente de la auditoría, y potencialmente con las partes interesadas externas (por ejemplo, autoridades reguladoras), especialmente cuando los requisitos legales y reglamentarios exijan la comunicación obligatoria de las no conformidades.

El equipo auditor debería comunicarse periódicamente para intercambiar información, evaluar el progreso de la auditoría, y reasignar las tareas entre los miembros del equipo auditor, según sea necesario.

Durante la auditoría, el líder del equipo auditor debería comunicar periódicamente los progresos, los hallazgos importantes de la auditoría y cualquier inquietud la organización y, cuando sea apropiado, al cliente de la auditoría. Las evidencias recopiladas durante la auditoría que sugieren un riesgo inmediato y significativo deberían comunicarse sin demora al auditado y, según sea apropiado, al cliente de la auditoría y a las personas responsables de la gestión del programa de auditoría. Cualquier inquietud sobre una cuestión fuera del alcance de la auditoría debería anotarse y notificarse al líder del equipo auditor, para su posible comunicación al cliente de la auditoría y al auditado.

Cuando las evidencias de auditoría disponibles indican que los objetivos de la misma no son alcanzables, el líder del equipo auditor debería informar de las razones al cliente de la auditoría, al auditado y a las personas responsables de la gestión del programa de auditoría, para determinar las acciones apropiadas. Estas acciones pueden incluir cambios en el plan de la auditoría, en los objetivos de la auditoría o en su alcance, o dar por terminada la auditoría.

Cualquier necesidad de cambios en el plan de auditoría que pueda se evidencie a medida que progresan las actividades de auditoría debería revisarse y aprobarse, según sea apropiado, tanto por las personas responsables de la gestión del programa de auditoría como por el cliente de la auditoría, y debería presentarse al auditado. Estos cambios deberían documentarse.

6.4.5   Acceso a la información de auditoría

Los métodos de auditoría elegidos para una auditoría dependen de los objetivos de la auditoría, el alcance y los criterios definidos, así como de la duración y la ubicación. La ubicación es el lugar en que la información necesaria para la actividad específica de auditoría está disponible para el equipo auditor. Esto puede incluir ubicaciones físicas y virtuales.

El lugar, el momento y la manera en que se accede a la información es crucial para la auditoría. Esto es independiente del lugar en el que se crea, usa y/o almacena la información. Es necesario determinar los métodos de auditoría basándose en estas cuestiones (véase el Capítulo A.1). La auditoría puede usar mezcla de métodos. Además, las circunstancias de la auditoría pueden implicar que los métodos necesiten cambiar durante la auditoría.

6.4.6   Revisión de la información documentada durante la auditoría

La información documentada pertinente del auditado debería revisarse para:

-    determinar la conformidad del sistema de gestión con los criterios de auditoría, sobre la base de la documentación disponible;

-     reunir información para apoyar las actividades de auditoría.

NOTA   Se proporciona orientación sobre cómo verificar información en el Capítulo A.5.

La revisión puede combinarse con otras actividades de auditoría (por ejemplo, entrevistar personal pertinente del auditado, observar las actividades del auditado) y puede continuar a lo largo de la auditoría, siempre que no vaya en detrimento de la eficacia de la realización de la auditoría.

Si no puede proporcionarse la información documentada adecuada dentro del periodo de tiempo dado en el plan de auditoría, el líder del equipo auditor debería informar tanto a las personas responsables de la gestión del programa de auditoría como al auditado. Dependiendo de los objetivos y el alcance de la auditoría, debería tomarse una decisión sobre si la auditoría debería continuar o suspenderse hasta que se resuelvan los problemas relativos a la información documentada.

6.4.7   Recopilación y verificación de la información

Durante la auditoría, la información pertinente a los objetivos, el alcance y los criterios de la misma, incluyendo la información relativa a las interrelaciones entre funciones, actividades y procesos, debería recopilarse mediante un muestreo apropiado y debería verificarse, en la medida de lo posible.

NOTA 1   Para verificar la información, véase el Capítulo A.5.

NOTA 2   Se proporciona orientación sobre el muestreo en el Capítulo A.6.

Solo debería aceptarse como evidencia de la auditoría la información que puede estar sujeta a algún grado de verificación. Cuando el grado de verificación es bajo, el auditor debería utilizar su juicio profesional para determinar el grado de fiabilidad que se puede depositar en la información como evidencia. Debería registrarse la evidencia que conduce a hallazgos de la auditoría. Si, durante la recopilación de evidencias objetivas, el equipo auditor es consciente de cualesquiera circunstancias o riesgos u oportunidades nuevos o que han cambiado, el equipo auditor debería abordarlos en consecuencia.

La Figura 2 proporciona una visión general de un proceso típico, desde la recopilación de información hasta las conclusiones de la auditoría.

   Figura 2. Visión general de la recopilación y verificación de la información

Los métodos para recopilar la información incluyen, pero sin limitarse a, lo siguiente:

-       entrevistas;

-       observaciones;

-       revisión de la información documentada (véanse los Capítulos A.5 y A.14).

NOTA 3   Se proporciona orientación sobre la selección de las fuentes de información y la observación en el Capítulo A.14.

NOTA 4    Se proporciona orientación sobre las visitas a la ubicación del auditado en el Capítulo A.15.

NOTA 5   Se proporciona orientación sobre la realización de entrevistas en el Capítulo A.17.

6.4.8   Generación de los hallazgos de la auditoría

La evidencia de la auditoría debería evaluarse frente a los criterios de auditoría para determinar los hallazgos de la auditoría. Los hallazgos de la auditoría pueden indicar conformidad o no conformidad con los criterios de auditoría. Cuando lo especifique el plan de auditoría, los hallazgos de una auditoría individual deberían incluir la conformidad con respecto a los criterios de auditoría y las buenas prácticas de la organización junto con la evidencia que los apoya, las oportunidades de mejora y, así como cualquier recomendación para el auditado, y deberían registrarse.

Deberían registrarse las no conformidades y la evidencia de la auditoría que las apoya.

Las no conformidades pueden clasificarse dependiendo del contexto de la organización y de sus riesgos. Esta clasificación puede ser cuantitativa (por ejemplo, de uno a cinco) o cualitativa (por ejemplo, menor, mayor). Al clasificar las no conformidades, se deberían definir y comunicar los criterios usados por la organización auditora.

Las no conformidades deberían revisarse con el auditado para reconocer que la evidencia de la auditoría es exacta y que las no conformidades se han comprendido. Se debería realizar todo el esfuerzo posible para resolver cualquier opinión divergente relativa a las evidencias o a los hallazgos de la auditoría. Las cuestiones no resueltas deberían registrarse en el informe de la auditoría.

El equipo auditor debería reunirse, según sea necesario, para revisar los hallazgos de la auditoría en etapas apropiadas durante la auditoría.

NOTA 1   Se proporciona orientación adicional sobre la identificación y evaluación de los hallazgos de la auditoría en el Capítulo A.18.

6.4.9   Determinación de las conclusiones de la auditoría

6.4.9.1   Preparación para la reunión de cierre

El equipo auditor debería reunirse antes de la reunión de cierre para:

a)    revisar los hallazgos de la auditoría y cualquier otra información apropiada recopilada durante la auditoría frente a los objetivos de la misma;

b)    acordar las conclusiones de la auditoría, teniendo en cuenta la incertidumbre inherente al proceso de auditoría;

c)    preparar recomendaciones, si estuviera especificado en el plan de auditoría;

d)    comentar las actividades de seguimiento de la auditoría, cuando sea aplicable.

6.4.9.2   Determinación del contenido de las conclusiones de la auditoría

Las conclusiones de la auditoría deberían tratar cuestiones tales como las siguientes:

a)  el grado de conformidad con los criterios de auditoría y la robustez del sistema de gestión, incluyendo:

1)    la eficacia del sistema de gestión para cumplir los resultados previstos;

2)    la identificación de riesgos;

3)    la eficacia de las acciones tomadas por el auditado para abordar los riesgos.

b)    la implementación, el mantenimiento y la mejora eficaces del sistema de gestión;

c)  el logro de los objetivos de la auditoría, cobertura del alcance de la auditoría y cumplimiento de los criterios de la auditoría;

d)   hallazgos de la auditoría similares encontradas en distintas áreas auditadas o en una auditoría conjunta o en una auditoría previa, con el propósito de identificar tendencias.

Si se especifica en el plan de auditoría, las conclusiones de auditoría pueden llevar a recomendaciones para la mejora, o a futuras actividades de auditoría.

Se debería tener cautela al efectuar las recomendaciones para evitar que afecten negativamente a la imparcialidad de las auditorías.

6.4.10   Realización de la reunión de cierre

La reunión de cierre debería realizarse para presentar los hallazgos y las conclusiones de la auditoría.

La reunión de cierre debería estar presidida por el líder del equipo auditor y contar con la asistencia de los representantes de la alta dirección del auditado y, cuando sea aplicable, debería incluir a:

-     los responsables de la funciones o procesos que se han auditado;

-     los representantes del cliente de la auditoría;

-     otros miembros del equipo auditor;

-    otras partes interesadas pertinentes, según lo determinen el cliente de la auditoría y/o el auditado.

Si es aplicable, el líder del equipo auditor debería advertir al auditado de las situaciones encontradas durante la auditoría que pueden disminuir la confianza en las conclusiones de la auditoría. Si está definido en el sistema de gestión o por acuerdo con el cliente de la auditoría, los participantes deberían acordar el periodo de tiempo para un plan de acción que trate los hallazgos de la auditoría.

El grado de detalle debería tener en cuenta la eficacia del sistema de gestión para alcanzar los objetivos del auditado, incluyendo consideraciones sobre su contexto y los riesgos y oportunidades.

La familiaridad del auditado con el proceso de auditoría también debería tenerse en cuenta durante la reunión de cierre, para asegurarse de que se proporciona el nivel correcto de detalle a los participantes.

Para algunas situaciones de auditoría, la reunión puede ser formal y las actas, incluyendo los riesgos de asistencia, deberían conservarse. En otras situaciones, la reunión de cierre puede ser menos formal y consistir solo en comunicar los hallazgos de la auditoría y las conclusiones de la misma.

Cuando sea apropiado, en la reunión de cierre debería explicarse al auditado lo siguiente:

a)  advertir que la evidencia de la auditoría recopilada se basó en una muestra de la información disponible y no es necesariamente totalmente representativa de la eficacia global de los procesos del auditado;

b)    el método de presentación de la información;

c)    la manera en que deberían tratarse los hallazgos de auditoría basándose en el proceso acordado;

d)    las posibles consecuencias de no tratar adecuadamente los hallazgos de auditoría;

e)  la presentación de los hallazgos y conclusiones de la auditoría de tal manera que se comprendan y se reconozcan por la dirección del auditado;

f) cualquier actividad relacionada de seguimiento de la auditoría (por ejemplo, implementación y revisión de acciones correctivas, tratamiento de quejas de la auditoría, proceso de apelación).

Cualquier opinión divergente relativa a los hallazgos de la auditoría o las conclusiones entre el equipo auditor y el auditado debería discutirse y, si es posible, resolverse. Si no se resuelve, deberían registrarse todas las opiniones.

Si lo especifican los objetivos de la auditoría, las oportunidades para la mejora se pueden presentar como recomendaciones. Se debería enfatizar que las recomendaciones no son obligatorias.

6.5   Preparación y distribución del informe de la auditoría

6.5.1   Preparación del informe de la auditoría

El líder del equipo auditor debería informar de las conclusiones de la auditoría de acuerdo con el programa de auditoría. El informe de la auditoría debería proporcionar un registro completo, preciso, conciso y claro de la auditoría, usando formatos específicos de presentación de informes cuando se requiera, y debería incluir o hacer referencia a lo siguiente:

a)    los objetivos de la auditoría;

b)  el alcance de la auditoría, particularmente la identificación de la organización (el auditado) y de las funciones o procesos auditados;

c)    la identificación del cliente de la auditoría;

d)    la identificación del equipo auditor y de los participantes del auditado en la auditoría;

e)    las fechas y ubicaciones donde se realizaron las actividades de auditoría;

f)     los criterios de auditoría;

g)    los hallazgos de la auditoría y las evidencias de la auditoría relacionadas;

h)    las conclusiones de la auditoría;

i)     una declaración del grado en el que se han cumplido los criterios de la auditoría;

j)     cualquier opinión divergente sin resolver entre el equipo auditor y el auditado;

k)   una declaración de que las auditorías son, por naturaleza, un ejercicio de muestreo; como tal, hay un riesgo de que las evidencias de la auditoría examinadas no sean representativas.

El informe de la auditoría también puede incluir o hacer referencia, cuando sea apropiado, a lo siguiente:

-      el plan de auditoría, incluyendo el cronograma;

-   un resumen del proceso de auditoría, incluyendo obstáculo encontrado que pueda disminuir la confianza en las conclusiones de la auditoría;

-    la confirmación de que se han cumplido los objetivos de la auditoría dentro del alcance de la auditoría, de acuerdo con el plan de auditoría;

-  cualquier área dentro del alcance de la auditoría no cubierta, incluyendo cualquier cuestión sobre la disponibilidad de las evidencias de la auditoria, los recursos o la confidencialidad, con las justificaciones relacionadas;

-     cualquier buena práctica del auditado identificadas;

-    las actividades de seguimiento relacionadas con el plan de acción acordado, de haberlas;

-     una declaración sobre la naturaleza confidencial de los contenidos;

-     cualquier implicación para el programa de auditoría o las auditorías posteriores.

Las no conformidades que no se hayan presentado y discutido durante la auditoría o la reunión de cierre no deberían incluirse en el informe de la auditoría.

6.5.2   Distribución del informe de la auditoría

El informe de la auditoría debería emitirse en el periodo de tiempo acordado. Si se retrasa, las razones deberían comunicarse al auditado y a las personas responsables de la gestión del programa de auditoría.

El informe de la auditoría debería estar fechado, revisado y, según sea apropiado, aceptado de acuerdo con el programa de auditoría.

A continuación, el informe de la auditoría debería distribuirse a las partes interesadas pertinentes definidas en el programa de auditoría o en el plan de auditoría.

Al distribuir el informe de la auditoría, deberían tenerse en cuenta las medidas apropiadas para asegurar la confidencialidad.

6.6   Finalización de la auditoría

La auditoría finaliza cuando se hayan realizado todas las actividades de auditoría planificadas, o si se ha acordado de otro modo con el cliente de la auditoría (por ejemplo, que haya la posibilidad de que una situación inesperada que impida que la auditoría se finalice de acuerdo con el plan de auditoría).

La información documentada perteneciente a la auditoría debería conservarse o eliminarse de común acuerdo entre las partes participantes y de acuerdo con el programa de auditoría y los requisitos aplicables.

El equipo auditor y las personas responsables de la gestión del programa de auditoría no deberían revelar ninguna información obtenida durante la auditoría ni el informe de la auditoría a ninguna otra parte, sin la aprobación explícita del cliente de la auditoría y, cuando sea apropiado, la del auditado. Si se requiere (por ejemplo, por ley) revelar el contenido de un documento de la auditoría, el cliente de la auditoría y el auditado deberían ser informados tan pronto como sea posible.

Las lecciones aprendidas de la auditoría pueden identificar los riesgos y oportunidades para el programa de auditoría y para el auditado.

6.7   Realización de las actividades de seguimiento de la auditoría

Los resultados de la auditoría pueden, dependiendo de los objetivos de la auditoría, indicar la necesidad de correcciones, o de acciones correctivas, u oportunidades para la mejora. Tales acciones generalmente son decididas y emprendidas por el auditado en un intervalo de tiempo acordado. Cuando se apropiado, el auditado debería mantener informadas a las personas responsables de la gestión del programa de auditoría y/o al equipo auditor sobre el estado de estas acciones.

Debería verificarse si se completaron las acciones y su eficacia. Esta verificación puede ser parte de una auditoría posterior. Debería presentarse un informe con los resultados a la persona responsable de la gestión del programa de auditoría, y al cliente de la auditoría para la revisión por la dirección.

VIDEO

7.   COMPETENCIA Y EVALUACIÓN DE LOS AUDITORES

7.1   Generalidades

La confianza en el proceso de auditoría y la capacidad de lograr sus objetivos dependen de la competencia de las personas involucradas, incluyendo los auditores y líderes de equipos auditores. La competencia debería evaluarse regularmente a través de un proceso que considere el comportamiento personal y la capacidad para aplicar los conocimientos y las habilidades adquiridos a través de la educación, la experiencia laboral, la formación como auditor y la experiencia en auditorías. Este proceso debería tener en cuenta las necesidades del programa de auditoría y sus objetivos. Algunos de los conocimientos y habilidades descritos en el apartado 7.2.3 son comunes a los auditores de cualquier disciplina de sistema de gestión; otros son específicos de disciplinas de sistemas de gestión individuales. No es necesario que cada auditor en el equipo auditor tenga la misma competencia. Sin embargo, la competencia global del equipo auditor debería ser suficiente para lograr los objetivos de la auditoría.

La evaluación de la competencia del auditor debería planificarse, implementarse y documentarse para proporcionar un resultado que es objetivo, coherente, imparcial y fiable. El proceso de evaluación debería incluir cuatri pasos principales, como se indica a continuación:

a)  determinar la competencia requerida para cumplir las necesidades del programa de auditoría;

b)    establecer los criterios de evaluación;

c)    seleccionar el método de evaluación apropiado;

d)    realizar la evaluación.

El resultado del proceso de evaluación debería proporcionar la base para lo siguiente:

-     la selección de los miembros del equipo auditor (como se describe en el apartado 5.5.4);

-   la determinación de la necesidad de mejorar la competencia (por ejemplo, formación adicional);

-     la realización de evaluaciones continuas del desempeño de los auditores.

Los auditores deberían desarrollar, mantener y mejorar su competencia mediante el desarrollo profesional continuo y la participación regular en auditorías (véase 7.6).

En los apartados 7.3, 7.4 y 7.5, se describe un proceso para evaluar a los auditores y a los líderes de equipos auditores.

Los auditores y los líderes de equipos auditores deberían ser evaluados respecto a los criterios establecidos en los apartados 7.2.1, 7.2.2 y 7.2.3.

La competencia requerida de las personas responsables de la gestión del programa de auditoría se describe en el apartado 5.4.2.

7.2   Determinación de la competencia del auditor

7.2.1   Generalidades

Al determinar la competencia necesaria para realizar una auditoría o participar en ella, se debería considerar el conocimiento y las habilidades de un auditor relacionados con lo siguiente:

a)    el tamaño, la naturaleza y la complejidad de la organización y de sus productos, servicios y procesos;

b)    los métodos de auditoría, incluyendo la aplicación de las tecnologías emergentes para facilitar la realización de la auditoría, o para auditar procesos basados en tecnologías emergentes;

c)    las disciplinas del sistema de gestión que se va a auditar;

d)    la complejidad de los sistemas de gestión que se van a auditar;

e)    los métodos de evaluación de los riesgos y oportunidades;

f)     los objetivos y extensión del programa de auditoría;

g)    la incertidumbre en el logro de los objetivos de auditoría;

h)   otros requisitos, tales como lo impuestos por el cliente de la auditoría u otras partes interesadas pertinentes, cuando sea apropiado.

Esta información debería compararse con lo enumerado en el apartado 7.2.3.

7.2.2   Comportamiento personal

Los auditores deberían poseer los atributos necesarios que les permitan actuar de acuerdo con los principios de la auditoría tal como se describe en el Capítulo 4. Los auditores deberían demostrar un comportamiento profesional durante el desempeño de las actividades de auditoría. Los comportamientos profesionales deseados incluyen ser:

a)    ético, es decir, imparcial, sincero, honesto y discreto;

b)  de mentalidad abierta, es decir, dispuesto a considerar ideas o puntos de vista alternativos;

c)    diplomático, es decir, con tacto en las relaciones con las personas;

d)    observador, es decir, activamente consciente del entorno físico y las actividades;

e)    perceptivo, es decir, consciente y capaz de entender las situaciones;

f)     versátil, es decir, capaz de adaptarse fácilmente a diferentes situaciones;

g)    determinado, es decir, persistente y, orientado hacia el logro de los objetivos;

h)    decidido, es decir, capaz de alcanzar conclusiones oportunas basadas en el análisis y el razonamiento lógico;

i)     seguro de sí mismo, es decir, capaz de actuar y funcionar independientemente a la vez que interactúa eficazmente con otros;

j)     abierto a la mejora, es decir, dispuesto a aprender de las situaciones;

k)    abierto a las diferencias culturales, es decir, observador y respetuoso con la cultura del auditado;

l)     colaborar, es decir que interactúa eficazmente con los demás, incluyendo los miembros del equipo auditor y el personal del auditado.

7.2.3   Conocimientos y habilidades

7.2.3.1   Generalidades

Los auditores deberían poseer:

a)    los conocimientos y las habilidades necesarios para lograr los resultados previstos de las auditorías que se espera que lleven a cabo;

b)   una competencia genérica, y un cierto nivel de conocimiento y habilidades específicos de la disciplina y del sector.

Los líderes del equipo auditor deberían tener los conocimientos y habilidades adicionales necesarios para dirigir al equipo auditor (consúltese 7.2.3.4).

7.2.3.2   Conocimientos y habilidades genéricos de los auditores de sistemas de gestión

Los auditores deberían tener conocimientos y habilidades en las áreas señaladas a continuación:

a)    Principios, procesos y métodos de auditoría: los conocimientos y habilidades en esta área permiten el auditor asegurarse de que las auditorías se realizan de manera coherente y sistemática. Un auditor debería ser capaz de:

1)   comprender los tipos de riesgos y oportunidades asociados con la auditoría y los principios del enfoque basado en riesgos para la auditoría;

2)    planificar y organizar el trabajo eficazmente;

3)    llevar a cabo la auditoría dentro del cronograma acordado;

4)    establecer prioridades y centrarse en los temas de importancia;

5)    comunicarse de forma eficaz, tanto oralmente como por escrito (ya sea personalmente, o mediante el uso de intérpretes);

6)  recopilar información, mediante entrevistas eficaces, escuchando, observando y revisando la información documentada, incluyendo registros y datos;

7)   comprender lo apropiado de utilizar técnicas de muestreo para las auditorías, y sus consecuencias;

8)    comprender y tener en consideración las opiniones de los expertos técnicos;

9)    auditar un proceso de principio a fin, incluyendo las interrelaciones con otros procesos y las diferentes funciones, cuando sea aplicable;

10)   comprender la adecuación y las consecuencias de utilizar herramientas de tecnologías de la información y la comunicación, así como tecnologías emergentes para la realización de las auditorías (por ejemplo, herramientas de evaluación basadas en inteligencia artificial);

11)   verificar la pertinencia y exactitud de la información recopilada;

12)   confirmar que la evidencia de la auditoría es suficiente y apropiada para apoyar los hallazgos y conclusiones de la auditoría;

13)   evaluar los factores que pueden afectar a la fiabilidad de los hallazgos y conclusiones de la auditoría;

14)  documentar las actividades de auditoría y los hallazgos de la auditoría y preparar informes de la auditoría;

15)   mantener la confidencialidad y seguridad de la información;

16)   lograr los resultados previstos de la auditoría.

b)    Normas de sistemas de gestión y otras referencias: los conocimientos y habilidades en esta área permiten al auditor comprender el alcance de la auditoría y aplicar los criterios de auditoría. Los conocimientos y las habilidades deberían incluir lo siguiente:

1) las normas de sistemas de gestión u otros documentos normativos o de orientación/apoyo usados para establecer los criterios o los métodos de auditoría;

2)  la aplicación de normas de sistemas de gestión por parte del auditado y de otras organizaciones;

3)    las relaciones e interacciones entre los procesos de los sistemas de gestión;

4)    la comprensión de la importancia y la prioridad de las múltiples normas o referencias;

5)    la aplicación de normas o referencias a las diferentes situaciones de auditoría.

c)    La organización y su contexto: los conocimientos y habilidades en esta área permiten al auditor comprender la estructura, el propósito y las prácticas de gestión del auditado, los conocimientos y las habilidades deberían incluir lo siguiente:

1)     las necesidades y expectativas de las partes interesadas pertinentes que tienen impacto en el sistema de gestión;

2)    el tipo de organización, y su gobernanza, tamaño, estructura, funciones y relaciones;

3)   los conceptos generales del negocio y de la gestión, los procesos y la terminología relacionada, incluyendo la planificación, la preparación de presupuestos y la gestión de las personas;

4)    los aspectos culturales y sociales del auditado.

d)    Requisitos legales y reglamentarios aplicables y otros requisitos: los conocimientos y las habilidades es esta área permiten al auditor ser consciente de los requisitos de la organización y trabajar de acuerdo con ellos. Los conocimientos y las habilidades específicos de la jurisdicción o de las actividades, procesos, productos y servicios del auditado deberían incluir lo siguiente:

1)  los requisitos legales y reglamentarios, así como sus agencias gubernamentales y autoridades reguladoras;

2)    la terminología legal básica;

3)    los contratos y la responsabilidad legal;

4)    la protección de datos y seguridad de la información.

NOTA   Ser consciente de los requisitos legales y reglamentarios no implica ser experto en temas legales, y una auditoría de un sistema de gestión no puede tratarse como una auditoría de cumplimiento legal.

7.2.3.3   Competencia de los auditores en la disciplina y en el sector específicos

Los equipos auditores deberían tener la competencia colectiva apropiada en la disciplina y en el sector específicos para auditar los tipos particulares de sistemas de gestión y sectores.

La competencia de los auditores en la disciplina y en el sector específicos debería incluir lo siguiente:

a)    los requisitos y principios del sistema de gestión, y su aplicación;

b)   los fundamentos de las disciplinas y sectores relacionados con las normas de sistemas de gestión aplicados por el auditado;

c)    la aplicación de métodos, técnicas, procesos y prácticas específicos de la disciplina y el sector, para permitir al equipo auditor evaluar la conformidad dentro del alcance de la auditoría definido y generar los hallazgos y conclusiones apropiados de la auditoría;

d)    los principios, los métodos y las técnicas pertinentes para la disciplina y el sector, tales que el auditor pueda determinar y evaluar los riesgos y oportunidades asociados con los objetivos de la auditoría.

7.2.3.4   Competencia genérica del líder de un equipo auditor

Al fin de facilitar la realización eficiente y eficaz de la auditoría, el líder de un equipo auditor debería tener la competencia para:

a)   planificar la auditoría y asignar tareas de auditoría de acuerdo con la competencia específica de los miembros individuales del equipo auditor;

b)    discutir las cuestiones estratégicas con la alta dirección del auditado para determinar si han considerado estas cuestiones al evaluar los riesgos y oportunidades;

c)   desarrollar y mantener una relación de trabajo colaborativa entre los miembros del equipo auditor;

d)    gestionar el proceso de auditoría, incluyendo:

1)    hacer un uso eficaz de los recursos durante la auditoría;

2)    gestionar la incertidumbre de lograr los objetivos de la auditoría;

3)    tener en cuenta la seguridad y la salud de los miembros del equipo auditor durante la auditoría, incluyendo el asegurar que cumplen con los acuerdos pertinentes de seguridad, salud y seguridad física;

4)    dirigir a los miembros del equipo auditor;

5)    proporcionar dirección y orientación a los auditores en formación;

6)    prevenir y resolver los conflictos y problemas que puedan ocurrir durante la auditoría, incluyendo aquellos dentro del equipo auditor, cuando sea necesario;

e)    representar al equipo auditor en las comunicaciones con las personas responsables de la gestión del programa de auditoría, el cliente de la auditoría y el auditado;

f)     liderar el equipo auditor para alcanzar las conclusiones de la auditoría;

g)    preparar y completar el informe de la auditoría.

7.2.3.5   Conocimientos y habilidades para auditar múltiples disciplinas

Al auditar sistemas de gestión de múltiples disciplinas, el miembro del equipo auditor debería tener conocimientos de las interacciones y sinergias entre los distintos sistemas de gestión.

Los líderes de equipo auditores deberían comprender los requisitos de cada una de las normas de sistemas de gestión que se auditan y reconocer los límites de su competencia en cada una de las disciplinas.

NOTA   Las auditorías de múltiples disciplinas llevadas a cabo de manera simultánea pueden realizarse como una auditoría combinada o como una auditoría de un sistema de gestión integrado que cubre múltiples disciplinas.

 7.2.4   Logro de la competencia del auditor

La competencia del auditor puede obtenerse usando una combinación de lo siguiente:

a)    completando exitosamente los programas de formación que cubren los conocimientos y habilidades genéricos de un auditor;

b)    experiencia en una función técnica, de dirección o profesional pertinente que involucre el ejercicio de juicio, la toma de decisiones, la solución de problemas y la comunicación con miembros de la dirección, profesionales, pares, clientes y otras partes interesadas pertinentes;

c)    educación/formación y experiencia en una disciplina y sector de sistemas de gestión específicos;

d)    experiencia en auditorías adquiridas bajo la supervisión de un auditor competente en la misma disciplina.

NOTA   La culminación exitosa de un curso de formación dependerá del tipo de curso. Para cursos con un componente de examen, puede suponer aprobar exitosamente el examen. Para otros cursos, puede significar en el curso y completarlo.

7.2.5   Logro de la competencia del líder del equipo auditor

El líder de un equipo auditor debería haber adquirido experiencia adicional en auditoría para desarrollar la competencia descrita en el apartado 7.2.3.4. Esta experiencia adicional debería haberse adquirido trabajando bajo la dirección y orientación de otro líder de un equipo auditor.

7.3   Establecimiento de los criterios de evaluación del auditor

Los criterios utilizados para evaluar a los auditores deberían ser cualitativos (por ejemplo, demostrar el comportamiento deseado, los conocimientos o el desempeño de las habilidades, en la formación o en el lugar de trabajo) y cuantitativos (por ejemplo, los años de experiencia laboral y de educación, el número de auditorías realizadas, las horas de formación de auditoría).

7.4   Selección del método apropiado de evaluación del auditor

La evaluación debería llevarse a cabo usando dos o más de los métodos indicados en la Tabla 2. Al utilizar la Tabla 2, se debería tener en cuenta lo siguiente:

a)  los métodos señalados representan una variedad de opciones que no son siempre aplicables en todas las situaciones;

b)    los diversos métodos señalados pueden diferir en su fiabilidad;

c)   debería utilizarse una combinación de métodos para asegurar un resultado objetivo, coherente, imparcial y fiable.

Tabla 2. Métodos de evaluación del auditor

Método de evaluación	Objetivos	Ejemplos
Revisión de registros	Verificar los antecedentes del auditor	Análisis de los registros de educación, formación, laborales, credenciales profesionales y experiencia en auditorías
Retroalimentación	Proporcionar información sobre cómo se percibe el desempeño del auditor	Encuestas, cuestionarios, referencias personales, recomendaciones, quejas, evaluación del desempeño, revisión entre pares
Entrevista	Evaluar el comportamiento profesional deseado y las habilidades de comunicación, para verificar la información y examinar los conocimientos, y para obtener información adicional	Entrevistas personales
Observación	Evaluar el comportamiento profesional deseado y la aptitud para aplicar los conocimientos y habilidades	Juego de roles, auditorías testificadas, desempeño en una situación real
Examen	Evaluar el comportamiento profesional deseado, los conocimientos y habilidades y su aplicación	Exámenes orales y escritos, exámenes psicotécnicos
Revisión después de la auditoría	Proporcionar información sobre el desempeño del auditor, durante las actividades de auditoría, identificando fortalezas y oportunidades para la mejora	Revisión del informe de la auditoría, entrevistas con el líder del equipo auditor, el equipo y, si es apropiado, retroalimentación del auditado

7.5   Realización de la evaluación del auditor

La información recopilada sobre el auditor bajo evaluación debería compararse con los criterios establecidos en el apartado 7.2.3. Cuando un auditor bajo evaluación del que se espera que participe en un programa de auditoría no cumple los criterios, entonces debería adquirir formación, experiencia laboral o experiencia en auditoría adicionales, y se debería realizar posteriormente una nueva evaluación.

7.6   Mantenimiento y mejora de la competencia del auditor

Los auditores y los líderes de equipos auditores deberían mejorar su competencia de manera continua. Los auditores deberían mantener su competencia en auditoría a través de la participación regular en auditorías de sistemas de gestión y del desarrollo profesional continuo. Esto puede conseguirse a través de medios como experiencia laboral adicional, formación, auto estudio, tutorías, asistencia a reuniones, seminarios y conferencias u otras actividades pertinentes.

Las personas responsables de la gestión del programa de auditoría deberían establecer los mecanismos adecuados para la evaluación continua del desempeño de los auditores, y de los líderes de equipos auditores.

Las actividades de desarrollo profesional continuo deberían tener en cuenta lo siguiente:

a)   los cambios en las necesidades de la persona y de la organización responsable de la realización de la auditoría;

b)    los desarrollos en las técnicas de auditoría, incluyendo el uso de tecnología;

c)   las normas pertinentes, incluyendo documentos de orientación/apoyo, y otros requisitos;

d)    los cambios en las disciplinas o los sectores;

e)    el análisis de la retroalimentación de los auditados y las partes interesadas.

VIDEO