Una auditoría ISO es la evaluación que hace un organismo de certificación independiente para comprobar que el sistema de gestión de una empresa cumple los requisitos de la norma que quiere certificar y que funciona en la práctica. Si la supera, obtiene el certificado.
La auditoría no mide si la empresa tiene muchos documentos, sino si lo que dice que hace se hace de verdad.
Qué normas se auditan
Cada norma tiene sus propios requisitos, pero el proceso de auditoría es parecido en todas.
Las más habituales en empresas españolas son ISO 9001 (calidad), ISO 14001 (medio ambiente), ISO 45001 (seguridad y salud en el trabajo), ISO 27001 (seguridad de la información) e ISO 42001 (sistemas de gestión de inteligencia artificial). En el caso del Esquema Nacional de Seguridad (ENS), la auditoría la regula un marco propio, aunque el proceso es similar.
Qué es una auditoría ISO
En una auditoría ISO el auditor revisa el sistema completo: qué procesos tiene la empresa, quién responde de cada uno, cómo se mide su resultado y qué se hace cuando algo sale mal. Su trabajo consiste en contrastar lo que está escrito con lo que ocurre en el día a día, a partir de registros, entrevistas y observación.
Conviene distinguir la auditoría externa, que es la que realiza la empresa certificadora, de la auditoría interna, que la organización o la consultora realiza para comprobar el sistema antes de la auditoría oficial externa.
Tipos de auditorías ISO
- Auditoría interna: la realiza la propia empresa (o una consultora en su nombre) antes de la auditoría de certificación. Sirve para detectar no conformidades antes de que las vea el auditor externo.
- Auditoría de certificación: la realiza el organismo de certificación acreditado. Si resulta satisfactoria, emite el certificado. Tiene dos etapas: revisión documental y auditoría en sitio.
- Auditoría de seguimiento: se realiza cada año durante el período de certificación (3 años) para verificar que el sistema se mantiene y mejora.
- Auditoría de renovación: al final del ciclo de tres años, verifica si la empresa puede renovar la certificación por otro período.
Quién audita y quién acompaña
Hay dos figuras distintas. La consultora ayuda a implantar el sistema y a prepararse para la auditoría. La certificadora audita de forma objetiva y, si el sistema cumple, emite el certificado. En España, las certificadoras deben estar acreditadas por ENAC, y la acreditación es lo que da valor al certificado ante clientes y licitaciones.
Cómo se desarrolla la auditoría de certificación
La auditoría inicial suele dividirse en dos fases. La primera es una revisión documental, que puede hacerse de forma remota antes de la visita, en la que el auditor comprueba que el sistema está diseñado conforme a la norma. La segunda es la visita presencial o telemática, que comienza con una reunión de apertura, sigue con el trabajo de campo y termina con una reunión de cierre en la que se comunican los resultados.
Durante el trabajo de campo, el auditor entrevista a personal de distintas áreas, revisa registros de varios periodos y observa cómo se ejecutan los procesos. Busca coherencia entre lo documentado y lo que ocurre, y evidencias de que el sistema se evalúa y mejora.
Qué evalúa el auditor externo
El auditor no busca errores con los que penalizarte. Su trabajo es verificar que el sistema cumple con los requisitos de la norma y que está efectivamente implantado. Típicamente revisa:
- Documentación del sistema: procedimientos, registros, política de calidad, objetivos.
- Evidencias de funcionamiento: que los procesos documentados se ejecutan realmente así.
- Tratamiento de no conformidades: que los problemas se detectan, documentan y corrigen.
- Resultados y métricas: que la empresa mide su desempeño y actúa cuando los resultados no son los esperados.
- Implicación de la dirección: que el equipo directivo conoce el sistema y lo respalda.
Los errores más frecuentes en auditorías ISO
- Documentación que no refleja lo que realmente hace la empresa. Se implanta el sistema «en papel» pero los procesos reales son diferentes.
- Falta de registros. La norma exige evidencias de que se hacen las cosas: si no hay registro, el auditor asume que no se hace.
- Objetivos de calidad sin seguimiento. Se definen objetivos pero nadie los revisa.
- Auditorías internas formales pero sin sustancia. Se marca el trámite pero no se detectan realmente los problemas.
- Personal que no conoce el sistema. Los empleados deben saber qué se espera de ellos en términos del sistema de calidad.
Qué pasa si se detectan no conformidades
Las no conformidades son observaciones del auditor sobre aspectos que no cumplen con los requisitos de la norma. No significan automáticamente que se pierda la certificación.
- No conformidades menores: se puede obtener el certificado con un plan de acción para resolverlas en un plazo acordado.
- No conformidades mayores: bloquean la certificación hasta que se corrigen y se verifica la corrección.
Una buena consultora acompaña en la gestión de no conformidades y en la preparación de los planes de acción correctivos.
Cómo prepararse para la auditoría de certificación
Preparar la auditoría significa tener el sistema implantado y funcionando antes de que llegue el auditor, con procesos claros, registros completos y una auditoría interna realizada con sus hallazgos cerrados. Lo que exige cada norma depende de sus propios requisitos, que cambian de una a otra.
En Ubimia Compliance acompañamos en el proceso completo, desde el diagnóstico hasta la obtención de la certificación, incluida la auditoría interna. La auditoría de certificación la realiza un organismo acreditado, que es quien emite el certificado.
Con más de 700 empresas certificadas, conocemos bien qué no conformidades son más frecuentes y cómo prepararse para no encontrar sorpresas. El objetivo es que llegues a la auditoría con el trabajo hecho.
Prepara tu empresa para la auditoría ISO con Ubimia Compliance → Consulta más información