Auditoría Interna de Sistemas ISO
Auditores especialistas en cada norma
HD Quality hace auditorías internas de sistemas de gestión con auditores especialistas en cada norma. Recibes el informe que el certificador va a pedir, la asesoría técnica para cerrar los hallazgos incluida, y tu diagnóstico de brecha hacia lo que viene para tu sistema.
La auditoría interna es un requisito de todas las normas de sistemas de gestión, y es el que más se deja para el final. No porque sea difícil de entender, sino porque exige tiempo del equipo y competencias que la empresa no siempre tiene adentro.
Y acá hay una distinción que define el resultado: auditar una norma no es lo mismo que conocerla. No basta saber auditar, hay que entender lo que se está auditando. Quien audita bien un sistema de calidad no necesariamente sabe qué evidencia pedir en un sistema de seguridad de la información, en un laboratorio bajo ISO/IEC 17025 o en una planta de alimentos con HACCP. Son criterios distintos, evidencias distintas y hallazgos distintos.
Por eso HD Quality trabaja con auditores especialistas en cada una de las normas que audita. No es un auditor genérico con una lista de verificación: es alguien que conoce la norma, sabe dónde se esconden los hallazgos y entiende la operación que está mirando.
Y no es un detalle interno nuestro. La competencia del auditor es una de las primeras cosas que el organismo certificador revisa de tu auditoría interna, norma por norma y con el respaldo que la demuestre.
El servicio incluye además dos cosas que no siempre vienen con una auditoría: la asesoría técnica para cerrar los hallazgos, que se entrega después de emitido el informe, y tu diagnóstico de brecha hacia lo que tu sistema va a tener que cumplir en los próximos dos años. Las dos van explicadas más abajo.
Si ya sabes qué norma necesitas auditar, entra directo a su página.
Elige la norma que necesitas auditar
Cada norma tiene su página con el detalle de qué revisa el auditor, los hallazgos que aparecen con más frecuencia y cómo conviene prepararse. Si tu sistema combina varias, se auditan en una sola actividad.
HD Quality apoya a las empresas que
Necesitan un auditor que entienda su norma, no solo que sepa auditar
Es el caso más frecuente cuando la norma no es ISO 9001. Un sistema de seguridad de la información, un laboratorio acreditado, una planta de alimentos o un proyecto bajo ISO 19650 se auditan con criterios propios, y la evidencia que hay que pedir no se parece de una a otra.
Una auditoría hecha por alguien que no conoce la norma deja constancia de que se hizo, confirma lo que ya se sabía y no detecta nada de lo que el certificador sí va a detectar. Y cuando el certificador pide el respaldo de la competencia del auditor, aparece el segundo hallazgo.
No tienen a quién encargársela con la imparcialidad que exige la norma
Las normas piden que los auditores se seleccionen y la auditoría se conduzca de forma que aseguren la objetividad y la imparcialidad del proceso. En una empresa grande eso se resuelve cruzando áreas. Cuando el sistema lo montó una sola persona, no hay a quién cruzar.
El trabajo cae casi siempre sobre quien lleva el sistema, que además tiene su propio cargo encima. El resultado habitual no es una mala auditoría: es una auditoría que se hace apurada la semana antes y que no encuentra nada incómodo.
Y quien escribió el procedimiento lo lee como lo pensó, no como lo ejecuta la persona que tiene que cumplirlo un martes a las ocho de la mañana. Esa diferencia es justamente lo que una auditoría interna tiene que encontrar.
Tienen más de una norma y la auditoría interna se les multiplica
Cada norma pide su auditoría interna a intervalos planificados. Hechas por separado son varios programas, varias rondas de entrevistas a las mismas personas y varios informes que nadie cruza, para un certificador que después llega en una sola visita combinada.
Lo que se audita, en realidad, es un solo sistema. El contexto, la política, el control de documentos, el programa de auditorías y la revisión por la dirección son los mismos para todas las normas; lo propio de cada una es la minoría. Auditarlo como si fueran sistemas separados cuesta más horas y, sobre todo, no detecta lo que sí importa: si el sistema opera como un sistema.
Por eso lo auditamos en una sola actividad, con un plan, una ronda de entrevistas y un informe en el que cada hallazgo está trazado a la norma y al requisito que lo origina. Cuando el alcance incluye varias normas, entra el especialista de cada una.
La solución de HD Quality: el auditor que corresponde, y las horas de criterio que vienen después
Levantar hallazgos es la parte fácil. Cualquiera con la norma al lado puede escribir que falta la evidencia de una revisión. Lo difícil, y lo que de verdad te sirve, es entender qué significa ese hallazgo, cuál es la causa real, qué acción corresponde y qué evidencia hay que generar para demostrar que se corrigió.
Lo que contratas no es la auditoría: son las horas de criterio y experiencia que vienen con ella. Por eso nuestra auditoría interna no termina con la entrega del informe. El objetivo es que llegues a la auditoría externa sin sorpresas, con lo que vaya a encontrar el organismo certificador ya sabido y ya cerrado.
La actividad se conduce siguiendo las directrices de ISO 19011, la norma que define cómo se audita un sistema de gestión: competencia del auditor, muestreo, evidencia objetiva y conducta durante la entrevista.
Esto es lo que recibes
- Un plan de auditoría acordado contigo antes de empezar, con el alcance, las normas que entran, los procesos y las personas que hay que entrevistar.
- La auditoría en terreno, con el auditor especialista en tu norma, entrevistas a quienes operan los procesos y verificación de la evidencia real.
- Un informe con cada hallazgo trazado a su norma y a su requisito, con su evidencia y su clasificación.
- El criterio técnico para cerrar esos hallazgos, incluido después del informe.
- Tu diagnóstico de brecha hacia lo que viene para tu sistema, de la misma visita.
Metodología
Las horas que comprometemos son horas de auditoría: entrevistas con quienes operan los procesos, revisión de evidencia real y verificación de registros en el momento. No pedimos que nos envíes la documentación antes para revisarla por nuestra cuenta. Es exactamente lo que hará el auditor externo, y es donde aparecen los hallazgos que vale la pena conocer antes.
El alcance, las normas que entran, las personas a entrevistar y el calendario se definen contigo con antelación. La empresa sabe quién tiene que estar disponible y cuándo, que es lo que más retrasa una auditoría cuando no se planifica.
La actividad se puede realizar de manera presencial, remota o mixta, y lo definimos según las normas que entren. Hay requisitos que se auditan bien en pantalla, porque la evidencia es documental; y hay otros —las condiciones físicas, las áreas seguras, los equipos, el orden en la instalación— que se auditan mirando.
Lo que te garantizamos
- Audita un especialista en tu norma. No un auditor genérico con una lista de verificación. La formación y la experiencia del auditor que te va a auditar quedan a la vista en la propuesta, que es el mismo respaldo que después te va a pedir el certificador.
- La imparcialidad del auditor y su confidencialidad. Audita alguien que no participó en tu sistema ni depende de quien lo opera. Es el requisito de la norma y es lo primero que mira el certificador. Y todo lo que vemos queda bajo acuerdo de confidencialidad.
- Un informe claro, que además se explica en detalle. A ti y a tu equipo, hallazgo por hallazgo, hasta que quede claro qué hay que corregir y qué hay que mostrar.
- Las horas que cobramos son horas de auditoría. La asesoría posterior para el tratamiento de los hallazgos va incluida, sin costo aparte.
- Cuatro horas de asesoría técnica de respuesta, sin costo, durante el ciclo. Para orientar la respuesta a las no conformidades que levante el organismo certificador: revisar la causa, el plan de acción y la evidencia de cierre. La respuesta la presenta tu empresa; nosotros ponemos el criterio técnico.
- Y el valor agregado que solo encuentras acá: de la misma visita te llevas tu diagnóstico de brecha hacia lo que viene para tu sistema.
Valor agregado solo en HD Quality: en la misma auditoría te llevas tu diagnóstico de brecha hacia lo que viene
La auditoría interna la tienes que hacer igual. Nosotros aprovechamos esa misma visita para entregarte algo más: tu diagnóstico de brecha hacia lo que tu sistema va a tener que cumplir en los próximos dos años.
Qué es «lo que viene» depende de tus normas, y en los próximos dos años hay bastante:
- Si estás certificado en ISO 9001 o en ISO 14001, las versiones 2026 ya están publicadas y tu certificado en la versión 2015 tiene fecha de término. El diagnóstico te dice qué te falta para la versión nueva, requisito por requisito.
- Si estás certificado en ISO 27001, la Ley 21.719 de protección de datos personales entra en vigencia el 1 de diciembre de 2026, con una agencia que fiscaliza y multa. Buena parte de la evidencia que te va a pedir ya la estás generando para tu sistema de seguridad de la información.
- Si estás certificado en ISO 45001, la próxima edición se espera para el segundo semestre de 2027 y va a adoptar la misma estructura armonizada de las demás normas.
Son las mismas entrevistas y gran parte de la misma evidencia, auditadas contra dos criterios. El resultado son dos informes separados: el informe de auditoría interna, que es el de registro y el que verá el organismo certificador, y el diagnóstico de brecha, que es tu plan de cumplimiento con fechas y no es un informe de auditoría.
Los mantenemos separados a propósito. La auditoría interna de registro tiene que ser contra los criterios de tu certificación; mezclarla con otra revisión en un solo documento le crea una confusión innecesaria al auditor externo. Separadas, cada una sirve para lo suyo.
El alcance adicional se planifica en la propuesta, porque el diagnóstico pide evidencia que una auditoría de sistema no sale a buscar.
La auditoría que tienes que hacer igual, y tu diagnóstico de brecha de la misma visita.
Lo que el certificador le pide a tu auditoría interna
La mayoría de las empresas trata la auditoría interna como un asunto puertas adentro. Se hace, se archiva el informe y se da por cumplido el capítulo. No es así: cuando llega el organismo certificador, tu auditoría interna es de lo primero que revisa, y la revisa a ella, no solo a tus procesos.
Por eso una auditoría interna hecha solo para cumplir no sale gratis. No solo deja los riesgos de fondo sin detectar: se convierte ella misma en la no conformidad. Es el peor de los resultados, porque te costó tiempo y además queda escrito en el informe del certificador.
Cuando el auditor externo llega, pide siete cosas, y en este orden:
- El programa de auditorías. Qué se audita, cuándo, con qué frecuencia y con qué criterio se definió esa frecuencia. Si tienes varias normas, además cómo quedan todas cubiertas a lo largo del ciclo.
- Los criterios y el alcance de cada auditoría. Contra qué requisitos se auditó, y qué procesos, normas y sedes entraron.
- La competencia del auditor. Formación, experiencia y cómo se evaluó, con el respaldo que lo demuestre, para cada norma del alcance. Es el punto donde más se cae la auditoría interna hecha a pulso, y es exactamente el que resuelve traer al especialista de la norma.
- La evidencia de objetividad e imparcialidad. Que quien auditó sea independiente de lo auditado. Es donde se cae la auditoría hecha por quien lleva el sistema.
- El informe con los hallazgos trazables. Cada uno con su requisito y con su evidencia.
- El seguimiento y el cierre. Qué acción se tomó, quién la tomó, cuándo, y con qué evidencia se verificó que funcionó. Un hallazgo que sigue abierto del año pasado es, por sí solo, un hallazgo nuevo.
- La entrada a la revisión por la dirección. Los resultados de la auditoría interna son una entrada obligatoria de la revisión por la dirección, y tiene que verse que la dirección decidió algo con ellos.
Con esas siete cosas ordenadas, el capítulo de auditoría interna lo pasas sin discusión.
Cómo se clasifican los hallazgos
Cada hallazgo del informe llega con tres cosas: el requisito que lo origina, la evidencia concreta que lo sustenta —el documento, el registro o la respuesta de la entrevista— y su clasificación. Con esas tres cosas, la persona que tiene que responderlo sabe exactamente qué corregir y qué mostrar. Un hallazgo escrito en general, del tipo «falta mejorar el control de documentos», no se puede cerrar porque nadie sabe cuándo quedó cerrado.
Son cuatro niveles, y conviene saber qué significa cada uno antes de recibir el informe:
- No conformidad mayor. El requisito no se cumple, el incumplimiento es sistemático o pone en riesgo la capacidad del sistema. En la auditoría de certificación, una mayor abierta impide que se emita el certificado hasta corregirla y verificarla.
- No conformidad menor. Un incumplimiento puntual y aislado. Se cierra con plan de acción y evidencia.
- Observación. Todavía cumple, pero va camino a ser una no conformidad si no se atiende.
- Oportunidad de mejora. El sistema cumple y aun así hay una forma mejor de hacerlo.
Cada cuánto hay que auditar, y cuándo conviene hacerlo
Acá hay una creencia muy instalada que conviene aclarar, porque cuesta dinero y hallazgos: las normas no exigen una auditoría anual. En ninguna parte. Lo que piden son auditorías a intervalos planificados.
El programa de auditorías es el documento donde eso se decide, y la norma pide que al establecerlo se consideren dos cosas: la importancia de los procesos involucrados y los resultados de las auditorías anteriores. La frecuencia la define la empresa, pero tiene que poder explicar con qué criterio la definió.
Estos son los factores que en la práctica suben la frecuencia o la profundidad:
- El proceso es crítico para la operación o para el cumplimiento legal.
- Tiene historial: ya dejó hallazgos en auditorías anteriores, o hubo un incidente en el período.
- Cambió algo: un sistema nuevo, un proveedor nuevo, una sede nueva, un cambio de giro.
- Hay terceros involucrados en su ejecución.
- Se ejecuta en varias ubicaciones.
La consecuencia práctica es que no todos los procesos se auditan igual ni con la misma frecuencia, y que el programa que audita todo cada año, con la misma lista de verificación y los mismos dos días, no resiste la pregunta de con qué criterio se definió. Un programa bien armado reparte la cobertura a lo largo del ciclo de certificación y audita más seguido lo que más riesgo tiene.
Definida la frecuencia, queda elegir la fecha, y no da lo mismo cuál. La regla práctica es dejar tiempo suficiente antes de la auditoría externa para corregir lo que salga. Si tu auditoría de seguimiento es en marzo y haces la interna en febrero, lo que encuentres no alcanza a cerrarse y llega abierto al certificador: el peor de los dos mundos, porque pagaste la auditoría interna y además te llevas el hallazgo.
En nuestra experiencia, entre dos y tres meses antes de la auditoría externa es la ventana que funciona. Alcanza para levantar la acción correctiva, implementarla y generar evidencia de que operó.
Hay tres momentos más en que conviene auditar aunque no toque por programa: cuando cambió algo grande, cuando ocurrió un incidente —porque la interna es la que confirma que el control que falló quedó corregido—, y cuando vienes de una auditoría externa con hallazgos.
Tu próxima auditoría externa define cuándo conviene hacer la interna.
Si tu caso no es exactamente este
¿Tu sistema todavía no está desarrollado o no está operando? Te recomendamos ver nuestro servicio de consultoría en normas ISO, que lo implementa y lo deja listo para certificar.
¿Necesitas quien lleve el sistema de forma permanente sin contratar un cargo completo? Está el encargado del sistema de gestión integrado en outsourcing, que mantiene el sistema operando y prepara las auditorías de seguimiento.
¿Prefieres formar a alguien de tu equipo para que haga las auditorías internas en adelante? Está el curso de auditor interno multinorma.
Si no tienes claro cuál te corresponde, cuéntanos tu caso y te proponemos el alcance.
El primer paso
Cuéntanos en qué normas estás certificado, cuándo es tu próxima auditoría externa y cuántas personas y sedes entran en el alcance. Con eso te proponemos el alcance, las horas, la fecha y quién va a ser el auditor, y te decimos qué diagnóstico de brecha te corresponde según tus normas.
Cuéntanos en qué normas estás certificado y cuándo es tu próxima auditoría externa.
Preguntas frecuentes
¿La auditoría interna es obligatoria?
Sí. Es un requisito de la norma y su ausencia es una no conformidad directa en la auditoría de certificación o de seguimiento. No es opcional ni depende del tamaño de la empresa: todo sistema de gestión certificado debe auditarse internamente.
¿Puede hacerla alguien de la misma empresa?
Puede, siempre que exista independencia: nadie puede auditar su propio proceso. Dicho eso, nuestra experiencia es que la auditoría interna hecha en casa no levanta toda la información que da valor al sistema. Las personas se conocen y tienden a omitir hallazgos, o a informar "cumple" porque es más simple que redactar una no conformidad y tratarla. Por eso recomendamos que la haga una consultora independiente.
¿Cada cuánto hay que hacerla?
La auditoría interna debe tener enfoque de riesgo. Plantear una frecuencia única para todo es un error que incluso puede ser observado en la auditoría de certificación. Lo razonable es auditar todos los procesos al menos una vez al año, y hacer auditorías específicas y más frecuentes en los procesos donde hubo no conformidades, en los sensibles y en los que acaban de sufrir cambios.
¿Qué me entregan al final?
Dos informes. Uno preliminar con todos los hallazgos, positivos y negativos, y uno final acotado a las no conformidades mayores y menores, con los incumplimientos concretos según el caso. Además incluimos siempre horas de asesoría para apoyarte en responder esas no conformidades: el informe no te deja solo con el problema.
¿Sirve para prepararme antes de la auditoría de certificación?
Sí, es su mejor uso. Una auditoría interna bien hecha antes de la certificación te muestra dónde está parado el sistema de verdad y te da tiempo de corregir antes de que lo vea la casa certificadora. Es la diferencia entre llegar a la auditoría con las no conformidades ya resueltas o descubrirlas cuando ya cuestan dinero.