AUDITORÍA INTERNA EN SEGURIDAD ALIMENTARIA
La auditoría es una herramienta de gestión que nos va a permitir verificar y evaluar la eficacia de las actividades llevadas a cabo en el seno de una organización. Por tanto, podemos decir que es una herramienta de evaluación del desempeño de nuestros procesos, bien sea de Sistemas de Gestión o de Seguridad Alimentaria.
El objetivo de este contenido es conocer la terminología, el proceso de auditoría y las técnicas que se han de desarrollar, así como la elaboración del informe de auditoría.
En todo momento se debe considerar que en la realización de la auditoría el auditor no puede emitir juicios de valor si no son basados en evidencias.
La Norma ISO 9000:2005 define Auditoría como:
“Proceso sistemático, independiente y documentado para obtener evidencias y evaluarlas de manera objetiva con el fin de determinar el grado en que se cumplen los criterios de auditoría”
Vamos a analizar los diferentes términos incluidos en la definición:
Proceso: Conjunto de actividades mutuamente relacionadas o que interactúan, las cuales transforman elementos de entrada en resultados. En este caso será el Informe de Auditoría.
Sistemático: Es decir, que se establece siguiendo una metodología que asegure la obtención de la evidencia, y que ésta sea repetible en el tiempo.
Independiente: Debe ser realizado por personal independiente de las actividades que se evalúan de forma que la objetividad no se vea comprometida.
Documentado: Se debe mantener constancia registrada de las actividades realizadas, como son: investigaciones, evaluaciones de los hallazgos, evidencias de la auditoría y de las conclusiones de la misma.
Estos conceptos son aplicables a todo tipo de auditorías, así como también los Agentes que toman parte en el proceso.
Dichos agentes son:
Auditado: Es la organización o empresa objeto de la auditoría y que es responsable del cumplimiento de los requisitos de la Norma de Referencia.
Auditor: Es la persona que realiza una auditoría.
Cliente: Es quien decide la necesidad de realizar la auditoría, es la persona u organización que recibe y utiliza el informe.
Para poder entender mejor los conceptos que se trabajarán en este tema, incluimos una serie de definiciones.
- Auditoría: Proceso sistemático, independiente y documentado para obtener evidencias y evaluarlas de manera objetiva con el fin de determinar el grado en que se cumplen los criterios de auditoría.
- Criterio de Auditoría: Conjunto de políticas, procedimientos o requisitos.
Los criterios de auditoría se utilizan como referencia frente a la cual se compara la evidencia de la auditoría.
- Evidencia de la Auditoría: Registros, declaraciones de hechos o cualquier otra información que sean pertinentes para los criterios de auditoría y que seas verificables. La evidencia de la auditoría puede ser cualitativa o cuantitativa.
- Hallazgos de Auditoría: Resultado de la evaluación de la evidencia de la auditoría recopilada frente a los criterios de auditoría.
Los hallazgos pueden indicar conformidad o no conformidad con los criterios de la auditoría.
- Conclusiones de la Auditoría: Resultado de una auditoría tras considerar los objetivos de la auditoría y todos los hallazgos de la auditoría.
- Cliente de la Auditoría: Organización o persona que solicita una auditoría.
El cliente de la auditoría puede ser el auditado (tal es el caso de una auditoría interna) o la persona que gestiona el programa de auditoría. Las solicitudes de una auditoría externa pueden provenir de cualquier organización que tenga derechos contractuales o autoridades reglamentarias o clientes potenciales.
- Auditado: Organización que es auditada.
- Auditor: Persona que lleva a cabo una auditoría.
- Equipo Auditor: Uno o más auditores que llevan a cabo una auditoría, con el apoyo, si es necesario, de expertos técnicos.
- Auditor jefe: es el líder del equipo auditor.
- Auditor en formación: auditor en proceso de cualificación. Participa en la auditoría aunque siempre supervisado; no puede auditar en solitario.
- Experto Técnico: Persona que aporta conocimientos o experiencia específicos al equipo auditor. No actúa como un auditor.
- Observador: Persona que acompaña al equipo auditor pero que no audita. No forma parte del equipo auditor y no influye ni interfiere en la realización de la auditoría. Puede ser designado por el auditado, por una autoridad reglamentaria o por otra parte interesada.
- Guía: Persona designada por el auditado para asistir al equipo auditor durante la auditoría.
- Programa de Auditoría: Conjunto de una o más auditorías planificadas para un periodo de tiempo determinado y dirigidas hacía un propósito específico. No se debe confundir con el plan de auditoría.
- Plan de Auditoría: Descripción de las actividades y de los detalles acordados de una auditoría.
- Alcance de la Auditoría: Extensión y límite de una auditoría.
- Competencia: Capacidad para aplicar conocimientos y habilidades para alcanzar los resultados pretendidos.
- Auditoría combinada: Cuando se auditan juntos dos o más sistemas de gestión de disciplinas diferentes (por ejemplo, calidad, ambiental, seguridad y salud ambiental). Por ejemplo, un sistema de gestión ambiental y de gestión de la inocuidad de los alimentos, las normas IFS y BRC.
- Auditoría conjunta: Cuando dos o más organizaciones cooperan para auditar a un único auditado.
- Riesgo: Efecto de la incertidumbre sobre los objetos.
- Conformidad: Cumplimiento de un requisito
- No conformidad: Incumplimiento de un requisito
El proceso de auditoría se caracteriza por que debe cumplir una serie de principios para que este sistema de evaluación sea una herramienta eficaz y fiable y pueda proporcionar una información sobre la cual una organización puede trabajar para mejorar su desempeño.
La adhesión a estos principios es un requisito previo para obtener unas conclusiones pertinentes y suficientes de la auditoría. De esta manera permite que auditores independientes entre sí alcancen conclusiones similares en circunstancias similares.
Los seis principios en los que se basa son señalados a continuación. Estos son:
- Integridad
- Presentación imparcial
- Debido cuidado profesional
- Confidencialidad
- Independencia
- Enfoque basado en la evidencia
1- PRINCIPIO DE INTEGRIDAD: EL FUNDAMENTO DE LA PROFESIONALIDAD
Los auditores y las personas que gestionan un programa de auditoría deben:
- Desempeñar su trabajo con honestidad, diligencia y responsabilidad;
- Observar y cumplir todos los requisitos legales aplicables;
- Demostrar su competencia al desempeñar su trabajo;
- Desempeñar su trabajo de manera imparcial, es decir, permanecer ecuánimes y sin sesgo en todas sus acciones;
- Ser sensibles a cualquier influencia que se pueda ejercer sobre su juicio mientras se lleva a cabo una auditoría.
2- PRINCIPIO DE PRESENTACIÓN IMPARCIAL: LA OBLIGACIÓN DE INFORMAR CON VERACIDAD Y EXACTITUD
Los hallazgos, conclusiones e informes de la auditoría deben reflejar con veracidad y exactitud las actividades de auditoría.
Se debe informar de los obstáculos significativos encontrados durante la auditoría y de las opiniones divergentes sin resolver entre el equipo auditor y el auditado.
La comunicación debe ser veraz, exacta, objetiva, oportuna, clara y completa.
3- PRINCIPIO DE DEBIDO CUIDADO PROFESIONAL: LA APLICACIÓN DE DILIGENCIA Y JUICIO AL AUDITAR.
Los auditores deben proceder con el debido cuidado, de acuerdo con la importancia de la tarea que desempeñan y la confianza depositada en ellos por el cliente de la auditoría y por otras partes interesadas.
Un factor importante al realizar su trabajo con el debido cuidado profesional es tener la capacidad de hacer juicios razonados en todas las situaciones de la auditoría.
4- PRINCIPIO DE CONFIDENCIALIDAD: SEGURIDAD EN LA INFORMACIÓN
Los auditores deben proceder con discreción en el uso y la protección de la información adquirida en el curso de sus tareas.
La información de la auditoría no debe usarse inapropiadamente para beneficio personal del auditor o del cliente de la auditoría, o de modo que perjudique el interés legítimo del auditado. Este concepto incluye el tratamiento apropiado de la información sensible o confidencial.
El auditor deberá informar al auditado sobre el compromiso de confidencialidad que él tiene con respecto a toda la información obtenida en la auditoría.
Dicho compromiso se debe mantener durante todo el proceso de auditoría.
Este aspecto es muy importante ya que un mismo auditor puede auditar muchas empresas del mismo sector que sean competencia entre sí.
El auditor debe mantener siempre su compromiso de confidencialidad con la empresa auditada. Dicho compromiso se deberá recordar al auditado en la Reunión Inicial.
5- PRINCIPIO DE INDEPENDENCIA: LA BASE DE LA IMPARCIALIDAD DE LA AUDITORÍA Y LA OBJETIVIDAD DE LAS CONCLUSIONES DE LA AUDITORÍA.
Los auditores deben ser independientes de la actividad que se audita siempre que sea posible, y en todos los casos deben actuar de una manera libre de sesgo y conflicto de intereses.
Para las auditorías internas, los auditores deben ser independientes de los responsables operativos de la función que se audita. Los auditores deben mantener la objetividad a lo largo del proceso de auditoría para asegurarse de que los hallazgos y conclusiones de la auditoría estarán basados sólo en la evidencia de la auditoría.
Para las organizaciones pequeñas, puede que no sea posible que los auditores internos sean completamente independientes de la actividad que se audita, pero deben hacerse todos los esfuerzos para eliminar el sesgo y fomentar la objetividad.
Los auditores deben ser independientes de la actividad auditada y estarán libres de cualquier conflicto de intereses.
6- PRINCIPIO DE ENFOQUE BASADO EN LA EVIDENCIA: EL MÉTODO RACIONAL PARA ALCANZAR CONCLUSIONES DE LA AUDITORÍA FIABLES Y REPRODUCIBLES EN UN PROCESO DE AUDITORÍA
La evidencia de la auditoría debe ser verificable. En general se basará en muestras de la información disponible, ya que una auditoría se lleva a cabo durante un periodo de tiempo delimitado y con recursos finitos. Debe aplicarse
un uso apropiado del muestreo, ya que está estrechamente relacionado con la confianza que puede depositarse en las conclusiones de la auditoría.
Gestión de un Programa de Auditoría
Dependiendo del volumen de la organización, un programa de auditoría puede contener una o más auditorías con igual o diferentes objetivos.
En una primera fase realizamos una Planificación del programa de auditoría definiendo Objetivos, Alcance, Responsabilidades y Recursos.
En una segunda fase se Desarrolla el sistema evaluando y definiendo al equipo auditor y llevando a cabo las actividades de la Auditoría.
Posteriormente se Comprueba con el seguimiento y Revisión y si fuera necesario se Actúa para la mejora.
El Programa de Auditoría debe definir claramente cuál es el Objetivo y Alcance de cada una de las auditorías programadas
Los Objetivos siempre estarán en función del tipo de auditoría. Así por ejemplo, si estuviésemos en una auditoría de certificación el objetivo podría ser cumplir los requisitos de conformidad con la norma objeto de la auditoría.
En auditorías de segunda parte o de proveedores el objetivo será verificar los requisitos contractuales o del cliente.
Ejemplos de Objetivos de un programa de auditoría podrían ser:
- Cumplir los requisitos de Certificación de Conformidad de una norma determinada: ISO; BRC; IFS; GLOBALGAP…
- Verificar la conformidad de los requisitos contractuales: Relación cliente- proveedor.
- Comprobar el cumplimiento de los requisitos de un sistema.
El Alcance indica extensión y límite de la auditoría. Es decir, se debe describir exactamente hasta dónde se va a auditar; puede incluir ubicación (cuando haya más de una), unidades de la organización (si las hay), actividades y procesos. Puede variar en función del tipo de auditoría, tamaño de la empresa, actividades, frecuencia, etc.
La organización deberá otorgar la Responsabilidad para que se establezca un Programa de Auditoría y proporcionar los Recursos necesarios, tanto financieros, como humanos como de infraestructura para su realización
Tras la Planificación implantaremos el programa teniendo en cuenta aspectos como el calendario de las auditorías a realizar, la selección del equipo auditor y los recursos necesarios.
¿Qué Registros debemos mantener de una Auditoría?
- Plan de Auditoría.
- Informe de Auditoría.
- Informe de No Conformidades.
- Informe de Acciones Correctivas y Preventivas.
- Informe de Seguimiento de la auditoría (si aplica).
- Competencia y evaluación del auditor.
- Selección del equipo Auditor.
A continuación se muestra el diagrama de flujo de las actividades de Auditoría como parte de un Programa de Auditoría que como hemos visto se ha definido en función de las necesidades de la organización.
1)- Inicio de la Auditoría.
En primer lugar se realiza la Designación del Equipo Auditor. El líder del equipo auditor es el responsable de la realización de la auditoría, desde llevarla a cabo hasta que finaliza.
Cada entidad tiene sus particularidades, pero en general en las auditorías de certificación es el Responsable del departamento de Certificación quien debe emitir un documento en el que designa al equipo auditor y al auditor jefe.
El responsable del departamento de certificación debe designar al equipo auditor en función del Alcance de auditoría, competencia técnica, experiencia e independencia. En los capítulos correspondientes a cada una de las normas se indicará la cualificación de los auditores.
En el caso de las auditorías internas, la designación la realiza quien haya sido asignado como responsable de gestionar el programa dentro de la propia empresa.
En algunos casos de organizaciones pequeñas no es posible asignar auditores, ya que no son independientes de lo que van a auditar; en ese caso se puede recurrir a una organización externa que será la que designará al auditor. La organización debe confirmar que el auditor está cualificado solicitando el CV del mismo.
En la notificación de la designación al auditor se deben incluir los datos de la Organización a auditar, el criterio, el alcance y el tipo de auditoría.
Cuando existan auditores en formación estos podrán incluirse dentro del equipo auditor, pero no deberán auditar.
El contacto inicial con el auditado para la realización de la auditoría puede ser informal o formal y debería realizarse por el líder del equipo auditor.
Los propósitos del contacto inicial son los siguientes:
- Establecer comunicaciones con los representantes del auditado;
- Confirmar la autoridad para llevar a cabo la auditoría;
- Proporcionar información sobre los objetivos de la auditoría, el alcance, los métodos y la composición del equipo auditor, incluyendo los expertos técnicos;
- Solicitar acceso a los documentos y registros pertinentes con propósito de planificación;
- Determinar los requisitos legales y contractuales aplicables y otros requisitos pertinentes para las actividades y productos del auditado;
- Confirmar lo acordado con el auditado respecto al grado de difusión y al tratamiento de la información confidencial;
- Hacer los preparativos para la auditoría incluyendo la programación de las fechas;
- Determinar los requisitos específicos de la ubicación en cuanto al acceso, seguridad, salud y protección u otros requisitos especiales;
- Acordar la asistencia de observadores y la necesidad de guías para el equipo auditor;
- Determinar cualquier área de interés o preocupación para el auditado en relación con la auditoría específica.
La organización que va a ser auditada debe establecer cuál es el Objetivo de la auditoría. En él se define lo que se va a lograr. Además se establecerá el Alcance, definiendo extensión, límites de la auditoría, ubicación, actividades y procesos que van a ser auditados.
La organización también debe definir los Criterios.
Los Criterios de auditoría se utilizan como referencia para determinar la conformidad. Es decir, si queremos hacer una auditoría de Sistemas de Gestión de la Inocuidad de los Alimentos el criterio de auditoría, por ejemplo, será la Norma UNE-EN- ISO 22000:2005.
El equipo auditor determinará la Viabilidad de la auditoría teniendo en consideración factores como: información solicitada y remitida por el cliente, documentación, comunicación con el auditado y cooperación de este, tiempo y recursos.
Debe determinarse la viabilidad de la auditoría para proporcionar la confianza razonable en que los objetivos de la auditoría pueden alcanzarse. Se deben tener en consideración factores como: información solicitada y remitida por el cliente (información suficiente), documentación, comunicación con el auditado y cooperación de este, tiempo y recursos.
Si la conclusión fuera que esta no es viable, se debería proponer al cliente de auditoría una alternativa de acuerdo con el auditado.
2) Preparación de las Actividades de Auditoría
Antes de realizar la Auditoría “in situ”, el equipo auditor debe evaluar la
documentación solicitada para determinar el grado de conformidad con el sistema según el criterio de auditoría y el alcance de la misma. También debe revisar si el uso de la tecnología de la información y las comunicaciones (esto dependerá de los métodos de auditoría) promueven una realización eficiente de la misma. Se deben tener en consideración los aspectos relativos a la protección de datos, principalmente para aquella información contenida en documentos que deben ser revisados pero que estaría fuera del alcance.
Si bien el auditor firma un compromiso de confidencialidad relativo a la información obtenida durante la auditoría, la protección de datos es más amplia y se refiere a la imposibilidad de revelar cualquier información a la que se haya tenido acceso. El auditor durante el ejercicio de la auditoría puede acceder a información personal sensible; esta información no puede ser revelada ni durante la auditoría.
El auditor debe revisar si la información contenida en documentación es:
- Completa
- Correcta
- Coherente
- Actual
¿Cuál es la documentación que se debe solicitar al cliente antes de la auditoría?
En este sentido no hay nada definido, si bien en líneas generales dependerá del tipo de norma y del objeto de la auditoría.
A modo de ejemplo podríamos decir que en una auditoría ISO 22000 en fase 1 se pedirá el Manual de Calidad y los procedimientos que pide la norma, en cambio en una auditoría de seguimiento se supone que estos documentos ya se conocen.
En cualquier caso, es potestad del líder del equipo auditor solicitar aquella información que considere oportuna para la preparación de la auditoría.
En el caso en que la norma no tenga exigencias previas de documentación y dependiendo del tamaño de la organización a auditar esta revisión se podría posponer hasta la visita in situ.
3) Preparación de la Auditoría.
El líder del equipo auditor es el responsable de la elaboración del Plan de Auditoría. El nivel de detalle del Plan de Auditoría puede variar de una empresa a otra, dependiendo del alcance y de la complejidad de la organización.
El auditor debería tener en cuenta:
- Técnicas de muestreo adecuadas
- Composición y competencia del equipo auditor
- Los riesgos creados por la auditoría (aspecto nuevo). El objetivo de la auditoría no debe estar por encima de la seguridad. Es decir, la presencia del auditor no debe ser una amenaza para el producto.
Al menos debe incluir:
Objetivo de la auditoría.
Criterio de la auditoría.
Documentación de referencia.
Documentación de referencia
Se refiere a todos los documentos que se van a utilizar en la auditoría, tanto de la entidad de certificación como de la empresa a auditar.
- La propia norma (relacionada con el criterio de auditoría); por ejemplo, IFS si es una auditoría de IFS.
- El Procedimiento de Certificación de la entidad de certificación donde está establecido y definido el proceso de certificación.
- Documentos de la empresa a auditar. Para simplificar este apartado ya que el listado puede ser muy largo dependiendo de la magnitud de la empresa, se suele hacer referencia al LISTADO DE CONTROL DE DOCUMENTOS DE LA EMPRESA XX ACTUALIZADO A FECHA X.
Este listado es un documento en donde figuran todos los documentos de la empresa; por ejemplo, manual de APPCC, Plan de L y D, PC de auditoría Interna .
- Alcance de la auditoría, incluyendo lugares y procesos.
- Nombre de la Empresa.
- Fecha y lugar de la auditoría.
- Hora y duración estimadas de la auditoría, incluyendo la reunión inicial y final.
- Los métodos que se van a utilizar, si aplica diseño de programa de muestreo.
- Funciones y Responsabilidades del equipo auditor, guías y observadores.
- Asignación de recursos necesarios.
Cuando sea necesario debe cubrir también lo siguiente:
- La identificación del representante del auditado en la auditoría.
- Temas relacionados con el Informe de auditoría.
- Preparativos de Logística y comunicaciones, indicando los específicos para las ubicaciones que se van a auditar.
- Aspectos relacionados con la Confidencialidad y la seguridad de la información.
- Idioma de la auditoría y del informe (sólo si es diferente al del auditor o del auditado).
- Acciones de seguimiento de auditorías previas (si aplica). Cuando se trata de una auditoría inicial no hay acciones de seguimiento de auditorías previas.
- Acciones de seguimiento de la auditoría planificada (que sería la que vamos a hacer).
- Coordinación de actividades en el caso de auditorías conjuntas.
El Plan de auditoría se envía al cliente con tiempo suficiente para que lo revise y apruebe. También cuando no coinciden cliente y auditado se le envía al auditado. En ese momento el cliente o el auditado podría hacer alguna objeción a la composición del equipo auditor o a las actividades de la auditoría. La objeción debe ser resuelta lo antes posible entre el líder del equipo auditor, el auditado y el cliente de la auditoría.
No obstante, el auditor debe ser lo suficientemente flexible para adaptarse a las necesidades de la empresa.
En el caso de existir cambios en el Plan de Auditoría, estos deben tratarse en la reunión inicial, con el fin de que el equipo auditor se adapte a ellos.
En auditorías de certificación, si estos cambios, a juicio del líder del equipo auditor, pudieran afectar al alcance de la auditoría, es obligación del auditor contactar con la entidad de certificación antes de continuar con la auditoría.
El líder del equipo auditor debe asignar a cada miembro la responsabilidad de auditar aspectos específicos, ya sea de procesos, actividades etc.
Las asignaciones de trabajo pueden modificarse a medida que se va realizando la auditoría si es necesario ya que se debe asegurar la consecución de los objetivos de la auditoría.
Los miembros del equipo auditor deben preparar los documentos de trabajo y deben revisar y recopilar toda la información pertinente a las tareas de auditoría asignadas.
Los documentos de trabajo pueden incluir:
- Listas de verificación
- Planes de muestreo (si los hubiera)
- Documentos de registro de la información obtenida
En general esta documentación está definida por la entidad que realizará la auditoría.
En el caso de auditorías combinadas, se deben desarrollar documentos que eviten duplicar las actividades de la auditoría, agrupando requisitos similares, y coordinando el contenido de las listas de verificación y cuestionarios relacionados.
Deben ser adecuados para tratar todos los elementos del sistema de gestión correspondiente dentro del alcance de la auditoría.
El equipo auditor debe disponer de algún despacho para las reuniones que este necesite
durante el desarrollo de la auditoría.
4) Realización de las actividades “in situ”
El objetivo general de esta reunión, la reunión inicial, es:
- Confirmar el acuerdo de todas las partes sobre el plan de auditoría
- Realizar la presentación del equipo auditor
- Confirmar la posibilidad de realizar todas las actividades de auditoría.
En la Reunión Inicial, en la mayoría de las situaciones (dependerá de cada auditoría en particular), el líder del equipo auditor debe tratar de aclarar y definir los siguientes puntos:
- Presentación de los participantes. Auditores, observadores, expertos, guía y sus funciones
- Confirmación del Objeto Alcance y Criterio de la Auditoría.
- Confirmación del idioma.
- Confirmación del horario establecido previamente en el Plan de Auditoría (reunión final, reuniones intermedias si las hubiera y cualquier cambio).
- Explicación de la metodología a llevar a cabo, aclarando al auditado que la evidencia de la auditoría se basa en un muestreo de la información disponible (es decir, que no se va a revisar todo de todo).
- Presentación de los métodos a utilizar para gestionar los riesgos que pudiera implicar para la organización la presencia de los auditores.
- Confirmación de los procedimientos pertinentes para el equipo auditor relativos a salud y protección, emergencia y seguridad.
- Confirmación de la presencia de los interlocutores en la Auditoría, es decir canales de comunicación.
- Confirmación de la disponibilidad de recursos e instalaciones necesarias para llevar a cabo la auditoría.
- Confirmación al auditado de que durante la auditoría será informado del progreso y evolución de la misma.
- Explicación de la presentación de los hallazgos de auditoría y categorización si las hubiera.
- Explicación de cómo van a ser tratados los posibles hallazgos durante la auditoría.
- Explicación de los posible motivos para dar por finalizada una auditoría
- Información sobre la reunión de cierre.
- Información acerca de la retroalimentación del auditado sobre los hallazgos o conclusiones de la auditoría, incluyendo quejas y apelaciones.
- Recordar el compromiso de Confidencialidad y la seguridad de la información.
Esta reunión se debe realizar con la dirección y con los responsables de los procesos a auditar.
Se debe dar la oportunidad de hacer preguntas.
La extensión y profundidad de esta reunión dependerá del objetivo de la auditoría. Por ejemplo, en organizaciones pequeñas y cuando se trata de una auditoría interna, la reunión inicial puede simplemente consistir en informar de que se va a realizar una auditoría interna y explicar la naturaleza de la misma.
Comunicación entre auditado y auditor.
Es importante para un correcto entendimiento de este aspecto el considerar por una parte que no siempre coinciden auditado y cliente y por otra parte que en algunas circunstancias cuando los hallazgos son incumplimientos estos deben ser comunicados de inmediato (ya que está establecido en requisitos legales) y de una manera formal al cliente. Esta última circunstancia podría darse por ejemplo cuando el cliente fuera un organismo externo y a su vez una autoridad reglamentaria
El auditor jefe debe comunicar al auditado cómo está discurriendo la auditoría. Puede ser de una manera informal o formal, dependiendo del tipo de auditoría.
Durante la auditoría los miembros del equipo auditor deberían consultarse periódicamente para intercambiar información, evaluar el progreso de la auditoría y reasignar las tareas, si el líder del equipo lo considera necesario.
Cuando las evidencias disponibles de la auditoría indican que los objetivos de la misma no son alcanzables, el líder del equipo auditor debe informar de las razones al cliente de la auditoría y al auditado para determinar las acciones apropiadas. Estas acciones pueden incluir la reconfirmación o la modificación del plan de auditoría, cambios en los objetivos de la auditoría o en su alcance, o la terminación de la auditoría.
Durante el proceso de Auditoría, el equipo auditor debe recopilar la información necesaria y verificarla para evidenciar el cumplimiento del objetivo, alcance y criterio de la misma.
Para ello el auditor dispone de:
– Revisión Documental
– Inspecciones
– Entrevistas
– Observación de actividades
– La combinación de ellas
Con todo ello el auditor evaluará si las evidencias encontradas cumplen con los criterios especificados en la Norma de referencia y del Sistema implantado en la Organización. Solo debe aceptarse como evidencia aquella información verificable. La evidencia debe registrarse.
Dicha evaluación va a generar los Hallazgos de la auditoría, los cuales podrán estar conforme a los criterios evaluados o no; en este último caso sería una No Conformidad o incumplimiento.
Antes de la reunión final el equipo auditor debe reunirse para recopilar la información y obtener las Conclusiones Finales de la Auditoría.
En esta reunión se debe:
– Hacer una revisión de los hallazgos
– Acordar las conclusiones
– Preparar recomendaciones (si esto estuviera especificado)
– Comentar el seguimiento (cuando sea aplicable)
En la Reunión Final o de cierre el líder del equipo auditor es el responsable de exponer los hallazgos y las conclusiones encontradas, de tal manera que sean comprendidos por el auditado.
A continuación explicará al auditado cómo continua el proceso, qué actividades deben realizarse y en qué plazos. Se debe explicar cómo es el tratamiento de quejas y cómo se realizan las apelaciones.
En esta reunión debería estar presente la dirección o sus representantes y podrían estar presentes los responsables de los procesos o funciones auditadas, el cliente de la auditoría y otras partes.
5) Preparación del Informe de Auditoría
El informe de auditoría debe ser un registro completo, preciso, claro y conciso de la auditoría y debe incluir o hacer referencia a:
- Objetivo de la auditoría
- Alcance de la auditoría identificando lugares y procesos auditados
- Identificación del cliente
- Identificación del equipo auditor y los participantes del auditado
- Fechas y ubicaciones donde se realizó la auditoría
- Criterio de auditoría
- Hallazgos y evidencias relacionadas
- Conclusiones de la auditoría
- Declaración del grado de cumplimiento de los criterios de auditoría. Además podría incluir otros contenidos, cuando sea apropiado, tales como:
- Plan de auditoría con el horario.
- Resumen del proceso indicando si hubo obstáculos.
- La confirmación del cumplimiento de los objetivos dentro del alcance y de acuerdo con el plan de auditoría.
- Cualquier área dentro del alcance no cubierta.
- Si las hubiera, las opiniones divergentes no resueltas entre equipo auditor y auditado.
- Las oportunidades de mejora si se especifica en el plan de auditoría.
- Las buenas prácticas identificadas
- Los planes de acción del seguimiento acordado, si los hubiera
- Una declaración de la naturaleza confidencial de los contenidos
- Cualquier implicación para el programa de auditoría o las auditorías posteriores.
- La lista de distribución del informe.
La auditoría se considera finalizada cuando se han realizado todas las actividades de auditoría planificadas.
El Informe de Auditoría debe estar fechado, revisado y aprobado, y solamente se distribuirá al cliente y a los receptores acordados por el cliente. El informe de auditoría no puede ser revelado, salvo que lo exija la ley, a nadie más que al cliente y a quienes éste autorice. Si fuera necesario revelar el informe, el cliente y el auditado deben ser inmediatamente informados.
Las conclusiones de la auditoría pueden originar la necesidad de un plan de Acciones Correctivas, lo que se indica cómo Actividades de seguimiento.
El auditado informará al auditor sobre el estado de las acciones correctivas y verificará la implantación de dichas acciones y su eficacia. En caso de auditorías de seguimiento la verificación se podría hacer en la siguiente auditoría.
EVALUACIÓN DE AUDITORES
A la hora de saber si un auditor cumple o no con los requisitos mínimos debemos distinguir si estamos refiriéndonos a una Auditoría Interna, de segunda parte o de tercera parte.
En el caso de una Auditoría Interna hay que cotejar que el auditor cumple con los requisitos definidos por la empresa, los cuales suelen figurar en el propio procedimiento de Auditoría Interna o en la Descripción del Puesto de Trabajo.
En el caso de una Auditoría de 2ª parte es el cliente el que define los criterios necesarios de evaluación de los auditores.
Cuando nos referimos a una auditoría de tercera parte o externa los auditores deben ser evaluados por el organismo de certificación para asegurarse de que poseen la competencia técnica necesaria.
En este caso se realiza una evaluación inicial del auditor, con el objeto de asegurarse de que cumple con los requisitos establecidos, y además se realizan reevaluaciones anuales y auditorías de acompañamiento.
Otro aspecto muy importante dentro de la formación del auditor consiste en lo que se conoce como Unificación de Criterios: este aspecto es tremendamente importante ya que la entidad de certificación se debe asegurar de que todos los auditores tengan el mismo criterio para evaluar los requisitos de las diferentes normas. Es decir, que un requisito sea valorado de la misma forma por diferentes auditores.
