Auditoría de Calidad: Auditorías Internas, de Segunda Parte y de Tercera Parte

Tipos de auditorías de calidad

Los tres tipos de auditoría tienen diferentes propósitos, audiencias y resultados:

Auditorías de primera parte (internas): realizadas por los propios auditores capacitados de la organización sobre su propio sistema de gestión de calidad, procesos o productos. El propósito es verificar que el sistema de calidad está implementado según lo planeado, que se siguen los procedimientos documentados y para identificar no conformidades y oportunidades de mejora. Las auditorías internas son un requisito obligatorio de ISO 9001, IATF 16949, AS9100 y todos los principales estándares de sistemas de gestión de calidad.

Auditorías de segunda parte: realizadas por un cliente (o un tercero que actúa en nombre de un cliente) sobre el sistema de gestión de calidad de un proveedor, proceso de manufactura o controles específicos de calidad del producto. Las auditorías de segunda parte son una herramienta estándar en la gestión de calidad de proveedores: se utilizan para calificar nuevos proveedores, verificar la conformidad de los proveedores con los Requisitos Específicos del Cliente, investigar la respuesta de un proveedor a un escape de calidad y monitorear proveedores de alto riesgo o con bajo rendimiento.

Auditorías de tercera parte: realizadas por un organismo de certificación acreditado independiente para evaluar la conformidad con una norma de sistema de gestión de calidad y emitir o mantener la certificación. ISO 9001, IATF 16949, AS9100, ISO 13485 (dispositivos médicos) e ISO 45001 (salud y seguridad ocupacional) son algunos de los estándares para los cuales está disponible la certificación de tercera parte.

El proceso de auditoría: planificación, ejecución e informe

Independientemente del tipo de auditoría, una auditoría de calidad sigue un proceso definido que incluye planificación, reunión de apertura, recopilación de evidencia, análisis, reunión de cierre e informe de auditoría:

Planificación de la auditoría: el plan de auditoría documenta el objetivo (qué se está determinando), alcance (qué procesos, áreas o cláusulas están cubiertos), criterios (los requisitos contra los cuales se evaluará al auditado), métodos (revisión de documentos, entrevistas, observación, muestreo) y cronograma. El plan de auditoría se comunica al auditado con antelación, típicamente al menos una semana antes de la auditoría.

Reunión de apertura: la auditoría comienza con una reunión de apertura formal en la que el auditor líder presenta al equipo de auditoría, confirma el alcance y el objetivo, describe el proceso y el calendario de la auditoría y establece canales de comunicación.

Recopilación de evidencia: los auditores recopilan evidencia objetiva a través de revisión de documentos (procedimientos, instrucciones de trabajo, registros, datos), entrevistas con el personal y observación directa de procesos y condiciones de trabajo. La auditoría es una actividad de muestreo: los auditores seleccionan muestras representativas diseñadas para proporcionar evidencia suficiente para llegar a una conclusión objetiva.

Reunión de cierre e informe de auditoría: la auditoría concluye con una reunión de cierre en la que el equipo de auditoría presenta los hallazgos a la dirección del auditado. Los hallazgos se clasifican como: conformidades (requisitos cumplidos), no conformidades (requisitos no cumplidos) y observaciones u oportunidades de mejora. El informe de auditoría documenta los hallazgos, la evidencia que respalda cada hallazgo y cualquier recomendación.

No conformidades y vinculación con la acción correctiva

El valor de una auditoría se realiza no en la reunión de cierre sino a través del proceso de acción correctiva que sigue. Cada no conformidad de auditoría debe abordarse a través de un proceso formal de acción correctiva: el auditado investiga la causa raíz, implementa la acción correctiva y proporciona evidencia objetiva de efectividad al auditor o al gerente del programa de auditoría.

Las no conformidades de las auditorías de calidad se clasifican por gravedad. Una no conformidad mayor es una falla sistemática de un requisito que representa un riesgo significativo para la calidad de los productos o servicios, o la ausencia completa de un proceso o procedimiento requerido. Una no conformidad menor es una falla aislada de un requisito que no representa un patrón sistémico.

Competencia e independencia del auditor

La credibilidad de una auditoría depende de la competencia e independencia de los auditores. ISO 19011 define las competencias genéricas requeridas de todos los auditores de sistemas de gestión: comprensión de los principios y métodos de auditoría, capacidad para planificar y realizar una auditoría, capacidad para recopilar y evaluar evidencia objetiva, habilidades de comunicación suficientes para realizar entrevistas efectivas y presentar hallazgos claramente, y juicio profesional para evaluar la evidencia de forma objetiva.

La independencia es la otra característica esencial de un auditor efectivo. Los auditores internos no deben auditar su propio trabajo: el propietario de un proceso no debe liderar la auditoría de su propio proceso.

Gestión de un programa de auditoría

Un programa de auditoría efectivo requiere:

Programación de auditorías basada en riesgo: la frecuencia y profundidad de la auditoría deben ser proporcionales al riesgo asociado con cada proceso o proveedor. Los procesos con historial de no conformidades, los procesos vinculados a características críticas del producto y los proveedores con problemas de calidad recientes justifican auditorías más frecuentes y más profundas.

Seguimiento de cobertura de auditoría: el gerente del programa de auditoría debe realizar un seguimiento de qué procesos y cláusulas de la norma han sido auditados dentro del ciclo de auditoría actual para garantizar que todas las áreas requeridas reciban cobertura.

Análisis de tendencias: los hallazgos de auditoría deben analizarse en busca de patrones a lo largo del tiempo. Un aumento en el número de no conformidades de control de documentos en múltiples auditorías puede indicar un problema sistémico con el sistema de gestión de documentos.

Desarrollo y calibración de auditores: los auditores internos requieren capacitación inicial en un estándar reconocido, calibración periódica para garantizar la aplicación consistente de los criterios de auditoría y desarrollo continuo para mantenerse actualizados.

Errores comunes en la auditoría de calidad

• Realizar auditorías de conformidad en lugar de auditorías de efectividad. Una auditoría que solo verifica si existen documentos y si los procedimientos están escritos correctamente confirma la conformidad en papel pero no determina si el sistema de calidad está controlando realmente la calidad del producto. La auditoría efectiva requiere seguir la evidencia.
• Comunicar hallazgos de auditoría informalmente antes de la reunión de cierre. Compartir hallazgos preliminares con la dirección del auditado antes de la reunión de cierre permite al auditado corregir evidencia visible antes del cierre formal, lo que socava la integridad de la auditoría.
• Aceptar aseguramientos verbales como evidencia objetiva. Cuando un auditado dice “siempre hacemos eso”, el auditor debe verificar la declaración con evidencia documental u observable. Los hallazgos de auditoría deben basarse en evidencia objetiva, no en afirmaciones.
• Permitir que las acciones correctivas permanezcan abiertas indefinidamente. Una no conformidad de auditoría sin fecha de vencimiento de respuesta definida y sin mecanismo de seguimiento a menudo nunca se cerrará.

Preguntas frecuentes

¿Cuál es la diferencia entre una auditoría de primera, segunda y tercera parte?

Los tres tipos de auditoría se definen por la relación entre la organización auditora y la organización auditada. Una auditoría de primera parte (interna) es realizada por una organización sobre su propio sistema de gestión de calidad y procesos, utilizando sus propios auditores capacitados. El propósito es verificar que el sistema está implementado según lo planeado e identificar oportunidades de mejora. Las auditorías internas son un requisito obligatorio de ISO 9001, IATF 16949 y otros estándares de calidad. Una auditoría de segunda parte es realizada por un cliente sobre un proveedor, o por una parte que actúa en nombre del cliente. Las auditorías de segunda parte se utilizan para calificar nuevos proveedores, evaluar la conformidad de los proveedores con los Requisitos Específicos del Cliente o investigar problemas de calidad de los proveedores. Una auditoría de tercera parte es realizada por un organismo de certificación acreditado independiente para determinar si el sistema de gestión de calidad de una organización cumple con una norma como ISO 9001 o IATF 16949, y para emitir o mantener la certificación.

¿Qué es una no conformidad mayor versus una no conformidad menor en una auditoría de calidad?

Una no conformidad mayor es un hallazgo que representa una falla sistemática y significativa de un requisito: la ausencia de un proceso requerido, un patrón de falla generalizada para implementar un procedimiento documentado, o una condición que amenaza directamente la capacidad de la organización para cumplir con los requisitos del cliente o regulatorios. Para las auditorías de certificación de tercera parte, una no conformidad mayor debe corregirse y verificarse antes de que se pueda emitir o mantener la certificación. Una no conformidad menor es una instancia aislada de un requisito que no se cumple y que no representa un patrón sistémico. Las no conformidades menores también deben abordarse a través del proceso de acción correctiva, pero el plazo para la resolución es típicamente más largo que para las no conformidades mayores. La clasificación de un hallazgo como mayor o menor requiere el juicio del auditor: cinco instancias del mismo tipo de registro faltante en diferentes áreas se clasificarían probablemente como mayor porque indican un problema sistémico.

¿Qué es ISO 19011 y qué cubre?

ISO 19011 es la norma internacional que proporciona directrices para auditar sistemas de gestión. Cubre: los principios de auditoría (integridad, presentación justa, debida diligencia profesional, confidencialidad, independencia, enfoque basado en evidencia, enfoque basado en riesgo); la gestión de un programa de auditoría (establecimiento de objetivos, alcance, programación basada en riesgo, competencia del auditor, monitoreo y revisión del programa); la conducta de auditorías individuales (planificación, ejecución, recopilación de evidencia, conclusiones de auditoría, reunión de cierre, informe de auditoría); y la competencia y evaluación de auditores. ISO 19011 es una norma de orientación, no una norma de requisitos: proporciona recomendaciones sobre cómo realizar auditorías y gestionar programas de auditoría. La versión actual (ISO 19011:2018) introdujo un enfoque basado en riesgo para la planificación de auditorías como una mejora significativa con respecto a versiones anteriores.

¿Con qué frecuencia se deben realizar las auditorías internas de calidad?

ISO 9001 requiere que la organización realice auditorías internas a intervalos planificados pero no especifica una frecuencia mínima. La organización debe definir su propio ciclo de auditoría basado en la importancia de los procesos involucrados, los cambios que afectan a la organización y los resultados de auditorías anteriores. En la práctica, la mayoría de las organizaciones completan un ciclo de auditoría completo (cubriendo todos los procesos y todas las cláusulas de la norma aplicable) dentro de uno a tres años. IATF 16949 es más prescriptivo: requiere un mínimo de una auditoría de sistema completa, una auditoría de proceso de manufactura y una auditoría de producto por ciclo de auditoría. Los procesos de alto riesgo, los procesos que han generado no conformidades recientes y los procesos que han sufrido cambios significativos deben auditarse con más frecuencia que los procesos estables y de buen rendimiento.

¿Qué calificaciones necesita un auditor interno?

ISO 19011 define las competencias genéricas requeridas de los auditores de sistemas de gestión, pero no especifica una calificación mínima. La mayoría de las organizaciones definen sus propios requisitos de calificación de auditores internos en sus procedimientos del sistema de gestión de calidad. Los requisitos típicos incluyen: finalización de un curso de capacitación de auditor interno que cubra la norma de gestión de calidad aplicable, metodología de auditoría y técnicas de recopilación de evidencia; un número definido de horas de auditoría como observador o co-auditor bajo un auditor líder calificado antes de realizar auditorías independientes; y conocimiento técnico de los procesos y productos que se están auditando. Para IATF 16949, la norma especifica que los auditores internos deben ser competentes para auditar las Herramientas Principales (APQP, PPAP, FMEA, SPC, MSA y CP) y deben comprender los Requisitos Específicos del Cliente del sector automotriz.

¿Cuál es el propósito de las reuniones de apertura y cierre de la auditoría?

La reunión de apertura inicia formalmente la auditoría y establece el contexto y las reglas antes de que comience la recopilación de evidencia. El auditor líder usa la reunión de apertura para: presentar al equipo de auditoría y confirmar sus roles; confirmar el objetivo, alcance, criterios y cronograma de la auditoría con la dirección del auditado; explicar el proceso de auditoría incluyendo cómo se recopilará la evidencia y cómo se clasificarán las no conformidades; e invitar al auditado a plantear cualquier preocupación. La reunión de cierre es el punto en el que el equipo de auditoría presenta sus hallazgos a la dirección del auditado antes de abandonar el sitio. El auditor líder resume el alcance y los métodos de la auditoría, presenta cada hallazgo con su evidencia de respaldo, aclara cualquier pregunta sobre la base de los hallazgos y explica el proceso de respuesta de acción correctiva y los plazos. Los hallazgos no deben negociarse en la reunión de cierre: si el auditado no está de acuerdo con un hallazgo, se debe explicar el proceso para el desacuerdo formal, pero los hallazgos no deben retirarse basándose únicamente en argumentos verbales.