La auditoría interna ISO 9001 es la herramienta con la que la propia organización verifica, antes que nadie, si su sistema de gestión de la calidad cumple los requisitos y si realmente funciona. Bien hecha, detecta las fallas que después encontraría el organismo de certificación o, peor aún, el cliente. Mal hecha, se convierte en un trámite anual con listas de verificación genéricas, hallazgos de forma y acciones que nunca atacan la causa.
Esta guía paso a paso está escrita para el coordinador del sistema de gestión, el líder del programa de auditorías y los auditores internos. Aplica las directrices de ISO 19011:2018 a los requisitos de ISO 9001:2015 §9.2 y te muestra cómo diseñar un programa basado en riesgos, planificar cada auditoría, muestrear, recolectar evidencia, redactar y graduar hallazgos, y cerrar el ciclo con acciones correctivas eficaces.
Qué exige ISO 9001 sobre la auditoría interna
La cláusula §9.2 tiene dos partes. La §9.2.1 establece el propósito: la organización debe auditar a intervalos planificados para saber si el sistema es conforme con sus propios requisitos y con los de la norma, y si se implementa y mantiene eficazmente. La §9.2.2 define cómo hacerlo.
ISO 9001:2015 §9.2.2 en síntesis
- a) Planificar, establecer, implementar y mantener un programa de auditoría con frecuencia, métodos, responsabilidades, requisitos de planificación e informes, considerando la importancia de los procesos, los cambios que afectan a la organización y los resultados de auditorías previas.
- b) Definir los criterios y el alcance de cada auditoría.
- c) Seleccionar auditores y conducir las auditorías asegurando objetividad e imparcialidad.
- d) Informar los resultados a la dirección pertinente.
- e) Realizar las correcciones y acciones correctivas adecuadas sin demora injustificada.
- f) Conservar información documentada como evidencia del programa y de los resultados.
La norma remite a ISO 19011 como orientación. ISO 19011:2018 no es certificable, pero es el estándar de referencia que usan los organismos de certificación para evaluar si tu programa de auditoría es sólido. Su cláusula 5 trata la gestión del programa y la cláusula 6, la realización de cada auditoría.
Transición a ISO 9001:2026
La edición 2026 mantiene la auditoría interna dentro de la cláusula 9 de la Estructura Armonizada. Si tu organización va a migrar, incluye en tu programa una auditoría específica de brechas contra la nueva edición. Consulta el detalle en ISO 9001:2026.
Qué evidencia revisa el organismo certificador sobre tu auditoría interna
En la auditoría de certificación, el equipo auditor evalúa tu proceso de auditoría interna como cualquier otro proceso. Esta es la evidencia que normalmente solicita:
| Requisito | Evidencia esperada |
|---|---|
| §9.2.1 Auditar a intervalos planificados | Programa vigente que cubre todos los procesos y requisitos del alcance dentro del ciclo definido; auditorías realizadas conforme a lo planificado o reprogramaciones justificadas |
| §9.2.2 a) Programa basado en importancia, cambios y resultados previos | Criterios documentados de frecuencia por proceso; evidencia de que procesos con quejas, cambios o hallazgos previos se auditan con mayor profundidad |
| §9.2.2 b) Criterios y alcance | Plan de cada auditoría con objetivo, alcance (procesos, áreas, turnos, sitios), criterios (cláusulas, procedimientos, requisitos del cliente o legales) |
| §9.2.2 c) Objetividad e imparcialidad | Asignación que demuestra que nadie audita su propio trabajo; criterios de competencia y evidencia de que los auditores los cumplen (§7.2) |
| §9.2.2 d) Informe a la dirección | Informes distribuidos a los responsables de proceso y resultados presentados en la revisión por la dirección (§9.3.2 c) 6) |
| §9.2.2 e) Correcciones y acciones sin demora | Registro de hallazgos con plazos, análisis de causa, acciones y verificación de eficacia (§10.2) |
| §9.2.2 f) Información documentada | Programa, planes, listas de verificación con evidencia anotada, informes y seguimiento |
Paso 1: diseña un programa de auditoría basado en riesgos
El programa es el conjunto de auditorías planificadas para un periodo (habitualmente un año). ISO 19011 §5 propone establecer sus objetivos, evaluar sus riesgos y oportunidades, definir su extensión y asignar recursos. El error más común es repartir los procesos en doce meses de forma uniforme, sin considerar su importancia.
Criterios para definir la frecuencia por proceso
- Impacto en el cliente: procesos que determinan directamente la conformidad del producto o servicio (producción, inspección, diseño, atención de pedidos).
- Desempeño: quejas, devoluciones, indicadores fuera de meta, no conformidades recurrentes.
- Cambios: nuevos productos, líneas, sistemas ERP, cambios de personal clave, nuevos sitios (ISO 9001 §6.3 y §8.5.6).
- Resultados de auditorías previas: hallazgos abiertos o reincidentes.
- Requisitos externos: exigencias contractuales de clientes o regulatorias.
| Proceso | Impacto en cliente | Desempeño / quejas | Cambios recientes | Prioridad | Frecuencia planificada |
|---|---|---|---|---|---|
| Producción e inspección | Alto | Quejas en el último semestre | Nueva línea | Alta | Dos veces al año, incluido turno nocturno |
| Compras y proveedores | Alto | Retrasos de un proveedor crítico | Ninguno | Alta | Dos veces al año |
| Ventas y revisión de pedidos | Medio | Estable | Nuevo CRM | Media | Una vez al año, enfocada en el cambio |
| Recursos humanos y competencia | Medio | Estable | Ninguno | Media | Una vez al año |
| Dirección, contexto, riesgos y revisión | Alto (sistémico) | No aplica | Transición a la nueva edición | Alta | Una vez al año, con la alta dirección |
El programa también define métodos (en sitio, remoto o combinado), recursos (auditores internos de otras áreas o externos), competencias requeridas y la forma en que se informarán los resultados. Documenta los criterios de priorización: el auditor de tercera parte preguntará por qué un proceso se audita una vez y otro dos.
Paso 2: planifica y prepara cada auditoría
ISO 19011 §6.2 y §6.3 describen la iniciación y la preparación. En la práctica, el auditor líder interno hace lo siguiente:
- Confirma objetivo, alcance y criterios. Por ejemplo: "Verificar la eficacia del control de proveedores externos (§8.4) en la planta Querétaro, turnos matutino y vespertino, contra ISO 9001:2015 y el procedimiento PR-COM-01".
- Revisa la información documentada. Procedimientos, indicadores del proceso, hallazgos previos, quejas relacionadas, cambios. Esta revisión ayuda a identificar riesgos y orientar el muestreo.
- Elabora el plan de auditoría. Horario, áreas, personas a entrevistar, auditores asignados, idioma, recursos necesarios. Comunícalo con anticipación al responsable del proceso.
- Prepara documentos de trabajo. Una lista de verificación propia del proceso, no genérica. Formula preguntas abiertas y prevé qué registros vas a muestrear.
- Asigna roles. Si hay auditores en formación u observadores, define quién lidera cada entrevista y quién toma notas.
Audita por procesos, no por cláusulas
En lugar de recorrer la norma de §4 a §10, recorre el proceso de entradas a salidas y verifica en el camino los requisitos aplicables: objetivos e indicadores (§6.2, §9.1), riesgos (§6.1), competencia (§7.2), información documentada (§7.5), control operacional (§8) y mejora (§10). El método de tortuga o el diagrama SIPOC son útiles para preparar este recorrido.
Paso 3: ejecuta la auditoría y recolecta evidencia
La ejecución (ISO 19011 §6.4) inicia con una reunión de apertura breve: confirmar plan, alcance, método de hallazgos, confidencialidad y horario de cierre. Después, el equipo recolecta información mediante tres fuentes que deben triangularse:
- Entrevistas: con quien realiza el trabajo, no solo con el jefe del área. Preguntas abiertas: "¿cómo sabe que este lote cumple?", "¿qué hace si el proveedor entrega fuera de especificación?".
- Observación directa: actividades en el lugar de trabajo, condiciones de almacenamiento, identificación de producto, estado de equipos.
- Revisión de registros: órdenes de compra, certificados de calidad, evaluaciones de proveedores, inspecciones de recibo.
Muestreo con criterio
ISO 19011 distingue entre muestreo basado en juicio, que depende del conocimiento y la experiencia del auditor, y muestreo estadístico, que permite expresar conclusiones con un nivel de confianza definido. En auditorías internas de sistemas de gestión predomina el muestreo basado en juicio, siempre que la muestra sea representativa y la seleccione el auditor, no el auditado. Para que tu muestra sea defendible:
- Selecciona registros de distintos periodos, turnos, productos y responsables.
- Incluye deliberadamente casos de mayor riesgo: proveedores con rechazos, pedidos urgentes, productos nuevos.
- Rastrea hacia adelante y hacia atrás: de una queja al proceso que la originó, y de una orden de compra a la inspección de recibo y al uso en producción.
- Si encuentras una desviación, amplía la muestra antes de concluir si es aislada o sistémica.
Cuando se requiere una conclusión estadística sobre una población grande y homogénea de registros, pueden usarse planes de muestreo por atributos, como los de la serie ISO 2859. Documenta el criterio en tu procedimiento.
Paso 4: redacta y gradúa los hallazgos
Un hallazgo es el resultado de comparar la evidencia contra los criterios. Puede ser una conformidad, una no conformidad o una oportunidad de mejora. Para que sea útil y defendible, toda no conformidad debe tener tres elementos:
- Requisito: cláusula de la norma, procedimiento interno, requisito del cliente o legal.
- Evidencia: hechos verificables (qué, dónde, cuándo, identificadores).
- Declaración del incumplimiento: qué no se cumple, en términos del requisito.
| Clasificación | Criterio | Ejemplo |
|---|---|---|
| No conformidad mayor | Afecta la capacidad del sistema para lograr resultados previstos: ausencia total de un requisito, falla sistémica, o riesgo de que llegue producto no conforme al cliente | No existe evaluación de proveedores para ningún proveedor crítico |
| No conformidad menor | Incumplimiento puntual que no compromete la capacidad del sistema | Una de 15 evaluaciones de proveedores está vencida por tres semanas |
| Oportunidad de mejora | Cumple, pero hay una forma más eficaz o eficiente de hacerlo | La evaluación de proveedores podría integrar datos de entregas del ERP automáticamente |
La terminología mayor/menor proviene de las auditorías de certificación (ISO/IEC 17021-1). En auditoría interna puedes usarla o definir tu propia escala, siempre que esté documentada y se aplique con consistencia.
Ejemplo resuelto: auditoría interna al proceso de compras
Ejemplo aplicado — Fabricante de envases plásticos
Contexto: "Envases Técnicos de Occidente" (empresa ficticia), 95 personas, inyección y soplado de envases para la industria de cuidado personal. La revisión por la dirección reportó tres paros de línea en el trimestre por resina fuera de especificación.
Plan: auditoría de 6 horas al proceso de compras y control de proveedores externos (§8.4), con extensión a inspección de recibo (§8.6) y almacén. Auditora líder: jefa de mantenimiento (formada en ISO 19011); auditor: analista de recursos humanos. Ninguno trabaja en compras.
Muestra seleccionada por el equipo: 6 de los 22 proveedores activos (los 3 de resina y colorantes, 2 de etiquetas y 1 de cajas); 10 órdenes de compra de distintos meses; los 3 eventos de resina fuera de especificación.
Evidencia y hallazgos:
- Existe procedimiento de evaluación semestral. Los 6 proveedores tienen evaluación, pero el proveedor de resina B obtuvo 62 puntos (mínimo aceptable 75) y no hay acción registrada. No conformidad menor contra §8.4.1: la organización no determina acciones derivadas de la evaluación del desempeño.
- En los 3 eventos de resina fuera de especificación, el certificado de análisis del proveedor indicaba índice de fluidez dentro de rango, pero la inspección de recibo no verifica esa propiedad y no existe un acuerdo de calidad que defina tolerancias y método. Al ampliar la muestra a los otros dos proveedores de resina, la situación es la misma. No conformidad mayor contra §8.4.2 y §8.4.3: no se determinan los controles a aplicar a las salidas del proveedor ni se comunican los criterios de aceptación, lo que ya causó paros de producción.
- Las órdenes de compra muestreadas incluyen especificación, cantidad y fecha de entrega. Conforme con §8.4.3.
- Oportunidad de mejora: el indicador de entregas a tiempo se calcula manualmente cada mes; podría obtenerse del ERP.
Cierre: en la reunión de cierre se presentan los hallazgos al gerente de compras y al de calidad. Se acuerda contención inmediata (verificar índice de fluidez en recibo de todos los lotes de resina mientras se formaliza el acuerdo) y un plazo de 10 días hábiles para entregar análisis de causa y plan de acción.
Paso 5: informe, seguimiento y cierre
ISO 19011 §6.5 a §6.7 cubren el informe, la finalización y el seguimiento. El informe debe ser claro y breve: objetivo, alcance, criterios, equipo, fechas, resumen de conclusiones, hallazgos con su evidencia y una opinión sobre el grado de eficacia del proceso auditado. Evita informes de veinte páginas que nadie lee.
El seguimiento se conecta con ISO 9001 §10.2. El responsable del proceso debe aplicar la corrección, analizar la causa, implementar acciones y demostrar su eficacia. El auditor (u otra persona competente) verifica el cierre con evidencia, no con una firma. Los resultados consolidados del programa alimentan la revisión por la dirección (§9.3.2 c) 6).
El cierre no es cuando se implementa la acción
Una acción correctiva se cierra cuando se demuestra que fue eficaz: el problema no se repitió durante un periodo razonable, el indicador mejoró o una auditoría posterior lo confirma. Cerrar el día en que se actualizó un procedimiento es uno de los hallazgos más frecuentes en auditorías de certificación. Revisa cómo hacerlo en nuestra guía de gestión de no conformidades ISO 9001.
Hallazgos típicos sobre la auditoría interna ISO 9001
| No conformidad típica | Cláusula | Cómo corregir |
|---|---|---|
| El programa no cubre todos los procesos del alcance en el ciclo definido | §9.2.1 | Construir una matriz procesos × cláusulas × periodos y verificar cobertura completa |
| Frecuencias iguales para todos los procesos, sin criterio | §9.2.2 a) | Documentar criterios de importancia, cambios y resultados previos; ajustar frecuencias |
| Auditor interno audita su propio proceso | §9.2.2 c) | Reasignar; usar auditores cruzados o externos para áreas pequeñas |
| Auditores sin evidencia de competencia | §7.2 y §9.2.2 c) | Definir perfil (formación en ISO 9001 e ISO 19011, auditorías acompañadas) y conservar evidencia |
| Listas de verificación sin evidencia anotada ("sí/no") | §9.2.2 f) | Registrar la evidencia muestreada: identificadores, fechas, personas entrevistadas |
| Hallazgos sin acción o con acciones vencidas | §9.2.2 e) y §10.2 | Seguimiento mensual de acciones con responsables y escalamiento a la dirección |
| Resultados de auditoría ausentes en la revisión por la dirección | §9.3.2 c) 6) | Incluir resumen de hallazgos, tendencias y eficacia del programa en la agenda |
Cómo medir la eficacia del programa de auditoría
ISO 19011 §5.6 y §5.7 piden dar seguimiento al programa y revisarlo para mejorarlo. Algunos indicadores útiles y fáciles de calcular:
- Reincidencia de hallazgos: número de hallazgos repetidos en el mismo proceso entre auditorías consecutivas. Una reincidencia alta indica análisis de causa deficiente.
- Hallazgos externos no detectados internamente: no conformidades que levantó el organismo certificador o un cliente en procesos auditados internamente en los últimos meses. Es el indicador más honesto de la profundidad de tu auditoría interna.
Para diseñar estos y otros indicadores, revisa nuestra guía de KPIs e indicadores para sistemas de gestión ISO.
Checklist de auditoría interna ISO 9001
- El programa anual cubre todos los procesos y requisitos del alcance.
- Las frecuencias se basan en criterios documentados de importancia, cambios y resultados previos.
- Los auditores cumplen un perfil de competencia definido y hay evidencia de ello.
- Nadie audita su propio trabajo.
- Cada auditoría tiene plan con objetivo, alcance, criterios, horario y auditores asignados.
- Las listas de verificación son específicas del proceso y registran la evidencia muestreada.
- La muestra la selecciona el auditor e incluye casos de mayor riesgo.
- Los hallazgos citan requisito, evidencia y declaración del incumplimiento.
- Existe un criterio documentado de graduación de hallazgos.
- Los informes se entregan a los responsables en el plazo definido.
- Las acciones correctivas se cierran solo con evidencia de eficacia.
- Los resultados del programa se presentan en la revisión por la dirección.
Cómo lo abordamos en Quality College
En Quality College tratamos la auditoría interna como el sistema de alerta temprana del SGC. En los proyectos de ISO 9001 formamos a tus auditores internos con casos de tu propia operación, diseñamos contigo el programa basado en riesgos y realizamos una auditoría interna completa con criterios de tercera parte antes de la etapa 2 de certificación, para que el organismo certificador no encuentre lo que tu equipo pudo haber detectado. Si quieres profundizar en el perfil de quien dirige esas auditorías, consulta nuestra guía sobre el auditor líder ISO 9001.
Para la operación diaria, ISO Track® permite gestionar el programa, los planes, los hallazgos y el seguimiento de acciones con trazabilidad completa, y Qualitix Bot® ayuda a preparar listas de verificación por proceso y a revisar la redacción de hallazgos. Con más de 150 organizaciones acompañadas en 8 años, nuestro enfoque es sobrio: menos papeles y más evidencia de que el sistema funciona.