El informe de auditoría interna es el producto final del ciclo: consolida qué se auditó, qué se encontró y qué necesita acción. La cláusula 9.2.2 exige que los resultados se informen a la gerencia pertinente — y el informe es la evidencia de eso. También alimenta dos destinos obligatorios: el tratamiento de las no conformidades (10.2) y la revisión por la dirección (9.3.2, que lista los "resultados de auditorías" como entrada).
La estructura que funciona: identificación (número, fechas, auditores, alcance y criterios); resumen ejecutivo de media página — para la dirección que no va a leer los detalles: evaluación general, números de hallazgos y los 2 o 3 puntos que merecen atención; hallazgos clasificados (NC mayor, NC menor, observación, oportunidad de mejora y fortalezas — sí, registre lo que está bien: da credibilidad y compromete a los auditados); y conclusión sobre la salud del sistema con los próximos pasos y los plazos para los planes de acción.
Dos errores minan los informes: el primero es la sorpresa — ningún hallazgo debe aparecer en el informe sin haber sido comunicado en la reunión de cierre; el informe no es lugar de revelaciones. El segundo es la demora: un informe publicado tres semanas después de la auditoría encuentra evidencias frías y auditados desconectados del tema. Plazo saludable: hasta 5 días hábiles después del cierre, con distribución registrada.
El modelo de abajo resume un informe real de una auditoría de un día y medio. Los hallazgos detallados siguen el formato requisito-evidencia-hecho de la plantilla de no conformidad de auditoría enlazada en esta página.