Qué exige el requisito
La auditoría interna es el mecanismo por el cual la propia organización verifica, a intervalos planificados, si el sistema de gestión de la calidad cumple sus propios requisitos y los de la norma, y si está funcionando de verdad. La 9.2 no dice cuántas auditorías hacer; pide un programa que defina la frecuencia, los métodos, las responsabilidades, la planificación y la forma de informar los resultados. Ese programa es un documento vivo: se ajusta cuando cambia un proceso, cuando entra un sistema nuevo o cuando aparece un problema relevante.
El programa no puede ser igual para todos los procesos. La norma pide que tenga en cuenta la importancia de cada proceso, los cambios que afectan a la organización y los resultados de las auditorías anteriores. Un proceso crítico, con un cambio reciente o con un problema en la última auditoría, merece ser auditado más veces o con más profundidad.
Para cada auditoría, la organización define los criterios y el alcance, elige auditores que aseguren la objetividad y la imparcialidad (nadie audita su propio trabajo), informa los resultados a la dirección pertinente y toma la corrección y la acción correctiva sin demora injustificada. Los registros del programa y de los resultados tienen que conservarse. Una auditoría interna bien hecha es la mejor preparación para la auditoría del organismo de certificación. El objetivo no es acumular hallazgos, sino encontrar antes lo que el auditor externo encontraría después.
Qué pide ver el auditor
- Programa anual de auditorías con procesos, fechas y justificación de la frecuencia
- Plan de cada auditoría con criterios, alcance y auditores designados
- Evidencia de que el auditor no auditó su propio trabajo
- Informe con los hallazgos en el formato requisito, evidencia y hecho
- Tratamiento de los hallazgos (corrección y acción correctiva) con plazo y verificación
Dónde se equivocan más las empresas
- Programa con todos los procesos una vez al año, sin considerar importancia ni historial
- Auditoría concentrada en la semana previa a la certificación, solo para cumplir
- Hallazgos vagos ("mejorar la organización") sin requisito ni evidencia
- Auditor interno evaluando su propia área
- Ninguna no conformidad encontrada año tras año: señal de auditoría superficial
- Hallazgos informados y nunca convertidos en acción con responsable y plazo
- Informe de auditoría entregado semanas después, cuando el área ya olvidó el contexto
- Alcance descrito de forma genérica, sin decir qué procesos y qué turnos se cubrieron
Ejemplo de no conformidad
- Requisito
- ISO 9001, 9.2.2 a): el programa de auditoría debe tener en cuenta la importancia de los procesos y los resultados de las auditorías previas.
- Evidencia
- El programa 2026 prevé una auditoría anual para todos los procesos. El proceso de compras tuvo 3 no conformidades en la auditoría de 2025 y un cambio de sistema en 03/2026, pero recibió la misma frecuencia y la misma duración que los demás.
- Hallazgo
- El programa de auditorías no considera la importancia ni el historial de los procesos.
Cómo cumplirlo en PrismaBiz
Plantillas listas para este requisito
Preguntas frecuentes
¿La auditoría interna puede hacerla un empleado de la organización?
Puede, siempre que no audite su propio trabajo. Las organizaciones pequeñas suelen cruzar auditores entre áreas o contratar un auditor externo solo para auditar el área de calidad.
¿El auditor interno necesita un curso?
ISO 9001 exige competencia e imparcialidad, no un curso específico. En la práctica, un curso de auditor interno basado en ISO 19011 es la forma más común de evidenciar esa competencia.
¿Con qué frecuencia hacer la auditoría interna?
La norma dice "a intervalos planificados". El mínimo que aceptan los organismos de certificación suele ser cubrir todo el sistema dentro del ciclo anual, con los procesos críticos auditados con más frecuencia.