Inicio → Blog → Auditoría interna ISO 9001: cómo preparar la documentación sin volverte loco

Calidad · Auditoría

Auditoría interna ISO 9001: cómo preparar la documentación sin volverte loco

Por el equipo técnico de IndustriaKit · Más de 15 años de experiencia en el sector industrial · Actualizado: 2 de agosto de 2026 · Lectura: 9 min

La semana antes de la auditoría interna se parece demasiado a la semana antes de un examen: se buscan registros que deberían existir, se firman actas con fecha antigua y se imprime una carpeta que nadie volverá a abrir. Es un desperdicio, porque la auditoría interna es la única herramienta del sistema que trabaja para ti en vez de para el certificador.

Qué pide el capítulo 9.2 y qué no pide

ISO 9001:2015 exige, en su apartado 9.2, que la organización realice auditorías internas a intervalos planificados para determinar dos cosas: si el sistema es conforme con los requisitos propios de la organización y con los de la norma, y si está implementado y mantenido eficazmente. Para ello hay que planificar, establecer, implementar y mantener uno o varios programas de auditoría que incluyan frecuencia, métodos, responsabilidades, requisitos de planificación e informe, y que tengan en cuenta la importancia de los procesos, los cambios y los resultados de auditorías previas.

Tres consecuencias que se ignoran a menudo. La primera: la norma no obliga a auditar todos los procesos todos los años, obliga a que el programa esté justificado por riesgo e importancia. Auditar cada trimestre el proceso que concentra las reclamaciones y cada dos años el archivo documental es perfectamente defendible; auditarlo todo a partes iguales solo porque «toca» no lo es más. La segunda: hay que conservar información documentada como evidencia de la implementación del programa y de los resultados. La tercera: los auditores no deben auditar su propio trabajo, lo que en una empresa pequeña se resuelve con auditorías cruzadas entre áreas o con un auditor externo contratado como interno.

La preparación, en cuatro semanas

Cuatro semanas antes. Confirma el alcance y los criterios por escrito: qué procesos, qué periodo, contra qué se audita —la norma, los procedimientos propios, requisitos legales y de cliente—. Sin criterios definidos, un hallazgo es una opinión.

Tres semanas antes. Reúne la documentación de referencia y comprueba que la versión vigente es la que está en uso: política y objetivos de calidad, mapa o matriz de procesos con entradas y salidas, procedimientos e instrucciones aplicables, y la última revisión por la dirección. Este es el punto donde aparece el hallazgo clásico: el procedimiento en el servidor va por la revisión 5 y en la línea hay plastificada la revisión 3.

Dos semanas antes. Extrae los registros del periodo, que son la evidencia real: no conformidades internas y de cliente con su estado, reclamaciones y su tratamiento, evaluación y reevaluación de proveedores, registros de formación y de competencia, calibraciones y verificaciones de los equipos de seguimiento y medición, control de producto no conforme, resultados de los indicadores frente a los objetivos y acciones abiertas de auditorías anteriores. Si un registro no existe, es mejor descubrirlo ahora y anotarlo tú que verlo escrito en el informe.

Una semana antes. Prepara la lista de verificación y avisa a las personas concretas, no a los departamentos. Un auditor que llega y no encuentra a quien opera el proceso pierde media jornada y acaba auditando papeles en lugar de realidad.

Cómo se clasifica un hallazgo

La clasificación no es burocracia: determina el plazo y la profundidad de la respuesta. La convención más extendida distingue cuatro niveles:

• No conformidad mayor. Ausencia total de un requisito, fallo sistémico o incumplimiento que compromete la capacidad del sistema para asegurar productos y servicios conformes. Por ejemplo: no existe control de los equipos de medición que determinan la conformidad del producto.
• No conformidad menor. Incumplimiento puntual y aislado que no invalida el sistema. Por ejemplo: dos de los quince registros de formación revisados no están firmados.
• Observación. Situación que aún cumple pero que evoluciona hacia el incumplimiento si no se atiende.
• Oportunidad de mejora. Sugerencia que no responde a ningún incumplimiento. No obliga a nada y por eso conviene no disfrazar con ella una no conformidad incómoda.

Todo hallazgo necesita tres elementos para sostenerse: el requisito incumplido citado con precisión, la evidencia objetiva concreta —documento, número, fecha, persona entrevistada— y la declaración del incumplimiento. Un hallazgo sin evidencia trazable se cae en cuanto alguien lo discute.

Corrección no es acción correctiva

Este es el punto donde falla la mayoría de sistemas, y el que el capítulo 10.2 de la norma describe con más detalle. Ante una no conformidad hay que reaccionar y, cuando sea aplicable, corregirla y hacer frente a sus consecuencias. Pero además hay que evaluar la necesidad de acciones para eliminar la causa, revisando y analizando la no conformidad, determinando sus causas y determinando si existen no conformidades similares o si podrían ocurrir.

Ejemplo concreto. Hallazgo: un calibre está fuera del plazo de calibración. Corrección: enviarlo a calibrar. Eso no es una acción correctiva; es apagar el fuego. La acción correctiva empieza al preguntar por qué se pasó el plazo: ¿el aviso no existía?, ¿existía y llegaba a alguien que ya no está?, ¿el equipo no estaba en el inventario? Y sigue al preguntar cuántos equipos más están en la misma situación. Si el informe solo dice «se ha calibrado el equipo», el año que viene tendrás el mismo hallazgo con otro número de serie.

Escribe siempre, para cada no conformidad: corrección aplicada, causa raíz identificada, acción sobre la causa, responsable, plazo, y verificación de eficacia con su fecha. Ese último campo es el que casi nadie rellena y el primero que un auditor externo mira.

Del informe a la revisión por la dirección

Los resultados de las auditorías internas son una entrada obligatoria de la revisión por la dirección (capítulo 9.3). Eso significa que el informe no termina en el archivador de calidad: alimenta una decisión sobre recursos, sobre cambios en el sistema y sobre objetivos. Presentar en la revisión el número de hallazgos por proceso, su tendencia frente al año anterior y el porcentaje de acciones cerradas en plazo convierte una obligación formal en una conversación de gestión que la dirección sí escucha.

Un último consejo operativo: mantén un único registro vivo de hallazgos, con una fila por hallazgo y columnas para origen (auditoría interna, externa, reclamación, incidencia), proceso, clasificación, responsable, plazo, estado y fecha de verificación de eficacia. Ese registro responde en diez segundos las tres preguntas que se hacen en toda auditoría —qué está abierto, qué está vencido y qué se ha repetido— y elimina de golpe la semana de pánico previa.

Preguntas frecuentes

¿Cada cuánto hay que hacer la auditoría interna en ISO 9001?

La norma no fija una frecuencia concreta: exige un programa de auditoría a intervalos planificados que tenga en cuenta la importancia de los procesos, los cambios que afecten a la organización y los resultados de auditorías previas. En la práctica lo habitual es cubrir todo el alcance del sistema en un ciclo anual, auditando con mayor frecuencia los procesos críticos o los que acumulan incidencias, y siempre antes de la auditoría de certificación o seguimiento.

¿Puede auditar alguien de la propia empresa?

Sí. ISO 9001:2015 exige seleccionar auditores y llevar a cabo las auditorías de forma que se asegure la objetividad e imparcialidad del proceso, y precisa que los auditores no deben auditar su propio trabajo. Personal interno formado en la norma y en técnicas de auditoría puede auditar áreas distintas a la suya. En organizaciones pequeñas, donde esa separación es difícil, se recurre a auditorías cruzadas entre centros o a un auditor externo contratado para realizar la auditoría interna.

¿Qué diferencia hay entre corrección y acción correctiva?

La corrección elimina la no conformidad detectada: se recalibra el equipo, se rehace el registro, se retira el producto. La acción correctiva elimina la causa que la produjo para que no vuelva a repetirse, y exige analizar la no conformidad, determinar sus causas y comprobar si existen o podrían existir no conformidades similares en otros puntos del sistema. Un informe que solo documenta correcciones genera los mismos hallazgos año tras año.