« Auditoría en blanco », « preauditoría », « auditoría previa »: el vocabulario varía, la petición es siempre la misma. Una empresa que aspira a la certificación ISO 9001, o que teme su auditoría de renovación, quiere saber qué encontrará un auditor externo antes de que lo encuentre. El ejercicio es útil, pero solo en condiciones precisas, y la mayoría de las preauditorías decepcionantes fracasan por las mismas cuatro.

Lo que una preauditoría no es

No es una segunda auditoría interna. La auditoría interna, exigida por el capítulo 9.2 de la ISO 9001:2015, pone a prueba su sistema frente a la norma y frente a sus propias reglas; está planificada, es conocida y la realizan personas de la casa. La preauditoría pone a prueba otra cosa: su organización frente a la manera en que un organismo de certificación la va a auditar. No es el mismo ángulo, y por eso un sistema que supera sus auditorías internas sin desviaciones puede salir de una preauditoría con una decena de hallazgos.

Ninguna norma exige una preauditoría. No hacerla no es una no conformidad, y nadie le pedirá pruebas de ello. Es una práctica de preparación, y se juzga únicamente por lo que le enseña.

Las cuatro condiciones para que sirva

Una preauditoría mal montada produce un informe tranquilizador y ninguna información. Cuatro condiciones la separan de una visita de cortesía.

  1. El auditor no ha escrito el sistema. Es la prolongación directa de lo que pide el apartado 9.2.2 c), que quiere que la selección de los auditores y la realización de las auditorías aseguren la objetividad y la imparcialidad del proceso. Quien audita el manual que redactó lee lo que quiso escribir, no lo que se aplica.
  2. La muestra no se anuncia en detalle. El alcance y el programa se comunican, por supuesto. Los expedientes, los lotes, los puestos y los registros que se pedirán, no. Una auditoría cuya lista de documentos se conoce de antemano mide la capacidad de preparar una lista.
  3. Las entrevistas bajan hasta los operarios. El hallazgo más frecuente en certificación no está en los documentos, está entre lo que describe el procedimiento y lo que la persona hace realmente. Ese desfase solo se ve en el puesto, preguntando a quien lo ocupa.
  4. Los hallazgos se redactan como en certificación. Un hecho fechado, el apartado afectado, la evidencia constatada y una formulación que resista una impugnación. Un hallazgo escrito en estilo de nota interna no prepara para nada.

Lo que pone a prueba y la auditoría interna no

Tres cosas, y rara vez son las esperadas.

El plazo para producir la evidencia. En certificación, un registro que hay que ir a buscar durante veinte minutos cuenta como un registro que no se encuentra. La preauditoría mide ese plazo real, en un puesto real, con la persona que deberá producirlo llegado el día.

La coherencia entre lo dicho y lo hecho. Un procedimiento de control que prevé tres verificaciones cuando el operario hace dos y lo justifica perfectamente no es un problema de operario: es un procedimiento que describe un trabajo que nadie hace. La preauditoría es la ocasión de descubrirlo sin que cueste una desviación.

La conducción de la reunión de cierre. Es el momento en que un equipo no preparado convierte un hallazgo menor en una discusión, y una discusión en una mayor. Saber escuchar un hallazgo, pedir la evidencia en que se apoya y aceptar o rebatir sobre hechos se aprende haciéndolo una vez.

Cuándo programarla

Bastante pronto para corregir, bastante tarde para que el sistema haya funcionado. Dos errores simétricos: la preauditoría quince días antes de la certificación, que solo deja tiempo de corregir el formato de los documentos, y la preauditoría seis meses antes, sobre un sistema que aún no ha producido registros y del que, por tanto, nada puede verificarse. Un intervalo de dos a tres meses deja tiempo para actuar sobre las causas, que es el único tipo de corrección que resiste hasta la auditoría real.

Para una renovación el razonamiento cambia: lo que cuenta es haber atravesado un ciclo completo, con una revisión por la dirección y una auditoría interna, porque es precisamente lo que el organismo vendrá a verificar.

Qué hacer con los hallazgos

Los hallazgos de una preauditoría no son no conformidades en el sentido de su sistema: no abren su proceso de tratamiento de no conformidades y no tienen por qué alimentar sus indicadores. Alimentan un plan de acciones fechado, con un responsable por línea, y nada más.

La trampa cabe en una frase: un hallazgo que se corrige modificando un documento y no una práctica volverá en certificación, idéntico. Si la preauditoría muestra que el procedimiento describe tres controles y el puesto hace dos, la cuestión que hay que zanjar es cuál de las dos descripciones es la buena, no cuál es más rápida de reescribir.

El referencial de conducción es el mismo

Una preauditoría se realiza según la ISO 19011, como una auditoría interna y como una auditoría de certificación: mismos principios, mismo desarrollo, misma exigencia sobre las evidencias objetivas. Es lo que hace el ejercicio representativo, y es también lo que permite encargarlo a alguien cuya competencia usted puede verificar. Sobre los grados de auditor y lo que cabe esperar de cada uno, véase los tres niveles de auditor ISO; sobre la formulación de un hallazgo, aprobar el examen de auditor de calidad detalla el ejercicio.

HEMC realiza auditorías internas y preauditorías según la ISO 19011: véase nuestra oferta de auditoría.