Una auditoría interna efectiva es un proceso sistemático que verifica si tu SGSST realmente funciona, no solo si los documentos existen.
El error más común antes de empezar
Imagina que eres el responsable de seguridad en una planta de Bimbo en Toluca. La auditoría interna está programada para el viernes. El jueves, el supervisor ya le avisó a todos los operadores qué áreas van a revisar. El viernes, todo luce perfecto: los extintores están marcados, las bitácoras están al corriente y nadie usa el celular en la línea de producción.
Una semana después, hay un accidente menor. ¿Por qué falló la auditoría? Porque fue una revisión de imagen, no una verificación real del sistema. Una auditoría interna efectiva no busca que todo se vea bien. Busca encontrar lo que está mal antes de que cause daño.
El sistema PERI: cuatro fases de una auditoría interna
Puedes organizar cualquier auditoría interna con el sistema PERI: Planificación, Ejecución, Registro e Informe. Cada fase tiene una función específica y no se puede saltar ninguna.
Planificación: define qué vas a revisar y cómo
Antes de entrar a cualquier área, necesitas tres cosas: un programa anual de auditorías, un plan específico para esta auditoría y una lista de verificación basada en los requisitos de ISO 45001.
El programa anual debe cubrir todos los elementos del SGSST al menos una vez al año. No tienes que auditar todo el sistema en un solo día. Puedes dividirlo por procesos, áreas o cláusulas de la norma. Lo importante es que al cierre del año hayas revisado el sistema completo.
Para el plan específico, define:
- ¿Qué cláusulas o procesos vas a auditar?
- ¿Qué áreas físicas vas a recorrer?
- ¿A quién vas a entrevistar?
- ¿Qué documentos vas a solicitar?
- ¿Cuánto tiempo tienes para cada actividad?
Una lista de verificación bien diseñada no pregunta "¿existe el procedimiento?". Pregunta "¿el procedimiento refleja lo que realmente se hace?" y "¿el personal que lo ejecuta puede explicarlo con sus propias palabras?". Esa diferencia es la que separa a un auditor técnico de un auditor efectivo.
Ejecución: tres técnicas que no puedes omitir
Una auditoría interna profesional usa tres técnicas en combinación: entrevista, revisión documental y recorrido de instalaciones. Ninguna funciona sola.
Técnica 1: La entrevista dirigida
No preguntes "¿sabes qué hacer en caso de emergencia?". Esa pregunta tiene una sola respuesta correcta y cualquier persona la da aunque nunca haya leído el procedimiento.
En cambio, pregunta de forma situacional: "Si hoy hubiera un derrame de solvente en tu área, ¿qué harías primero?" o "¿Cuándo fue la última vez que participaste en un simulacro?" o "¿Qué haces si detectas una condición insegura que no puedes corregir tú mismo?"
En una auditoría a una bodega de FEMSA en Monterrey, un auditor hizo estas preguntas a cinco operadores del área de carga. Tres de ellos no sabían dónde estaba la hoja de datos de seguridad del gas refrigerante. El documento existía, estaba archivado y estaba actualizado. Pero nadie sabía dónde consultarlo. Eso es una no conformidad real.
Técnica 2: La revisión documental con propósito
No pidas documentos para coleccionar papeles. Pide documentos para cruzar información. Por ejemplo:
- Compara la lista de capacitaciones programadas con los registros de asistencia. ¿Coinciden las fechas?
- Toma tres nombres de trabajadores del área y verifica si tienen registradas todas las capacitaciones obligatorias de su puesto.
- Revisa las últimas cinco inspecciones de equipos de protección personal. ¿Se registraron hallazgos? Si los hallazgos siempre dicen "sin observaciones", eso es una señal de alerta.
Una revisión documental honesta busca inconsistencias, no confirmar que los archivos están ordenados.
Técnica 3: El recorrido de instalaciones con evidencia
El recorrido no es un paseo. Es una búsqueda activa de evidencia física que confirme o contradiga lo que dicen los documentos.
Lleva tu lista de verificación. Toma fotografías fechadas. Mide distancias si el procedimiento especifica separaciones mínimas. Verifica que las señales de evacuación sean visibles desde todos los puntos del recorrido. Revisa que los equipos de emergencia estén accesibles, no bloqueados por tarimas o cajas.
En una auditoría a una tienda de Liverpool en Ciudad de México, el auditor notó que el extintor del área de almacén tenía su calcomanía de revisión al corriente. Pero estaba colocado detrás de un anaquel de cajas que pesaba más de 40 kilos. En una emergencia, nadie podría tomarlo rápidamente. El documento decía que el extintor estaba "en buen estado y accesible". La realidad decía lo contrario.
Registro: la evidencia es tu respaldo
Cada hallazgo necesita evidencia objetiva. No basta con escribir "el área estaba desordenada". Escribe: "En el pasillo norte del almacén 3, se encontraron cuatro tarimas vacías bloqueando la señal de salida de emergencia, a las 10:40 horas del día de la auditoría. Se tomó fotografía como evidencia (Foto_Auditoría_08_2024_001)."
Un hallazgo bien registrado tiene:
- Descripción específica del incumplimiento
- Requisito de ISO 45001 o procedimiento interno que se incumple
- Evidencia objetiva (foto, documento, declaración citada textualmente)
- Área y persona responsable
- Fecha y hora del hallazgo
Sin estos elementos, el hallazgo no tiene valor para el sistema. No podrás darle seguimiento y no podrás verificar que se corrigió.
Informe: cierra el ciclo con claridad
El informe de auditoría no es un regaño. Es una herramienta de mejora. Debe incluir el alcance de la auditoría, los criterios que se usaron, los hallazgos clasificados por tipo (no conformidad mayor, no conformidad menor u oportunidad de mejora) y las recomendaciones para la corrección.
Presenta el informe a la dirección y a los responsables de cada área auditada. Una auditoría sin informe formal es como una consulta médica sin diagnóstico escrito: nadie sabe qué corregir ni cómo verificar que se corrigió.
Errores comunes que invalidan una auditoría
Existen cuatro errores que convierten una auditoría interna en un trámite inútil:
Auditar solo lo que está bien documentado. Si un proceso no tiene procedimiento escrito, no lo ignores. Eso ya es un hallazgo.
Avisar con demasiada anticipación. Dar aviso razonable está bien. Dar una semana de anticipación con el detalle de qué áreas se revisarán permite que el personal "prepare" la auditoría, no que trabaje con normalidad.
No entrevistar a los trabajadores operativos. Los supervisores conocen los procedimientos. Los operadores conocen la realidad del trabajo diario. Ambas perspectivas son necesarias.
Cerrar hallazgos sin verificar la corrección. Como aprendiste en la lección anterior, una no conformidad se cierra cuando existe evidencia de que la causa raíz fue eliminada. Decir "ya se corrigió" sin verificarlo es reincidir en el mismo error.
La independencia del auditor
ISO 45001 requiere que los auditores internos sean independientes del área que auditan. Esto no significa que deban ser externos a la empresa. Significa que no deben auditar su propio trabajo.
En una empresa mediana como una distribuidora de Mercado Libre en Guadalajara, el responsable de seguridad puede auditar las áreas operativas, pero otra persona debe auditar los registros del propio departamento de seguridad. Esta independencia protege la objetividad del proceso y le da credibilidad a los resultados.
La auditoría como conversación, no como inspección
Los mejores auditores internos no llegan con actitud de inspector. Llegan con actitud de investigador curioso. Preguntan, escuchan, observan y contrastan. No buscan culpables. Buscan fallas en el sistema.
Cuando un trabajador ve al auditor como alguien que quiere mejorar las condiciones de trabajo, habla con libertad. Cuando lo ve como alguien que busca a quién castigar, se cierra. Esa diferencia de actitud determina la calidad de la información que obtienes.
Una auditoría interna efectiva no encuentra todo lo que está bien: encuentra lo que el sistema aún no puede ver por sí mismo.