Reunir evidencias para auditorías internas y de certificación

Auditorías internas y auditorías de certificación

Una auditoría interna es la que usted realiza sobre su propia organización para comprobar que lo que ocurre en la práctica coincide con lo que dicen sus procedimientos. Una auditoría de certificación la realiza un organismo de certificación externo frente a una norma, normalmente una norma de sistemas de gestión como ISO 9001 (calidad), ISO 14001 (medio ambiente) o ISO 45001 (seguridad y salud en el trabajo). Las auditorías de clientes y de proveedores se sitúan en algún punto intermedio.

Este sitio no describe los requisitos de esas normas cláusula por cláusula; lea la propia norma o pregunte a su organismo de certificación. En términos generales, una auditoría de un sistema de gestión busca evidencias de que usted ha definido cómo trabaja, de que trabaja así, de que conserva registros que lo demuestran y de que lo revisa y lo mejora. Las evidencias suelen ser registros normales de la empresa: procedimientos, registros, registros de formación, hojas de inspección, actas de reuniones, acciones correctivas.

Eso es una buena noticia para la automatización. Las evidencias ya existen, dispersas en carpetas, buzones y personas. El trabajo consiste en reunirlas.

Del plan de auditoría a la lista de evidencias

La mayoría de las auditorías empiezan con un plan o una lista de solicitudes del auditor, o con su propia lista de verificación de auditoría interna. Convertir eso en evidencias reunidas implica siempre los mismos pasos:

1. Dividir la solicitud en elementos individuales, cada uno con un responsable.
2. Encontrar lo que ya existe en sus archivos.
3. Pedir a los responsables lo que no encuentre.
4. Comprobar que cada elemento es la versión vigente y cubre el periodo auditado.
5. Archivarlo de forma que el auditor pueda seguir el rastro.
6. Llevar una lista de carencias y decidir qué hacer con cada una.

Los pasos 1, 2, 3 y 5 y la lista de carencias son administración. El paso 4 es en parte administración (fechas y versiones) y en parte criterio. Decidir qué hacer con las carencias es criterio.

Cómo un trabajador de IA recopila evidencias

The Everything puede leer el plan de auditoría o la lista de verificación que usted le dé y trabajar sobre ella en su inquilino de Microsoft 365:

• Búsqueda. Busca registros que coincidan en SharePoint y OneDrive, como las dos últimas actas de revisión por la dirección, el registro de riesgos vigente o los registros de inspección de un centro y un periodo concretos.
• Recopilación. Copia o enlaza lo que encuentra en una carpeta de auditoría, con un índice que relaciona cada elemento solicitado con el archivo que lo responde.
• Seguimiento. Para los elementos que no encuentra, pregunta al responsable probable por correo electrónico o Teams, hace seguimiento y archiva lo que recibe.
• Señalamiento. Anota los elementos que parecen desactualizados o fuera del periodo auditado, y enumera las carencias para que usted las revise.
• Redacción. Tras la auditoría, puede convertir los hallazgos en una lista de acciones correctivas con responsables y fechas límite, y avisar a los responsables a medida que se acercan las fechas.

Como los mismos registros alimentan todas las auditorías, mantener al día durante todo el año sus registros, sus documentos controlados y sus registros de formación reduce mucho el trabajo de cada auditoría.

Conserve los originales, no copias que se desvían

Una carpeta de auditoría debe apuntar a sus registros reales, no convertirse en un segundo juego de ellos. Reglas prácticas que funcionan bien:

• Enlace a la versión controlada siempre que pueda y copie solo cuando el auditor necesite una instantánea fija.
• Nunca modifique un registro para que quede mejor en una auditoría. Si falta algo, deje constancia de la carencia.
• Guarde el índice con la fecha en que se elaboró y quién lo aprobó.

Algunos sectores regulados tienen normas explícitas sobre pistas de auditoría. En Estados Unidos, las normas de la FDA sobre registros electrónicos (21 CFR Part 11, §11.10(e), la regulación federal estadounidense sobre registros y firmas electrónicos) exigen «pistas de auditoría seguras, generadas informáticamente y con marca de tiempo» y establecen que «los cambios en los registros no deben ocultar la información registrada previamente». Si está sujeto a normas así, compruebe cómo las cumplen sus sistemas de registro; un asistente de IA no cambia esas obligaciones.

Lo que queda en manos de una persona

• Adecuación. Si un registro demuestra realmente lo que el auditor necesita es una cuestión de criterio para alguien que conozca el proceso.
• La conversación con el auditor. Las personas responden preguntas, explican el contexto y aceptan o rebaten los hallazgos.
• Carencias. Decidir cómo responder a la falta de evidencias, y ser honesto al respecto, es una decisión de la dirección.
• Acciones correctivas. La IA puede hacer su seguimiento, pero el responsable decide cuál es la solución y confirma que está hecha.

Antes de empezar

The Everything se ejecuta dentro de su inquilino (tenant) de Microsoft 365 con permisos estrictamente acotados, pero sus datos sí salen del inquilino para el procesamiento con IA. Su política de privacidad nombra a Microsoft (Azure OpenAI) y a OpenAI como proveedores de IA e indica que los proveedores pueden procesar información fuera de su país. El sitio público no declara ninguna certificación, como SOC 2 o ISO 27001, ni indica un país de alojamiento.

Las carpetas de auditoría tienden a acumular material sensible: expedientes de personal, informes de incidentes, contratos con clientes. Antes de empezar, compruebe sus propias obligaciones de privacidad y de conservación de registros y cualquier cláusula de confidencialidad con clientes o con su organismo de certificación, y decida en qué sitios y carpetas puede buscar la IA. The Everything no declara ninguna certificación propia, así que usarlo no es evidencia de cumplimiento de ninguna norma.

Preguntas frecuentes