Programa de Auditoría: Implementación y Gestión Efectiva

4 Principios de Auditoría

Estos principios deberían hacer de la auditoría una herramienta eficaz y fiable en apoyo de las políticas y controles de gestión, proporcionando información sobre la cual una organización puede actuar para mejorar su desempeño.

• Integridad: el fundamento del profesionalismo
• Presentación ecuánime: obligación de reportar con veracidad y exactitud
• Debido cuidado profesional: la aplicación de diligencia y juicio al auditar
• Confidencialidad: seguridad de la información
• Independencia: la base para la imparcialidad de la auditoría y la objetividad de las conclusiones
• Enfoque basado en la evidencia: el método racional para alcanzar conclusiones fiables y reproducibles en un proceso sistemático.

5 Gestión de un Programa de Auditoría

5.1 Generalidades

El programa de auditoría debería incluir la información y recursos necesarios para organizar y conducir las auditorías de manera eficiente dentro de los tiempos especificados. Puede incluir lo siguiente:

• Objetivos para el programa y auditorías individuales
• Alcance, número, tipos, duración, ubicación y cronograma de las auditorías
• Procedimientos del programa de auditoría
• Criterios de auditoría
• Métodos de auditoría
• Selección de equipos auditores
• Recursos necesarios, incluyendo viajes y hospedaje
• Procesos para manejo de confidencialidad, seguridad de la información, salud y seguridad, y otros temas similares.

5.2 Establecer los objetivos del programa de auditoría

La alta gerencia debería asegurar que se hayan establecido objetivos que sirvan para dirigir la planeación, conducción e implementación efectiva del programa. Los objetivos deberían ser consistentes con la política y objetivos del sistema. Estos objetivos pueden estar basados en:

1. Prioridades de la gerencia
2. Intenciones comerciales y de otros negocios
3. Características de procesos, productos y proyectos y cualquier cambio en estos
4. Requisitos del sistema de gestión
5. Requisitos legales y contractuales y otros requisitos de la organización
6. Necesidad de evaluación de proveedores
7. Necesidades y expectativas de las partes interesadas, incluyendo clientes
8. Nivel de desempeño del auditado, reflejado en fallas, incidentes o quejas de clientes
9. Riesgos para el auditado
10. Resultados de auditorías previas
11. Nivel de madurez del sistema de gestión a ser auditado

5.3 Roles y Responsabilidades

5.3.1 Roles y responsabilidades de la persona que gestiona el programa de auditoría

La persona que gestiona el programa de auditoría debería:

• Establecer el alcance del programa
• Identificar y evaluar los riesgos del programa
• Establecer responsabilidades de auditoría
• Establecer procedimientos para el programa
• Determinar los recursos necesarios
• Asegurar la implementación del programa, incluyendo el establecimiento de objetivos, alcance y criterios de auditoría individuales, determinando los métodos de auditoría y seleccionando el equipo auditor y evaluando los auditores
• Asegurar el manejo y mantenimiento adecuado de los registros
• Monitorear, revisar y mejorar el programa

5.3.2 Competencia de la persona que gestiona el programa de auditoría

La persona que gestiona el programa debería tener competencia para gestionar el programa y los riesgos asociados. Se requiere conocimiento y habilidades en:

• Principios, procedimientos y métodos de auditoría
• Normas de sistemas de gestión y documentos de referencia
• Actividades, productos y procesos del auditado
• Requisitos legales y de otra índole aplicables, relevantes a las actividades y productos del auditado
• Clientes, proveedores y otras partes interesadas del auditado, cuando sea aplicable

5.3.3 Establecer el alcance del programa de auditoría

El alcance del programa puede variar dependiendo del tamaño y naturaleza del auditado, así como de la naturaleza, funcionalidad, complejidad y nivel de madurez y temas significativos para el sistema de gestión a ser auditado. Otros factores que impactan el alcance incluyen:

• Objetivo, alcance y duración de cada auditoría y el número de auditorías a llevar a cabo, incluyendo la auditoría de seguimiento, si aplica
• Número, importancia, complejidad, similitud y ubicaciones de las actividades a ser auditadas
• Factores que influencian la efectividad del sistema de gestión
• Criterios aplicables de auditoría
• Conclusiones de auditorías internas y externas previas
• Resultados de una revisión previa del programa de auditoría
• Temas de idioma, culturales y sociales
• Inquietudes de las partes interesadas
• Cambios significativos al auditado o sus operaciones
• Disponibilidad de información y tecnologías de comunicación
• Ocurrencia de eventos internos y externos (ej. fallas de productos, fugas de seguridad, incidentes de salud y seguridad, actos criminales o incidentes ambientales)

5.3.4 Identificación y evaluación de los riesgos del programa de auditoría

Existen riesgos asociados con el establecimiento, implementación, monitoreo, revisión y mejora de un programa de auditoría que pueden afectar el logro de sus objetivos. Estos riesgos pueden estar asociados con:

• Planeación (ej. falla para establecer objetivos relevantes o determinar el alcance)
• Recursos (ej. no permitir suficiente tiempo)
• Selección del equipo auditor (ej. equipo sin la competencia necesaria)
• Implementación (ej. comunicación inefectiva)
• Registros y su control (ej. falla para proteger adecuadamente los registros)
• Monitoreo, revisión y mejora (ej. monitoreo inefectivo de los resultados)

5.3.5 Establecer procedimientos para el programa de auditoría

Se deberían establecer procedimientos que den tratamiento a:

• Planeación y programación de auditorías
• Seguridad y confidencialidad de la información
• Competencia de los auditores y líderes de equipo
• Selección de equipos de auditoría y asignación de roles
• Realización de auditorías, incluyendo el uso de métodos de muestreo
• Conducción de auditoría de seguimiento
• Reporte a la alta gerencia
• Mantenimiento de registros
• Monitoreo y revisión del desempeño y mejora de la efectividad

5.3.6 Identificar los recursos del programa de auditoría

Al identificar los recursos necesarios, se debería considerar:

• Recursos financieros
• Métodos de auditoría
• Disponibilidad de auditores y expertos técnicos
• Alcance del programa y sus riesgos
• Tiempo y costos de viaje, hospedaje y otras necesidades
• Disponibilidad de información y tecnologías de comunicación

5.4 Implementación del programa de auditoría

5.4.1 Generalidades

La persona que gestiona el programa debería implementar el programa a través de:

• Comunicación de las partes pertinentes a las partes relevantes
• Definición de objetivos, alcance y criterios para cada auditoría individual
• Coordinación y programación de auditorías
• Selección de equipos de auditoría con la competencia necesaria
• Provisión de recursos necesarios a los equipos auditores
• Asegurar que las auditorías se lleven a cabo en concordancia con el programa y dentro del marco de tiempo establecido

5.4.2 Definición de objetivos, alcance y criterios para una auditoría individual

Cada auditoría individual debería estar basada en objetivos, alcance y criterios documentados. Los objetivos de auditoría definen lo que se debe lograr y pueden incluir:

• Determinación del grado de conformidad con los criterios de auditoría
• Determinación del grado de conformidad de las actividades, procesos y productos con los requisitos y procedimientos del sistema de gestión
• Evaluación de la capacidad del sistema de gestión para asegurar el cumplimiento con los requisitos legales y contractuales
• Evaluación de la efectividad del sistema de gestión para cumplir sus objetivos especificados
• Identificación de áreas potenciales de mejora del sistema de gestión

5.4.3 Selección de métodos de auditoría

La persona que gestiona el programa debería seleccionar los métodos para llevar a cabo una auditoría de manera efectiva, dependiendo de los objetivos, alcance y criterios de auditoría definidos. En auditorías conjuntas, las personas que gestionan los diferentes programas deberían ponerse de acuerdo sobre el método de auditoría.

5.4.4 Selección de los miembros del equipo auditor

Se debería nombrar a los miembros del equipo auditor, incluyendo el líder y cualquier experto técnico necesario. Al decidir sobre el tamaño y composición del equipo, se debería prestar atención a:

1. Competencia general del equipo
2. Complejidad de la auditoría
3. Métodos de auditoría seleccionados
4. Requisitos legales y contractuales
5. Independencia de los miembros del equipo y evitar conflicto de intereses
6. Habilidad de los miembros para interactuar efectivamente y trabajar juntos
7. Idioma de la auditoría y características sociales y culturales del auditado

Para asegurar la competencia general, se deberían tomar las siguientes medidas:

• Identificar el conocimiento y habilidades necesarias
• Seleccionar los miembros de manera tal que todo el conocimiento y habilidades necesarias estén presentes en el equipo

5.4.5 Asignación de responsabilidad de una auditoría individual al líder del equipo auditor

La persona que gestiona el programa debería asignar la responsabilidad al líder del equipo auditor con suficiente tiempo antes de la fecha de la auditoría. Se debería entregar la siguiente información:

1. Objetivos de auditoría
2. Criterios de auditoría y cualquier documento de referencia
3. Alcance de auditoría
4. Métodos y procedimientos de auditoría
5. Composición del equipo auditor
6. Detalles de contacto del auditado, locaciones, fechas y duración de las actividades
7. Adjudicación de recursos
8. Información necesaria para evaluar y tratar los riesgos

La información de asignación también debería cubrir:

• Idioma de trabajo y de reporte
• Contenido y distribución del reporte de auditoría
• Temas relacionados con confidencialidad y seguridad de la información
• Requisitos de salud y seguridad
• Requisitos de seguridad y autorizaciones
• Acciones de seguimiento
• Coordinación con otras actividades de auditoría

5.4.6 Gestión del resultado del programa de auditoría

Se deberían llevar a cabo las siguientes actividades:

• Revisar y aprobar los reportes de auditoría
• Revisar el análisis de causa raíz y la efectividad de las acciones correctivas o preventivas
• Distribución de los reportes de auditoría
• Determinar la necesidad de una auditoría de seguimiento

5.4.7 Gestión y mantenimiento de registros de programa de auditoría

Se deberían crear, gestionar y mantener registros para demostrar la implementación del programa. Se deberían establecer procesos para asegurar la confidencialidad. Los registros deberían incluir:

• Registros relacionados con el programa de auditoría (ej. objetivos, alcance, riesgos, revisiones de efectividad)
• Registros relacionados con cada auditoría individual (ej. planes, reportes, reportes de no conformidad, acciones correctivas y preventivas, reportes de seguimiento)
• Registros relacionados con personal de auditoría (ej. competencia, evaluación de desempeño, selección, mantenimiento y mejora de la competencia)

5.5 Monitoreo del programa de auditoría

Se debería monitorear la implementación, teniendo en cuenta la necesidad de:

1. Evaluar la conformidad con los programas, cronogramas y objetivos
2. Evaluar el desempeño de los miembros del equipo auditor
3. Evaluar la habilidad de los equipos para implementar el plan de auditoría
4. Evaluar la retroalimentación de la alta gerencia, auditados, auditores y otras partes interesadas

Factores que pueden determinar la necesidad de modificar el programa:

• Hallazgos de auditoría
• Nivel demostrado de efectividad del sistema de gestión
• Cambios en el sistema de gestión del cliente o del auditado
• Cambios en las normas, requisitos legales y contractuales
• Cambio de proveedor

5.6 Revisión y mejora del programa de auditoría

Se debería revisar el programa para evaluar si se han alcanzado sus objetivos. Las lecciones aprendidas deberían ser usadas para la mejora continua. La revisión debería considerar:

1. Resultados y tendencias del monitoreo
2. Conformidad con los procedimientos
3. Necesidades y expectativas cambiantes de las partes interesadas
4. Registros del programa de auditoría
5. Métodos nuevos o alternativos de auditoría
6. Efectividad de las medidas tomadas para tratar los riesgos
7. Temas de confidencialidad y seguridad de la información

Se debería revisar la implementación general, identificar áreas de mejora, enmendar el programa si es necesario, y también:

• Revisar el continuo desarrollo profesional de los auditores
• Reportar los resultados de la revisión a la alta gerencia