Después de leerlo, podrá redactar un hallazgo que nadie pueda discutir y llegar a la causa que hay detrás.
Definición
La ISO 19011 define los hallazgos como los resultados de evaluar las evidencias frente a los criterios, que muestran conformidad, no conformidad u oportunidad de mejora. La práctica de la auditoría interna suele presentarlos como criterio, condición, causa y consecuencia.
Por qué importa
La dirección actúa sobre lo que un hallazgo deja claro. Un hallazgo vago se discute, y la acción que sale de él suele tratar el síntoma.
Cómo funciona
Exponga el criterio y los hechos, con referencias suficientes para que otra persona pueda verificarlos, y deje fuera su opinión.
Explique el efecto en el negocio y busque la causa raíz, con los cinco porqués u otro método similar. Gradúelo en una escala definida de antemano.
Confirme los hechos con el equipo auditado. Acuerde una corrección para el problema inmediato, una acción correctiva para la causa, un responsable y una fecha. Más adelante, compruebe que funcionó.
Un caso práctico
Criterio: cifrado de portátiles, exigido por la política IS-04, sección 3. Hallazgo: 6 de 40 portátiles muestreados el 12 de marzo no están cifrados, según el informe de equipos. Efecto: un portátil perdido expondría datos de clientes. Causa: los equipos comprados localmente esquivan la configuración de informática. Gravedad: mayor.
La corrección es cifrar los seis antes del 20 de marzo. La acción correctiva va más al fondo: las compras pasan por informática a partir del 30 de abril.
Buenas prácticas
- Redacte un hallazgo por problema, para que cada uno pueda cerrarse por separado.
- Gradúe según el efecto en los objetivos. Diez casos triviales pueden importar menos que uno grave.
- Comente los hechos antes de que salga el informe, porque las sorpresas ponen al equipo auditado en su contra.
- Mantenga los hallazgos abiertos visibles para la dirección hasta que se cierren.
Errores frecuentes
- Señalar a una persona como causa. Detiene el análisis demasiado pronto y pone a la gente a la defensiva.
- Escribir «mejorar el proceso» como acción.
- Mezclar varios temas en un hallazgo, que entonces no se cierra nunca.
- Cerrar hallazgos sin comprobar si la solución funcionó.
Preguntas
- ¿Qué diferencia hay entre no conformidades mayores y menores?
- En certificación, una mayor afecta a la capacidad del sistema para lograr sus resultados, como un requisito ausente por completo. Una menor es un fallo aislado.
- ¿Qué es una observación de auditoría?
- Un punto que no es una no conformidad pero podría llegar a serlo, o podría mejorarse. La terminología varía según el esquema de auditoría.
- ¿Qué diferencia hay entre corrección y acción correctiva?
- Una corrección arregla el problema encontrado. Una acción correctiva elimina su causa, para que no vuelva.
- ¿Puede el equipo auditado discrepar de un hallazgo?
- Sí. Puede rebatir los hechos, y la ISO 19011 prevé que se registren las diferencias no resueltas.
- ¿Cuánto tiempo hay para cerrar un hallazgo?
- El plan de acción fija la fecha. Los organismos de certificación fijan sus propios límites para las no conformidades mayores.