Auditoría interna ISO 9001: cómo planificarla, hacerla y redactar los hallazgos, con ejemplo
Por Sabrina Muñoz · actualizado el 13 de noviembre de 2026
Curso relacionado: Metodología 8D y análisis de causa raíz.
Una auditoría interna ISO 9001 es una revisión planificada, hecha por personas objetivas, para comprobar si tu sistema de gestión de la calidad cumple lo que exige la norma y lo que tú mismo has escrito, y si de verdad funciona. La pide el apartado 9.2 de la ISO 9001 y la guía para hacerla bien es la ISO 19011. Aquí te explico cómo montar el programa, cómo preparar y hacer una auditoría en planta y cómo redactar un hallazgo, con un ejemplo resuelto.
Qué pide la ISO 9001 en el apartado 9.2
La ISO 9001 vigente es la edición de 2026, publicada en septiembre de 2026; las empresas certificadas con la de 2015 tienen de plazo hasta el 30 de septiembre de 2029 para pasarse. Las dos ediciones siguen la estructura común de las normas de sistemas de gestión de ISO, en la que el apartado 9.2 es la auditoría interna. Resumido con mis palabras (la norma es de pago y no te la copio), pide:
- Auditar a intervalos planificados para saber si el sistema cumple tus requisitos y los de la norma, y si se aplica y mantiene de forma eficaz.
- Un programa de auditorías con frecuencia, métodos, responsabilidades, planificación e informes, que tenga en cuenta la importancia de los procesos, los cambios que les afectan y los resultados de auditorías anteriores.
- Criterios y alcance definidos para cada auditoría.
- Auditores elegidos para que sean objetivos e imparciales.
- Informar de los resultados a la dirección que corresponda.
- Corrección y acciones correctivas sin demora injustificada.
- Conservar información documentada del programa y de los resultados.
Fíjate en dos palabras: eficaz y programa. Una auditoría que solo comprueba que existen los procedimientos se queda en la mitad. Y un programa que audita todo igual cada año, sin mirar riesgos ni cambios, no cumple el espíritu de la norma. Si trabajas con la edición de 2026, comprueba en tu ejemplar la redacción exacta del 9.2 antes de actualizar tu procedimiento.
ISO 19011: la guía para auditar
La ISO 19011 da directrices para auditar cualquier sistema de gestión. No es certificable: es la guía de cómo hacerlo. En mayo de 2026 se publicó una edición nueva que sustituye a la de 2018; según el comité de ISO que la elabora, pone más atención en el impacto de la tecnología, la digitalización y las auditorías en remoto, y en el análisis de riesgos del propio programa.
La edición de 2018, que es la que mucha gente aprendió, resumía los principios del auditor en siete: integridad, presentación imparcial, debido cuidado profesional, confidencialidad, independencia, enfoque basado en la evidencia y enfoque basado en riesgos. Y se organizaba en tres bloques prácticos que siguen siendo el esqueleto de cualquier auditoría: gestionar el programa, realizar cada auditoría y la competencia de los auditores.
Paso 1: el programa anual basado en riesgos
El programa es una tabla sencilla: procesos en filas, meses en columnas y un criterio escrito de por qué cada proceso se audita una, dos o más veces. Este es un ejemplo para una planta de inyección de plástico:
| Proceso | Importancia | Cambios y resultados previos | Frecuencia |
|---|---|---|---|
| Producción (inyección y montaje) | Alta: afecta directamente al producto | Dos máquinas nuevas; reclamación de cliente en el último año | Dos veces al año, en turnos distintos |
| Control de cambios y ingeniería | Alta | Hallazgo en la última auditoría | Dos veces al año |
| Compras y proveedores | Media | Proveedor nuevo de granza | Una vez |
| Metrología | Media | Sin incidencias | Una vez |
| Recursos humanos y formación | Media | Mucha rotación en el turno de noche | Una vez, con foco en el turno de noche |
| Revisión por la dirección | Alta para el sistema | Sin incidencias | Una vez |
Dos reglas que ahorran disgustos: audita también los turnos de noche y de fin de semana (es donde el sistema se nota de verdad) y deja hueco en el programa para auditorías extra si llega una reclamación seria o un cambio grande.
Paso 2: preparar la auditoría
- Objetivo, alcance y criterios. Por ejemplo: «Comprobar la eficacia del control de cambios en la línea 2. Criterios: ISO 9001, procedimiento interno de control de cambios y requisitos del cliente».
- Elegir al equipo auditor. Nadie audita su propio trabajo. Si la empresa es pequeña, cruza departamentos o trae a alguien de fuera.
- Revisar la documentación y la auditoría anterior: qué se encontró, qué acciones se tomaron y si se cerraron.
- Preparar la lista de comprobación como una guía de preguntas abiertas y de evidencias que vas a pedir, no como un cuestionario de sí o no.
- Enviar el plan con fecha, horario, personas y zonas que vas a visitar.
Paso 3: auditar en planta
La auditoría de verdad se hace donde pasan las cosas. En la oficina se comprueba que el sistema está bien escrito; en la línea se comprueba que funciona. Algunas pautas:
- Sigue un caso real de principio a fin. Coge un cambio, un lote o una reclamación y recórrelo hacia atrás y hacia delante. El enfoque por procesos de la norma se audita así.
- Pregunta abierto y escucha. «Enséñame cómo…» da más información que «¿Hacéis…?».
- Muestrea con criterio y apunta cuántos casos has mirado. Un caso es una anécdota; uno de diez es un dato.
- Apunta la evidencia en el momento: referencias, números de lote, fechas, nombres de puesto (no de personas).
- Comenta lo que vas viendo. En la reunión de cierre no debería haber sorpresas.
Paso 4: redactar el hallazgo (ejemplo resuelto)
Un hallazgo sale de comparar la evidencia con el criterio. Puede ser una conformidad, una no conformidad o una oportunidad de mejora. La no conformidad se redacta en tres partes: requisito, evidencia y declaración.
La situación: auditoría interna del control de cambios en una planta de inyección. La auditora coge las últimas diez modificaciones de parámetros de proceso de la línea 2. El procedimiento interno, revisión 3, pide que todo cambio de parámetros fuera de la ventana validada tenga una solicitud aprobada por calidad antes de aplicarse. En la máquina 7 encuentra que la temperatura de molde se subió 15 °C hace tres semanas para eliminar un rechupe. La pieza sale bien y el cambio funciona, pero no hay solicitud: el jefe de turno lo decidió de noche y quedó apuntado solo en el libro de turno.
Primero mal: «El jefe de turno de noche cambió la temperatura sin permiso. Hay que formar a los jefes de turno.» Tiene un culpable, una solución y ningún requisito. Y además el cambio fue bueno para la pieza, así que la discusión está servida.
Luego bien:
| Parte | Texto |
|---|---|
| Requisito | ISO 9001:2015, 8.5.6 (control de los cambios) y procedimiento interno de control de cambios, rev. 3: los cambios de parámetros fuera de la ventana validada requieren solicitud aprobada por calidad antes de aplicarse. |
| Evidencia | Máquina 7, línea 2: temperatura de molde modificada de 60 a 75 °C hace tres semanas, registrada solo en el libro de turno. Ventana validada de la hoja de proceso: 55 a 65 °C. No existe solicitud de cambio. Se revisan diez cambios de parámetros de la línea 2 en los últimos tres meses: nueve con solicitud aprobada, uno sin ella. |
| Declaración | No se asegura que los cambios de parámetros de proceso fuera de la ventana validada se revisen y aprueben antes de su aplicación. |
Fíjate en lo que tiene esta redacción:
- La puede entender alguien que no estuvo y la puede comprobar otra persona.
- No juzga si el cambio era bueno: el problema es que nadie lo revisó (¿se ha comprobado el efecto en otras cotas, en el tiempo de ciclo, en el plan de control?).
- Da el tamaño de la muestra. Uno de diez ayuda a quien analice la causa a decidir el alcance.
- No dice la solución. Puede que la causa no sea la formación, sino que de noche no hay nadie de calidad que apruebe y la línea no puede esperar. Eso lo encontrará el análisis de causa raíz, no la auditora.
He citado la numeración de la edición de 2015 porque es con la que siguen certificadas la mayoría de las plantas durante la transición. Si tu certificado ya es por la de 2026, comprueba el número del apartado de control de cambios en tu ejemplar.
Paso 5: informe, acciones y seguimiento
El informe recoge objetivo, alcance, criterios, equipo, lo que se ha visto (también lo que funciona) y los hallazgos. Se entrega a la dirección del área y a quien tenga autoridad para actuar.
Para cada no conformidad, el área responsable hace la corrección (en el ejemplo, revisar ya el cambio de la máquina 7 y aprobarlo o deshacerlo), busca la causa y define la acción correctiva. La auditoría no se cierra cuando se entrega el plan, sino cuando se comprueba que la acción ha funcionado: en la siguiente auditoría del proceso, vuelve a coger diez cambios y mira cuántos tienen solicitud, incluidos los del turno de noche.
Errores que vacían de valor una auditoría interna
- Auditar solo papeles. El procedimiento está perfecto y nadie lo sigue.
- La misma lista cada año, con las mismas preguntas a las mismas personas.
- Auditores que se auditan a sí mismos, o que no se atreven a escribir un hallazgo a su jefe.
- Hallazgos vagos: «mejorar la documentación», «falta orden». Sin requisito ni evidencia, nadie puede actuar.
- Cero no conformidades año tras año. Puede ser que el sistema sea perfecto. Lo más probable es que la auditoría no esté mirando.
- Cerrar con el plan y no volver a comprobar la eficacia.
Si trabajas en automoción, además de la auditoría del sistema tendrás auditorías de proceso y de producto, y muchas veces auditorías por capas (LPA) diarias en la línea. Y cuando un hallazgo es serio o se repite, el formato corto se queda pequeño: lo que toca es un 8D completo.
Preguntas frecuentes
¿Qué pide la ISO 9001 sobre la auditoría interna?
El apartado 9.2 pide auditar el sistema de gestión de la calidad a intervalos planificados para saber si cumple los requisitos de la propia organización y de la norma y si se aplica y mantiene de forma eficaz. Exige un programa, criterios y alcance de cada auditoría, auditores objetivos e imparciales, informar a la dirección pertinente, actuar sin demora y conservar evidencias.
¿Cada cuánto hay que hacer auditorías internas ISO 9001?
La norma no fija una frecuencia. Pide un programa que tenga en cuenta la importancia de los procesos, los cambios y los resultados de auditorías anteriores. Lo habitual es cubrir todo el sistema al menos una vez en cada ciclo de certificación y auditar más a menudo los procesos críticos o con problemas.
¿Quién puede hacer una auditoría interna?
Cualquier persona competente y formada, de la empresa o externa, siempre que sea objetiva e imparcial. La regla práctica es que nadie audite su propio trabajo. La guía ISO 19011 describe la competencia que necesita un auditor.
¿Qué es la ISO 19011?
Es la norma internacional con directrices para auditar sistemas de gestión: principios de auditoría, cómo gestionar un programa, cómo hacer cada auditoría y qué competencia necesitan los auditores. No es certificable. La edición de 2026 sustituyó a la de 2018 en mayo de 2026.
¿Cómo se redacta un hallazgo de auditoría interna?
En tres partes: el requisito incumplido con su referencia, la evidencia objetiva con datos que permitan encontrarla otra vez y la declaración de lo que no se cumple. Sin culpables, sin opiniones y sin proponer la solución.