La ISO 19011:2026 incorpora con claridad una realidad que ya forma parte de la actividad auditora: las auditorías de sistemas de gestión pueden realizarse in situ, en remoto o mediante una combinación de ambos métodos.
Este es uno de los cambios más relevantes de la nueva edición. La propia norma indica que la cuarta edición sustituye a la ISO 19011:2018 y que entre sus principales modificaciones se encuentra la ampliación de las directrices sobre métodos de auditoría remota, incorporando la orientación contenida en la ISO/IEC TS 17012, así como la ampliación del Anexo A para incluir auditorías remotas y ubicaciones virtuales.
Pero conviene empezar con una advertencia: auditar en remoto no significa simplemente conectarse por videoconferencia. Tampoco significa sustituir automáticamente la auditoría presencial por una revisión documental online. La ISO 19011:2026 plantea algo más exigente: seleccionar el método de auditoría más adecuado en función de los objetivos, el alcance, los criterios, los riesgos, las oportunidades y la disponibilidad de información fiable.
De la auditoría presencial a la auditoría híbrida
Durante años, la auditoría de sistemas de gestión se ha asociado casi exclusivamente a la visita presencial: revisión documental, entrevistas, recorrido por instalaciones, observación de procesos y reunión de cierre.
La transformación digital, el trabajo distribuido, la externalización de procesos, las plataformas colaborativas y las experiencias acumuladas durante la pandemia han cambiado ese escenario. Hoy muchas evidencias están en sistemas digitales, muchas personas trabajan desde ubicaciones diferentes y algunos procesos se desarrollan parcial o totalmente en entornos virtuales.
La ISO 19011:2026 recoge esta evolución e incorpora expresamente el concepto de método de auditoría remota, definido como el método utilizado para realizar actividades de auditoría desde cualquier lugar distinto de la ubicación del auditado. La norma también aclara que estos métodos pueden utilizarse combinados con métodos in situ para lograr una auditoría completa y eficaz.
Esto abre la puerta a modelos de auditoría más flexibles:
auditorías totalmente presenciales;
auditorías totalmente remotas;
auditorías híbridas, con parte documental remota y parte operacional presencial;
auditorías con auditores en distintas ubicaciones;
auditorías sobre procesos digitales o ubicaciones virtuales.
La cuestión ya no es si la auditoría remota es válida. La cuestión es cuándo es adecuada y cómo se justifica.
Qué son las ubicaciones virtuales
Una de las aportaciones interesantes de la ISO 19011:2026 es la referencia a las ubicaciones virtuales. La norma explica que los métodos de auditoría remota pueden utilizarse para ubicaciones virtuales, es decir, cuando una organización realiza trabajo o presta servicios mediante un entorno online que permite ejecutar procesos con independencia de la ubicación física de las personas.
Este punto es especialmente importante.
Muchas organizaciones ya no operan únicamente desde una planta, una oficina o un centro físico. Parte de su actividad se desarrolla en plataformas digitales, aplicaciones, sistemas de gestión documental, entornos cloud, espacios colaborativos, herramientas de ticketing, portales de proveedores o sistemas corporativos de información.
En estos casos, auditar solo “el centro de trabajo” puede ser insuficiente. La evidencia relevante puede estar en una ubicación virtual.
Por ejemplo:
una plataforma donde se gestionan incidencias;
un sistema donde se registran acciones correctivas;
una aplicación para gestionar formación;
un portal de coordinación de actividades empresariales;
una herramienta de control documental;
un sistema de gestión de indicadores;
una base de datos de accidentes, reclamaciones o no conformidades;
un entorno digital donde se aprueban cambios o se asignan responsabilidades.
La auditoría debe adaptarse a dónde se produce, se conserva y se gestiona la información relevante.
La selección del método de auditoría debe basarse en riesgos
La ISO 19011:2026 indica que las auditorías pueden realizarse in situ, en remoto o mediante una combinación de métodos, y que su uso debe equilibrarse teniendo en cuenta los riesgos y oportunidades asociados.
Esta frase es esencial.
No se debe elegir el método remoto solo porque sea más cómodo, más barato o más rápido. Tampoco debe rechazarse por prejuicio. La decisión debe basarse en si el método permite alcanzar los objetivos de auditoría con evidencia suficiente y fiable.
Una auditoría remota puede ser adecuada para revisar documentación, entrevistar responsables, analizar registros digitales, comprobar indicadores, contrastar planes de acción, revisar sistemas informáticos o auditar procesos administrativos.
Pero puede ser insuficiente cuando sea necesario observar directamente condiciones físicas, comportamientos reales, controles operacionales, estado de instalaciones, señalización, almacenamiento, uso de equipos, condiciones ambientales, interacción entre trabajadores o ejecución de tareas críticas.
Por eso, el enfoque más razonable en muchos casos será la auditoría híbrida: aprovechar la eficiencia del remoto para la parte documental y de entrevistas, y reservar la presencia física para aquello que requiere observación directa.
No todo lo auditable online debería auditarse online
La ISO/IEC TS 17012, que sirve de apoyo específico para los métodos de auditoría remota, es muy clara al respecto: los métodos remotos pueden aportar beneficios, pero no pretenden reemplazar automáticamente los métodos in situ. Su finalidad es servir como una herramienta eficaz y eficiente cuando su uso sea adecuado.
En la práctica, esto obliga a formular una pregunta previa:
¿Puedo obtener evidencia suficiente, verificable y fiable mediante métodos remotos?
Si la respuesta es afirmativa, el método remoto puede ser adecuado. Si la respuesta es dudosa, habrá que complementarlo. Si la respuesta es negativa, no debería utilizarse como método principal.
El problema no es auditar en remoto. El problema es auditar en remoto sin valorar sus límites.
Una videollamada puede mostrar una zona de trabajo, pero quizá no permita comprobar el contexto completo. Una fotografía puede evidenciar una condición puntual, pero quizá no pruebe su mantenimiento en el tiempo. Un documento compartido puede aportar información, pero quizá sea necesario verificar su autenticidad, vigencia o aplicación real. Una entrevista online puede ser útil, pero quizá no permita observar dinámicas, interacciones o condiciones del entorno.
La auditoría remota exige más juicio profesional, no menos.
Riesgos específicos de la auditoría remota
La ISO/IEC TS 17012 identifica riesgos muy concretos que deben considerarse cuando se utilizan métodos remotos. Entre ellos se encuentran la imposibilidad de auditar eficazmente procesos que requieren observación, las limitaciones del muestreo, la capacidad desconocida del auditado para utilizar medios remotos, la competencia insuficiente del equipo auditor, la pérdida de tiempo por falta de digitalización, la ausencia de planes alternativos, los problemas de protección de datos, la tecnología inadecuada o la incapacidad para obtener información sensorial suficiente.
Este último aspecto es especialmente relevante.
En una auditoría presencial, el auditor no solo lee documentos. También observa, escucha, percibe el entorno, detecta incoherencias, ve condiciones reales y contrasta la diferencia entre lo declarado y lo ejecutado.
En remoto, parte de esa información puede perderse.
Por ejemplo, puede ser más difícil valorar:
orden y limpieza real;
ruido ambiental;
temperatura;
vibraciones;
olores;
uso espontáneo de equipos;
condiciones de almacenamiento;
accesibilidad de vías de evacuación;
comportamientos no preparados;
interacciones reales entre personas;
estado físico de instalaciones o equipos.
Por eso, una auditoría remota debe reconocer sus límites y, cuando sea necesario, complementar la evidencia con otros métodos.
Oportunidades de los nuevos métodos de auditoría
La incorporación de métodos remotos no debe verse solo como un problema. Bien utilizados, pueden mejorar la eficacia y eficiencia del proceso auditor.
La ISO/IEC TS 17012 identifica oportunidades como la reducción o eliminación de viajes, ahorro de costes, menor huella de carbono, optimización del tiempo de auditoría, posibilidad de reacción rápida, participación de personas en distintas ubicaciones, incorporación de expertos técnicos, auditoría de procesos en diferentes ubicaciones, evaluaciones ad hoc ante temas críticos, mejor acceso a datos y mejora en la gestión documental.
Esto tiene mucho valor para organizaciones complejas.
Una auditoría híbrida puede permitir revisar documentación antes de la visita, entrevistar a responsables ubicados en diferentes centros, incorporar expertos técnicos durante un tiempo limitado, acceder directamente a sistemas de información y reservar el tiempo presencial para observar procesos críticos.
La clave está en diseñar bien la auditoría.
El método remoto no debe ser una forma de reducir la profundidad de la auditoría, sino una forma de utilizar mejor los recursos.
La importancia de la seguridad de la información y la confidencialidad
La ISO 19011:2026 incorpora la seguridad de la información y la confidencialidad como elementos relevantes en distintos momentos del proceso de auditoría. Al gestionar el programa de auditoría, la organización debe tener en cuenta la aplicación de tecnología, como herramientas digitales, y los requisitos de seguridad de la información y confidencialidad.
Este punto se vuelve crítico en auditorías remotas.
Cuando se comparten documentos por plataformas digitales, se accede a sistemas, se realizan capturas de pantalla, se usan grabaciones, se celebran entrevistas online o se revisan bases de datos, deben establecerse reglas claras.
Algunas cuestiones prácticas son imprescindibles:
qué plataforma se utilizará;
quién tendrá acceso;
cómo se protegerán los documentos;
si se permite grabar o no;
cómo se tratarán imágenes, capturas o vídeos;
durante cuánto tiempo estará disponible la información;
cómo se eliminarán o conservarán evidencias;
qué restricciones aplican por protección de datos;
cómo se garantiza la confidencialidad de entrevistas y registros.
Una auditoría remota mal gestionada puede generar riesgos innecesarios sobre información sensible, datos personales, propiedad intelectual o documentación interna de la organización.
Nuevos métodos: entrevistas, datos, observación y revisión documental digital
La ISO 19011:2026 recuerda que los métodos de auditoría pueden incluir entrevistas, listas de verificación, cuestionarios, revisión documental, muestreo, observación del trabajo, análisis de datos y revisión in situ.
La novedad no está en abandonar los métodos tradicionales, sino en combinarlos mejor.
Una auditoría actual puede incluir:
entrevistas por videoconferencia;
revisión previa de documentación digital;
acceso controlado a sistemas informáticos;
análisis de indicadores;
muestreo de registros electrónicos;
observación por vídeo en tiempo real;
uso de fotografías o evidencias audiovisuales;
recorridos virtuales por instalaciones;
validación de procesos en plataformas;
revisión de trazabilidad en bases de datos;
contraste remoto con responsables de distintas sedes.
Pero todos estos métodos deben cumplir la misma exigencia: generar evidencia verificable.
La tecnología puede facilitar la auditoría, pero no sustituye al criterio auditor.
El informe debe reflejar el método utilizado
Una auditoría remota o híbrida no debería quedar invisibilizada en el informe. Si se han utilizado métodos remotos, debe quedar claro qué parte de la auditoría se realizó de ese modo, qué herramientas se emplearon y qué limitaciones existieron.
La ISO/IEC TS 17012 indica que el informe de auditoría debería registrar los métodos de auditoría remota utilizados, su extensión y eficacia, incluidos beneficios o limitaciones. También señala que los informes y registros relacionados deberían indicar el alcance en que se han utilizado las tecnologías de información y comunicación para llevar a cabo la auditoría.
Esto es una cuestión de transparencia.
No es lo mismo decir “se auditó el proceso de producción” que decir “se revisó remotamente la documentación del proceso de producción y se realizaron entrevistas por videoconferencia, sin observación presencial de la ejecución operativa”.
Ambas frases no tienen el mismo alcance ni la misma fuerza probatoria.
Un informe riguroso debe permitir comprender cómo se obtuvo la evidencia y qué confianza puede depositarse en las conclusiones.
Competencia del auditor en entornos remotos
Los nuevos métodos de auditoría también exigen nuevas competencias.
La ISO/IEC TS 17012 señala que, al determinar la competencia necesaria para una auditoría, deben considerarse conocimientos y habilidades relacionados con métodos in situ, remotos o combinados, así como incertidumbres que pueden afectar al logro de los objetivos: conectividad, compatibilidad de software, disponibilidad de hardware, integridad de datos, seguridad y confidencialidad de la información, y fiabilidad de la evidencia objetiva compartida por el auditado.
Esto supone que un auditor competente en auditorías presenciales no necesariamente está preparado para auditar eficazmente en remoto.
Necesita saber gestionar tecnología, entrevistas online, evidencias digitales, accesos, confidencialidad, verificación documental y posibles limitaciones del método. También debe saber cuándo parar, ampliar muestras, pedir evidencias adicionales o recomendar una actividad presencial.
En auditoría remota, la competencia tecnológica y la competencia auditora se cruzan.
Cuándo conviene una auditoría híbrida
La auditoría híbrida puede ser una de las opciones más potentes si se diseña bien.
Puede utilizarse, por ejemplo, cuando:
la documentación está digitalizada;
hay responsables en distintas ubicaciones;
se requiere revisar datos antes de la visita;
parte del sistema opera en plataformas digitales;
existen procesos físicos que deben observarse presencialmente;
se quiere optimizar el tiempo in situ;
hay expertos técnicos que pueden participar puntualmente en remoto;
se necesita verificar tanto evidencias digitales como condiciones reales.
La auditoría híbrida no debe entenderse como una mezcla improvisada. Debe planificarse indicando qué actividades serán remotas, cuáles serán presenciales, qué evidencias se obtendrán por cada método y cómo se integrarán las conclusiones.
La pregunta clave es siempre la misma:
¿Qué método aporta mayor confianza para cada objetivo de auditoría?
Qué deberían revisar las organizaciones
La ISO 19011:2026 y la ISO/IEC TS 17012 ofrecen una buena oportunidad para revisar cómo se están utilizando las auditorías remotas e híbridas. Algunas preguntas prácticas pueden ayudar:
¿Tenemos criterios definidos para decidir cuándo una auditoría puede ser remota, presencial o híbrida?
¿Evaluamos los riesgos del método elegido antes de auditar?
¿Confirmamos la capacidad tecnológica del auditado y del equipo auditor?
¿Definimos cómo se protegerá la información compartida?
¿Comprobamos si la evidencia remota es suficiente y verificable?
¿Documentamos las limitaciones del método utilizado?
¿Indicamos en el informe qué parte de la auditoría se realizó en remoto?
¿Tenemos planes alternativos si falla la tecnología?
¿Los auditores tienen competencia para auditar en entornos digitales?
¿Evitamos usar la auditoría remota cuando se requiere observación directa?
Responder a estas preguntas permite pasar de una auditoría remota improvisada a una auditoría remota defendible.
La ISO 19011:2026 consolida los métodos de auditoría remota, las ubicaciones virtuales y los enfoques híbridos como parte de la auditoría moderna de sistemas de gestión.
Pero su mensaje no es que todo pueda auditarse online. Su mensaje es más exigente: el método de auditoría debe seleccionarse con criterio, basándose en objetivos, riesgos, oportunidades, disponibilidad de información, competencia del equipo auditor y fiabilidad de la evidencia.
La auditoría remota puede aportar eficiencia, flexibilidad, reducción de costes, menor huella de carbono y mejor acceso a personas, datos y sistemas. Pero también puede introducir riesgos si se utiliza sin planificación, sin seguridad de la información, sin verificación suficiente o sin reconocer sus limitaciones.
En definitiva, la auditoría del futuro no será necesariamente presencial ni necesariamente remota. Será la que utilice el método más adecuado para obtener evidencias fiables y conclusiones útiles.
Y eso exige algo que ninguna tecnología puede sustituir: criterio auditor.
Deja una respuesta