La nueva ISO 19011:2026 refuerza una idea que muchas organizaciones todavía no han terminado de asumir: un programa de auditoría no es simplemente un calendario con fechas, áreas y auditores asignados. Es un proceso de gestión que debe planificarse, ejecutarse, revisarse y mejorarse con un propósito claro.
La norma dedica su capítulo 5 a la gestión del programa de auditoría, situándolo como una pieza central para que las auditorías de sistemas de gestión sean realmente útiles. No basta con auditar “porque toca”. Las auditorías deben responder a objetivos, riesgos, oportunidades, desempeño, madurez del sistema, contexto de la organización y necesidades de las partes interesadas.
Este enfoque supone un cambio importante para muchas empresas: pasar de auditorías internas formales y repetitivas a programas de auditoría capaces de aportar información relevante para la toma de decisiones.
Qué es un programa de auditoría según ISO 19011:2026
La ISO 19011:2026 define el programa de auditoría como los acuerdos para un conjunto de una o más auditorías planificadas durante un periodo determinado y orientadas a un propósito específico.
Esta definición es relevante porque introduce dos ideas clave: planificación y propósito.
Una organización puede realizar una sola auditoría o varias auditorías dentro de un mismo programa. Puede auditar un único sistema de gestión o varios sistemas de gestión de forma combinada. Puede llevar a cabo auditorías internas, auditorías a proveedores, auditorías reglamentarias o auditorías de segunda parte. Pero en todos los casos debe existir una lógica que justifique qué se audita, cuándo, con qué alcance, con qué recursos y para qué.
La norma señala que el programa de auditoría debe ajustarse al tamaño y naturaleza de la organización auditada, así como a la funcionalidad, complejidad, riesgos, oportunidades, alcance y nivel de madurez del sistema de gestión.
Esto significa que dos organizaciones no deberían tener el mismo programa de auditoría solo porque comparten una norma certificable. Una empresa pequeña, con procesos estables y bajo nivel de riesgo, no necesita el mismo enfoque que una organización multisite, con procesos críticos, proveedores externalizados, cambios tecnológicos o antecedentes de incidentes.
El error habitual: confundir programa de auditoría con calendario
Uno de los problemas más frecuentes en las organizaciones es reducir el programa de auditoría a una tabla anual:
área auditada, fecha, auditor, norma aplicable y responsable.
Eso puede ser parte del programa, pero no es el programa.
La ISO 19011:2026 pide mucho más. El programa debe incluir, entre otros aspectos, los objetivos de auditoría, los riesgos y oportunidades asociados, el alcance de cada auditoría, la programación, los tipos de auditoría, los criterios aplicables, los métodos de auditoría, los criterios para seleccionar al equipo auditor, la participación de observadores, el contexto de la organización y la información documentada relevante.
Por tanto, un programa de auditoría eficaz no responde solo a la pregunta “¿cuándo auditamos?”, sino a preguntas mucho más importantes:
¿Para qué auditamos?
¿Qué procesos son más críticos?
¿Qué riesgos pueden afectar al logro de los objetivos?
¿Qué cambios han ocurrido en la organización?
¿Qué áreas presentan peor desempeño?
¿Qué procesos tienen mayor impacto sobre la conformidad legal, la seguridad, la calidad o el medio ambiente?
¿Qué competencias necesita el equipo auditor?
¿Qué método de auditoría es más adecuado: presencial, remoto o híbrido?
¿Qué información necesitamos para emitir conclusiones fiables?
Estas preguntas son las que convierten una auditoría en una herramienta de gestión.
Objetivos del programa de auditoría: auditar con sentido
La norma indica que el cliente de auditoría debe asegurarse de que los objetivos del programa se establecen para dirigir la planificación y realización de las auditorías. Además, esos objetivos deben ser coherentes con la dirección estratégica, el contexto de la organización y las políticas y objetivos del sistema de gestión.
Este punto es especialmente importante. La auditoría no debería vivir desconectada de la estrategia de la organización.
Si una empresa está creciendo rápidamente, el programa de auditoría debería prestar atención a los procesos de integración, nuevas sedes, nuevos proveedores, cambios organizativos o adecuación de recursos.
Si una organización ha tenido incidentes, reclamaciones o incumplimientos, el programa debería priorizar las áreas afectadas.
Si un sistema de gestión está maduro, la auditoría debería centrarse más en eficacia, desempeño, mejora y alineación estratégica, no únicamente en verificar documentos básicos.
La ISO 19011:2026 menciona que los objetivos del programa pueden basarse en necesidades y expectativas de partes interesadas, características de procesos, productos, servicios o proyectos, requisitos del sistema de gestión, evaluación de la cadena de suministro, nivel de desempeño y madurez, riesgos y oportunidades identificados y resultados de auditorías previas.
Esto confirma que el programa de auditoría debe construirse con información real de la organización, no como una plantilla estándar repetida año tras año.
Riesgos y oportunidades del programa de auditoría
Uno de los aspectos más relevantes de la ISO 19011:2026 es la necesidad de determinar y evaluar los riesgos y oportunidades asociados al propio programa de auditoría.
La norma indica que existen riesgos y oportunidades relacionados con el contexto del auditado que pueden afectar al logro de los objetivos del programa. Las personas que gestionan el programa deben identificarlos y presentarlos al cliente de auditoría para que puedan ser tratados adecuadamente.
Esto es fundamental porque una auditoría también puede fallar.
Puede fallar por una mala planificación, por falta de tiempo, por seleccionar auditores sin competencia suficiente, por elegir un método de auditoría inadecuado, por problemas de comunicación, por no proteger adecuadamente la información, por falta de cooperación del auditado o por no disponer de evidencia suficiente.
La norma cita expresamente riesgos asociados a la planificación, los recursos, la selección del equipo auditor, la selección del método de auditoría, la comunicación, la implementación, el control de la información documentada, el seguimiento, el patrocinio, la disponibilidad del auditado, la disponibilidad de evidencias y la seguridad de las tecnologías de información y comunicación.
Esta visión es muy útil porque evita una idea ingenua: pensar que toda auditoría, por el hecho de realizarse, aporta valor. No siempre es así. Una auditoría mal planificada, con poco tiempo, sin independencia, sin competencia o sin evidencias suficientes puede generar conclusiones débiles e incluso una falsa sensación de control.
Un programa basado en riesgos no audita todo igual
La ISO 19011:2026 establece que, al asignar recursos y métodos al programa de auditoría, debe darse prioridad a los asuntos del sistema de gestión con mayor riesgo inherente y menor nivel de desempeño.
Esta frase tiene una enorme importancia práctica.
Significa que el programa de auditoría debe priorizar. No todo merece la misma profundidad. No todo requiere el mismo tiempo. No todos los procesos tienen el mismo impacto.
Una organización que aplica correctamente este enfoque debería dedicar más atención auditora a procesos críticos, actividades con mayor exposición legal, áreas con incidentes o no conformidades recurrentes, procesos externalizados relevantes, cambios recientes, resultados deficientes, quejas de clientes, reclamaciones de trabajadores, desviaciones de indicadores o riesgos emergentes.
Por el contrario, mantener el mismo esquema todos los años, con las mismas áreas, las mismas preguntas y el mismo tiempo asignado, puede ser cómodo, pero no necesariamente eficaz.
El enfoque basado en riesgos no significa complicar el programa. Significa hacerlo más inteligente.
El contexto de la organización también debe entrar en el programa
La norma señala que, para comprender el contexto del auditado, el programa de auditoría debe tener en cuenta los objetivos de la organización, las cuestiones internas y externas relevantes, las necesidades y expectativas de las partes interesadas, el uso de tecnología —como herramientas digitales— y los requisitos de seguridad de la información y confidencialidad.
Esto conecta directamente con las normas modernas de sistemas de gestión. Si los sistemas de gestión deben considerar contexto, partes interesadas, riesgos, oportunidades y desempeño, las auditorías también deben hacerlo.
Un programa de auditoría que no tiene en cuenta el contexto puede terminar auditando aspectos secundarios mientras ignora cuestiones críticas para la organización.
Por ejemplo, en una empresa con fuerte dependencia de proveedores, el programa debería prestar atención a la cadena de suministro. En una organización con procesos digitales críticos, debería considerar la seguridad de la información y las tecnologías utilizadas. En una empresa con alta siniestralidad, el foco debería dirigirse a los procesos preventivos con mayor impacto real. En una organización en expansión, las nuevas sedes, funciones o responsabilidades deberían incorporarse al programa.
La auditoría debe seguir la realidad de la organización, no quedarse atrapada en el organigrama o en el índice de la norma.
Responsabilidades de quienes gestionan el programa de auditoría
La ISO 19011:2026 otorga un papel relevante a las personas que gestionan el programa de auditoría. No se trata de una función meramente administrativa. Quienes gestionan el programa deben asegurar su integridad, evitar influencias indebidas, establecer su alcance, determinar riesgos y oportunidades, seleccionar equipos competentes, definir procesos, asegurar recursos, mantener información documentada, hacer seguimiento, revisar y mejorar el programa.
Esto obliga a tomarse en serio la función de coordinación de auditorías.
Gestionar un programa de auditoría no es enviar convocatorias ni recopilar informes. Es asegurar que el conjunto de auditorías tiene coherencia, independencia, recursos suficientes, competencia adecuada y capacidad para generar conclusiones útiles.
Además, la norma indica que estas personas deben tener competencia para gestionar el programa de forma eficaz y eficiente, incluyendo conocimientos sobre principios, métodos y procesos de auditoría, normas de sistemas de gestión, información sobre el auditado y su contexto, requisitos legales y reglamentarios aplicables, y, cuando proceda, conocimientos de gestión de riesgos, gestión de proyectos, gestión por procesos y tecnologías de la información y comunicación.
Esto es especialmente relevante para organizaciones que delegan la gestión de auditorías en personas sin suficiente formación o autoridad. Un programa de auditoría débil suele empezar por una gestión débil del propio programa.
Selección del método de auditoría: presencial, remoto o combinado
La ISO 19011:2026 incorpora de forma clara la posibilidad de realizar auditorías in situ, en remoto o mediante una combinación de ambos métodos. La elección debe estar equilibrada y basarse, entre otros aspectos, en los riesgos y oportunidades asociados.
Este punto conecta con uno de los cambios más importantes de la nueva edición: la ampliación de la orientación sobre métodos de auditoría remota y ubicaciones virtuales.
En la práctica, el método no debe elegirse solo por comodidad o coste. Debe elegirse en función de los objetivos, el alcance, los criterios, la disponibilidad de información, la necesidad de observación directa, la fiabilidad de las evidencias y los riesgos del proceso auditado.
Una revisión documental puede realizarse eficazmente en remoto. Una entrevista también puede ser viable mediante medios digitales. Pero la observación de determinadas condiciones de trabajo, instalaciones, procesos operativos o controles físicos puede requerir presencia en el lugar o, al menos, una justificación clara del método utilizado.
La pregunta no es si la auditoría remota es válida. La pregunta es si permite alcanzar los objetivos de esa auditoría concreta con evidencia suficiente y fiable.
Gestión de resultados y registros del programa
La norma también insiste en que el programa debe gestionar sus resultados. Esto incluye evaluar si se han logrado los objetivos de cada auditoría, revisar y aprobar informes, revisar la eficacia de las acciones tomadas frente a hallazgos, distribuir informes a las partes previstas y determinar si es necesaria alguna auditoría de seguimiento.
Además, los registros de auditoría deben generarse, gestionarse y conservarse para demostrar la implementación del programa. Deben abordarse las necesidades de seguridad de la información y confidencialidad asociadas a estos registros. Entre ellos pueden incluirse calendarios, objetivos, alcance, riesgos y oportunidades, planes, informes, evidencias, hallazgos, no conformidades, acciones correctivas, seguimiento, evaluación de competencias y criterios de selección del equipo auditor.
Este punto es esencial porque la trazabilidad del programa es lo que permite demostrar que la auditoría no ha sido un ejercicio improvisado.
Un buen programa debe poder responder a tres preguntas:
¿Qué se decidió auditar y por qué?
¿Qué se encontró y con base en qué evidencia?
¿Qué se hizo después con los resultados?
Si una organización no puede responder a estas tres preguntas, probablemente su programa de auditoría no está aportando todo el valor que debería.
Seguimiento, revisión y mejora del programa
La ISO 19011:2026 plantea el programa de auditoría dentro de una lógica de mejora continua. La implementación del programa debe ser objeto de seguimiento y evaluación continua para asegurar que se alcanzan sus objetivos. Además, debe revisarse para determinar la necesidad de cambios y oportunidades de mejora.
La norma recoge factores que pueden indicar la necesidad de modificar el programa, como cambios en los hallazgos, nivel de eficacia y madurez del sistema, alcance, requisitos del cliente de auditoría, conflictos de interés, cambios en normas aplicables o modificaciones en organizaciones de la cadena de suministro.
Esto refuerza una idea clave: el programa de auditoría no debe permanecer estático.
Si cambian los riesgos, cambia el programa.
Si cambian los procesos, cambia el programa.
Si aparecen incidentes, cambia el programa.
Si hay nuevos requisitos legales, cambia el programa.
Si los resultados muestran debilidades repetidas, cambia el programa.
La auditoría debe evolucionar con la organización.
Qué deberían hacer ahora las organizaciones
La publicación de la ISO 19011:2026 es una buena oportunidad para revisar los programas de auditoría existentes. Algunas preguntas pueden servir como punto de partida:
¿El programa de auditoría tiene objetivos claros o solo fechas asignadas?
¿Está alineado con el contexto y la estrategia de la organización?
¿Prioriza procesos con mayor riesgo o menor desempeño?
¿Tiene en cuenta resultados de auditorías previas, incidentes, quejas y cambios relevantes?
¿Define adecuadamente el alcance, criterios y métodos de cada auditoría?
¿Selecciona auditores en función de competencia, independencia y conocimiento del proceso?
¿Gestiona correctamente la confidencialidad y seguridad de la información?
¿Evalúa si las auditorías realizadas han logrado sus objetivos?
¿El programa se revisa y mejora o se repite cada año sin cambios?
Estas preguntas permiten diferenciar un programa de auditoría meramente formal de un programa realmente orientado a mejorar el sistema de gestión.
La ISO 19011:2026 sitúa la gestión del programa de auditoría en el centro de una auditoría eficaz. No se trata de acumular auditorías, cumplir fechas o generar informes. Se trata de diseñar un proceso capaz de aportar confianza, evidencias y conclusiones útiles para mejorar el sistema de gestión.
Un programa de auditoría basado en riesgos permite concentrar los recursos donde más valor pueden aportar: procesos críticos, áreas de bajo desempeño, cambios relevantes, requisitos legales, riesgos significativos y oportunidades de mejora.
La diferencia entre una auditoría burocrática y una auditoría útil empieza aquí: en cómo se diseña y gestiona el programa.
Auditar bien no comienza el día de la auditoría. Comienza mucho antes, cuando la organización decide qué merece ser auditado, por qué, con qué método, con qué equipo y con qué propósito.
Deja una respuesta