Informes y calidad
Cuando la auditoría encuentra algo
Un hallazgo no es un fracaso. Lo que sí lo es: el mismo hallazgo dos años seguidos.
La reacción habitual a un hallazgo es arreglar el caso concreto y responder que ya está corregido. Funciona para cerrar el papel y garantiza que el año que viene aparezca lo mismo, porque lo que se arregló fue el síntoma.
Los tres niveles de respuesta
| Nivel | Qué se hace | Qué pasa el año siguiente |
|---|---|---|
| Corregir el caso | Se arregla el documento que faltaba | Vuelve a aparecer, con otro documento |
| Corregir la causa | Se cambia lo que hacía que faltara | No vuelve, si la causa era esa |
| Comprobar que no vuelve | Se mira a los tres meses | Se cierra de verdad |
Importante
El tercer nivel es el que distingue un sistema que funciona de uno que reacciona. Un hallazgo cerrado sin verificación posterior no está cerrado: está pendiente de descubrir que sigue ahí.
Cómo se responde bien
- 1
Aceptad el hallazgo si es correcto
Discutirlo cuando tiene razón cuesta credibilidad para cuando no la tenga.
- 2
Buscad por qué pasó, no quién lo hizo
Casi siempre es un proceso que pedía algo que la operativa no podía dar.
- 3
Poned una acción con responsable y fecha
Una acción sin nombre y sin fecha es una intención.
- 4
Y verificad después, con evidencia
Tres meses más tarde, mirando datos y no impresiones.
Ojo con esto
Cuidado con la acción correctiva desproporcionada. Añadir tres controles nuevos por un hallazgo menor genera un proceso que nadie cumple, y el año que viene el hallazgo será que no se cumplen los controles que os inventasteis.
Lo que conviene tener del año pasado
Un auditor que ve un hallazgo repetido reconocido y explicado juzga muy distinto que uno que lo descubre por su cuenta al comparar informes.
Ten en cuenta
Los hallazgos más frecuentes en documentación de terceros son siempre los mismos tres: algo caducado sin detectar, algo aprobado sin comprobar y algo que no se puede demostrar aunque se hiciera. Los tres tienen la misma raíz.
›¿Y si el hallazgo es injusto?
Se responde con evidencia, no con argumentos. Si tenéis el dato, se cae solo.
›¿Cuánto tiempo hay para responder?
Lo que marque el esquema; lo razonable es acción inmediata y verificación diferida.
›¿Hay que registrar los hallazgos menores?
Sí: son los que se repiten y los que anticipan los graves.
Un caso real
La situación
Una empresa cierra un hallazgo subiendo el documento que faltaba.
Qué haces
- Busca por qué faltaba y descubre que nadie tenía el aviso asignado
- Verifica a los tres meses
Qué consigues
El hallazgo no se repite al año siguiente, que era el objetivo real.
La situación
La auditoría deja catorce hallazgos y a los seis meses siguen abiertos nueve.
Qué haces
- Registra cada hallazgo con responsable, acción y fecha
- Consulta los abiertos una vez al mes, no la semana antes de la siguiente
- Cierra con la evidencia de lo que se hizo, no con un «hecho»
Qué consigues
La siguiente auditoría encuentra nueve hallazgos menos y los que quedan tienen fecha.
La situación
Se cierran todos los hallazgos el día antes de la auditoría de seguimiento.
Qué haces
- Reparte las fechas de cierre a lo largo del periodo
- Revisa el avance a mitad de camino
Qué consigues
El cierre refleja un cambio real y no una carrera de tres días.
La situación
Un hallazgo se asigna a un departamento y nadie concreto lo recoge.
Qué haces
- Asigna a una persona con nombre
- Comprueba que tiene los permisos para cerrarlo
Qué consigues
Hay alguien a quien preguntar y que puede actuar.
La situación
El hallazgo se cierra y el mismo problema reaparece al año.
Qué haces
- Anota la causa además de la corrección
- Consulta si ese hallazgo ya había salido antes
Qué consigues
Se ataca lo que lo produce en lugar de lo que se ve.
La situación
El auditor pide evidencia del cierre y se enseña un correo.
Qué haces
- Adjunta al hallazgo la evidencia de lo hecho
Qué consigues
El cierre se demuestra en lugar de afirmarse.
La situación
Hay hallazgos menores que nadie prioriza y bloquean la certificación.
Qué haces
- Marca cuáles condicionan la certificación
Qué consigues
El esfuerzo va a lo que de verdad bloquea.
La situación
Se acepta un hallazgo con el que no se está de acuerdo.
Qué haces
- Registra la discrepancia con su argumento
Qué consigues
La posición queda documentada para la siguiente auditoría.
Este artículo responde a
- responder a un hallazgo de auditoría
- plan de acciones correctivas
- no conformidad de auditoría qué hago
- cerrar un hallazgo