---
id: KB-IC-014
url: https://app.codecontract.io/ayuda/informes-y-calidad/cuando-la-auditoria-encuentra-algo
idioma: es
categoria: informes-y-calidad
subcategoria: calidad
audiencia: usuario
nivel: intermedio
actualizado: 2026-08-13
tambienEn: [en]
relacionados: [KB-IC-007, KB-IC-009]
citadoPor: [KB-TZ-016, KB-IC-019]
---

# Cuando la auditoría encuentra algo

_Un hallazgo no es un fracaso. Lo que sí lo es: el mismo hallazgo dos años seguidos._

**Responde a:** responder a un hallazgo de auditoría · plan de acciones correctivas · no conformidad de auditoría qué hago · cerrar un hallazgo

La reacción habitual a un hallazgo es arreglar el caso concreto y responder que ya está corregido. Funciona para cerrar el papel y garantiza que el año que viene aparezca lo mismo, porque lo que se arregló fue el síntoma.

## Los tres niveles de respuesta

| Nivel | Qué se hace | Qué pasa el año siguiente |
| --- | --- | --- |
| Corregir el caso | Se arregla el documento que faltaba | Vuelve a aparecer, con otro documento |
| Corregir la causa | Se cambia lo que hacía que faltara | No vuelve, si la causa era esa |
| Comprobar que no vuelve | Se mira a los tres meses | Se cierra de verdad |

> [!IMPORTANT]
> El tercer nivel es el que distingue un sistema que funciona de uno que reacciona. Un hallazgo cerrado sin verificación posterior no está cerrado: está pendiente de descubrir que sigue ahí.

## Cómo se responde bien

1. **Aceptad el hallazgo si es correcto** — Discutirlo cuando tiene razón cuesta credibilidad para cuando no la tenga.
2. **Buscad por qué pasó, no quién lo hizo** — Casi siempre es un proceso que pedía algo que la operativa no podía dar.
3. **Poned una acción con responsable y fecha** — Una acción sin nombre y sin fecha es una intención.
4. **Y verificad después, con evidencia** — Tres meses más tarde, mirando datos y no impresiones.

> [!WARNING]
> Cuidado con la acción correctiva desproporcionada. Añadir tres controles nuevos por un hallazgo menor genera un proceso que nadie cumple, y el año que viene el hallazgo será que no se cumplen los controles que os inventasteis.

## Lo que conviene tener del año pasado

**En corto**

- Los hallazgos anteriores y qué se hizo con cada uno.
- La evidencia de que se verificaron.
- Y si alguno se repitió, dicho abiertamente.

Un auditor que ve un hallazgo repetido reconocido y explicado juzga muy distinto que uno que lo descubre por su cuenta al comparar informes.

> [!NOTE]
> Los hallazgos más frecuentes en documentación de terceros son siempre los mismos tres: algo caducado sin detectar, algo aprobado sin comprobar y algo que no se puede demostrar aunque se hiciera. Los tres tienen la misma raíz.

**¿Y si el hallazgo es injusto?**

Se responde con evidencia, no con argumentos. Si tenéis el dato, se cae solo.

**¿Cuánto tiempo hay para responder?**

Lo que marque el esquema; lo razonable es acción inmediata y verificación diferida.

**¿Hay que registrar los hallazgos menores?**

Sí: son los que se repiten y los que anticipan los graves.

## Ejemplos

**Una empresa cierra un hallazgo subiendo el documento que faltaba.**

- Busca por qué faltaba y descubre que nadie tenía el aviso asignado
- Verifica a los tres meses

→ El hallazgo no se repite al año siguiente, que era el objetivo real.

**La auditoría deja catorce hallazgos y a los seis meses siguen abiertos nueve.**

- Registra cada hallazgo con responsable, acción y fecha
- Consulta los abiertos una vez al mes, no la semana antes de la siguiente
- Cierra con la evidencia de lo que se hizo, no con un «hecho»

→ La siguiente auditoría encuentra nueve hallazgos menos y los que quedan tienen fecha.

**Se cierran todos los hallazgos el día antes de la auditoría de seguimiento.**

- Reparte las fechas de cierre a lo largo del periodo
- Revisa el avance a mitad de camino

→ El cierre refleja un cambio real y no una carrera de tres días.

**Un hallazgo se asigna a un departamento y nadie concreto lo recoge.**

- Asigna a una persona con nombre
- Comprueba que tiene los permisos para cerrarlo

→ Hay alguien a quien preguntar y que puede actuar.

**El hallazgo se cierra y el mismo problema reaparece al año.**

- Anota la causa además de la corrección
- Consulta si ese hallazgo ya había salido antes

→ Se ataca lo que lo produce en lugar de lo que se ve.

**El auditor pide evidencia del cierre y se enseña un correo.**

- Adjunta al hallazgo la evidencia de lo hecho

→ El cierre se demuestra en lugar de afirmarse.

**Hay hallazgos menores que nadie prioriza y bloquean la certificación.**

- Marca cuáles condicionan la certificación

→ El esfuerzo va a lo que de verdad bloquea.

**Se acepta un hallazgo con el que no se está de acuerdo.**

- Registra la discrepancia con su argumento

→ La posición queda documentada para la siguiente auditoría.