Dos años sin hallazgos en auditoría interna: ¿de verdad es buena noticia?

Un área de la empresa lleva dos ciclos de auditoría interna seguidos sin un solo hallazgo. En la reunión de revisión por la dirección, alguien lo menciona como un logro. Puede serlo. Pero antes de celebrarlo hay que demostrarlo, porque «cero hallazgos» es uno de esos datos que se pueden leer de formas muy distintas, y ISO 19011:2026, la guía internacional para auditar sistemas de gestión, pide justamente eso: no aceptar la ausencia de hallazgos como prueba automática de que todo funciona bien.

Qué dice ISO 19011 sobre los hallazgos y su interpretación

ISO 19011 es la guía internacional de referencia para auditar sistemas de gestión, aplicable a auditorías internas, de segunda parte (a proveedores) y como base metodológica de las auditorías de certificación. No es una norma que una empresa certifique; es el manual de cómo se hace bien una auditoría. Entre sus principios está la evidencia objetiva: las conclusiones de una auditoría deben poder sostenerse con evidencia verificable, y eso incluye ser honesto sobre las limitaciones del propio muestreo. Un resultado de «cero hallazgos» es una conclusión más, y como tal, necesita poder explicarse con la misma evidencia que cualquier otra.

El error: leer cero hallazgos como madurez

El error que vemos con frecuencia en los programas de auditoría interna no es tener pocos hallazgos. Es dejar de preguntarse por qué. Cuando un área sale «limpia» un ciclo tras otro, es fácil que la organización lo interprete como una señal de que el sistema en esa área ya maduró y necesita menos atención. A veces es cierto. Pero sin contrastarlo con otras fuentes —indicadores operativos, número de incidentes reportados, resultado de auditorías externas o de certificación— esa misma racha de cero hallazgos puede significar exactamente lo contrario: que la auditoría interna dejó de ver lo que debería ver.

Por qué pasa

Dos causas aparecen con más frecuencia. La primera es el muestreo cómodo: el auditor interno, consciente o no, tiende a revisar los mismos procesos, entrevistar a las mismas personas y seguir la misma ruta que usó el ciclo anterior, porque ya sabe dónde encontrar los documentos y quién le va a dar buenas respuestas. La segunda es el miedo a reportar: poner un hallazgo al área de un jefe directo, de un compañero cercano o de quien tiene más peso político en la organización tiene un costo social que no siempre vale la pena para quien audita, sobre todo si la auditoría interna no está protegida por una posición de independencia clara.

Cómo se hace bien

Corregir este error no significa desconfiar de un área con buen desempeño real. Significa exigirle a la conclusión «cero hallazgos» el mismo nivel de evidencia que a cualquier otra:

• Contrastar con otras fuentes. Indicadores de proceso, quejas de clientes, incidentes reportados y resultados de auditorías externas se comparan contra lo que dice la auditoría interna.
• Variar el muestreo. Cambiar los procesos revisados, el personal entrevistado y los registros solicitados de un ciclo a otro, en lugar de repetir la misma ruta.
• Evaluar el propio programa de auditoría. No basta con que las auditorías se hayan hecho según el calendario; se revisa si el programa está encontrando lo que debería encontrar.
• Proteger la independencia de quien audita. Un auditor interno que reporta hallazgos sin temor a represalias es una condición, no un extra, para que «cero hallazgos» signifique algo.

Un ejemplo: el área que nadie auditaba distinto

Un área de compras de una empresa mediana lleva tres ciclos de auditoría interna sin hallazgos. El mismo auditor la revisa cada vez, con el mismo alcance: revisión documental de órdenes de compra y entrevista con el responsable del área, con quien tiene buena relación desde hace años. En la auditoría externa de certificación, un auditor distinto, sin ese vínculo, revisa el proceso completo de selección de proveedores y encuentra que varios proveedores críticos nunca pasaron por la evaluación que el procedimiento exige. El hallazgo no apareció en tres ciclos de auditoría interna porque nadie cambió el ángulo desde el que se revisaba el área. No era madurez. Era el mismo camino recorrido tres veces.