El programa de auditoría

Un programa de auditoría es el conjunto de una o varias auditorías planificadas para un periodo y dirigidas a un propósito. Se gestiona con un ciclo: fijar objetivos, identificar los riesgos y oportunidades del programa, asignar recursos, planificar y ejecutar, y revisar el resultado para mejorarlo. La dirección aprueba los objetivos; quien gestiona el programa se encarga de que se cumplan.

Los objetivos son lo primero porque todo lo demás se mide contra ellos: sin objetivos, un calendario es solo una lista de fechas.

El objetivo OP-1 de Maule es comprobar que el SGSI cumple los requisitos. Si un proceso del alcance no se audita en ningún año del periodo, ese objetivo queda sin respaldo en esa parte y la certificación puede encontrarlo sin haberlo mirado antes. Cruza el alcance con el calendario del programa.

Un programa es factible cuando los días de auditor que pide no superan los que hay. La cuenta es simple pero se olvida: se suman los días de las auditorías de un año y se comparan con la capacidad de ese año (auditores por días de cada uno). El exceso es el déficit que alguien tendrá que resolver.

Calcula el año 2027: suma los días de sus tres auditorías y réstales lo que dan los auditores internos disponibles.

ISO 19011 pide identificar riesgos y oportunidades del programa, no solo del auditado: que falte la persona competente, que las fechas choquen con el cierre del negocio, que un cambio de alcance deje el calendario viejo. Un riesgo del programa sin dueño ni respuesta termina siendo un incumplimiento anunciado.

Con cinco días de déficit en 2027 hay tres salidas honestas: ampliar la capacidad (otro auditor, un experto técnico externo), reprogramar parte de lo que pide el año, o recortar el alcance de alguna auditoría. Lo que no se vale es dejar el calendario como está y esperar que las auditorías se hagan «más rápido»: el resultado sería muestras más pequeñas sin que nadie lo decida ni lo documente.