Los siete principios de la auditoría

ISO 19011 es una norma de directrices para auditar sistemas de gestión: explica cómo gestionar un programa de auditorías, cómo conducir cada auditoría y cómo evaluar la competencia de quienes auditan. No contiene requisitos que una empresa deba cumplir para certificarse, así que no se certifica contra ella. Lo que se certifica es el sistema de gestión (por ejemplo, un SGSI contra ISO/IEC 27001) y el organismo que lo hace aplica otras normas. Para auditar un SGSI existe además una guía que la complementa, ISO/IEC 27007.

Los textos de pago de ISO no se reproducen aquí: lo que se enseña son las ideas y el vocabulario, y conviene que compruebes los detalles finos en tu copia oficial de la norma.

Los siete principios de la guía son: integridad, presentación imparcial, debido cuidado profesional, confidencialidad, independencia, enfoque basado en la evidencia y enfoque basado en el riesgo. En la consola tienes la tabla principios con una frase de la casa para cada uno y la tabla situaciones con seis hechos reales de 2026, sin decir qué principio toca.

La confidencialidad protege lo que el auditor ve por estar dentro: contratos, precios, accesos. Se rompe cuando esa información se usa para algo distinto de la auditoría.

La independencia es la base de la imparcialidad y de la objetividad de las conclusiones: quien audita un proceso no debe haberlo diseñado, operado ni ser responsable de sus resultados. No basta con ser honesto, hay que poder ser visto como alguien sin interés en el resultado.

Tienes las asignaciones del programa de 2026 y el cargo que cada auditor tiene hoy.

El enfoque basado en la evidencia exige que las conclusiones sean fiables y reproducibles: otra persona, con la misma evidencia, debe poder llegar a lo mismo. Eso depende de que la muestra sea suficiente y esté bien escogida. Una conclusión sobre el todo, sacada de una fracción diminuta que nadie justificó, no es una conclusión de auditoría.

El enfoque basado en el riesgo pide que la planificación, la ejecución y el informe atiendan a los riesgos y las oportunidades. Para un programa significa repartir los días de auditor donde un fallo cuesta más y donde hace más tiempo que nadie mira. El programa de 2026 tiene 20 días y cinco procesos candidatos.

Mira la tabla procesos_y_riesgo: uno tiene riesgo alto y nadie lo ha auditado nunca.