Requisitos de la norma por cláusula

Una auditoría interna compara lo que hay con unos criterios. La cláusula 9.2 de la norma pide comprobar dos cosas a la vez: que el sistema de gestión cumple los requisitos de la norma y que cumple los requisitos que la propia organización se fijó, y además que está implementado y mantenido de forma eficaz. El segundo grupo se olvida con facilidad, y es justo el que más hallazgos da en una primera auditoría: el manual, los procedimientos y las políticas internas también son criterio.

La norma pide, por ejemplo, revisar ciertos documentos «a intervalos planificados» sin decir cuáles. Si la empresa escribe en su manual que el intervalo es un trimestre, el auditor audita contra ese trimestre. Abre la consola y lee la tabla de requisitos internos.

Dos cláusulas de la evaluación del desempeño se confunden a menudo porque las dos «miran hacia atrás». La auditoría interna la hacen auditores con objetividad, siguen un programa con criterios y alcance, y su producto son hallazgos. La revisión por la dirección la hace la alta dirección: se sienta a intervalos planificados con unas entradas definidas —entre ellas, los resultados de las auditorías y el estado de las acciones— y decide qué cambia. Una alimenta a la otra; no son la misma.

Una lista de verificación que cita la cláusula equivocada lleva al auditor a pedir la evidencia equivocada al responsable equivocado. Busca en la lista la pregunta que habla de lo que hace la dirección y está colgada de la cláusula de auditoría.

En la cláusula de planificación la organización define tres procesos: cómo evalúa riesgos de IA, cómo los trata y cómo evalúa el impacto de sus sistemas sobre personas, grupos y sociedad. En la cláusula de operación tiene que ejecutarlos: a intervalos planificados y cada vez que hay un cambio importante. Cada proceso tiene así dos caras auditables: el documento que lo define y los registros que prueban que se hizo.

Una lista que solo pregunta por los procedimientos escritos se queda en la primera cara. Compara las cláusulas de operación con las preguntas que las citan.

Una entrevista es evidencia, pero débil si se queda sola: dice lo que alguien cree que pasa. Cuando el requisito deja rastro —un registro de competencias, un historial de versiones, un tablero de indicadores—, la lista debe pedir ese rastro y usar la entrevista para entender el proceso y orientar la búsqueda. Una lista que se conforma con «pregúntale al responsable» en requisitos que dejan registros prepara una auditoría que no podrá sostener sus conclusiones.

Recorre la columna de evidencia de la lista completa.

La auditoría concluye sobre dos cosas: si el sistema es conforme y si es eficaz. Un procedimiento escrito y aprobado demuestra que el requisito de definir el proceso se cumple en el papel; no dice nada de si el proceso se aplica ni de si consigue lo que promete. Para eso hay que ver la ejecución: registros, resultados, decisiones tomadas con ellos.

Mira cómo están redactadas las preguntas LV-05 y LV-07.