ISO 19011:2018 — Auditoría integrada
La 19011 no acredita organizaciones: guía al auditor y le marca cómo recorrer un sistema de gestión sin pisar su propia sombra. Aquí verás qué la separa de la 9001, la 14001 y la 45001, cuáles son los siete principios que sostienen una auditoría decente, cómo se planifica un programa, qué cambia cuando el recorrido es integrado (calidad + ambiente + SST en una sola visita), y una viñeta de clínica universitaria con tres no-conformidades cruzadas que sirve para llevar al parcial.
Lectura de unos 18 minutos. Sirve como puente entre ISO 9001, ISO 14001 e ISO 45001, y como antesala de la ISO 45003 cuando entremos a riesgos psicosociales.
- 1 · Para qué existe la 19011
- 2 · Siete principios de auditoría
- 3 · Programa, proceso y auditoría integrada
- 4 · Trampa típica del parcial
- 5 · Viñeta: clínica universitaria
- 6 · Cierre y referencias APA
Para qué existe la 19011 (y por qué no es una norma de acreditación)
Cuando un alumno escucha “ISO 19011” suele pasarle lo que le pasaba con la 9001 antes de entenderla: imagina que es otra norma del mismo tipo, con requisitos numerados que una empresa cumple y muestra en un cuadro. No. La 19011 es una directriz, una guía de recomendaciones. No contiene requisitos obligatorios y, por tanto, no existe un documento ISO 19011 para colgar en la recepción. Lo que se acredita con la 19011 es la competencia del auditor que la aplica.
¿Por qué se redactó entonces como norma y no como simple manual? Porque a los organismos de auditoría, a los organismos de acreditación y a las propias organizaciones les sirve tener un texto con referencia ISO para fijar un lenguaje común. La 19011:2018 es la tercera edición (la primera fue 1990, asociada a la 9001 de entonces; la segunda fue 2002 y se amplió a ambiental; la tercera, 2018, ya cubre cada sistema de gestión, incluidos los nuevos esquemas que han ido apareciendo). Si quieres la referencia formal, queda como: Organización Internacional de Normalización. (2018). ISO 19011:2018. Directrices para la auditoría de los sistemas de gestión. ISO.
Frontera con otras normas de sistemas de gestión. La 19011 convive con la ISO 9001 (calidad), la ISO 14001 (ambiental), la ISO 45001 (seguridad y salud en el trabajo), la ISO 37001 (antisoborno) o la ISO 27001 (seguridad de la información), entre otras. Cada una de esas es una norma de requisitos: la organización las implementa y, si un organismo de acreditación lo verifica, recibe un acreditación. La 19011, en cambio, le dice al auditor cómo debe caminar por dentro de cualquiera de esos sistemas. Es decir: la 9001 te dice qué debes tener; la 19011 le dice al auditor cómo mirarlo.
Esa diferencia importa en el parcial. Si te preguntan “qué norma acredita un sistema integrado de gestión”, la respuesta correcta no es “la 19011”. La 19011, estrictamente, no acredita nada; lo que hace es aportar el método para auditar. Una organización que integra calidad, ambiente y SST se acredita —si quiere— contra la 9001 + 14001 + 45001 mediante tres auditorías separadas, o contra una sola auditoría integrada que recorre las tres a la vez, siguiendo la pauta de la 19011.
Otro punto que confunde: la frontera con la ISO 45003. Esta última es la guía para gestionar riesgos psicosociales dentro de un sistema de SST; también es directriz, pero su objeto no es la auditoría, sino la prevención. La 19011 sí entra a las entrevistas, los cuestionarios y el clima laboral como fuentes de evidencia; la 45003 te ayuda a interpretar lo que ves, pero no te marca el procedimiento auditor.
La figura 1 muestra el esqueleto del proceso. Verás que no es lineal: el “seguimiento” vuelve al “planificar”, porque cada cierre de no-conformidad alimenta la planificación del año siguiente. Esa doble flecha es la pista visual que conviene recordar antes del examen.
Siete principios que sostienen una auditoría decente
La 19011:2018 recoge siete principios. No son opcionales: si los incumples, lo que hagas deja de llamarse auditoría y pasa a llamarse visita, inspección o revisión por la dirección. Memorízalos en este orden y tendrás cubiertos los siete.
- Integridad — el auditor dice lo que vio, no lo que le conviene al auditado ni lo que le conviene al organismo de acreditación.
- Presentación justa — los hallazgos reflejan con exactitud las actividades, condiciones e información observadas; nada se magnifica ni se minimiza.
- Debido cuidado profesional — el auditor aplica el rigor de quien sabe que un error provoca decisiones costosas o, en SST, expone a personas.
- Confidencialidad — toda la información que sale del auditado queda dentro del informe y del expediente; si la filtras, dejas de ser auditor.
- Independencia — el auditor no audita su propio trabajo, ni el de su equipo directo, ni áreas donde tenga conflicto de interés.
- Enfoque basado en evidencia — solo se afirma lo que se puede mostrar: registros, entrevistas, observaciones. La intuición no es evidencia.
- Enfoque basado en riesgo — el tiempo de auditoría se reparte pensando en dónde pueden estar los fallos graves, no donde la visita sea más cómoda.
Definición clave. Una no conformidad es el incumplimiento de un requisito. En la 19011 se distinguen dos tipos: la mayor, cuando hay ausencia total de un requisito, un fallo sistémico o un riesgo elevado para el sistema; y la menor, cuando se trata de un fallo puntual que no compromete al sistema en su conjunto. Esa graduación la decide el auditor con criterio, no la decide el auditado.
Los siete principios son transversales: aparecen en el programa, en la planificación, en la reunión de apertura, en cada entrevista, en la redacción del informe y en el seguimiento. Si en el parcial te ponen un caso donde el auditor “comenta con el jefe de planta cómo le fue en otra empresa”, tienes una violación de confidencialidad. Si “le dice al operario lo que tiene que contestar”, tienes una violación de independencia y de enfoque basado en evidencia.
La regla nemónica no es el cartel, sino el orden: IPDC-IER. Funciona porque obliga a pronunciar las cinco consonantes que más se confunden (P, D, C, E, R).
Programa, proceso y auditoría integrada
La 19011 separa dos niveles. El primero es el programa de auditoría, que se planifica a escala de organización y suele cubrir un año: a quién auditar, con qué frecuencia, con qué alcance, qué recursos, qué prioridades de riesgo. El segundo es el proceso de auditoría, que ejecuta cada auditoría individual. Confundir ambos niveles es otro de los errores frecuentes del parcial.
3.1 El programa
Cuando diseñas un programa, la norma te pide considerar: tamaño y naturaleza de la organización, número e importancia de los procesos, resultados de auditorías previas, riesgos y oportunidades, complejidad del sistema integrado y tendencias de no conformidades. Es decir, no se programa por inercia ni “porque toca”. Se programa con datos.
1 · Establecer objetivos
Qué quiere lograr el programa: cobertura legal, confianza del cliente, preparación para una nueva auditoría de tercera parte.
2 · Definir alcance y riesgo
A qué procesos, sedes y sistemas aplica; con qué frecuencia según criticidad.
3 · Seleccionar auditores
Competencias, independencia, disponibilidad, formación continua.
4 · Asignar recursos
Tiempo, presupuesto, accesos, intérpretes si aplica.
5 · Implementar y revisar
Ejecutar, medir resultados y ajustar el programa al año siguiente.
3.2 El proceso de auditoría individual
Una vez que el programa dice “ahora le toca a este proceso”, empieza el proceso de auditoría. La 19011:2018 lo resume en seis pasos que, en la práctica, se enseñan como cuatro: planificar, realizar, informar y hacer seguimiento. El flujo es:
La realización in situ incluye la reunión de apertura, la recolección de evidencia por los tres métodos clásicos (entrevistar, observar y revisar registros), y la reunión de cierre donde se presentan los hallazgos antes de redactar el informe. Que el cierre sea antes del informe es clave: las no conformidades se comunican primero y se escriben después, no al revés.
3.3 Qué cambia cuando es integrada
Una auditoría integrada recorre al mismo tiempo varios sistemas de gestión (típicamente calidad + ambiente + SST, pero también antisoborno o seguridad de la información). Lo que cambia respecto a una auditoría simple es:
Equipo mixto y de una sola visita. El equipo auditor incluye especialistas en cada sistema. Un solo equipo, una sola visita, un solo informe con capítulos por sistema. El auditado prepara una sola vez y atiende una sola vez, lo que reduce interrupciones operativas.
Coordinación previa reforzada. El líder del equipo coordina los planes individuales para evitar duplicar entrevistas, sincronizar muestreos de registros y unificar criterios de hallazgo. Aquí se nota la formación del líder: no basta con saber de su sistema, debe saber leer los otros para no pisarse con el resto.
Hallazgos cruzados. La auditoría integrada facilita hallazgos que cruzan dos o más sistemas: por ejemplo, una formación que cubre calidad pero no SST, o un residuo mal gestionado que además afecta al cumplimiento legal ambiental. Estos hallazgos cruzados no se repartirían igual en auditorías separadas, porque caerían en informes distintos.
Analogía operativa. Piensa en una auditoría integrada como una mudanza de tres habitaciones en un solo día con un equipo de tres personas (uno por habitación) coordinadas por un líder. No es “tres mudanzas el mismo día con tres equipos separados entrando por puertas distintas”; es un equipo, una jornada, un plano. La metáfora aclara por qué la integrada ahorra tiempo al auditado y, a la vez, exige al equipo mayor sincronía.
3.4 Tabla de comparación entre modalidades
La tabla siguiente condensa las diferencias. Úsala como referencia rápida antes del examen.
| Criterio | Auditoría simple (un solo sistema) | Auditoría integrada (varios sistemas) |
|---|---|---|
| Equipo | Auditores del sistema correspondiente. | Equipo mixto, con un líder que coordina. |
| Planificación | Un plan, un alcance. | Plan integrado con alcance combinado por sistema. |
| Informe | Un solo informe del sistema. | Un solo informe con secciones por sistema. |
| Hallazgos | Limitados a su sistema. | Pueden ser cruzados entre dos o más sistemas. |
| Coste y tiempo para el auditado | Mayor por preparar varias veces. | Menor al concentrar la visita. |
| Riesgo para el auditor | Sincronía baja. | Sincronía alta: requiere madurez metodológica. |
Trampa típica del parcial
Trampa 1 — Creer que la 19011 se acredita como sistema. Si te preguntan “qué norma se acredita en un SIG”, no respondas 19011. La 19011 se aplica; no se acredita. Acreditas al auditor (su competencia) y acreditas a la organización contra 9001, 14001, 45001, etc.
Trampa 2 — Leer “integrada” como “tres auditorías simultáneas”. No. Integrada = un equipo, una visita, un informe. Si en el examen te describen tres auditores independientes entrando por separado, eso son tres auditorías combinadas, no una integrada.
Trampa 3 — Asumir que todo hallazgo es no conformidad automática. Un hallazgo puede ser también una observación (riesgo potencial sin incumplimiento) o una oportunidad de mejora (sugerencia no obligatoria). Solo cuando hay incumplimiento real de un requisito se eleva a no conformidad, mayor o menor.
Trampa 4 — Pensar que el psicólogo “no entra” a la auditoría. Falso en la práctica. El psicólogo no firma informes de auditoría, pero el auditor lo entrevista, lo observa y revisa sus instrumentos cuando la auditoría toca SST, clima laboral, riesgos psicosociales o formación. Su papel es fuente de evidencia y de interpretación, no auditor. Confundir los roles es una falta de independencia.
Si te enfrentas a un caso práctico tipo parcial, revisa cuatro puntos antes de escribir: (a) ¿qué norma se está acreditando, la 19011 o una norma de requisitos?; (b) ¿el equipo es uno o son tres?; (c) ¿hay entrevistas a personal que aplica instrumentos psicosociales?; (d) ¿el hallazgo descrito se graduó correctamente? Si fallas en cualquiera de los cuatro, el resto de la respuesta se cae.
Viñeta de parcial: clínica universitaria con visita integrada
La clínica universitaria “San Lorenzo” atiende 280 pacientes diarios, tiene 92 trabajadores entre personal sanitario y administrativo, y acaba de fusionar tres sistemas que llevaba por separado: calidad (ISO 9001), ambiental (ISO 14001) y SST (ISO 45001). Pidió una auditoría integrada de tercera parte de los tres. El equipo auditor fue mixto: una auditora líder de calidad, un auditor de ambiente y una auditora de SST con experiencia clínica. Duración: cuatro días. Aquí va el resumen de hallazgos para que trabajes el caso.
5.1 No conformidad mayor 1 — Residuos biosanitarios con cobertura cruzada
El primer día, revisando el almacén transitorio de residuos, el equipo constató que los contenedores de residuos biosanitarios clase III (cortopunzantes) se almacenaban junto a bidones de residuos químicos del laboratorio de análisis, sin separación física. La ISO 14001 exige segregación para evitar mezcla peligrosa; la ISO 45001 exige manipulación segura por riesgo de exposición ocupacional; el procedimiento interno PG-014 exige separación de al menos 1,5 metros y barrera visual. La auditoría tomó fotos georreferenciadas, revisó los registros de pesada diaria y entrevistó al responsable de servicios generales. El hallazgo cruzó ambiente + SST porque una sola medida correctiva resolvía ambos requisitos. No conformidad mayor, por afectar a dos sistemas simultáneamente y por riesgo elevado.
5.2 No conformidad menor 2 — Formación incompleta al personal nuevo
Al revisar las fichas de formación del personal incorporado en los últimos seis meses, el equipo encontró que cuatro auxiliares de enfermería habían recibido la inducción de calidad pero no la de SST, mientras que un técnico de mantenimiento había recibido la de SST pero no la ambiental. Ningún incumplimiento legal directo, pero sí un fallo sistémico del procedimiento de inducción (PR-007) que no estaba coordinando las tres formaciones. No conformidad menor, porque es puntual y no compromete la operación, pero su reiteración la escalaría a mayor.
5.3 Observación 3 — Cuestionario psicosocial sin revisión metodológica
El servicio de prevención había aplicado el cuestionario psicosocial del ministerio en su versión de 2014, sin actualizar a la versión vigente, y no conservaba evidencia de la validación interna del instrumento. No es incumplimiento de la ISO 45001 en sentido estricto (la norma pide gestionar riesgos psicosociales, no qué instrumento específico), pero el equipo auditor levantó una observación por riesgo potencial: un instrumento desactualizado puede subestimar la prevalencia real. Además, durante la entrevista, la psicóloga de la clínica explicó que el psicólogo no audita; aporta lectura clínica del clima y alerta sobre sesgos del auditado. Esa precisión se incorporó al informe como nota técnica del equipo auditor.
5.4 Cierre y seguimiento
El equipo entregó el informe integrado con dos no-conformidades (mayor y menor) y una observación. La clínica presentó en 30 días un plan de acciones correctivas: nueva disposición del almacén con barrera física (cierra la mayor), automatización del check-list de inducción cruzada (cierra la menor), y revisión metodológica del cuestionario psicosocial por parte de la psicóloga junto con el servicio de prevención (cierra la observación). El seguimiento se hizo a 90 días con una auditoría parcial, también integrada, del equipo original.
Cuando el parcial te presente un caso parecido, observa tres pistas: (i) si el equipo es mixto y de una sola visita; (ii) si los hallazgos cruzan sistemas; (iii) si el cierre es con una sola auditoría de seguimiento. Esas tres pistas te dicen que estás ante una auditoría integrada según 19011, no ante tres auditorías separadas.
Detalles del alcance y del equipo
Alcance: procesos asistenciales (consulta externa, hospitalización, urgencias), servicios de apoyo (esterilización, laboratorio, imagen, farmacia interna), gestión ambiental (residuos, agua, energía) y SST (riesgos físicos, biológicos, psicosociales). Duración: 4 días en sitio + 1 día de informe + 1 día de seguimiento parcial. Equipo: 1 auditora líder de calidad con credencial ISO 9001 e ISO 19011, 1 auditor ambiental con credencial ISO 14001, 1 auditora de SST con credencial ISO 45001 y formación clínica.
Por qué la mayor y no tres mayores
La auditoría integrada graduó una sola no conformidad mayor (residuos biosanitarios) aunque el incumplimiento aparecía en tres frentes (ambiental, SST, procedimiento interno). La razón está en la pauta de la 19011: se gradúa por el efecto sobre el sistema, no por la suma de frentes afectados. Mezclar residuos biosanitarios con químicos ponía en riesgo a un grupo de trabajadores y al ambiente. Una sola acción correctiva (separación física con barrera) cerraba el riesgo para los tres frentes a la vez.
Cómo se distribuyen las entrevistas
El equipo repartió 27 entrevistas: 11 al personal asistencial, 6 al de apoyo, 4 al equipo directivo, 3 a la psicóloga y al servicio de prevención, y 3 a proveedores críticos (gestor de residuos, mantenimiento externo, laboratorio concertado). Cada entrevistado fue visto una sola vez, con un guion de preguntas que cubría los tres sistemas. Esto es típico de la auditoría integrada y uno de los ahorros que el auditado valora: menos interrupciones operativas.
Errores frecuentes al resolver este caso
Tres errores que aparecen una y otra vez al revisar exámenes: (a) calificar la formación incompleta como “mayor” cuando es menor por ser puntual y no afectar la operación; (b) afirmar que la 19011 “se acredita” en la clínica; (c) escribir que la psicóloga “audita el sistema”, cuando su papel es de fuente de evidencia e intérprete, no de auditora. Si tu respuesta esquiva estos tres, sumas puntos seguros.
Cierre y referencias
Te llevas tres ideas para el parcial. Una: la 19011 es directriz, no norma de requisitos; acredita al auditor, no a la organización. Dos: la auditoría integrada recorre varios sistemas en una sola visita, con un solo equipo, un solo informe y hallazgos que pueden cruzar sistemas. Tres: el psicólogo no firma el informe, pero se le entrevista, se leen sus instrumentos y se incorpora su lectura clínica del clima y de los sesgos del auditado. Con esas tres ideas resuelves el 80 % de las preguntas tipo.
Lo que queda por trabajar a partir de aquí es la coordinación entre los planes de los tres sistemas cuando se integran, y el diseño del programa anual cuando el riesgo psicosocial entra como variable prioritaria. Ese será el puente hacia la ISO 45003 y, más adelante, hacia los esquemas de acreditación del personal (ISO 17021 para los organismos de acreditación, ISO 17024 para las personas).
Resumen en una línea
La 19011:2018 pauta cómo auditar sistemas de gestión; la auditoría integrada aplica esa pauta recorriendo varios sistemas con un solo equipo, un solo informe y hallazgos cruzados; el psicólogo aporta lectura clínica sin sustituir al auditor.
Referencias
Organización Internacional de Normalización. (2018). ISO 19011:2018. Directrices para la auditoría de los sistemas de gestión. ISO.
Organización Internacional de Normalización. (2015). ISO 9001:2015. Sistemas de gestión de la calidad — Requisitos. ISO.
Organización Internacional de Normalización. (2015). ISO 14001:2015. Sistemas de gestión ambiental — Requisitos y orientación para su uso. ISO.
Organización Internacional de Normalización. (2018). ISO 45001:2018. Sistemas de gestión de la seguridad y salud en el trabajo — Requisitos con orientación para su uso. ISO.
Organización Internacional de Normalización. (2021). ISO 45003:2021. Gestión de la seguridad y salud en el trabajo — Seguridad y salud psicosocial en el trabajo — Directrices para la gestión de los riesgos psicosociales. ISO.