Auditorías internas, diagnóstico de brechas y preparación para inspecciones y auditorías

La auditoría interna, el diagnóstico de brechas y la preparación para inspecciones son servicios relacionados pero distintos. Una auditoría interna evalúa evidencia frente a criterios definidos, gestionando independencia y competencia. Un Gap Analysis compara el estado actual con un requisito u objetivo. Readiness organiza medidas y evidencia para una revisión futura. SÍ presta evaluaciones privadas y consultoría, sin atribuirse facultades de certificador ni autoridad.

• Auditoría de cliente, certificación o inspección próxima.
• Desconocimiento de la evidencia que demuestra requisitos.
• Hallazgos repetidos y acciones abiertas.
• Expedientes fragmentados o registros insuficientes.
• Necesidad de priorizar inversiones de regularización.
• Cambios o expansiones sin revisión de readiness.
• Controles implementados sin evaluación documentada.
• Responsables no preparados para localizar y explicar evidencias.

03.1 Planeación de auditoría

Definición de objetivos, alcance, criterios, procesos, muestreo, independencia, competencias y plan de actividades.

Entregable orientativo: Plan de auditoría y matriz de criterios.

03.2 Ejecución de auditoría interna

Revisión documental, entrevistas, observación, muestreo, evaluación de evidencia, reuniones y registro objetivo de hallazgos.

Entregable orientativo: Informe de auditoría sustentado.

03.3 Gap Analysis

Matriz requisito-evidencia-estado, clasificación de brechas, revisión de riesgos, prioridades y dependencias.

Entregable orientativo: Informe de brechas y roadmap.

03.4 Readiness documental

Verificación de procedimientos, registros, versiones, expedientes, trazabilidad y recuperación de evidencia.

Entregable orientativo: Matriz de preparación y pendientes.

03.5 Readiness operativo

Revisión de áreas, procesos, controles, capacitación, responsabilidades e instalaciones conforme al alcance.

Entregable orientativo: Informe de preparación operativa.

03.6 Simulación privada

Ejercicios de revisión, entrevistas, recorridos, checklist y reporte; expresamente no oficiales.

Entregable orientativo: Informe de simulación.

03.7 Seguimiento

Matriz de hallazgos, acciones, responsables, plazos, evidencia de cierre y verificación acordada.

Entregable orientativo: Informe de seguimiento.

• Programa y plan de auditoría.
• Criterios y listas de verificación.
• Informe y resumen ejecutivo.
• Matriz de requisitos, hallazgos, riesgos y evidencia revisada.
• Checklist de preparación y simulación.
• Plan de acciones con responsables y fechas.
• Informe de seguimiento y verificación cuando se contrate. La lista representa opciones de alcance. La propuesta específica definirá cantidades, archivos, ciclos de revisión, criterios de aceptación y dependencias; no se presume la inclusión automática de todos los elementos.

• Auditoría puntual
• Programa periódico de auditorías
• Gap Analysis
• Auditoría documental
• Readiness para certificación o inspección
• Simulación privada
• Seguimiento de hallazgos Los servicios pueden contratarse como una intervención delimitada, por fases, de manera integral o recurrente. No se publican tarifas universales: se cotiza según alcance y recursos.

• Visibilidad de brechas y riesgos reales.
• Priorización de acciones con base en evidencia.
• Mejor disponibilidad de documentación ante evaluaciones.
• Seguimiento y claridad sobre responsables y estado de hallazgos. Los beneficios son objetivos técnicos y operativos cuya magnitud dependerá del estado inicial, participación del cliente y ejecución real; no representan garantía de resultados.

• Cobertura de requisitos auditados.
• Hallazgos por tipo, antigüedad y criticidad.
• Evidencia de cierre y eficacia comprobada.
• Porcentaje de acciones atendidas.
• Readiness dentro de los criterios establecidos. Las fórmulas, denominadores, línea base, fechas de corte, fuentes, metas y responsables se acordarán antes de utilizar los indicadores. No se informarán porcentajes sin sustento.

• Normas y criterios aplicables, procesos, instalaciones, documentación, reportes anteriores y responsables.
• Acceso autorizado, reglas de confidencialidad, calendario y limitaciones de muestreo. La solicitud de información puede organizarse por fases. La documentación sensible se revisará bajo accesos autorizados y condiciones de confidencialidad apropiadas.

SÍ: delimitar alcance; evaluar evidencia; comunicar hallazgos y limitaciones; desarrollar productos contratados; presentar revisiones; gestionar cambios del proyecto; capacitar y dar seguimiento cuando corresponda.

Cliente: proporcionar información real; designar responsables; validar aspectos técnicos; aprobar y poner en vigor documentos; asignar recursos; adoptar decisiones sanitarias, regulatorias u operativas conforme a sus facultades; conservar registros y ejecutar acciones.

• Auditoría interna no es certificación ni verificación oficial.
• La clasificación de hallazgos se ajusta al marco pertinente; las categorías internas no reemplazan definiciones oficiales.
• Los resultados se limitan al muestreo y evidencia disponible, sin garantía de ausencia de incumplimientos.
• La independencia y conflictos de interés se evaluarán antes de contratar auditorías a sistemas diseñados por SÍ.
• No se recrea evidencia histórica ni se preparan actuaciones que se hagan pasar por visitas oficiales. Como regla transversal, no se incluyen automáticamente certificaciones, dictámenes oficiales, trámites, licencias, laboratorios, representación jurídica, validaciones especializadas, compra de software o equipos, ni servicios que exijan habilitación profesional específica. Estas actividades deberán contratarse separadamente con la figura competente. SÍ no garantiza autorizaciones de terceros y no altera evidencia histórica.

ISO 19011, edición vigente; ISO 9001 según sistema; ISO/IEC 17021-1 como distinción de certificadores; legislación sectorial y requisitos aplicables.

La edición, el alcance normativo y los requisitos aplicables deberán verificarse para cada cliente. La inclusión de una referencia no convierte esa norma en obligatoria para todas las organizaciones.

Según alcance, el cierre puede incluir relación de entregables, archivos editables y de consulta acordados, registros de revisión, estado de aprobaciones, evidencias de implementación, informe final, pendientes y recomendaciones. La conclusión contractual no debe confundirse con la autorización, certificación o verificación formal de los procesos del cliente.