¿Por qué hacer una auditoría interna de su programa de certificación?

La mejor respuesta es asegurarse de que el programa esté haciendo todo lo que es obligatorio. Ya sea que esas acciones obligatorias sean requeridas por el emisor del certificado o el organismo de acreditación, las auditorías internas brindan a la gerencia evidencia de que el programa se ejecuta de la manera en que está diseñado para ejecutarse (o no).

Las auditorías están diseñadas como un control contra las regulaciones. Por ejemplo, las Auditorías Financieras se llevan a cabo en base a reglas financieras estrictas. De manera similar, la norma ASTM E2659 requiere auditorías internas para garantizar que todas las políticas y procedimientos del programa de certificación cumplan con sus requisitos.

¿Qué debe incluirse en las auditorías internas?

ASTM E2659-18 define:

“auditoría interna f—revisión de primera parte de las políticas y procedimientos del emisor del certificado para garantizar el cumplimiento de los requisitos de esta práctica.”

ASTM E2659-18 párrafo 3.1.25

Básicamente, cualquier política o procedimiento que toque el estándar ASTM E2659 debe incluirse en la auditoría interna. Esto no significa que no se deban incluir otras políticas y procedimientos importantes relacionados con el programa (a su discreción, muchos programas los incluyen). Sin embargo, el requisito mínimo para cumplir con la norma es que todas las políticas y procedimientos requeridos por la norma se incluyan en la auditoría interna.

El requisito de auditoría interna exige, como mínimo, que las políticas y procedimientos básicos que se encuentran en 5.2.1.3(1-17); más 5.4.1.2 Controles financieros adecuados; 5.6.1.3 Desempeño de los Contratistas; y 6.1.6.5 Se revisará la identidad de las personas.

Referencias en la Norma

La norma ASTM E2659-18 requiere que las auditorías internas se planifiquen y realicen con regularidad y que se documenten y comuniquen a la gerencia. (5.2.4 Auditorías Internas)

3.1.2.5 Define las auditorías internas como “revisiones de primera parte de las políticas de los emisores de certificados para garantizar el cumplimiento de la norma”.

5.2.1.3(15) Requiere que las políticas de auditoría interna estén escritas (documentadas).

5.2.4 Requiere que se planifiquen/realicen auditorías internas regularmente y que los resultados se comuniquen a la gerencia.

5.2.5 CAPA incluye auditorías como parte de su proceso de identificación.

5.2.6 Las auditorías son entradas requeridas para las revisiones de gestión.

5.3.2 El personal pertinente debe conocer y comprender las políticas.

¿Qué tipo de evidencia se necesita para cumplir con el estándar?

1. El plan: la gerencia generalmente usa una declaración de política para indicar cuándo, quién y cómo se llevará a cabo la auditoría interna. La mejor práctica es incluir las calificaciones del auditor y un método para que el auditor envíe mejoras a la auditoría.
   1. Cuándo: algunas auditorías se realizan anualmente, pero algunas son lo suficientemente críticas como para ser necesarias con mayor frecuencia (particularmente cuando están involucradas la seguridad y las finanzas).
   2. Quién: una persona calificada, responsable y con conocimientos que no es responsable del área auditada.
   3. Cómo: recursos específicos (como el acceso a la documentación), el cronograma para informar los hallazgos, a quién y cómo se informarán los hallazgos.
2. Documentación de la auditoría: hojas de cálculo o formularios firmados y fechados con columnas que identifiquen la política y las preguntas que utiliza el auditor para verificar que se está cumpliendo la política. Estas hojas a menudo incluyen bloques de firma (tinta o electrónica).
3. Evidencia de que la auditoría fue comunicada a la Gerencia del Programa de Certificados (correo electrónico o firma electrónica (o tinta)). Algunos programas utilizan una firma de gestión en la revisión de gestión para este fin.
4. Evidencia de que cualquier problema actual o potencial identificado está integrado en el proceso de acción correctiva y preventiva (CAPA).
5. Evidencia de que la auditoría interna, así como las auditorías externas*, se incluyeron como información de entrada para la revisión por la dirección. Una buena práctica es adjuntar una copia de la Auditoría Interna a la agenda. De esta manera, la gerencia tiene la oportunidad de revisarlos durante la parte breve de Auditoría Interna de la Revisión de la Gerencia.

*La revisión de ANAB CAP Assessor es una auditoría externa.

Problemas más comunes observados con las auditorías internas

Los cuestionarios no hacen suficientes preguntas.

Si bien la primera pregunta siempre es «¿Existe una política?» casi siempre hay más preguntas que necesitan ser respondidas y validadas.

Por ejemplo, «Invalidación de un certificado» tiene una serie de preguntas que deben responderse (no necesariamente limitadas a, o que requieran todas las siguientes):

• ¿Existe una política?
• ¿Dónde se documenta la política?
• ¿Cuándo se revisó la política por última vez? ¿Cumple con los requisitos de revisión de políticas?
• ¿Dónde se pone la política a disposición de las partes interesadas?
• ¿El personal relevante conoce la política?
• ¿Se invalidaron algunos certificados durante este período? Si es así, ¿por qué?
• ¿Se invalidaron algunos certificados por otra razón que no sea no cumplir con los requisitos del programa de certificación?
• ¿Se invalidaron algunos certificados por falsificar la identidad del alumno?

A partir de este ejemplo, las primeras tres son preguntas básicas de gestión de políticas y las preguntas restantes abordan muchos de los «elementos» importantes de la política. Es útil delinear las políticas y procedimientos para que estos elementos puedan identificarse y la auditoría interna pueda verificar que estos elementos (requisitos de las políticas y procedimientos) se cumplan.

Además, con respecto a la pregunta final, el estándar no requiere que los emisores de certificados realicen un seguimiento cuando los alumnos falsifican su identidad (requiere seguridad adecuada, etc.), pero desde el punto de vista comercial, es bastante importante. Las políticas y los procedimientos son exclusivos de la empresa, las auditorías internas ayudan a informar a la gerencia sobre posibles problemas que, de lo contrario, podrían pasar desapercibidos.

La evidencia proporcionada no es apropiada para la pregunta.

Ocasionalmente, los administradores de programas utilizarán las declaraciones de políticas y procedimientos como evidencia de las acciones. Si bien las políticas y los procedimientos se pueden usar para documentar procesos o directivas, Comportamiento normalmente se documentan en actas de reuniones, registros, informes, revisiones, evaluaciones, informes, correos electrónicos y otra documentación (estos deben mostrar que se revisó el material y se siguieron los procedimientos).

Nuevamente, la presencia de una política o procedimiento no prueba la acción. Cuando se requiere una acción, se necesita un mecanismo de seguimiento. Por ejemplo, cuando se descubre un problema, la gerencia indica al personal que lo resuelva e informe. Un registro de acciones correctivas y preventivas (CAPA) se usa generalmente para realizar un seguimiento de las acciones correctivas y preventivas. Como mínimo, este registro identifica el problema, la fecha en que se identificó, la persona asignada para solucionarlo, la resolución y la fecha en que se resolvió. En este caso, la evidencia general de acción es el registro CAPA.

Es posible que los gerentes de capacitación no sepan el «por qué».

¿Por qué está escrita la política de la manera que está?

Por ejemplo… Una de las primeras asignaciones que recibe un nuevo empleado es revisar la política de la empresa. La empresa quiere que los nuevos empleados sepan cómo funciona el negocio, cómo es la cultura y cómo se espera que se desempeñen. Ese primer mes es fundamental para asegurarse de que el nuevo empleado se sienta cómodo y conozca la política de la empresa.

Asimismo, el nuevo gerente revisará todas las políticas a su cargo, hará ajustes y se asegurará de que cumplan con las exigencias actuales del programa. Los propietarios/directores ejecutivos alientan esto porque saben que nuevos ojos pueden detectar problemas, ahorros de costos, etc. Las revisiones periódicas de las políticas y procedimientos por parte de la gerencia aseguran que se mantengan actualizados y relevantes.

Los programas maduros incluyen personal que comprende los antecedentes, el propósito y los elementos de las políticas y los procedimientos del programa y se asegura de que se sigan.

Los auditores pueden no ser verdaderamente independientes.

La mayoría de los programas utilizan auditores internos (personas que trabajan para la empresa). Desafortunadamente, cuando las personas trabajan juntas, tienden a querer ayudarse mutuamente y no siempre documentan todo lo que ven.

Para combatir esto, algunos programas también utilizan auditores externos. Estos auditores pueden ser pagados o voluntarios. De cualquier manera, una mejor práctica es cambiar de auditores regularmente. Un factor clave es asegurarse de que los auditores no auditen nada de lo que sean responsables.

Los programas maduros aseguran que las personas asignadas para completar las auditorías sean verdaderamente independientes, tengan el conocimiento para reconocer problemas y hacer recomendaciones para mejorar.

El proceso de auditoría está incompleto.

A menudo, las auditorías se informan a la gerencia pero no se incluyen en la revisión de la gerencia o no capturan evidencia de que la gerencia recibió el informe de auditoría.

El seguimiento de la gestión del proceso de auditoría garantiza que la revisión se complete a tiempo, se informen los resultados y se tomen medidas para resolver los problemas. También garantiza que se cumplan los requisitos de la norma cuando se informa a la gestión del programa y los resultados se incluyen en el Revisión de gestión.

Entonces, ¿por qué hacer una auditoría interna?

La supervisión y mejora del programa es el objetivo final de cualquier auditoría interna. Las auditorías internas brindan una revisión independiente del programa de certificación sin los posibles obstáculos causados ​​por la participación diaria en el programa.

Cuando se diseñan y ejecutan correctamente, las auditorías internas brindan indicaciones a la gerencia de que el programa se está ejecutando según lo planeado. Más importante aún, brindan un aviso valioso cuando es necesario abordar los problemas.

Autor colaborador: Kevin Swartz

Kevin Swartz es dueño y opera KS² Consultants LLC, que proporciona evaluaciones y capacitación del plan de estudios y del programa de desarrollo de instructores/maestros para mejorar la educación y la capacitación en la educación gubernamental, corporativa y privada/pública. Estas evaluaciones se basan en los métodos de Diseño de Sistemas de Instrucción (ISD) y Capacitador Técnico Certificado (CTT), además de los criterios de evaluación publicados. Se puede contactar a Kevin en [email protected] o en LinkedIn en www.linkedin.com/in/Kevin-Swartz-KS2-Consultants.