Criterios de auditoría ISO 9001: cómo definirlos y aplicarlos

Los criterios de auditoría ISO 9001 son las referencias utilizadas para comparar evidencias objetivas y determinar si un proceso es conforme. Pueden incluir requisitos de la norma, políticas, procedimientos, contratos, obligaciones legales y controles definidos por la organización. El criterio describe qué debería ocurrir; la evidencia muestra qué ocurrió; el hallazgo registra el resultado de la comparación.

Esta distinción es esencial. Los criterios vagos convierten la auditoría en una discusión de opiniones. Los criterios claros muestran qué referencia se aplicó, qué hecho se observó y por qué la conclusión se puede sostener.

Criterio, evidencia y hallazgo: diferencias

Elemento	Pregunta que responde	Ejemplo
Criterio de auditoría	¿Qué debería cumplirse?	El procedimiento exige aprobación antes de publicar
Evidencia objetiva	¿Qué se verificó?	El historial muestra aprobación el 8 de septiembre
Hallazgo	¿Qué muestra la comparación?	El documento se publicó después de la aprobación: conformidad
Conclusión	¿Qué indica el conjunto de hallazgos?	El control de la muestra está implementado y es eficaz

ISO 19011:2026 explica que una auditoría puede usar, por separado o en conjunto, normas de sistemas de gestión, políticas y procesos internos, requisitos legales y regulatorios y planes del sistema. Por eso, auditar ISO 9001 no significa recorrer cláusulas aisladas: significa comprobar cómo funcionan los requisitos aplicables en el proceso real.

Qué puede utilizarse como criterio de auditoría

• requisitos aplicables de ISO 9001 y otras normas adoptadas;
• política, objetivos y procedimientos del SGC;
• requisitos de clientes, contratos y especificaciones;
• leyes, reglamentos y licencias aplicables;
• criterios de aceptación, indicadores y límites operativos;
• planes, riesgos, controles y decisiones de la organización;
• acciones definidas en auditorías o revisiones anteriores.

No todas las fuentes deben utilizarse en todas las auditorías. La selección depende del objetivo y del alcance. En compras, por ejemplo, la homologación, la autorización de pedidos y la evaluación del desempeño pueden ser más relevantes que una lista general de todos los requisitos del SGC.

Cómo crear una matriz de criterios

1. Empieza por el objetivo y el alcance

Define qué decisión debe apoyar la auditoría. “Auditar Compras” es amplio; “evaluar si los proveedores críticos se seleccionan, supervisan y reevalúan según su riesgo y desempeño” ofrece una dirección verificable.

Registra procesos, sedes, periodo, productos o servicios incluidos. Así se evita aplicar un requisito fuera de contexto o extender una conclusión más allá de la muestra.

2. Identifica las referencias aplicables

Localiza las versiones vigentes de normas, procedimientos, contratos y obligaciones. No copies documentos completos en la lista. Extrae el requisito que será evaluado y conserva su origen, código, revisión y apartado.

3. Conecta el criterio con el riesgo y el resultado

El criterio gana sentido cuando el auditor entiende qué protege. La aprobación de proveedores puede controlar riesgos de entrega, especificación o cumplimiento normativo. Esta relación orienta el muestreo y permite evaluar eficacia, no solo campos completados.

4. Anticipa evidencias posibles

Para cada criterio, anota fuentes que puedan ayudar: entrevistas, observaciones, registros, indicadores, mediciones o pruebas. Esto prepara al auditor sin limitar su juicio. El ISO 9001 Auditing Practices Group recomienda buscar evidencia relevante y evaluarla objetivamente frente a los criterios.

5. Valida la matriz antes de ejecutar

Confirma el alcance, los documentos vigentes y los contactos con el responsable del proceso. No se negocia el resultado; se evitan sorpresas sobre referencias, periodos y límites.

Ejemplo práctico de matriz

Proceso o riesgo	Criterio y origen	Evidencia posible	Muestra	Resultado esperado
Documento obsoleto en uso	PR-02 rev. 6: publicar solo después de aprobar	historial y acceso en el punto de uso	5 documentos críticos	solo versiones vigentes disponibles
Bajo desempeño del proveedor	procedimiento de compras y contrato	evaluación, entregas, acciones y revisión	3 proveedores críticos	decisión coherente con riesgo y desempeño
Acción correctiva ineficaz	procedimiento de NC y regla de eficacia	causa, plan, evidencia y recurrencia	acciones cerradas este trimestre	eficacia verificada antes del cierre
Indicador sin decisión	objetivo de calidad y regla de análisis	datos, tendencia y acta	últimos 6 periodos	el análisis genera acción y seguimiento

La columna “resultado esperado” mejora las preguntas. En lugar de “¿existe evaluación del proveedor?”, pregunta “¿cómo cambia el desempeño la decisión de mantener, desarrollar o suspender a un proveedor?”.

Errores que debilitan los criterios

• indicar solo el número de una cláusula sin explicar el requisito aplicable;
• tratar una lista de internet como regla de la organización;
• citar un procedimiento sin identificar su revisión vigente;
• confundir una preferencia del auditor con un requisito obligatorio;
• comprobar documentos sin evaluar aplicación y resultados;
• formular preguntas que sugieren la respuesta;
• ampliar los criterios después de encontrar un problema sin comunicarlo.

Una no conformidad necesita un criterio identificable y evidencia verificable. Sin una referencia aplicable puede haber una oportunidad de mejora, pero no una obligación inventada por el auditor.

Cómo redactar un hallazgo trazable

Utiliza la secuencia criterio → evidencia → comparación → hallazgo.

Ejemplo: “El procedimiento PR-02, revisión 6, exige aprobación antes de la publicación. En los documentos X e Y, publicados el 4 y el 6 de septiembre, el historial no presentó aprobación anterior a su disponibilidad. La muestra no cumple el criterio definido.”

El formato separa fuente, hecho y conclusión. Evita expresiones como “el control es malo” o “el equipo es desorganizado”, que no permiten reproducir el análisis.

Para profundizar, consulta nuestra guía de evidencia objetiva en ISO 9001 y el artículo sobre cómo realizar una auditoría interna ISO 9001.

Cómo ayuda Konvéz Quality

En el trabajo diario, los criterios suelen estar en hojas de cálculo separadas de evidencias, hallazgos y acciones. La fragmentación dificulta saber qué revisión se utilizó y reconstruir la decisión.

Con Konvéz Quality, el equipo puede conectar documentos controlados, auditorías, riesgos, no conformidades, responsables y acciones en un flujo trazable. El sistema no sustituye el juicio del auditor: conserva el contexto para que la conclusión sea clara y la evolución pueda demostrarse.

Fuentes oficiales consultadas

• ISO 19011:2026 — Directrices para la auditoría de los sistemas de gestión
• ISO 9001 — Quality management systems — Requirements
• ISO 9001 Auditing Practices Group — Evidence collection
• ISO 9001 Auditing Practices Group — Auditing digital processes

Los criterios bien definidos hacen que la auditoría sea más justa y útil. El equipo conoce la referencia, el auditor busca evidencia proporcional al riesgo y la organización recibe una conclusión que puede convertir en mejora medible.

Preguntas frecuentes

¿Qué son los criterios de auditoría ISO 9001?

Son las referencias utilizadas para evaluar la evidencia objetiva, como requisitos aplicables de ISO 9001, políticas, procedimientos, leyes, contratos y controles definidos por la organización.

¿Un criterio de auditoría siempre es una cláusula de ISO 9001?

No. Una cláusula puede formar parte del criterio, pero la evaluación también puede considerar procedimientos internos, requisitos del cliente, obligaciones legales, indicadores y otros controles relevantes.

¿Cuál es la diferencia entre criterio y evidencia de auditoría?

El criterio indica qué debería cumplirse. La evidencia es la información verificable observada. El hallazgo resulta de comparar la evidencia con el criterio.

¿Es obligatorio utilizar una lista de verificación?

ISO 9001 no exige un formato único. La organización puede usar una matriz, un guion de preguntas u otro recurso que cubra el alcance sin limitar la investigación del proceso real.

¿Cómo se evitan criterios de auditoría genéricos?

Relaciona cada referencia con un proceso, riesgo, control y resultado esperado. Registra la versión del documento y formula preguntas sobre aplicación y eficacia, no solo sobre la existencia de archivos.