Las auditorías ISO son esenciales para evaluar el cumplimiento de las normativas internacionales y mejorar la gestión en diferentes áreas de una organización. Una auditoría ISO consiste en evaluar un sistema de gestión que cumple con los requisitos establecidos por una norma ISO.
Una auditoría ISO es un proceso sistemático para obtener y evaluar pruebas de auditoría de manera objetiva, con el fin de determinar en qué medida se cumplen los criterios de auditoría. La definición exacta incluida en la norma ISO 9000:2015 es la siguiente: “Proceso sistemático, independiente y documentado para obtener evidencias objetivas y evaluarlas de manera objetiva con el fin de determinar el grado en el que se cumplen los criterios de auditoria».
Lo que comúnmente se conoce como auditoría ISO en realidad no es tal. Más bien, se trata de una auditoría de un sistema de gestión de calidad u otro sistema de gestión que cumple con una norma ISO. Una auditoría ISO, como la de ISO 90019001 o de cualquier otro estándar ISO, es un proceso sistemático para obtener evidencia y evaluarla objetivamente con el fin de determinar en qué medida se cumplen los criterios de auditoría.
Importancia y Beneficios de las Auditorías ISO
Las auditorías de gestión de calidad son esenciales porque monitorean y aseguran que los procesos de la organización estén alineados con los requisitos de la norma. Decidir implantar un sistema de gestión conforme a una norma ISO y obtener la certificación suele ser una acción voluntaria por parte de una empresa. Sin embargo, en algunos casos puede ser necesario para cumplir con una normativa local o nacional.
Más a menudo, puede considerarse una "licencia para comerciar" porque los socios de la cadena de suministro, los clientes y otras partes interesadas exigen pruebas de que la organización emplea las mejores prácticas y se compromete a mejorar continuamente su rendimiento en áreas como productos y servicios, medio ambiente y seguridad de la información. La auditoría interna de Calidad nos permite detectar oportunidades de mejora dentro de la organización con respecto a todo lo relacionado con el sistema de gestión implantado (calidad, medio ambiente, etc.).
Lea también: Auditoría de Calidad: Ejemplo y Guía
Para aquellas organizaciones que desean conseguir un certificado ISO (certificado ISO 9001, certificado ISO 14001, certificado ISO 13485, etc.), la auditoría nos deja averiguar si la empresa está lista para la auditoría de Calidad por parte de la Entidad Certificadora. Las auditorías ISO en Argentina son una parte esencial del proceso porque están diseñadas para supervisar y garantizar que los procesos de la organización se ajustan a las normas ISO definidas y verificar que el sistema es eficaz y eficiente.
Tipos de Auditorías ISO
Una auditoría ISO puede ser realizada por el personal de la empresa si es una auditoría interna, o por un organismo de certificación externo como DNV si es una auditoría externa. Las auditorías ISO se clasifican para garantizar su exhaustividad y su adecuación a los objetivos de la organización.
Auditorías Internas (Primera Parte)
- Las auditorías internas, también conocidas como auditorías de primera parte, son realizadas por los propios auditores internos formados de la organización con fines de autoevaluación y mejora.
- Auditoría interna: la realiza la organización para verificar la efectividad de sus propios sistemas y procedimientos del sistema o sistemas de gestión implantados, y de esta forma comprobar si se precisa algún cambio.
- Los objetivos de la auditoría interna son los siguientes: asegurar que se cumplen los planes para la gestión de la organización y que el sistema ha sido adecuadamente implantado y mantenido además de informar a la dirección de la situación del sistema de gestión.
- Todas las normas ISO de sistemas de gestión exigen que las organizaciones realicen auditorías internas.
- Las auditorías internas, realizadas por la propia organización, son integrales para la autoevaluación y la mejora de los procesos internos.
- Aquellas organizaciones que lo deseen pueden realizarse las auditorías internas ISO con sus propios recursos, siempre y cuando sean capaces de demostrar capacidad para ello e independencia sobre la parte auditada.
Auditorías Externas (Segunda y Tercera Parte)
- Auditoría externa: es la desarrollada por personas o entidades ajenas a la organización y por lo tanto, externa a sus procedimientos y gestión.
- La realiza una empresa sobre sus propios proveedores o subcontratistas, o un cliente sobre ella.
- Auditoría de segunda parte, haría referencia a la auditoría externa llevada a cabo por un contratista en una organización que provee de productos/servicios.
- Auditoría de tercera parte, es la auditoría externa realizada por una entidad o persona ajena a las actividades de la organización y sin intereses en la misma.
- Esta auditoría es realizada por un organismo independiente de la organización.
- Generalmente, la realiza un organismo acreditado conforme a una norma en la que se basa el sistema de gestión y, por lo tanto, conduce a la obtención de una certificación.
- Las auditorías de certificación, también conocidas como auditorías externas, son realizadas por un organismo de certificación externo para verificar que el sistema de gestión cumple con los requisitos de una norma ISO específica.
- Las auditorías externas, realizadas por auditores independientes, ofrecen una evaluación objetiva del cumplimiento y eficacia del AIMS, contribuyendo a la certificación y la confianza del público.
- Las auditorías de certificación son realizadas por un organismo acreditado como DNV.
La elección entre auditorías internas, externas y combinadas influye significativamente en la estrategia de cumplimiento de una organización. La planificación estratégica debe considerar los matices de estas auditorías.
Normas ISO y Áreas de Aplicación
Hoy en día, hay una amplia variedad de normas ISO sobre sistemas de gestión que cubren temas como la calidad, la seguridad de la información, el medio ambiente, la salud y la seguridad en el trabajo, entre otros. Estas normas suelen identificarse por sus números, como ISO 9001, ISO/IEC 27001, ISO 14001 e ISO 45001.
Cada tipo de auditoría ISO se adapta a las necesidades específicas de la organización y puede ser implementado en función de su sector, tamaño y objetivos estratégicos. OCA Global ofrece auditorías ISO en diversas áreas, tales como calidad, medioambiente, salud y seguridad ocupacional. Actualmente existe una amplia gama de normas ISO para sistemas de gestión que cubren temas como calidad, seguridad de la información, medio ambiente, salud y seguridad ocupacional, entre otros.
Lea también: Auditoría y las Líneas de Defensa
Por ejemplo, la Norma ISO 9001 2015 especifica que la auditoria es un medio para evaluar la eficacia, que permite identificar riesgos y determinar el cumplimiento de los requisitos de cliente, legales relacionados con el producto/ servicio, etc… La auditoría interna ISO es un control del sistema de gestión implantado bajo alguna de las normas ISO (ISO 9001, ISO 14001, ISO 13485, ISO 15189, ISO 17025, etc.) bien porque se encuentra en proceso de certificación ISO o porque ya tiene un certificado ISO.
Ejemplos de normas ISO para auditorías:
- Auditoría ISO 9001
- Auditoría ISO 14001
- Auditoría ISO 17025
- Auditoría ISO 15189
- Auditoría ISO 17020
Las auditorías pueden ser largas y costosas. Por eso, cuando una organización ha adoptado varios sistemas de gestión, es recomendable considerar una auditoría integrada del sistema de gestión. La mayoría de las normas ISO de sistemas de gestión utilizan una estructura armonizada, términos comunes y los mismos requisitos básicos.
La Norma ISO 19011: Directrices para la Auditoría de Sistemas de Gestión
La norma ISO 19011 ofrece orientaciones útiles para el proceso de auditoría. Auditar según ISO 19011 es comprobar, en el sitio donde se llevan a cabo los procesos, el cumplimiento de los requisitos solicitados por una norma. Esta sirve como marco de un determinado sistema de gestión, sea este de calidad, medio ambiente, seguridad de la información o seguridad y salud en el trabajo, entre otros.
Para auditar según ISO 19011, es preciso conocer en profundidad el estándar. Este nos ofrece directrices claras para la realización de auditorías de sistemas de gestión. Los principios y directrices que nos indican cómo auditar según ISO 19011, están contenidos en el capítulo 4.
Lea también: Auditorías Ambientales: Una Guía
Los principios clave de la auditoría basados en ISO 19011 incluyen:
- Integridad: este principio aborda las cuestiones relativas a la integridad del equipo de auditoría.
- Debido cuidado profesional: se refiere a la agilidad que el auditor debe aplicar durante la auditoría y a la responsabilidad que acarrean los juicios que haga durante su trabajo.
- Confidencialidad: habla de la importancia de la discreción que los auditores deben ostentar para proteger la información obtenida durante la realización de su trabajo.
- Independencia: trata sobre la imparcialidad y la objetividad que deben imperar en las conclusiones de auditoría, que solo se obtienen si el auditor puede realizar su trabajo de forma libre e independiente. Para ello, es fundamental que el auditor mantenga la objetividad durante todo el proceso.
Auditar según ISO 19011 implica la necesidad de conocer la norma. Ya tenemos una idea de lo que se espera de una auditoría realizada bajo los principios y directrices de la norma ISO 19011.
Competencia del Auditor y Calidad de las Auditorías
La competencia de un auditor o de un equipo de auditores es crucial para garantizar una auditoría eficaz y fructífera. Al desarrollar el programa de auditoría, una organización debe asegurarse de asignar auditores con la capacitación y competencia pertinentes para el área auditada. Lo ideal es que los miembros del equipo auditor hayan asistido a un curso de auditor interno impartido por el organismo certificador u otro proveedor de.
Un equipo capacitado ayudará a evitar la mayoría de los errores comunes que pueden ocurrir antes, durante y después de una auditoría. No debe pasarse por alto la importancia de la calidad y competencia de los auditores. Una auditoría reunirá a personas de diferentes niveles de antigüedad y, en algunos casos, puede ser vista como una intrusión o un cuestionamiento de sus capacidades y métodos. En todo caso, la persona o personas que actúan como auditores han de ser independientes del área a auditar.
La baja calidad de las auditorías suele ser resultado de una combinación de falta de planificación y preparación, comunicación e involucramiento insuficiente del personal relevante, y documentación y registros inadecuados. Es más probable que los auditores competentes identifiquen no conformidades y áreas de mejora, y pueden proporcionar información valiosa sobre la integración de AIMS con las estructuras organizativas y los sistemas de gestión existentes.
El Proceso de Auditoría ISO y su Planificación
En resumen, el requisito es que una organización debe planificar, establecer, aplicar y mantener un programa de auditoría, incluyendo la frecuencia, los métodos, las responsabilidades, los requisitos de planificación y presentación de informes. Como condición previa a la auditoría es necesario que existan unas reglas de juego conocidas por ambas partes, auditor y auditado, que afectan a la empresa: Sistemática, Documentada, Independiente.
La primera auditoría interna suele tener lugar en una fase temprana del establecimiento e implementación del sistema. Puede ser aconsejable realizar una evaluación preliminar de la implementación del sistema de gestión de una organización por parte de un organismo de certificación o registrador. ISOTools permite fijar el cronograma de las auditorías y planificar las acciones a desarrollar para cumplir con él, sean cuales sean las normas de referencia utilizadas. En la auditoría de procesos se verifica el funcionamiento óptimo de los procesos y su alcance.
Auditorías ISO 42001 para Sistemas de Gestión de Inteligencia Artificial (AIMS)
El objetivo principal de las auditorías ISO 42001 dentro de los Sistemas de Gestión de Inteligencia Artificial (AIMS) es evaluar el cumplimiento de una organización con los estándares establecidos para la gestión responsable de sistemas de IA. Las auditorías ISO 42001 contribuyen significativamente a la gestión responsable del sistema de IA al identificar áreas donde los AIMS pueden optimizarse para gestionar mejor las implicaciones éticas y sociales de las tecnologías de IA.
Los criterios de auditoría para ISO 42001 se definen como el conjunto de políticas, procedimientos y requisitos utilizados como referencia con los que se compara la evidencia de auditoría, según Requisito 5.16. La evidencia de auditoría relevante en el contexto de la norma ISO 42001 incluye información documentada que demuestra la conformidad del AIMS con la norma, según lo exige la norma ISO. Requisito 5.16. Objetivos y criterios de auditoría claros, como se enfatiza en Requisito 5.16, son fundamentales para el éxito de una auditoría ISO 42001.
Sirven como hoja de ruta para el proceso de auditoría, asegurando que todos los aspectos relevantes del AIMS se evalúen con respecto a los requisitos de la norma. Los objetivos de control y controles detallados en anexo A son integrales para definir el alcance de la auditoría. Describen las áreas específicas que la auditoría debe cubrir, incluidas las políticas (A.2.2), organización (A.3.2), recursos (A.4), evaluación de impacto (A.5), ciclo vital (A.6) y gestión de datos (A.7). El sistema de gestión de IA se puede utilizar junto con un sistema de gestión dedicado a un sector, como se destaca en Anexo D.2. Por ejemplo, tanto la norma ISO 22000 como un sistema de gestión de IA son relevantes para un sistema de IA que se utiliza para la producción, preparación y logística de alimentos.
Proceso de Auditoría ISO 42001
La auditoría ISO 42001 es un proceso sistemático que evalúa el Sistema de Gestión de Inteligencia Artificial (AIMS) de una organización. Las auditorías internas según ISO 42001 sirven para verificar la eficacia del Sistema de Gestión de Inteligencia Artificial (AIMS) de una organización y su cumplimiento de la norma. Las organizaciones deben realizar auditorías internas a intervalos planificados para garantizar que AIMS siga siendo eficaz y conforme. Las auditorías internas son un componente crítico del proceso de mejora continua de AIMS.
Establecer un programa de auditoría ISO 42001 es un proceso estratégico que requiere una consideración cuidadosa de los procesos de IA específicos de la organización y los riesgos asociados con ellos. Los resultados de auditorías anteriores son fundamentales para planificar futuras auditorías ISO 42001. Proporcionan información sobre áreas que pueden requerir un escrutinio más detenido y ayudan a priorizar el enfoque de la auditoría. El alcance de la auditoría para ISO 42001 está determinado por los límites y la aplicabilidad del Sistema de Gestión de Inteligencia Artificial (AIMS) dentro de una organización, abarcando todos los procesos, actividades y ubicaciones sujetos a la auditoría según Requisito 4.3.
Al concluir una auditoría ISO 42001, es imperativo que las organizaciones informen los hallazgos de una manera integral que sea fácilmente accesible para el personal de gestión relevante, como se estipula en Requisito 9.2. Este informe debe resumir el alcance de la auditoría, la evidencia revisada y cualquier no conformidad o área de mejora que se haya identificado, asegurando la alineación con A.18 Auditoría. La documentación meticulosa y la retención de evidencia de auditoría son requisitos fundamentales según Requisito 7.5. Esto sirve como un registro indeleble del proceso y los hallazgos de la auditoría, que abarca la metodología de la auditoría, las conclusiones extraídas de la evidencia de auditoría y cualquier no conformidad descubierta, con referencia explícita a los controles relevantes en anexo A.
Las acciones de seguimiento posteriores a la auditoría son fundamentales para la integridad del proceso de auditoría. Garantizan que las no conformidades se aborden con prontitud y eficacia, que se implementen acciones correctivas para mitigar cualquier riesgo identificado y que el Sistema de Gestión de IA (AIMS) de la organización se perfeccione continuamente en función de los hallazgos de la auditoría. Estas acciones son un reflejo directo del compromiso de la organización con Requisito 10.2, que exige una respuesta proactiva a las no conformidades y la implementación de acciones correctivas.
Se alienta a las organizaciones a aprovechar los hallazgos de las auditorías como catalizador para acciones correctivas y mejoras continuas. Esto implica un análisis exhaustivo de las causas fundamentales de las no conformidades, el desarrollo y ejecución de un plan de acción para abordar estas causas y el seguimiento continuo de estas acciones para garantizar el cumplimiento y la eficacia sostenidos del AIMS. Además, el análisis de las causas fundamentales de las no conformidades a menudo incluye cuestiones relacionadas con la seguridad, lo que se alinea con el objetivo organizacional de seguridad como se describe en C.2.10. Los resultados de la auditoría son un elemento fundamental en el proceso de mejora continua. Requisito 10.1, proporcionando un circuito de retroalimentación crítico para los sistemas de gestión de inteligencia artificial (AIMS) de las organizaciones. Revisión por la dirección, como se describe en Requisito 9.3, actúa como una herramienta estratégica, utilizando los resultados de las auditorías para identificar oportunidades precisas de mejora. Estos pasos garantizan que AIMS siga siendo dinámico, receptivo y alineado con los principios de ISO 42001, fomentando una cultura de excelencia en la gestión de la IA y abordando la equidad como se destaca en C.2.5.
Competencia de Auditores en ISO 42001
Al seleccionar auditores para las auditorías ISO 42001, es imperativo asegurarse de que posean una combinación de calificaciones y experiencia, incluida una comprensión profunda de la norma ISO 42001 y su aplicación en el contexto de los Sistemas de Gestión de Inteligencia Artificial (AIMS). (Requisito 7.2). Los auditores deben tener experiencia en la auditoría de sistemas de gestión, con preferencia por aquellos que se hayan centrado en IA o tecnologías relacionadas. (A.3.2). Además, deben tener conocimientos sobre los controles específicos descritos en el Anexo A de la norma ISO 42001, que rige las políticas, la organización, los recursos, la evaluación de impacto, el ciclo de vida y la gestión de datos.
Para evaluar y garantizar la competencia de los auditores, las organizaciones deben revisar la formación académica, las certificaciones y la formación profesional de los auditores relevantes para ISO 42001 y los sistemas de IA. (Requisito 7.2). También es crucial evaluar su experiencia práctica en auditoría y su familiaridad con las tecnologías de IA y las consideraciones éticas. (B.3.2). Es esencial confirmar su capacidad para comprender y aplicar los controles del Anexo A de manera efectiva durante el proceso de auditoría. La competencia de los auditores es fundamental para el éxito de las auditorías ISO 42001, ya que garantiza que la auditoría se lleve a cabo con la profundidad y el rigor requeridos. (Requisito 9.2).
Los auditores enfrentan desafíos específicos en el contexto de los sistemas de IA, como mantenerse al tanto de los rápidos avances tecnológicos y sus implicaciones para la gestión de la IA. (C.3.4). Deben comprender las complejas implicaciones éticas, legales y sociales asociadas con los sistemas de IA. (D.1). Además, es esencial aplicar el marco ISO 42001 de una manera que sea rigurosa y adaptable a las características únicas de las tecnologías de IA.
Preparación para la Certificación ISO 42001
Las organizaciones que aspiran a obtener la certificación ISO 42001 deben emprender una serie de pasos preparatorios para garantizar el cumplimiento de los requisitos de la norma. Esto incluye realizar un análisis de brechas para identificar áreas que no cumplen con los criterios de la norma, especialmente aquellas relacionadas con anexo A control S. Es vital implementar los cambios necesarios para alinear el Sistema de Gestión de Inteligencia Artificial (AIMS) con ISO 42001, incluidos ajustes de políticas, mejoras de procesos y mejoras en la gestión de riesgos.
Además, es fundamental capacitar al personal para que comprenda y aplique los principios de la norma de manera efectiva, garantizando que todo el personal conozca sus funciones para mantener el cumplimiento de AIMS. Demostrar un compromiso con las prácticas éticas de IA y una sólida gestión de riesgos es clave para generar confianza con las partes interesadas mediante el cumplimiento de estándares reconocidos internacionalmente y abrir nuevas oportunidades de mercado donde el cumplimiento de dichos estándares sea un requisito previo. Es importante comprender el alcance de la aplicabilidad del estándar a sus sistemas y procesos de IA y garantizar que todos los aspectos de los OBJETIVOS, incluidos los detallados en anexo A, están minuciosamente documentados y se implementan de manera efectiva. Finalmente, la preparación para auditorías internas y externas para evaluar el cumplimiento de la norma por parte de AIMS es un paso indispensable.
ISMS.online proporciona una plataforma estructurada que se alinea con el marco de ISO 42001, ofreciendo herramientas y recursos para facilitar los pasos iniciales hacia la preparación para la auditoría. Al centralizar la documentación y optimizar los flujos de trabajo de cumplimiento, ISMS.online mejora la capacidad de una organización para cumplir con los rigurosos estándares establecidos por ISO 42001, incluido el control de la información documentada según lo exige la norma ISO. Las capacidades de la plataforma se alinean con Nacido en 2.2 para documentar una política de IA y Nacido en 2.4 para revisar la política de IA para garantizar su idoneidad, adecuación y eficacia continuas. Esto incluye proporcionar una plataforma estructurada para gestionar la documentación y las pruebas de cumplimiento, así como ofrecer herramientas para la evaluación y el tratamiento de riesgos que se alineen con anexo A control S. La plataforma también facilita el proceso de auditoría interna a través de sus funciones integrales de gestión de auditoría.