La auditoría interna se define en el apartado 8.2.2 de la ISO 13485. Tiene dos funciones: verificar que el SGC es conforme a la norma y a los requisitos reglamentarios, y verificar que está efectivamente implantado y mantenido. Una auditoría interna bien realizada es una herramienta de gestión. Una auditoría interna hecha de cualquier manera es una casilla marcada que da una falsa impresión de control.
La estructura del programa anual
La norma exige un programa de auditoría planificado, que tenga en cuenta el estado y la importancia de los procesos, así como los resultados de las auditorías anteriores. En la práctica, un programa anual debe cubrir el conjunto de los procesos del SGC a lo largo del ciclo de certificación (3 años), con una frecuencia más elevada para los procesos de alto riesgo o que hayan presentado no conformidades recientes.
El programa debe establecerse al inicio del ciclo, con fechas reservadas en las agendas. Un programa de auditoría que se va constituyendo sobre la marcha, entre dos urgencias operativas, acaba siempre incompleto.
La cualificación de los auditores internos
Los auditores internos deben estar formados en la norma ISO 13485, en los requisitos reglamentarios aplicables (MDR, IVDR) y en las técnicas de auditoría. La norma ISO 19011 es la guía de referencia para la realización de las auditorías de SGC.
Dos requisitos son innegociables.
La independencia. Los auditores no pueden auditar su propio trabajo. En una estructura pequeña, esto implica intercambios entre funciones o el recurso a un auditor externo para los procesos en los que la independencia interna es imposible de garantizar.
La formación práctica. Haber realizado una formación de auditor no es suficiente. Una experiencia en observación acompañada — auditar en pareja con un auditor experimentado antes de realizar una auditoría de forma autónoma — es la condición de un nivel de competencia real.
El uso de los resultados: la parte que la mayoría de las pymes descuida
Un informe de auditoría que constata desviaciones sin que ocurra nada después es inútil. El proceso de auditoría interna debe estar conectado con el proceso CAPA: cada no conformidad detectada genera una acción correctiva con responsable y plazo, seguida de una verificación de eficacia.
Los resultados de las auditorías internas alimentan la revisión por la dirección. La dirección debe ver las tendencias a lo largo de varios ciclos: ¿reaparecen las mismas no conformidades en los mismos procesos? ¿Algunos procesos son sistemáticamente más frágiles? Estas tendencias orientan el programa de auditoría siguiente.
Una auditoría interna que nunca genera no conformidades es sospechosa. O los auditores carecen de rigor, o el alcance auditado es insuficiente. Un SGC real siempre genera oportunidades de mejora.