Es el único momento en que una empresa se mira con los ojos de quien va a evaluarla, y todavía tiene tiempo de corregir. La norma fija quién puede hacerla, cada cuánto y qué debe cubrir.
En seguridad y salud en el trabajo la auditoría interna no es una buena práctica: es una obligación con periodicidad. El artículo 2.2.4.6.29 del Decreto 1072 de 2015 establece que «el empleador debe realizar una auditoría anual, la cual será planificada con la participación del Comité Paritario o Vigía de Seguridad y Salud en el Trabajo», y añade que si se realiza con personal interno, este «debe ser independiente a la actividad, área o proceso objeto de verificación».
El parágrafo del mismo artículo es el que convierte la auditoría en un proceso y no en una visita: exige un programa que defina idoneidad del auditor, alcance, periodicidad, metodología y presentación de informes, y que tome en consideración los resultados de auditorías previas. Cierra con dos reglas cortas y contundentes: «los auditores no deben auditar su propio trabajo» y los resultados «deben ser comunicados a los responsables de adelantar las medidas preventivas, correctivas o de mejora en la empresa».
En sistemas de calidad la lógica es la misma, aunque la fuente cambie: ISO 9001 exige auditorías internas a intervalos planificados para verificar que el sistema es conforme y está implementado con eficacia, e ISO 19011 es la guía reconocida para planificarlas y ejecutarlas. Ahí la obligación no viene de la ley colombiana, sino del compromiso de obtener o mantener el certificado.
Son dos obligaciones distintas, con fuente distinta y producto distinto. Cumplir una no exime de la otra, y presentarlas como equivalentes es un hallazgo esperando ocurrir.
Resolución 0312 de 2019: se aplica con la Tabla de Valores del artículo 27 y, según el artículo 26, se realiza cada diciembre. Produce un puntaje y el Plan de Mejora que se aprueba dentro del Plan Anual del año siguiente. La hace la empresa sobre sí misma.
Decreto 1072 de 2015, artículos 2.2.4.6.29 y 2.2.4.6.30: anual, planificada con el COPASST, ejecutada por alguien independiente del área auditada, con programa y metodología. Produce un informe de hallazgos contra requisitos.
Artículo 2.2.4.6.31: la alta dirección revisa el sistema al menos una vez al año, de manera proactiva y no solo sobre estadísticas. Usa como insumo los indicadores y las auditorías anteriores, y sus resultados se documentan y divulgan al COPASST.
El paso 06 decide si la auditoría mejoró algo: sin análisis de causa, los hallazgos del año pasado vuelven a aparecer con otra redacción.
El parágrafo del artículo 2.2.4.6.29 pide que el programa comprenda la idoneidad del auditor, el alcance, la periodicidad, la metodología, la presentación de informes y —esto se olvida siempre— que tome en consideración los resultados de auditorías previas.
La norma no dice «informar al COPASST»: dice que la auditoría será planificada con su participación. Si el comité se entera el día de la apertura, ese requisito no está cumplido y queda en el acta.
Personal de otra área, con formación acreditable, que no audite lo que él mismo ejecuta. En empresas pequeñas suele resolverse con auditoría cruzada entre áreas o con un auditor externo que no haya participado en el diseño del sistema.
Cada hallazgo se sostiene en un registro, un documento o una observación en sitio, y se enuncia contra un requisito concreto: artículo, numeral de la norma o procedimiento interno. Un hallazgo sin requisito citado es una recomendación, no un hallazgo.
No conformidad, observación y oportunidad de mejora son cosas distintas y disparan tratamientos distintos. La norma exige que los resultados se comuniquen «a los responsables de adelantar las medidas preventivas, correctivas o de mejora», no solo a la gerencia.
Una no conformidad se cierra cuando se corrigió el hecho y se atacó lo que lo produjo. Cerrar con «se socializó al personal» es la forma más común de garantizar que el mismo hallazgo reaparezca en la auditoría siguiente.
La norma dice que el proceso de auditoría «deberá abarcar entre otros lo siguiente». Una auditoría que se queda en revisar documentos y firmas deja fuera la mayoría de estos puntos:
Dos de esos frentes son los que más hallazgos producen y los que casi nadie audita: el alcance del sistema frente a proveedores y contratistas —donde suele estar el riesgo que la empresa no controla— y la gestión del cambio, que aparece cuando se compra una máquina, se abre una sede o cambia un proceso sin volver a valorar los riesgos.
La independencia entre quien implementa y quien evalúa no es una formalidad: es lo único que hace útil un informe. Por eso mantenemos dos reglas explícitas.
Tagline no certifica. La certificación de un sistema de gestión la emite un organismo de certificación acreditado, y su independencia frente a quien implementó es requisito de su propia acreditación. Cualquier consultora que ofrezca «implementar y certificar» está describiendo algo que no puede hacer.
Y no auditamos internamente el sistema que diseñamos. Es la misma regla del artículo 2.2.4.6.29 aplicada con honestidad: nadie audita su propio trabajo. Cuando hemos acompañado la implementación, la auditoría interna la asume otro equipo o se plantea como auditoría cruzada, y lo decimos antes de cotizar.
Para el SG-SST, sí y con periodicidad fijada. El artículo 2.2.4.6.29 del Decreto 1072 de 2015 dispone que «el empleador debe realizar una auditoría anual, la cual será planificada con la participación del Comité Paritario o Vigía de Seguridad y Salud en el Trabajo». En ISO 9001 la auditoría interna también es un requisito del sistema, pero ahí la obligación nace del compromiso de certificarse o de mantener el certificado, no de una norma legal colombiana.
No, y confundirlas es frecuente. La autoevaluación de la Resolución 0312 de 2019 se aplica con la Tabla de Valores del artículo 27, se hace cada diciembre según el artículo 26 y produce un puntaje y un Plan de Mejora. La auditoría del artículo 2.2.4.6.29 del Decreto 1072 es otra cosa: la ejecuta alguien independiente del área auditada, sigue un programa con alcance y metodología definidos, y su producto es un informe de hallazgos. Una empresa cumple las dos, no una en lugar de la otra.
El parágrafo del artículo 2.2.4.6.29 exige que el programa de auditoría defina «la idoneidad de la persona que sea auditora», y fija dos reglas de independencia que no admiten interpretación: si la auditoría se hace con personal interno, este «debe ser independiente a la actividad, área o proceso objeto de verificación», y «los auditores no deben auditar su propio trabajo». La misma norma aclara que seleccionar auditores «no implicará necesariamente aumento en la planta de cargos existente»: se puede formar personal propio de otras áreas.
No debería, y nosotros no lo hacemos. La regla de que nadie audita su propio trabajo aplica igual a un consultor externo: quien diseñó el procedimiento no es quien puede juzgar con distancia si funciona. Cuando una firma implementa y luego se audita a sí misma, el informe pierde el único valor que tiene, que es decirle a la empresa lo que no quiere oír.
El artículo 2.2.4.6.30 del Decreto 1072 lista trece frentes: cumplimiento de la política, resultado de los indicadores de estructura, proceso y resultado, participación de los trabajadores, rendición de cuentas, comunicación del sistema, planificación y aplicación del SG-SST, gestión del cambio, seguridad y salud en las nuevas adquisiciones, alcance frente a proveedores y contratistas, supervisión y medición de resultados, investigación de incidentes y accidentes y su efecto sobre la mejora, el propio proceso de auditoría y la evaluación por parte de la alta dirección.
No. Son dos obligaciones distintas y la segunda usa a la primera como insumo. El artículo 2.2.4.6.31 exige que la alta dirección revise el SG-SST «por lo menos una (1) vez al año», y advierte que esa revisión «no debe hacerse únicamente de manera reactiva sobre los resultados (estadísticas sobre accidentes y enfermedades, entre otros), sino de manera proactiva». Sus resultados deben documentarse y divulgarse al COPASST o Vigía y al responsable del sistema.
Sirve para llegar preparado, no para certificar. La certificación la emite un organismo acreditado e independiente, y esa independencia es un requisito de su acreditación. Lo que hace la auditoría interna es encontrar los hallazgos antes de que los encuentre el auditor externo, cuando todavía se pueden cerrar sin consecuencias.
Planificamos el programa con su COPASST, ejecutamos la auditoría con auditor independiente y le entregamos los hallazgos redactados contra requisito, con el análisis de causa que permite cerrarlos.
Solicitar diagnóstico