No existe un número único de tipos de auditoría, porque se clasifican según quién las realiza, qué examinan y con qué propósito. Una primera división distingue auditorías internas y externas. En las auditorías de sistemas de gestión también es habitual hablar de primera, segunda y tercera parte.
Si se atiende al contenido, aparecen auditorías financieras, operativas, de cumplimiento, de sistemas de información, ambientales o de calidad, entre otras. Estas categorías pueden coincidir en un mismo encargo. Una auditoría puede ser externa y financiera a la vez, del mismo modo que una revisión interna puede centrarse en seguridad de la información.
Qué convierte una revisión en una auditoría
Una auditoría examina evidencias de forma sistemática y las compara con criterios definidos. Los criterios pueden proceder de normas, contratos, procedimientos o requisitos aplicables. Su objetivo debe estar delimitado antes de empezar para que las conclusiones respondan a una pregunta concreta.
La revisión de documentos es solo una parte posible del trabajo. También pueden utilizarse entrevistas, observaciones, comprobaciones de registros y pruebas sobre operaciones o controles. Las técnicas elegidas dependen de lo que se pretende evaluar.
Un informe útil permite entender qué se examinó, con qué alcance y qué límites tuvo el trabajo. Llamar auditoría a cualquier comprobación informal no aclara su profundidad ni el grado de confianza que ofrece.
Auditoría interna y externa
La auditoría interna se realiza por la propia organización o por personas que trabajan en su nombre para atender sus objetivos internos. Puede examinar riesgos, controles y procesos. Que una actividad sea interna no elimina la necesidad de objetividad ni significa que cada departamento deba evaluarse a sí mismo.
La auditoría externa incorpora una relación distinta entre quien audita y quien es auditado. Puede realizarla un cliente sobre su proveedor o una entidad independiente para una finalidad específica. El término externa, por sí solo, no identifica el contenido de la auditoría.
La independencia debe interpretarse dentro del tipo de encargo. No son iguales la revisión que un comprador hace a un proveedor y la evaluación de una entidad de certificación. Ambas pueden ser externas, pero responden a relaciones y fines diferentes.
Primera, segunda y tercera parte
Esta división se utiliza especialmente para describir auditorías de sistemas de gestión. Permite reconocer la relación entre las partes antes de analizar el área técnica revisada.
- Primera parte: la organización audita su propio sistema, directamente o mediante un servicio contratado para actuar en su nombre.
- Segunda parte: una parte interesada, como un cliente, audita a otra organización con la que mantiene una relación.
- Tercera parte: interviene una organización independiente, como ocurre en determinados procesos de certificación.
Una auditoría de tercera parte no tiene siempre el mismo alcance que otra. Hay que identificar el esquema y los requisitos evaluados. Obtener una certificación de un sistema tampoco equivale a garantizar cada producto o cada operación de una empresa.
Auditorías según lo que examinan
Financiera
Se centra en información financiera y en su adecuación al marco aplicable. Puede abarcar estados financieros completos o elementos concretos, según el encargo. No debe confundirse con la tarea cotidiana de llevar la contabilidad.
Una auditoría financiera ofrece el nivel de seguridad previsto por su marco de trabajo y tiene límites. No constituye una garantía absoluta de que no exista ningún error ni de que una empresa vaya a obtener beneficios en el futuro.
Operativa o de desempeño
Examina cómo se desarrollan las actividades y cómo se utilizan los recursos para alcanzar los objetivos. Puede analizar economía, eficiencia y eficacia. Una revisión del proceso de compras, por ejemplo, puede estudiar retrasos, duplicidades y controles.
Sus conclusiones necesitan criterios que permitan valorar el desempeño. Detectar que una tarea tarda varios días no basta para considerarla deficiente si no se conocen su complejidad, sus requisitos y el resultado esperado.
De cumplimiento
Comprueba la adecuación a requisitos identificados. Estos pueden proceder de disposiciones aplicables, contratos o políticas internas. El trabajo debe precisar qué obligaciones se revisan y durante qué periodo.
Una auditoría de cumplimiento no certifica automáticamente que toda la organización cumpla cualquier requisito imaginable. La conclusión se limita al alcance y a las evidencias obtenidas.
De calidad y ambiental
Las auditorías de calidad pueden revisar sistemas, procesos o productos frente a criterios establecidos. Las ambientales se centran en aspectos de gestión y requisitos ambientales dentro del alcance definido. Ambas pueden ser internas o externas.
El nombre del área ayuda a anticipar las competencias necesarias del equipo. No sustituye la identificación de la norma, el proceso o la instalación que se evaluará.
De sistemas de información y seguridad
Revisan aspectos como accesos, gestión de cambios, continuidad y protección de la información. El alcance puede incluir componentes técnicos y procesos organizativos. Una prueba de seguridad puntual no equivale por sí sola a una auditoría completa del sistema.
Para interpretar sus resultados hay que conocer los entornos examinados y las limitaciones de acceso. Un control que funciona en una muestra no permite asumir sin más que todas las situaciones posibles estén cubiertas.
Sistema, proceso y producto: otra forma de ordenar el trabajo
Una auditoría de sistema examina un conjunto de elementos de gestión y sus relaciones. Una auditoría de proceso se concentra en una secuencia de actividades. Una auditoría de producto atiende a características y requisitos de un resultado concreto.
Estas categorías vuelven a cruzarse con las anteriores. Un cliente puede realizar una auditoría de segunda parte sobre un proceso de su proveedor. Describirla con ambas expresiones aporta más precisión que intentar colocarla en una sola casilla.
Cómo definir la auditoría que se necesita
El punto de partida es la decisión que se quiere apoyar: conocer el funcionamiento de un control, revisar información financiera o comprobar requisitos de un proveedor. Después se concretan el alcance, los criterios, el periodo y el destinatario del informe.
También debe acordarse cómo se comunicarán los hallazgos y qué seguimiento tendrán las medidas adoptadas. Un informe pierde utilidad si las conclusiones son vagas o si nadie conoce las responsabilidades posteriores.
La pregunta sobre cuántas auditorías existen se aclara al separar criterios. Interna o externa explica la relación entre las partes. Financiera, operativa o de cumplimiento explica el propósito. El alcance concreto determina qué podrá concluir realmente el trabajo.
