Guía · Auditoría interna
ISO 19011:2026: qué cambia en las auditorías internas
La cuarta edición de la ISO 19011 se publicó el 27 de mayo de 2026 y reemplaza a la de 2018. No cambia la forma de auditar desde cero: incorpora la auditoría remota como un método más y pide decidir con criterio cuándo usarla. Esto es lo que significa para su programa de auditoría interna.
Qué es la ISO 19011 y por qué le importa
La ISO 19011 es una guía de directrices para auditar sistemas de gestión. No es certificable: ninguna empresa se certifica en ISO 19011. Es la referencia que usan los equipos de auditoría interna y los auditores de segunda parte para planificar el programa, ejecutar cada auditoría y definir la competencia de quienes auditan.
En Colombia se adopta como Guía Técnica Colombiana (GTC-ISO 19011) y es la base habitual de las auditorías internas de ISO 9001, ISO 14001 e ISO 45001. También sirve de referencia para la auditoría anual del SG-SST que exige el Decreto 1072 de 2015 en su artículo 2.2.4.6.29.
Qué cambió en la edición 2026
El prólogo de la nueva edición señala dos cambios principales, y ambos tienen que ver con la auditoría remota:
- La orientación sobre métodos de auditoría remota pasa al cuerpo de la norma. Incorpora lo que antes estaba en una especificación técnica aparte, la ISO/IEC TS 17012:2024.
- El Anexo A se amplía con orientación práctica sobre métodos remotos y ubicaciones virtuales: planificación, entrevistas a distancia, acceso a la información y seguridad de la evidencia.
Entre las precisiones que destacan los análisis de la nueva edición, estas son las que más cambian el trabajo diario:
- La auditoría remota se trata como un método normal, no como una excepción.
- El programa debe indicar qué métodos se usarán: en sitio, remoto o combinado.
- El método se elige según si permite obtener evidencia confiable, no solo por logística.
- Si los hallazgos se clasifican, por ejemplo en mayores y menores, los criterios deben estar definidos y comunicados.
- El informe debe dejar claro qué métodos se usaron.
- La competencia del auditor incluye el manejo de las herramientas tecnológicas y entender las oportunidades y los riesgos de las tecnologías emergentes, incluidas las basadas en inteligencia artificial.
- El texto se armoniza con el vocabulario de la nueva ISO 9000:2026 y con las ediciones 2026 de ISO 9001 e ISO 14001.
Lo que no cambia
La estructura se mantiene: principios de auditoría, gestión del programa, realización de la auditoría y competencia de los auditores. Los principios siguen siendo la base: integridad, presentación imparcial, debido cuidado profesional, confidencialidad, independencia, enfoque basado en evidencia y enfoque basado en riesgos.
Si su programa ya funciona con la edición 2018, no hay que rehacerlo. Hay que actualizarlo.
Qué ajustar en su programa de auditoría interna
- Actualizar la referencia a la edición 2026 en el procedimiento de auditoría interna.
- Definir en el programa los métodos de auditoría y el criterio para elegirlos en cada proceso.
- Establecer reglas para la evidencia digital: cómo se comparte, quién accede, cómo se conserva y cómo se protege su confidencialidad.
- Documentar los criterios de clasificación de hallazgos, si los usa, y comunicarlos a los auditados.
- Ajustar la plantilla del informe para registrar el método usado en cada parte de la auditoría.
- Revisar la competencia de los auditores internos: manejo de las plataformas, entrevistas a distancia y verificación de documentos electrónicos.
- Prever qué hacer si la conexión falla o si la evidencia remota no es suficiente.
Auditorías remotas: cuándo sí y cuándo no
La revisión documental, el análisis de indicadores y muchas entrevistas funcionan bien a distancia. Pero en HSEQ hay evidencia que se ve en campo: el estado de una zona de almacenamiento de químicos, el uso de los elementos de protección, el manejo de los residuos o la respuesta en un simulacro. En esos casos, una auditoría solo remota puede no dar la confianza suficiente, y la propia guía pide cambiar de método si la evidencia no se puede verificar.
Lo práctico suele ser un esquema combinado: documentos y entrevistas a distancia, y una visita corta para verificar los controles operacionales.
Ejemplo: un programa con métodos combinados
Así puede quedar el programa de una empresa industrial con oficina en la ciudad y planta en otro municipio:
| Proceso | Método | Por qué |
|---|---|---|
| Gestión documental | Remoto | La evidencia es electrónica y se puede verificar en pantalla. |
| Compras y proveedores | Remoto | Muestreo de registros de evaluación y de órdenes de compra. |
| Producción u operación | En sitio | Hay que observar controles, condiciones de trabajo y registros en el puesto. |
| Químicos y residuos | En sitio | El almacenamiento, el rotulado y la segregación solo se confirman viéndolos. |
| Indicadores y revisión por la dirección | Remoto | Se revisan tableros, actas y seguimiento a decisiones. |
| Preparación ante emergencias | En sitio | Inspección de recursos y, si es posible, observación de un simulacro. |
En el SG-SST, la auditoría anual que exige el Decreto 1072 de 2015 debe planificarse con la participación del COPASST o del vigía. Si parte de ella se hace a distancia, conviene dejar registrado qué se verificó en campo y qué no.
¿Hay plazo de transición?
No. Como es una guía y no una norma certificable, no tiene periodo de transición: aplica desde su publicación. Nadie le levantará una no conformidad por seguir auditando con la edición 2018, pero los organismos certificadores y los clientes esperan que el programa refleje la guía vigente, sobre todo si usa auditorías remotas.
Preguntas frecuentes
¿La ISO 19011:2026 es obligatoria?
No. Es una guía de directrices, no una norma de requisitos. Pero es la referencia que esperan los organismos certificadores y los clientes cuando revisan cómo audita su organización.
¿Mi programa de auditoría hecho con la edición 2018 sigue sirviendo?
Sí. La estructura no cambió. Basta con actualizar la referencia, los métodos de auditoría, los criterios de los hallazgos y la competencia de los auditores.
¿Una auditoría interna puede ser totalmente remota?
Puede serlo si los métodos remotos permiten obtener evidencia confiable para el alcance definido. En sistemas HSEQ, los controles operacionales suelen requerir verificación en sitio, por eso lo habitual es combinar ambos métodos.
¿Quiere revisar su programa de auditoría interna?
Le ayudamos a actualizarlo y a ejecutar la auditoría con un auditor externo e independiente.
Referencias: ISO 19011:2026, Directrices para la auditoría de sistemas de gestión (cuarta edición). ISO/IEC TS 17012:2024. Decreto 1072 de 2015, artículo 2.2.4.6.29.