Antes de contratar una auditoría, el directorio necesita responder tres cosas · quién audita, desde qué relación con la organización y qué uso tendrá el resultado. ISO 19011 distingue auditorías de primera, segunda y tercera parte. La metodología puede parecerse; la autoridad y los destinatarios de la conclusión cambian.
Tipo I · Auditor de primera parte
Quién la realiza · la propia organización o alguien que actúa en su nombre. Puede ser personal interno o un profesional externo contratado para cumplir la función de auditoría interna.
Qué puede hacer · revisar conformidad operativa contra estándares internos · detectar incumplimientos antes de que escalen · recomendar mejoras · funcionar como el mecanismo de aprendizaje del sistema.
Qué no produce · un certificado de tercera parte. Su informe puede ser relevante para un regulador o un cliente, pero conserva su naturaleza interna y debe presentarse como tal.
Limitaciones estructurales · audita a sus propios pares · ve la información que su posición le deja ver · arrastra el riesgo de auto-confirmación justo en los problemas que la organización prefiere callar.
Cuándo usarlo · para evaluar el propio sistema de gestión, investigar incidentes o preparar decisiones internas. Si una norma exige auditoría interna, el programa debe responder a ese requisito y a los riesgos del sistema.
Tipo II · Auditor de segunda parte
Quién es · profesional designado por una parte interesada externa con relación contractual directa · cliente importante, casa matriz, proveedor estratégico, mandante sectorial.
Qué puede hacer · verificar requisitos contractuales, evaluar desempeño contra acuerdos de servicio, examinar capacidad técnica antes de adjudicar o ejercer un derecho de auditoría pactado.
Qué no puede hacer · emitir certificado oponible a partes ajenas a la relación bilateral. Su autoridad termina donde termina el contrato que lo legitima.
El dato de esta década · la regulación de diligencia debida obliga a ciertos grandes grupos a identificar y gestionar impactos en su cadena de actividades. La Directiva (UE) 2026/470 estrechó el alcance y modificó el calendario. La norma no impone que toda revisión adopte forma de auditoría de segunda parte; cuando se usa esa figura, el mandato y el criterio deben quedar escritos.
Tipo III · Auditor de tercera parte
Quién la realiza · una organización auditora independiente de la relación de primera o segunda parte. Cuando la auditoría integra un proceso de certificación acreditada, actúa un equipo designado por el organismo de certificación dentro de su alcance de acreditación.
Qué produce · hallazgos y una recomendación dentro del proceso. El certificado lo emite el organismo de certificación después de una revisión y una decisión realizadas por personas que no participaron de la auditoría.
Qué no puede hacer · diseñar o implementar la solución que luego evaluará. Puede explicar el requisito y el hallazgo; no debe asumir la decisión de gestión del auditado. Las amenazas de imparcialidad se evalúan y documentan según la relación concreta.
De dónde sale su fuerza · de la competencia, el alcance, la imparcialidad y la separación entre auditoría y decisión. Esa cadena tiene criterio propio en esta serie · el Criterio 12 la recorre eslabón por eslabón.
La condición de tercera parte se protege en cada encargo. Explicar el requisito no equivale a diseñar la corrección. La línea se cruza cuando el auditor toma decisiones de implementación que después debería evaluar. Los verbos ayudan a verla · el auditor pregunta y concluye; la organización decide y ejecuta.
La herramienta y la firma
Una plataforma de monitoreo, un agente que lee registros o un copiloto que redacta borradores no constituyen una parte. Son herramientas. Su salida adquiere sentido dentro del mandato, el criterio y la revisión de quien firma. El tablero observa; la responsabilidad sigue en la parte que lo utiliza.
El auditor multi-sombrero
El riesgo de imparcialidad aparece cuando un profesional alterna encargos de distinta naturaleza sin revisar incompatibilidades. Puede actuar como auditor interno tercerizado, como auditor de un cliente y, en otro contexto, como auditor de certificación. Cada rol puede ser legítimo; la combinación exige evaluar relaciones previas, información obtenida y amenazas de autorrevisión.
Cada rol puede ser legítimo. El cambio de rol obliga a evaluar relaciones previas, interés propio, familiaridad y otras amenazas de imparcialidad. La respuesta depende del encargo y del esquema aplicable: puede requerir declaración, revisión independiente, restricción temporal o rechazo del trabajo. Ninguna salvaguarda sirve por sí sola para todos los casos.
El test del criterio
Cuatro preguntas, cada una con respuesta esperada, antes de aceptar cualquier informe de auditoría.
Pregunta uno · ¿quién encargó la auditoría y para quién se emitirá el resultado? Respuesta esperada · consta en el documento de encargo. La propia organización · primera parte. Un cliente u otra parte interesada · segunda. Una organización auditora independiente · tercera; si además hay certificación acreditada, debe identificarse el organismo y su alcance.
Pregunta dos · ¿qué uso tendrá el resultado? Respuesta esperada · la primera parte informa decisiones internas; la segunda responde a una relación contractual o de parte interesada; la tercera aporta independencia. Solo un proceso de certificación emite un certificado, con la cadena que desarrolla el Criterio 12.
Pregunta tres · ¿qué roles previos tuvo este profesional con nuestra organización? Respuesta esperada · declaración de independencia firmada y consultable, con roles y fechas. La respuesta de memoria, sin documento, es el primer hallazgo de la relación.
Pregunta cuatro · ¿qué herramientas automatizadas alimentaron el informe y quién firma sus salidas? Respuesta esperada · las plataformas listadas como instrumentos del equipo, con un firmante humano identificable por hallazgo. El Criterio 06 explica por qué esa firma tiene que existir.
El sistema se diseña para gestionar la operación · la auditoría llega después, a verificar lo que ya respira. El directorio que domina los tres tipos compra exactamente la declaración que necesita, y sabe antes del incidente hasta dónde llega cada firma.