Qué es la ISO 19011 y cómo se usa para auditar cualquier sistema de gestión

La ISO 19011 es la norma internacional que recoge las directrices para auditar sistemas de gestión: cómo diseñar y gestionar un programa de auditorías, cómo planificar y ejecutar cada auditoría concreta y cómo evaluar la competencia de las personas que auditan. No establece requisitos y no se certifica.

Es una norma de orientación que sirve de método común para auditar cualquier sistema de gestión, sea de calidad (ISO 9001), ambiental (ISO 14001), de seguridad de la información (ISO 27001), de seguridad y salud (ISO 45001) o de continuidad de negocio (ISO 22301). La edición vigente es la ISO 19011:2026, publicada por ISO el 27 de mayo de 2026, que sustituye a la de 2018; en España se ha adoptado como UNE-EN ISO 19011:2026 en junio de 2026.

Si gestionas un sistema certificado, esta norma te interesa aunque nunca la hayas abierto: es el manual de método que usan tanto tu auditor interno como, en gran medida, el auditor de tu entidad certificadora. Entenderla te permite preparar mejor las auditorías, exigir más valor de ellas y detectar cuándo una auditoría se está haciendo mal.

Qué es exactamente la ISO 19011

Su título oficial es «Directrices para la auditoría de los sistemas de gestión». Es una norma de directrices, no de requisitos: todo su contenido es orientación, no obligación. Eso la diferencia de las normas certificables, que se redactan en términos de «debe» y contra las que una entidad certificadora puede emitir un certificado.

La norma nació de la fusión de las antiguas guías de auditoría de calidad y de medio ambiente, y desde 2002 se publica con el número 19011. Ha tenido cuatro ediciones con ese número: 2002, 2011, 2018 y la actual de 2026. Cada revisión ha ampliado su alcance: de auditar solo calidad y medio ambiente pasó a servir para cualquier disciplina de sistema de gestión, y la edición de 2026 incorpora de lleno la realidad de las auditorías a distancia y los entornos digitales.

Una advertencia práctica: como toda norma ISO, su texto no es público. Se adquiere en la tienda de ISO o, en versión española, a través de AENOR. Por eso en esta guía encontrarás una explicación funcional de qué contiene y cómo se aplica, no una reproducción de su articulado.

Para qué sirve (y para qué no)

La ISO 19011 sirve como referencia de método en situaciones muy concretas:

• Auditorías internas (de primera parte): las que tu propia organización hace sobre su sistema de gestión, normalmente porque la norma certificable correspondiente las exige de forma periódica.
• Auditorías a proveedores (de segunda parte): las que haces a un tercero con el que tienes relación contractual, o las que un cliente te hace a ti.
• Formación y evaluación de auditores: define qué competencias necesita un auditor y cómo evaluarlas, algo que usan tanto empresas como entidades de formación.

Y hay dos cosas para las que no sirve, que conviene tener claras:

• No es la norma de las certificadoras. Las entidades que emiten certificados (auditoría de tercera parte) trabajan bajo la ISO/IEC 17021-1, que sí es una norma de requisitos y bajo la cual las acredita ENAC en España. La ISO 19011 les resulta útil como método, pero su vara de medir es otra.
• No es certificable. Nadie puede venderte un «certificado ISO 19011». Si te lo ofrecen, desconfía: lo que existe son certificados de formación de auditor basados en la norma, que es algo distinto.

Si aún no tienes claro qué normas aplican a tu organización, antes de pensar en auditorías te conviene pasar por el comprobador de normativa aplicable, que te orienta en dos minutos.

La edición vigente: qué cambia en la ISO 19011:2026

La revisión de 2026 no es una reescritura de la norma, sino una actualización técnica. La estructura de fondo y los principios se mantienen, pero hay cambios que afectan al día a día de quien audita:

• Auditoría remota e híbrida, formalizada. La edición de 2018 ya admitía métodos a distancia; la de 2026 los integra como práctica normal, con orientación específica para auditorías total o parcialmente remotas. Después de años en que las auditorías por videollamada se hacían «como se podía», ahora hay criterio común sobre cuándo tienen sentido y cómo mantener su fiabilidad.
• Competencia digital del auditor. Se espera que el auditor sepa manejar las tecnologías que usa para auditar: plataformas de reunión, acceso a sistemas documentales, revisión de registros digitales. Parece obvio, pero eleva el listón de lo que se considera un auditor competente.
• Enfoque basado en riesgos, reforzado. El principio existía desde 2018; la nueva edición insiste en que tanto el programa de auditorías como cada auditoría individual se orienten a lo que de verdad puede fallar, no a repasar papeles por orden alfabético.
• Mejor orientación sobre evidencias e informes. Más detalle sobre cómo documentar hallazgos, registrar no conformidades y reportar resultados de forma útil para quien decide.

Al ser una norma de directrices, no hay periodo transitorio de certificación: no hay certificados que migrar. Lo razonable es actualizar cuanto antes el procedimiento de auditoría interna y la formación de los auditores para alinearlos con la edición de 2026, sobre todo si haces auditorías remotas.

Los tres bloques de la norma

Funcionalmente, la ISO 19011 se organiza en tres grandes bloques, y entenderlos ayuda a saber qué buscar en ella:

1. Gestión del programa de auditorías. El programa es el conjunto de auditorías previstas para un periodo (normalmente el año): qué se audita, cuándo, con qué alcance y con qué recursos. La norma orienta sobre cómo fijar los objetivos del programa a partir de los riesgos y prioridades de la organización, cómo asignar responsabilidades y cómo hacer seguimiento y mejorar el propio programa. Es el bloque que más descuidan las pymes: muchas tienen auditorías, pero no un programa pensado.

2. Realización de la auditoría. El ciclo completo de una auditoría individual: iniciarla, preparar el plan y los documentos de trabajo, ejecutar las actividades (reuniones, entrevistas, revisión de evidencias, observación), generar los hallazgos, redactar el informe y cerrarla, incluido el seguimiento posterior si procede.

3. Competencia y evaluación de auditores. Qué conocimientos, habilidades y comportamiento personal necesita un auditor, cómo evaluarlos antes de asignarle auditorías y cómo mantener esa competencia viva en el tiempo.

Para el detalle operativo del segundo bloque —cómo se prepara un plan, cómo se entrevista, cómo se clasifican los hallazgos— tienes una guía específica en este sitio: auditoría interna ISO paso a paso. Aquí no lo repetiré; esta página se centra en la norma en sí.

Los siete principios de auditoría

Toda la norma descansa sobre siete principios. Merece la pena conocerlos porque son el criterio para juzgar si una auditoría está bien hecha, y se mantienen en la edición de 2026:

1. Integridad: el auditor actúa con honestidad y responsabilidad, dentro de su competencia y sin dejarse presionar.
2. Presentación imparcial: los hallazgos e informes reflejan fielmente lo encontrado, incluidos los obstáculos y las opiniones divergentes relevantes.
3. Debido cuidado profesional: diligencia y juicio proporcionales a la importancia de lo que se audita y a la confianza depositada.
4. Confidencialidad: la información obtenida en la auditoría no se usa para otros fines ni se difunde de forma indebida.
5. Independencia: el auditor no audita su propio trabajo y se mantiene libre de sesgos y conflictos de interés. En organizaciones pequeñas la independencia total puede ser imposible; el criterio es maximizarla y ser transparente sobre las limitaciones.
6. Enfoque basado en evidencias: las conclusiones se apoyan en evidencias verificables, obtenidas por muestreo razonable, no en impresiones.
7. Enfoque basado en riesgos: los riesgos y oportunidades condicionan qué se audita, con qué profundidad y con qué frecuencia.

Cuando una auditoría interna «no aporta nada», casi siempre es porque falla alguno de estos principios: auditor sin independencia real, hallazgos sin evidencia detrás o un plan que ignora los riesgos y repasa lo mismo cada año.

Tipos de auditoría que cubre

La ISO 19011 se aplica sobre todo a las auditorías de primera parte (internas) y de segunda parte (a proveedores o de clientes). Las de tercera parte —las de certificación— se rigen por la ISO/IEC 17021-1, aunque el método de trabajo del auditor certificador bebe directamente de la 19011.

La auditoría de segunda parte es la gran olvidada y donde la norma da más juego del que parece: si tu empresa depende de proveedores críticos, auditarlos con un método serio (alcance definido, criterios claros, auditor competente, informe con evidencias) es de las herramientas de control más eficaces que existen. La edición de 2026, con la auditoría remota formalizada, hace además viable auditar proveedores sin desplazamientos en muchos casos.

Cómo montar un programa de auditorías con la ISO 19011

Bajando la norma a la práctica de una pyme con uno o dos sistemas certificados, un programa de auditorías coherente con la ISO 19011 se construye así:

1. Parte de los riesgos, no del calendario. Identifica qué procesos tienen más impacto o más historial de problemas y dales más frecuencia o más profundidad. El resto puede auditarse con menos intensidad.
2. Define objetivos del programa. «Cumplir con la certificadora» es un objetivo pobre. Mejor: verificar la eficacia de los controles críticos, comprobar la integración real entre sistemas, preparar un cambio importante.
3. Fija alcance y criterios de cada auditoría. Qué procesos, qué sedes, contra qué requisitos (la norma certificable, la legislación aplicable, tus propios procedimientos).
4. Asigna auditores competentes e independientes. Con la matriz de competencia que desgloso en el siguiente apartado. Si nadie de dentro puede ser independiente para un área, externaliza esa parte.
5. Decide el método: presencial, remoto o híbrido. Desde la edición de 2026 es una decisión de diseño legítima, no un apaño. El criterio: que el método permita obtener las evidencias necesarias con fiabilidad.
6. Documenta el programa y sus registros. Programa anual, planes de auditoría, informes, hallazgos y seguimiento de acciones. Sin registros no hay trazabilidad, y la certificadora los pedirá.
7. Revisa y mejora el programa. Al menos una vez al año: ¿las auditorías encontraron lo importante? ¿Las acciones derivadas se cerraron? ¿Qué cambia el año que viene?

Si gestionas varias normas a la vez, plantéate auditorías integradas: un mismo ejercicio que cubra los requisitos comunes (contexto, liderazgo, competencia, mejora) y trate por separado solo lo específico de cada disciplina. Ahorra tiempo y da una foto más real de cómo funciona la organización.

El auditor: competencia y evaluación

La norma dedica un bloque entero a algo que las organizaciones resuelven demasiado deprisa: decidir quién puede auditar. La competencia del auditor combina comportamiento, método, conocimiento del terreno y, desde 2026, soltura digital:

• Comportamiento personal: ético, diplomático, observador, perceptivo, versátil, tenaz, capaz de actuar con firmeza sin generar confrontación.
• Conocimientos y habilidades genéricos de auditoría: principios, procedimientos y métodos; saber planificar, entrevistar, muestrear evidencias, redactar hallazgos.
• Conocimientos de la disciplina y del sector: no se audita igual un sistema de gestión ambiental de una industria química que la seguridad de la información de un despacho profesional. El auditor necesita entender el terreno que pisa.
• Competencia digital: desde la edición de 2026, saber desenvolverse con las herramientas de auditoría remota y los registros electrónicos forma parte explícita del perfil.

La evaluación de esa competencia debe hacerse con criterios definidos —formación, experiencia, observación en auditoría, revisión de informes— y repetirse en el tiempo, no darse por hecha con un curso de dos días de hace seis años. Para el programa interno de una pyme, una matriz sencilla de auditores (quién puede auditar qué, con qué evidencia de competencia y hasta cuándo) cumple perfectamente esta función.

ISO 19011 y las normas certificables

Todas las normas de sistemas de gestión certificables (ISO 9001, ISO 14001, ISO 45001, ISO 27001, ISO 22301…) exigen que la organización realice auditorías internas a intervalos planificados. Ninguna de ellas te dice en detalle cómo hacerlas: ese hueco lo llena precisamente la ISO 19011, que funciona como método transversal para todas.

Algunas particularidades por norma:

• ISO 9001 e ISO 14001: son el terreno clásico de la 19011; la mayoría de auditores internos de calidad y medio ambiente se forman directamente sobre ella.
• ISO 27001: además de la 19011, existe una guía específica para auditar sistemas de gestión de seguridad de la información (ISO/IEC 27007), útil cuando el auditor necesita criterios propios de esa disciplina.
• ISO 22301: la auditoría de continuidad de negocio tiene sus particularidades (ejercicios y pruebas como evidencia central); lo desarrollo en la guía sobre cómo se audita la ISO 22301.

En el clúster de cumplimiento ISO tienes el mapa completo de normas, guías de implantación y del resto del ciclo de certificación, del que la auditoría es solo una etapa.

Preguntas frecuentes

Fuentes

• UNE-EN ISO 19011:2026, «Directrices para la auditoría de los sistemas de gestión» — ficha oficial en la tienda de AENOR (adopción española de la ISO 19011:2026, junio de 2026).
• ISO 19011:2026, «Guidelines for auditing management systems», Organización Internacional de Normalización (ISO), publicada el 27 de mayo de 2026. El texto de la norma no es público; se adquiere a través de ISO o de AENOR.
• ISO/IEC 17021-1, «Evaluación de la conformidad. Requisitos para los organismos que realizan la auditoría y la certificación de sistemas de gestión» (referencia de la auditoría de tercera parte).
• ENAC, Entidad Nacional de Acreditación: organismo que acredita en España a las entidades de certificación de sistemas de gestión.