El monitoreo del cumplimiento y la gestión de la seguridad utilizan información común, pero responden a preguntas distintas: si se cumple el requisito y si se controla el riesgo. Una auditoría sin no conformidades no prueba por sí sola la ausencia de riesgos operacionales.
¿Qué se debe definir al inicio?
Derive las actividades, organizaciones e interfaces involucradas. Elabore una matriz que asocie el requisito y su revisión con el proceso, la persona responsable, el procedimiento y la evidencia. Indique la aplicabilidad y el motivo de la exclusión de una disposición, cuando corresponda.
ADR.OR.D.005 del Reglamento (UE) n.o 139/2014 constituye el punto de referencia del sistema de gestión para los operadores objetivo. La implementación se adapta a la organización y a las operaciones reales, con procesos documentados y mecanismos de seguimiento.
¿Cómo se prepara una auditoría útil?
Defina los criterios, la muestra, el período y los métodos: revisión documental, entrevista y observación de campo. Incluya las actividades contratadas pertinentes y garantice la independencia del auditor respecto de la actividad auditada. Una lista de verificación no es suficiente sin evidencia verificable.
El hallazgo describe el requisito, la situación observada y el registro que lo respalda. Si un control no puede verificarse por falta de acceso a la evidencia, registre la limitación; no convierta la falta de verificación en una conclusión favorable.
¿Cómo se elabora una evaluación de riesgos?
Formule claramente el peligro, el evento indeseable y las consecuencias. Describa el escenario y la exposición, y luego documente los controles existentes. La probabilidad y la gravedad se evalúan utilizando criterios explícitos y datos disponibles, no solo el color de una matriz.
Para el riesgo residual, explique qué cambia la medida y cómo se verifica su funcionamiento. Identifique las dependencias: dos controles realizados por la misma persona, basados en la misma información incorrecta, no son necesariamente independientes. La aceptación del riesgo se documenta al nivel designado por la organización.
¿Cómo se cierra un hallazgo?
Separe la corrección de la situación de la acción que aborda la causa raíz. Reparar una unidad de iluminación elimina el defecto específico; el análisis de la causa raíz puede requerir cambiar un circuito, una protección o un programa de inspección. La medida debe abordar la causa respaldada por evidencia.
El registro de acciones contiene la persona responsable, la fecha límite, el documento de implementación y la verificación de la efectividad. El cierre administrativo no debe reemplazar la verificación en campo. Los hallazgos recurrentes requieren una reevaluación de las causas y medidas anteriores.
¿Qué se informa a la gerencia y qué se envía a licitación?
Seleccione indicadores con definición, fuente, denominador y frecuencia de análisis. Se debe interpretar una serie de eventos junto con el volumen de operaciones y los cambios en la cultura de informes. Presente las acciones pendientes, los riesgos principales y las decisiones necesarias.
Para la licitación, envíe el organigrama, los manuales, el alcance de la actividad, el programa de auditoría y ejemplos anonimizados de registros. Especifique si necesita un diagnóstico, una revisión de la metodología, una auditoría específica o apoyo para la implementación del plan de acción.
Consulte el capítulo técnico de la guía.