En el SGSST en Colombia, las auditorías internas no deberían existir para “encontrar no conformidades” y cerrar papeles. Su propósito real es ayudarte a mejorar el desempeño: verificar si el sistema funciona, si los controles operacionales están presentes y si están previniendo incidentes y enfermedades laborales.

En este post te comparto una ruta práctica (auditable) para gestionar auditorías internas con enfoque preventivo: desde la planificación y el muestreo, hasta el seguimiento y la verificación de efectividad.

1) Cambia el objetivo: de “cumplimiento documental” a “efectividad en la operación”

Una auditoría sólida responde preguntas como:

• ¿El SGSST está integrado a la operación? (no solo procedimientos y formatos).
• ¿Los controles existen y se aplican en campo?
• ¿Se verifica la efectividad de esos controles cuando hay cambios, desviaciones o hallazgos?
• ¿Las acciones correctivas previenen la repetición (y no solo cierran el hallazgo)?

2) Planifica con riesgo: audita donde más importa

El error típico es auditar “por componentes” con la misma profundidad para todo. Mejor aplica enfoque por criticidad:

• Riesgos altos/críticos y controles asociados.
• Procesos con historial de incidentes y casi-incidentes.
• Áreas con hallazgos recurrentes en auditorías/inspecciones.
• Gestión del cambio: nuevos equipos, métodos, contratistas o modificaciones locativas.
• Actividades donde el SGSST suele “fallar en la vida real”: permisos, ATS/AST, mantenimiento de barreras, seguimiento a EPP, etc.

Evidencia auditable: programa anual de auditorías con justificación por riesgos, criticidad y aprendizajes del periodo anterior.

3) Define el alcance y el criterio: que el auditor sepa qué significa “cumple”

Antes de entrar a campo, documenta:

• Alcance (procesos, sedes, turnos, contratistas).
• Criterios (norma, requisitos internos, procedimientos, controles operacionales definidos).
• Cómo evaluarás evidencia (qué registros y qué evidencia en sitio “cuentan”).

Consejo práctico: no uses criterios tipo “tiene el procedimiento”. Usa criterios como “el procedimiento se aplica y se verifica en el punto crítico” o “el permiso incluye controles y evidencia mínima”.

4) Usa muestreo con lógica: audita decisiones, controles y evidencia real

No intentes auditar todo. Aplica muestreo basado en criticidad:

• Permisos de trabajo: toma una muestra de permisos ejecutados recientemente en tareas críticas y revisa calidad + coherencia con la tarea real.
• Inspecciones/observaciones: revisa hallazgos, acciones y verificación de efectividad.
• EPP y controles: evidencia de entrega, condición, uso correcto y verificación durante la ejecución.
• Mantenimiento de barreras: historial, periodicidad y evidencias (si el control depende de la integridad técnica).
• Contratistas: selección, inducción específica, seguimiento en campo y gestión de cambios.

5) Diseña el plan de auditoría para “verificar en campo” (no solo revisar documentos)

Una estructura recomendada:

1. Reunión de apertura: propósito, criterios, alcance y método.
2. Revisión documental rápida: para entender el control diseñado (qué debería pasar).
3. Verificación en sitio: para comprobar qué pasa (operación).
4. Entrevistas enfocadas: qué decisiones toma la operación, cómo se detiene un trabajo si aparece una condición insegura, cómo se gestiona un cambio.
5. Recorrido guiado: conecta hallazgos con el riesgo y el control.
6. Reunión de cierre: hallazgos, evidencia y próximos pasos.

6) Escribe hallazgos que prevengan repetición: conecta causa, control y riesgo

Un hallazgo útil debería responder:

• Qué requisito o criterio no se cumple.
• Qué evidencia lo demuestra (registro + campo cuando aplique).
• Cuál es el impacto sobre el control (por qué importa para el riesgo).
• Qué causa explica la desviación (operativa, de competencia, de supervisión, de mantenimiento, de diseño del proceso, etc.).

Evita hallazgos redactados como “no hay formato”. Un auditoría preventiva debe concluir con una brecha de control y su conexión al riesgo.

7) Acciones correctivas efectivas: no “cumplir”, sino eliminar la causa del sistema

Para que una acción correctiva sea efectiva:

• Debe identificar causa raíz (o causa real) y no quedarse en síntomas.
• Debe ser específica (qué se hará, dónde, para quién, cuándo).
• Debe definir cómo se verificará efectividad (evidencia en campo y/o indicadores).
• Debe considerar acciones inmediatas si el hallazgo pone en riesgo durante la ejecución.

Regla auditable: “cerrado” no significa “accionado”; significa “verificado como efectivo”.

8) Da seguimiento con verificación de efectividad (la parte que normalmente se omite)

Configura un ciclo simple:

• T + 7/15 días: verificar avance y acción inmediata si aplica.
• T + 30/60 días: verificar en campo que el control funciona.
• T + 90/120 días: revisar indicadores/tendencias y confirmar que no reaparece el hallazgo.

Evidencias típicas: inspecciones posteriores, observaciones con criterio, auditorías de seguimiento, registros de competencia, tendencias de incidentes/casi-incidentes, cierre verificado.

9) Usa indicadores para que la auditoría “mejore” de verdad

Indicadores recomendados (ejemplos):

• % hallazgos con verificación de efectividad completada.
• Tasa de repetición de hallazgos por mismo criterio o por el mismo control.
• Tiempo de cierre (y % dentro del plazo) + estado de verificación.
• Evidencia en campo: % de acciones donde la efectividad se confirma con observación/inspección.
• Tendencia de riesgos/controles: por ejemplo, desviaciones en permisos, calidad de ATS/AST, uso de EPP, etc.

10) Errores comunes que vuelven “débil” una auditoría interna

• Auditar solo documentos (“se ve bien en papel”).
• Hallazgos sin conexión con riesgos y controles.
• Acciones correctivas genéricas (“capacitar”) sin evaluar competencia ni efectividad.
• No usar causa raíz; se cierran síntomas.
• No hacer verificación posterior del control.
• Plan anual sin justificación por criticidad.

Plantilla corta (lista para usar) para tu auditoría interna

• Auditoría (nombre y objetivo): qué control/riesgo se verificará.
• Alcance: procesos, sedes, turnos, contratistas.
• Criterios: norma + requisitos internos + controles operacionales definidos.
• Muestreo planificado: permisos, inspecciones, mantenimientos, observaciones, etc.
• Evidencia requerida: registros y verificación en campo con criterio.
• Hallazgos: requisito no cumplido, evidencia, impacto al riesgo.
• Acciones: causa real, responsables, fechas, evidencia esperada.
• Verificación de efectividad: método, fecha y criterio de aceptación.

Conclusión

Gestionar auditorías internas en el SGSST en Colombia con enfoque preventivo significa: planificar por criticidad, auditar controles y su aplicación en campo, redactar hallazgos conectados a riesgo, y sobre todo, verificar la efectividad de las acciones antes de dar por “cerrado”.

Si quieres, dime tu sector (construcción, manufactura, logística, salud, servicios) y tus 3-5 tareas más críticas; te propongo un plan de auditoría interna con muestreo, criterios de verificación y ejemplos de hallazgos + acciones efectivas.