Auditorías de primera, segunda y tercera parte

Tres rutas de auditoría que comparten métodos pero sirven a decisiones distintas

Un proveedor puede recibir tres auditorías del mismo sistema en un trimestre. Su equipo interno revisa el control de equipos de medición y detecta registros incompletos. Un cliente estratégico examina el mismo proceso y condiciona la continuidad del proveedor a un plan correctivo. Semanas después, un organismo de certificación registra una no conformidad y remite el expediente para la decisión correspondiente.

La evidencia puede ser la misma. Las consecuencias no.

La diferencia entre auditorías de primera, segunda y tercera parte no se encuentra en las entrevistas, el muestreo o la forma de redactar un hallazgo. Se encuentra en la relación entre quien evalúa, la organización evaluada y quienes utilizarán el resultado. Esa relación determina el propósito, la independencia esperada y la decisión que puede tomarse después.

La categoría describe una relación, no una técnica

La ISO 19011:2026 proporciona orientación para auditar sistemas de gestión y puede utilizarse en auditorías de primera, segunda y tercera parte. Sus principios y procesos ofrecen un núcleo común: definir objetivos, alcance y criterios; obtener evidencia verificable; evaluar esa evidencia; formular hallazgos y llegar a conclusiones.

Sin embargo, aplicar una metodología semejante no convierte las tres auditorías en equivalentes.

En el lenguaje de evaluación de la conformidad, una actividad de primera parte la realiza el propio proveedor u organización sobre sí mismo; una de segunda parte la realiza alguien con interés de usuario o comprador; y una de tercera parte la realiza una entidad independiente, sin ser el proveedor ni tener un interés de usuario en el objeto evaluado. La clasificación se refiere a esa posición, no al nivel de experiencia del auditor.

Tampoco depende simplemente de quién paga. Una organización normalmente contrata y paga a su organismo de certificación, pero la auditoría sigue siendo de tercera parte porque el organismo debe operar con imparcialidad y no actúa como comprador, proveedor ni representante de sus intereses comerciales.

Dimensión	Primera parte	Segunda parte	Tercera parte
Ejemplo típico	Auditoría interna del sistema de gestión	Auditoría de un cliente a su proveedor	Auditoría de certificación
Interés principal	Conocer y mejorar el propio sistema	Obtener confianza para una relación comercial o contractual	Proporcionar una evaluación independiente de conformidad
Relación con el auditado	Forma parte de la organización o actúa en su nombre	Tiene interés como cliente, comprador u otra parte relacionada	No es proveedor ni usuario interesado del objeto evaluado
Independencia esperada	Imparcialidad y separación suficiente dentro de la organización	Separación respecto del proveedor, aunque existe interés del comprador	Imparcialidad institucional y ausencia de intereses de primera o segunda parte
Resultado inmediato	Hallazgos, conclusiones y acciones internas	Informe para calificar, aprobar, vigilar o desarrollar al proveedor	Informe que alimenta el proceso formal de certificación
Decisión posterior	Prioridades, correcciones y mejora de la gestión	Contratar, continuar, condicionar, escalar o terminar una relación	Otorgar, mantener, renovar, suspender, reducir o retirar la certificación, según corresponda

La tabla no establece una jerarquía. Una auditoría de tercera parte no es automáticamente “mejor” que una auditoría interna, y una auditoría de proveedor no es una certificación incompleta. Cada una responde a una decisión distinta.

Primera parte: la organización se evalúa para gobernarse mejor

Una auditoría de primera parte es una auditoría interna realizada por la propia organización o en su nombre. Puede ejecutarla personal interno o un proveedor externo contratado para actuar como función auditora; lo determinante es que el trabajo se encarga para las necesidades de la organización sobre su propio sistema.

Su valor no se limita a preparar la próxima certificación. Una auditoría interna bien diseñada evalúa si el sistema funciona como fue previsto, los controles se aplican y existen riesgos que la dirección necesita comprender. Sus conclusiones pueden alimentar la revisión por la dirección, las acciones correctivas y la mejora continua.

La independencia aquí es funcional y práctica, no una separación absoluta. El auditor debe actuar con objetividad, evitar revisar su propio trabajo cuando comprometa el juicio y estar libre de presiones sobre el alcance o las conclusiones. En organizaciones pequeñas pueden utilizarse salvaguardas como revisión cruzada, rotación, apoyo externo o supervisión independiente.

El resultado pertenece principalmente a la organización. Puede mostrar conformidad, no conformidades, riesgos, buenas prácticas u oportunidades de mejora, pero no produce por sí solo un certificado reconocido por terceros.

Segunda parte: el interés del cliente define el alcance

La auditoría de segunda parte suele aparecer en la cadena de suministro. Un cliente audita a un proveedor, o encarga a otra persona que lo haga en su nombre, para determinar si puede confiar en su capacidad para cumplir requisitos técnicos, contractuales, legales, de calidad, sostenibilidad, seguridad o continuidad.

El auditor puede estar separado de la organización proveedora y trabajar con rigor profesional, pero no es neutral respecto de la decisión comercial. Representa legítimamente el interés del cliente. Esa característica no es un defecto: es precisamente lo que convierte el trabajo en una auditoría de segunda parte.

El alcance puede ser más específico que el de una certificación. Un fabricante puede concentrarse en trazabilidad, cambios de diseño, capacidad productiva, ciberseguridad o subproveedores. También puede aplicar criterios propios o examinar obligaciones contractuales fuera del alcance certificado.

La conclusión alimenta decisiones de compras o gestión de terceros: aprobar al proveedor, exigir mejoras, aumentar la vigilancia, limitar el volumen o reconsiderar la relación. El informe sirve a quien encargó la auditoría, pero no crea una declaración de conformidad para todo el mercado.

Por eso, un certificado de tercera parte puede reducir duplicidades, pero no elimina necesariamente las auditorías de clientes. El comprador puede necesitar evidencia sobre requisitos exclusivos, riesgos del producto o condiciones contractuales que quedan fuera del alcance certificado.

Tercera parte: la auditoría forma parte de una decisión de certificación

La auditoría de certificación de un sistema de gestión es una actividad de evaluación de la conformidad de tercera parte. La ISO/IEC 17021-1:2015 establece principios y requisitos para la competencia, coherencia e imparcialidad de los organismos que auditan y certifican sistemas de gestión.

Esto introduce una distinción esencial: la auditoría y la certificación no son exactamente el mismo acto.

El equipo auditor obtiene y evalúa evidencia, formula hallazgos y prepara un informe. La certificación surge posteriormente del proceso de revisión y decisión del organismo de certificación. La declaración hecha en la reunión de cierre no equivale, por sí sola, a otorgar un certificado. El organismo debe considerar el expediente, el tratamiento de las no conformidades y las reglas del esquema aplicable antes de decidir.

La independencia también es más estructurada. El organismo debe gestionar riesgos a la imparcialidad derivados de relaciones, intereses financieros y presiones comerciales. Que el auditado sea su cliente no permite que el resultado dependa de conservar el contrato.

Además, certificación y acreditación no son sinónimos. La organización obtiene la certificación de su sistema de gestión. El organismo de certificación puede, a su vez, estar acreditado por un organismo de acreditación evaluado conforme a la ISO/IEC 17011:2017. La acreditación aporta confianza adicional sobre la competencia, operación coherente e imparcialidad del organismo de certificación dentro de un alcance definido; no convierte a la empresa certificada en una “empresa acreditada”.

La misma no conformidad puede sostener decisiones diferentes

Supongamos que las tres auditorías detectan que varias verificaciones de proveedores críticos no se realizaron en el plazo establecido.

En la auditoría interna, la pregunta puede ser: ¿qué falló en el proceso, qué riesgo crea y qué debe corregir la dirección? En la auditoría de segunda parte, el cliente puede preguntar: ¿puede este proveedor seguir cumpliendo nuestras condiciones y qué vigilancia adicional necesitamos? En la auditoría de certificación, el equipo evalúa la situación contra los criterios del esquema y documenta la no conformidad para el proceso de certificación.

Ninguna conclusión debe extrapolarse más allá de su mandato:

Superar una auditoría interna no garantiza superar una auditoría de cliente o de certificación.
Superar una auditoría de proveedor no genera un certificado de sistema de gestión.
Obtener un certificado no significa que cada producto esté certificado, que no existan no conformidades o que todos los clientes deban renunciar a sus propias evaluaciones.
Una auditoría de tercera parte no transfiere a la certificadora la responsabilidad de gestionar el sistema; esa responsabilidad permanece en la organización.

Antes de encargar una auditoría, conviene formular tres preguntas: ¿quién necesita confianza, qué decisión debe tomar y qué grado de independencia exige esa decisión? Si la dirección necesita comprender y mejorar su sistema, corresponde una auditoría de primera parte. Si un comprador necesita gestionar el riesgo de un proveedor, la segunda parte es natural. Si el mercado necesita una declaración independiente de conformidad, se requiere un proceso de tercera parte bajo un esquema apropiado.

La diferencia no está en el prestigio del nombre ni en la cantidad de páginas del informe. Está en la cadena de responsabilidad que conecta la evidencia con una decisión. Cuando esa cadena es clara, cada auditoría produce el tipo de confianza para el que fue diseñada.