La oficina de Sergio, el Director de El Laboratorio, olía a café cargado y a tensión acumulada. Frente a él, Andrea, la Jefe de Calidad, sostenía una carpeta con el rótulo «Matriz de Riesgos v.3». Eran las seis de la tarde, un día antes de la auditoría interna.

—Andrea, por favor, dime que ya tenemos eso listo —dijo Sergio, sin despegar la vista de un informe de facturación—. El auditor que viene mañana tiene fama de ser un sabueso para estos temas «filosóficos».

—Está lista, Sergio —respondió Andrea con un tono que no convencía ni a las paredes—. Tenemos identificados 45 riesgos. Incendios, terremotos, hackeos al servidor, falta de presupuesto… lo típico.

En ese momento, David, el Analista Senior de la sección de química, entró a la oficina para dejar unos registros de pesada. Al escuchar la conversación, soltó una risa seca.

—¿Riesgos? Si quieren ver un riesgo de verdad, bajen a mi área —intervino David con su escepticismo habitual—. La centrífuga Sigma-20 está haciendo un ruido que parece un avión despegando. Es nuestra única centrífuga de alta velocidad. Si se muere, se mueren el 40% de los ensayos de suelos de este mes. Pero claro, eso no es tan emocionante como planear qué hacer si cae un meteorito en el techo del laboratorio, ¿verdad?

Andrea palideció. Miró su matriz de Excel. No había ninguna mención a la «centrífuga Sigma-20». Había «fallas generales de equipo», pero nada específico que dictara qué hacer si ese motor en particular pasaba a mejor vida.

Daniela, la auxiliar técnica que venía detrás de David cargando unas muestras, levantó la mano tímidamente:

—Hablando de eso… hoy el proveedor de reactivos me dijo que el estándar de calibración de Nitrógeno está agotado en todo el país por un problema de importación. Solo nos queda medio frasco. ¿Eso es un riesgo o una oportunidad para irnos temprano a casa?

Sergio se frotó las sienes. El Laboratorio estaba lleno de riesgos reales, tangibles y peligrosos para la validez de los resultados, pero su «Sistema de Gestión» estaba ocupado documentando riesgos de ciencia ficción.

—Mañana —susurró Sergio—, si el auditor nos pregunta cómo integramos el riesgo en nuestros procesos, y Daniela le sale con que «es una oportunidad para irse temprano», estamos perdidos. Andrea, borra lo de los meteoritos y ve a hablar con David sobre esa centrífuga. Ahora.

La lección estaba clara: el riesgo no es un documento, es la capacidad de El Laboratorio para no quedar paralizado cuando la realidad golpea la puerta.

Desmenuzando la Norma: El Concepto

Anteriormente, hablábamos de «Acciones Preventivas». Era un concepto reactivo disfrazado de proactivo. La versión 2017 eliminó ese término y lo sustituyó por el Pensamiento Basado en Riesgos (Apartado 8.5).

¿Cuál es el espíritu de este cambio? La ISO/IEC 17025 reconoce que no todos los procesos necesitan el mismo nivel de control. El Laboratorio debe identificar qué cosas podrían salir mal (riesgos) y qué cosas podrían mejorar su posición (oportunidades).

Lo más importante que debes entender como auditor es que la norma NO exige una metodología formal (como la ISO 31000) ni un «Procedimiento de Gestión de Riesgos» obligatorio. La nota del apartado 8.5.2 es muy clara: «Los laboratorios pueden decidir si desarrollan o no una metodología más exhaustiva…».

Sin embargo, lo que sí exige es que las acciones tomadas sean proporcionales al impacto potencial sobre la validez de los resultados. Si El Laboratorio tiene una matriz preciosa de 100 páginas pero no se dio cuenta de que su único equipo crítico está fallando, el requisito no se está cumpliendo. El riesgo debe estar integrado en los procesos, no ser un satélite que orbita el sistema.

La Caja de Herramientas del Auditor (Evaluación)

1. ¿Cómo auditar este requisito paso a paso?

1. No empieces por la matriz: El error del auditor novato es pedir la matriz de riesgos apenas se sienta. No lo hagas. Primero recorre el laboratorio, habla con los analistas (los «Davids» y las «Danielas») y observa los equipos. Identifica tú mismo los riesgos evidentes (falta de redundancia en equipos, personal sobrecargado, reactivos críticos con un solo proveedor).

2. Cruza la realidad con el documento: Una vez que tengas tu lista mental de riesgos reales, pide la evidencia de gestión de riesgos. Busca si esos puntos críticos que observaste están ahí.

3. Verifica la integración: Pregunta en Compras: «¿Cómo consideran el riesgo al seleccionar un proveedor nuevo?». Pregunta en Técnica: «¿Cómo influye el riesgo en la frecuencia de las comprobaciones intermedias?». Si la respuesta es «no sé, eso lo lleva Calidad», hay un hallazgo.

4. Evalúa la proporcionalidad: Si un riesgo se identifica como «Alto», ¿qué acciones se tomaron? ¿Son suficientes para bajar el impacto o la probabilidad?

2. ¿Qué evidencias buscar?

• Registros de identificación: Pueden ser actas de reuniones, matrices, lluvias de ideas, o análisis FODA.

• Acciones para abordar riesgos: No basta con identificar. Busca el «Plan de Acción». ¿Se compró un repuesto? ¿Se capacitó a un backup? ¿Se contrató un seguro?

• Evaluación de la eficacia: Este es el punto más débil en las auditorías. Si El Laboratorio dijo que el riesgo de «error en la transcripción de datos» se mitigaba con una revisión por pares, busca registros de que esa revisión realmente evitó errores en los últimos seis meses.

• Actualización de riesgos: Busca registros de que, tras una No Conformidad, El Laboratorio volvió a su análisis de riesgos para ver si ese evento ya estaba contemplado o si debe actualizarse.

3. Estrategias de muestreo

• Muestreo por Proceso: Elige un proceso técnico (ej. Ensayos de Cromatografía) y pide ver los riesgos específicos de ese proceso. No aceptes riesgos genéricos como «error humano». Busca algo como «interferencia por impurezas en el gas de arrastre».

• Muestreo por Evento: Si hubo un equipo fuera de servicio recientemente, pide ver cómo ese riesgo estaba mapeado y si las acciones tomadas coincidieron con lo planeado.

4. Señales de Alerta (Red Flags)

• La «Matriz Fósil»: Una matriz que tiene la misma fecha de revisión de hace tres años y no muestra cambios, a pesar de que El Laboratorio ha comprado equipos nuevos o cambiado de personal.

• Riesgos «Googleados»: Riesgos que parecen copiados de un manual general. Si el riesgo #1 es «Incendio» y el riesgo #2 es «Inundación», pero no mencionan «Inestabilidad de la corriente eléctrica» en un área de equipos electrónicos sensibles, sospecha.

• Probabilidad Cero: Laboratorios que califican todos sus riesgos con probabilidad «Baja» para no tener que tomar acciones. Es el laboratorio «Alicia en el país de las maravillas».

• Ausencia de Oportunidades: El requisito 8.5 también habla de oportunidades. Si El Laboratorio solo ve el vaso medio vacío (riesgos) y no identifica oportunidades (ej. automatizar un proceso para reducir tiempos), está omitiendo la mitad del requisito.

Preguntas y Respuestas (El Café con el Experto)

Andrea: «Oye, ¿es obligatorio tener una escala numérica para evaluar el riesgo? Mi consultor me dijo que si no pongo 1, 2 y 3, no es válido».

Auditor: «Para nada, Andrea. La norma no te pide números. Puedes usar ‘Bajo, Medio, Alto’, colores, o simplemente una descripción cualitativa. Lo que importa es que esa escala te sirva para priorizar. Si todo es prioridad 1, nada es prioridad».

David: «Yo no entiendo por qué tengo que participar en esto. Yo soy analista, no administrador de empresas».

Auditor: «David, tú eres el que sabe que la centrífuga hace ruido de avión. Si tú no participas, Andrea va a poner que el riesgo es ‘falla de infraestructura’ y cuando el equipo se rompa, nadie va a saber qué hacer. Tu conocimiento técnico es la materia prima del riesgo».

Daniela: «¿Una oportunidad puede ser algo como comprar un equipo más moderno?».

Auditor: «Exactamente, Daniela. Si identifican que un equipo manual les genera muchos errores (riesgo), la oportunidad es automatizarlo. Eso mejora la validez de los resultados y la eficiencia. Eso es pensamiento basado en riesgos en estado puro».

Tips Rápidos de Auditoría 

Recuerda: Una auditoría de riesgos exitosa no termina cuando ves la matriz firmada, sino cuando confirmas que El Laboratorio tiene un plan para cuando el ruido del avión en la centrífuga se convierta en silencio.