Documentación SMETA antes de la auditoría: políticas, procedimientos y registros que deben formar un sistema coherente

La documentación SMETA no debe ser un conjunto de políticas preparado para el día de la visita del auditor. Debe demostrar que las reglas relativas a la contratación, el registro de la jornada y la retribución, la seguridad y salud en el trabajo, el medio ambiente, la ética y el control del personal externo se aplican en la práctica. El auditor contrasta los documentos con los registros originales, la observación de las instalaciones y las declaraciones confidenciales de los trabajadores. Cualquier incoherencia entre estas fuentes debilita la credibilidad de toda la trazabilidad de las evidencias.

Por tanto, la preparación debe comenzar con la confirmación del alcance de la auditoría y la reconstrucción de los procesos tal como funcionan realmente. A continuación, es necesario asignar responsabilidades, ordenar las políticas y los procedimientos, conciliar los datos entre sistemas y realizar una revisión de preparación. El objetivo no es crear una apariencia de conformidad, sino demostrar que el centro puede explicar sus reglas, decisiones, excepciones y registros mediante ejemplos concretos de personas, turnos y acontecimientos.

Un documento todavía no es una evidencia

SMETA debe entenderse como una metodología de auditoría ética de la cadena de suministro, no como una norma certificable de sistemas de gestión. El resultado de la auditoría no debe presentarse como un certificado de conformidad. Sedex actúa como plataforma de intercambio de información, no como una entidad que emita dicho certificado. La preparación del centro consiste en demostrar la coherencia entre los requisitos de quien encarga la auditoría, las reglas declaradas, las condiciones reales de trabajo y los registros originales.

La primera decisión debe ser confirmar por escrito el alcance con el cliente o con quien haya encargado la auditoría. Es preciso acordar la ubicación, el tipo de auditoría, el alcance de dos o cuatro pilares, los procesos principales y auxiliares, los colectivos de trabajadores y el periodo de registros esperado. Cuando formen parte de la evaluación, deben incluirse los trabajadores temporales, los subcontratistas y el personal a turnos. Los requisitos deben verificarse en los acuerdos vigentes con la entidad auditora y en los documentos aplicables de la metodología SMETA, en lugar de trasladar supuestos procedentes de la auditoría de otro centro.

Conviene estructurar la documentación como cadenas de evidencia: desde la regla, pasando por la responsabilidad asignada y la actuación realizada, hasta el registro que permite reconstruir un caso concreto. Esto exige la colaboración de recursos humanos, nóminas, operaciones, prevención de riesgos laborales y las personas responsables de supervisar a los subcontratistas. Un coordinador debe controlar el alcance, las versiones documentales, la integridad de los datos y los responsables de las brechas detectadas. Una lógica similar para ordenar evidencias se expone en Documentación NIS2 y KSC antes de una inspección: qué políticas, registros y evidencias se necesitan realmente.

El auditor contrasta el contenido de las políticas y los procedimientos con la observación de los puestos de trabajo, las entrevistas con los trabajadores y los datos originales. Una política que prohíbe jornadas excesivas no demuestra conformidad si los registros horarios, los cuadrantes, las nóminas y los testimonios de los trabajadores reflejan una realidad diferente. Más importante que disponer de un procedimiento extenso es poder seguir la trazabilidad de una persona, un turno o un periodo seleccionado y explicar cualquier discrepancia. Un documento elaborado únicamente antes de la visita, sin respaldo en la práctica, aumenta el riesgo de que se descubran incoherencias en lugar de reducirlo.

Mapa de riesgos y responsabilidades

La organización de la documentación debe comenzar con un mapa de procesos y riesgos que abarque la contratación, la jornada laboral, la retribución, la seguridad y salud en el trabajo, el medio ambiente, la ética empresarial, los subcontratistas y, cuando proceda, el alojamiento y el transporte. El mapa debe reflejar las modalidades reales de contratación, los proveedores de mano de obra, los turnos, las ubicaciones y las instalaciones adicionales, tomando como base datos actuales de la organización. Solo con esta visión puede decidirse si el control documental puede mantenerse centralizado o si es necesario designar responsables locales.

Para cada área deben identificarse de forma inequívoca el responsable del proceso y el responsable del registro, el lugar de conservación de la documentación, el nivel de acceso requerido, el periodo sujeto a revisión y el método de aprobación de cambios. La puesta a disposición del auditor de expedientes personales y documentación salarial requiere una decisión específica. El acceso debe permitir la verificación y, al mismo tiempo, respetar las reglas de protección de datos y las autorizaciones internas.

Las brechas más graves suelen aparecer en las interfaces entre responsabilidades. Recursos humanos mantiene los expedientes, nóminas calcula los complementos, producción modifica el cuadrante, seguridad registra los accesos y una empresa externa asigna trabajadores al centro. Cada conjunto de datos puede parecer correcto por separado, aunque su comparación revele una práctica no conforme. Una brecha documental supone que una evidencia no existe o no está disponible. Existe una práctica no conforme cuando registros fiables, observaciones o entrevistas confirman una discrepancia respecto de la regla adoptada.

Cuando el tiempo es limitado, deben priorizarse las cuestiones con mayor impacto para las personas y la conformidad, mayor alcance y más dificultad para reconstruir los datos, no los procedimientos más fáciles de redactar. La dirección debe aprobar la matriz de responsabilidades, los recursos y el mecanismo de escalado de las no conformidades. El coordinador controla el alcance, los plazos y el estado de las brechas, pero no asume las responsabilidades propias de recursos humanos, producción, PRL o compras. La importancia de este reparto también se explica en ASME NQA-1: cómo organizar la calidad, las responsabilidades y la supervisión en proyectos para el sector nuclear.

Políticas que definen los límites

El conjunto de políticas debe derivarse del alcance confirmado de la auditoría, el perfil de riesgo del centro, los requisitos del cliente y la normativa aplicable a la actividad. No existe un único paquete válido para todas las organizaciones. Habitualmente se necesitan reglas sobre estándares laborales, prohibición del trabajo forzoso y del trabajo infantil, no discriminación y prevención del acoso, libertad de asociación, salarios y jornada laboral, seguridad y salud en el trabajo, medio ambiente y ética empresarial. Pueden integrarse en un único documento marco o distribuirse en políticas específicas, siempre que esta división responda a la estructura de responsabilidades. El código ético para proveedores puede complementar este sistema, pero no sustituye las reglas aplicables dentro del centro.

Cada política debe establecer el compromiso de la dirección, los colectivos incluidos, las funciones responsables de aplicarla, los canales disponibles para comunicar incumplimientos, la protección frente a represalias, la forma de gestionar los casos y el modo de comunicar el contenido a los trabajadores. La aprobación por el nivel directivo competente otorga autoridad al documento, pero no demuestra su implantación. Se necesitan mecanismos operativos y evidencias de que los destinatarios conocen la regla, la comprenden y pueden utilizarla. La evaluación puede considerar el alcance de la comunicación, la comprensión confirmada y la puntualidad de la respuesta ante las comunicaciones recibidas.

El alcance personal no puede limitarse a quienes tienen un contrato laboral. Debe determinarse qué reglas se aplican a las personas que prestan servicios mediante otras modalidades contractuales, a los trabajadores temporales y migrantes y al personal de los subcontratistas presente en las instalaciones. Una política contra el acoso resulta ineficaz si el personal del turno nocturno desconoce el canal de comunicación o no puede utilizarlo en un idioma que comprenda. La comunicación multilingüe debe responder a la composición real de la plantilla, no al idioma formal de la documentación.

La adopción de políticas corporativas o de grupo exige especial cautela. Antes de implantarlas debe comprobarse si las funciones indicadas existen en la sociedad local, si los canales de comunicación funcionan, si los plazos de respuesta son viables y si las prestaciones y soluciones organizativas descritas se aplican realmente. De lo contrario, el documento crea un compromiso contrario a la práctica.

Una única política de contratación responsable puede sustituir varios documentos si no diluye las responsabilidades y mantiene su conexión con la ejecución. La jerarquía documental debe ser clara: la política establece el principio, el procedimiento describe el desarrollo de la actividad, la instrucción ordena la forma de ejecución y el formulario o registro conserva la evidencia. Esta distinción también resulta útil en el enfoque descrito en Auditoría de diagnóstico antes de UNE-EN ISO 9001: cómo evaluar de forma fiable la preparación de una organización sin costes innecesarios.

Procedimientos que controlan la práctica

Los procedimientos deben diseñarse, sobre todo, para los puntos en los que una decisión de un responsable, una desviación respecto del plan o una incoherencia de datos puede dar lugar a un incumplimiento. En el ámbito de personal deben incluir la selección, la verificación de la edad y del derecho a trabajar, la formalización y modificación de las condiciones de contratación, la confirmación del carácter voluntario del trabajo y la prohibición de cobrar tasas no permitidas. También deben regular con claridad la finalización de la relación y la devolución de los documentos pertenecientes al trabajador.

No todas las actividades requieren un procedimiento independiente cuando los procesos comparten funciones y controles. Sin embargo, sí necesitan un flujo específico los asuntos con diferentes requisitos de confidencialidad, vías de aprobación o responsabilidades. La división de la documentación debe facilitar la toma de decisiones y la generación de evidencias, no reproducir el organigrama por mera formalidad.

La relación entre la dotación de personal, la capacidad productiva y la jornada laboral exige una supervisión especial. El procedimiento debe definir cómo se planifican los turnos, cómo se autorizan las horas extraordinarias —de forma manual o mediante un sistema—, cómo se registra la presencia y cómo se liquidan los complementos, las vacaciones y las deducciones. El control básico consiste en conciliar los datos del sistema de accesos, los cuadrantes, el registro de jornada y las nóminas, explicando las discrepancias antes del cierre de la liquidación.

Si un pedido urgente obliga a modificar el plan, la excepción debe identificar a la persona que la autoriza, el fundamento de la decisión, la evaluación de conformidad y el registro generado tras su ejecución. Los límites, descansos, criterios de liquidación y plazos deben contrastarse con los requisitos vigentes aplicables a la modalidad de contratación y a la situación de la persona, en lugar de recurrir a un único valor considerado universal.

En materia de seguridad y salud en el trabajo, los procedimientos deben responder a los riesgos reales del centro. Deben regular la evaluación de riesgos, la formación, la selección y entrega de equipos de protección, la comunicación e investigación de accidentes, la preparación ante emergencias, los primeros auxilios y la protección contra incendios. También es necesario controlar las inspecciones de equipos y la ejecución segura de los trabajos de especial riesgo, de manera proporcional a la actividad.

La autorización de un trabajo que exige medidas especiales de seguridad no puede basarse únicamente en una instrucción del puesto. Debe existir un responsable de la decisión, condiciones definidas para iniciar el trabajo, criterios para interrumpirlo y un registro del control. Una lógica similar de supervisión de competencias y evidencias se presenta en ISO 3834: cómo controlar la soldadura, las competencias y los registros de calidad en producción.

El mecanismo de reclamaciones debe definir los canales disponibles, las reglas de confidencialidad, la independencia en la gestión, los plazos, la protección frente a represalias, la comunicación de resultados y la forma de cerrar los casos. Un buzón sin registro de gestión no constituye una solución completa. Debe establecerse quién recibe una comunicación relacionada con un superior o con la dirección y cuándo se remite el asunto a una persona o entidad independiente. El registro debe permitir evaluar la puntualidad de la respuesta, el estado del caso y la ejecución de las actuaciones sin revelar injustificadamente los datos de la persona informante.

El área ambiental y la ética empresarial deben disponer de procedimientos proporcionales a los aspectos de la actividad. Pueden incluir el control de requisitos, residuos, consumo de recursos e incidentes ambientales, así como de conflictos de intereses, regalos, irregularidades y comunicaciones. Conviene definir las excepciones mediante su justificación, la autoridad para decidir, los límites de la excepción y el registro requerido, en lugar de ampliar el documento con todos los casos posibles.

Registros que permiten reconstruir los hechos

Un registro aporta valor cuando permite reconstruir las condiciones de trabajo de una persona concreta o el desarrollo de un acontecimiento: quién realizó una actividad, cuándo, con qué fundamento y con qué resultado. Antes de la auditoría deben definirse la fuente de datos de referencia de cada proceso, las reglas para identificar versiones y el método de corrección de errores sin borrar el asiento original. La conservación, la disponibilidad y el archivo son igualmente importantes. El registro debe corresponder al centro y al periodo evaluados, y su procedencia debe poder confirmarse.

Los expedientes y registros de personal deben corresponder a la situación de cada persona. Pueden incluir la base de la contratación o colaboración, la confirmación de las condiciones, los datos exigidos para trabajar legalmente, los justificantes de formación e información, los cambios de condiciones y la finalización de la relación. Sin embargo, la prueba fundamental de coherencia consiste en seguir a una persona durante todo el proceso: desde el cuadrante hasta la presencia real y el registro de jornada, las autorizaciones o instrucciones relativas al trabajo adicional, el cálculo de la retribución y la confirmación del pago. El sistema de recursos humanos, el control de accesos, la documentación del responsable y la nómina deben describir los mismos hechos.

Si el sistema de accesos indica presencia después de finalizar el tiempo de trabajo registrado, la discrepancia no debe considerarse automáticamente como horas extraordinarias ni eliminarse como un error técnico. Es necesario determinar la causa, comparar el cuadrante, el registro del puesto, las instrucciones del responsable y la liquidación salarial, y documentar después la explicación y la corrección aprobada.

La muestra de revisión debe seleccionarse en función del riesgo. Debe incluir diferentes modalidades de contratación, turnos y departamentos, periodos de mayor producción, trabajo adicional y casos excepcionales. Su tamaño debe responder a la escala de la actividad y a las discrepancias detectadas, no a una cifra fija adoptada sin análisis.

En seguridad y salud en el trabajo, la cadena de evidencia debe relacionar las evaluaciones de riesgos vigentes con los registros de formación, reconocimientos y autorizaciones, las inspecciones de equipos y protecciones, la entrega de equipos de protección, los simulacros de emergencia, los accidentes, las acciones correctivas y las revisiones de las condiciones de trabajo. En medio ambiente y ética deben organizarse, cuando estas áreas estén incluidas en el alcance, las autorizaciones y comunicaciones aplicables a la actividad, los resultados de mediciones, los registros operativos, los incidentes, las reclamaciones, los conflictos de intereses, las comunicaciones de infracciones y las actuaciones posteriores. La importancia de la trazabilidad documental también se ilustra en AQAP 2110: ¿qué documentos y procesos revisan con mayor frecuencia los auditores del sector de defensa?

Debe crearse una cadena de evidencia independiente para las empresas de trabajo temporal y los subcontratistas. La documentación debe permitir evaluar su cualificación, las condiciones contractuales, las listas de personas asignadas, las comunicaciones exigidas, las liquidaciones, la supervisión ejercida y la respuesta ante las irregularidades detectadas. El contrato mercantil por sí solo no demuestra que las personas presentes en el centro tengan la situación adecuada, reciban las prestaciones acordadas y trabajen en las condiciones declaradas. Por tanto, el responsable del proceso debe conciliar periódicamente los datos del contratista con la presencia, los registros de trabajo, los documentos de liquidación y los resultados de las comprobaciones in situ.

Revisión de preparación y cierre de brechas

La revisión de preparación debe reproducir la lógica de la auditoría prevista: análisis documental, recorrido por las instalaciones, entrevistas con la dirección y los trabajadores, muestreo de expedientes y conciliación de datos entre sistemas. Una lista de comprobación de políticas no es suficiente, porque no revela la diferencia entre una regla descrita en un procedimiento y la práctica de un turno de producción. En función de la competencia e independencia del equipo, la organización puede realizar una auditoría simulada con recursos propios o encargar una evaluación independiente, de acuerdo con el enfoque descrito en Auditoría de diagnóstico antes de UNE-EN ISO 9001: cómo evaluar de forma fiable la preparación de una organización sin costes innecesarios. La revisión debe diferenciarse claramente de la auditoría propiamente dicha.

Cada brecha detectada debe clasificarse como:

• ausencia de un documento o registro;
• falta de implantación de la regla adoptada;
• control ineficaz;
• discrepancia entre datos;
• posible incumplimiento que requiere una reacción inmediata.

La clasificación determina el responsable del asunto y el mecanismo de escalado. La falta de aprobación de una instrucción puede corresponder al responsable del proceso, mientras que la sospecha de un cálculo incorrecto de la jornada exige la intervención inmediata de recursos humanos, la dirección y, según las circunstancias, el asesoramiento jurídico. Una lógica similar de evaluación del riesgo se aplica en Auditoría de proveedores antes de firmar el contrato: cómo reducir los riesgos de calidad y entrega.

El plan de actuación no puede limitarse a añadir el formulario que falta. Debe incluir la corrección de la situación actual, el análisis de la causa raíz, la acción correctiva, el plazo, la persona responsable, la evidencia exigida y la evaluación de la eficacia. El cierre de la brecha debe aprobarlo una persona con competencia e independencia suficientes para valorar la evidencia, no automáticamente quien ejecutó la acción.

El registro de preparación debe mostrar las brechas por área y nivel de riesgo, sus responsables, los plazos y el estado de las evidencias. No todas las brechas pueden cerrarse de forma responsable antes de la auditoría. Un registro nuevo que todavía no cubre un periodo suficiente para confirmar la eficacia de la actuación no constituye una evidencia de mejora sostenida.

La preparación de los trabajadores y del personal directivo consiste en explicar el objetivo de la auditoría, los derechos de los participantes, las reglas de confidencialidad y la forma de facilitar información. Enseñar respuestas esperadas debilita la credibilidad de las entrevistas y puede ocultar los riesgos reales. Los trabajadores deben conocer las reglas aplicables y los canales para comunicar problemas, pero responder de acuerdo con su propia experiencia.

La dirección decide si la organización está preparada basándose en el registro de riesgos abiertos, la coherencia de las cadenas de evidencia y la capacidad de los responsables de proceso para explicar la práctica con datos. Si persiste un posible incumplimiento relacionado con los trabajadores, faltan datos fiables o existe una brecha que requiere más tiempo para demostrar la eficacia, el asunto debe escalarse. Cuando los requisitos del cliente y los acuerdos organizativos lo permitan, las brechas graves todavía no resueltas pueden justificar un cambio en la fecha de la auditoría.