Cómo es una auditoría del ENS: quién la hace, qué pide y qué pasa después

Quién puede auditar el ENS, las fases de la auditoría, qué evidencia se pide por categoría y qué pasa tras un hallazgo. Guía 2026 de un Lead Auditor.

Lo primero, porque es lo que casi nadie tiene claro: qué es exactamente «la auditoría del ENS»

Hay una confusión de fondo que envenena la mitad de las conversaciones sobre este tema, y conviene desactivarla antes de seguir: «auditoría del ENS» nombra dos cosas distintas que ocurren en momentos distintos y las hace gente distinta.

  • La revisión periódica obligatoria. Es la del artículo 31: todos los sistemas dentro del ámbito del ENS deben someterse a una revisión regular ordinaria al menos cada dos años, y a una extraordinaria cuando haya modificaciones sustanciales. Es una obligación de la entidad, no un servicio comercial.
  • La auditoría de certificación. Es la que ejecuta una entidad de certificación acreditada por ENAC para emitir el certificado de conformidad. Es la que aparece en los pliegos y la que la gente busca cuando escribe «contratar auditoría ENS».

La conexión entre ambas la establece el artículo 38, que es el que de verdad decide tu vida: *«los sistemas de categoría BÁSICA solo requerirán de una autoevaluación para su declaración de la conformidad, sin perjuicio de que se puedan someter igualmente a una auditoría de certificación»*, mientras que *«los sistemas de categoría MEDIA o ALTA precisarán de una auditoría para la certificación de su conformidad»*.

Traducido a la práctica: si eres categoría básica, la obligación de revisar cada dos años sigue existiendo, pero puedes cumplirla tú mismo y firmar una declaración. Si eres media o alta, cada dos años entra alguien de fuera. Si has llegado hasta aquí sin saber en qué categoría estás, para y empieza por el pilar del ENS: la categoría lo determina absolutamente todo, incluido el presupuesto.

Quién puede auditarte (y quién no, aunque te lo venda)

Esta es la tabla que resuelve el 80 % de las dudas comerciales:

Tres precisiones que evitan disgustos.

1. «Acreditada por ENAC» es verificable, y hay que verificarlo. La acreditación se concede bajo la norma UNE-EN ISO/IEC 17065 y el esquema desarrollado por ENAC junto al CCN. El CCN mantiene el listado público de entidades acreditadas y de entidades en proceso de acreditación —dos estados distintos que conviene no confundir cuando alguien te dice «estamos acreditados»—. Antes de firmar nada: busca el nombre exacto de la empresa en ese listado. Es gratis y son dos minutos.

2. Una consultora que te ayuda a implantar no puede después certificarte. No es una opinión mía sobre buenas prácticas: es el principio de imparcialidad que sostiene todo el edificio de la certificación acreditada. Si una misma empresa te ofrece «te lo montamos y te lo certificamos», una de las dos mitades no es lo que dice ser. Es el mismo motivo por el que yo mismo no puedo auditar a quien he asesorado.

3. La auditoría interna del artículo 31 no es un trámite de segunda. En el sector público la ejecutan los Órganos de Auditoría Técnica; en una entidad privada la hace quien tenga competencia técnica e independencia respecto de lo auditado. Es, con diferencia, el mejor dinero que se gasta en este proceso, porque es donde los hallazgos todavía son baratos. Volveré sobre esto.