Auditoría ambiental para empresas en Colombia

Auditoría ambiental: qué es y qué no es

La palabra «auditoría» se usa en el sector ambiental para trabajos muy distintos, y de ahí salen la mayoría de los malentendidos al contratar. Una auditoría ambiental, en el sentido que le interesa a una empresa, hace tres cosas: recoge evidencia, la compara con un criterio escrito y entrega hallazgos que alguien tiene que asumir. Lo que cambia de un tipo a otro es el criterio.

Ninguna de las cinco es la auditoría de cumplimiento de la que habla esta página, aunque todas se le parecen.

Ninguna norma general la obliga

Esta es la diferencia más importante con la auditoría del SG-SST. Allí el Decreto 1072 de 2015 dice en su artículo 2.2.4.6.29 que el empleador «debe realizar una auditoría anual». En el Decreto 1076 de 2015, el Decreto Único del Sector Ambiente, no hay un artículo equivalente: no existe una orden general de hacer auditoría ambiental, ni una periodicidad, ni un perfil de auditor definido para las empresas.

Eso no significa que la empresa esté libre de revisión. Significa que la revisión llega por otro camino:

• La autoridad ambiental hace control y seguimiento de los proyectos con licencia o plan de manejo ambiental. El artículo 2.2.2.3.9.1 le permite visitar, requerir, imponer obligaciones y verificar el cumplimiento de la normatividad ambiental aplicable.
• Las fuentes fijas de emisión pueden ser visitadas «en cualquier momento» por funcionarios de la autoridad o por los auditores a quienes la autoridad les haya confiado la verificación, según el artículo 2.2.5.1.10.8. Cuando la autoridad contrata esa verificación con particulares, el mismo artículo dice que los costos son de cargo de quien emite.
• Un acto administrativo propio de su caso, como una licencia o un requerimiento, podría pedir una revisión específica. Si es así, está escrito en ese documento y se lee ahí, no en una norma general.

Por eso la que contrata una empresa es, casi siempre, una decisión propia. Y por eso conviene hacerla con un criterio claro: cuando no hay norma que la defina, el alcance lo fija quien contrata, y un alcance mal fijado produce un informe que no sirve para lo que se compró.

Auditoría de cumplimiento o auditoría de un sistema de gestión

Casi todo lo que se busca con ese nombre cae en una de estas dos familias, y no se contestan con el mismo informe.

La auditoría de cumplimiento legal toma como criterio la ley ambiental y los actos administrativos que le aplican a esa empresa: licencia, plan, permisos, registros, reportes. Responde si la empresa cumple lo que la autoridad puede exigirle.

La auditoría de un sistema de gestión toma como criterio la norma voluntaria con la que la empresa decidió organizarse. La más conocida es la ISO 14001, que cambió de edición este año: ISO la publicó en abril de 2026 y sustituye a la de 2015, con un periodo de transición que los organismos de certificación calculan en tres años. Si su certificado o su sistema siguen la edición anterior, pregunte a su certificadora cuál es su plazo. Esa auditoría responde si el sistema está bien montado y funciona, no si la ley se cumple.

Un certificado ISO 14001 vigente no es una constancia de cumplimiento legal. El sistema puede estar bien llevado y la empresa tener, por ejemplo, un permiso vencido que nadie puso en el alcance. La relación entre ambas cosas se explica en la página de certificación ISO 14001, y aquí basta con una idea: quien contrata debe decir con cuál de las dos familias quiere salir.

Interna, externa o de segunda parte

Aparte del criterio, está la pregunta de quién audita.

La auditoría interna la hace personal de la propia empresa. Tiene la ventaja de que conoce la operación y el defecto de que difícilmente es independiente: quien administra la gestión ambiental no puede juzgar con distancia su propio trabajo. El Decreto 1072 lo dice así para el SG-SST: «Los auditores no deben auditar su propio trabajo». No es una norma ambiental, pero es un criterio sensato para exigirlo también aquí.

La externa la hace alguien ajeno, y su valor está en que un tercero puede firmar lo que encuentra sin depender del área auditada. Si el cliente de su empresa le pide una auditoría a sus proveedores, esa es una de segunda parte: la hace el cliente o quien él designe, con el criterio que él fije.

Para una empresa que quiere saber dónde está antes de que llegue otro, lo habitual es contratar una externa de cumplimiento. Una persona de adentro la acompaña, pero no la dirige.

Qué se revisa en una auditoría de cumplimiento

El criterio de una auditoría de cumplimiento no lo escribe el auditor: lo escribe la actividad de la empresa. Una planta que vierte a una quebrada, una que genera residuos peligrosos y una bodega con una sola caldera no se auditan con el mismo listado.

Lo que hay detrás de cada frente son obligaciones que ya existen en el Decreto 1076:

• Quien genere vertimientos a las aguas superficiales, marinas o al suelo debe tramitar el permiso de vertimientos (art. 2.2.3.3.5.1).
• El generador de residuos peligrosos debe elaborar un plan de gestión integral que no se presenta a la autoridad pero debe estar disponible cuando ella lo pida, registrarse, capacitar al personal y tener plan de contingencia (art. 2.2.6.1.3.1).
• Las empresas industriales que requieren licencia, plan de manejo ambiental o permisos deben tener un Departamento de Gestión Ambiental, cuyo objeto incluye «velar por el cumplimiento de la normatividad ambiental» (arts. 2.2.8.11.1.3 y 2.2.8.11.1.4).
• Quien tiene licencia o plan responde al control y seguimiento, incluidos los Informes de Cumplimiento Ambiental (art. 2.2.2.3.9.1).

Cuáles de esas obligaciones le tocan a su empresa lo decide su actividad y su ciudad, y se explican con más detalle en consultoría ambiental, en el plan de manejo ambiental y en el plan de gestión ambiental. Una auditoría seria no los repite: los usa como criterio y verifica con evidencia que se cumplen.

Lo que se mira en terreno, no en el escritorio

Una auditoría que solo revisa carpetas confirma que existen papeles, no que la empresa cumpla. Quien audita un permiso lo contrasta con lo que pasa en la planta: la salida de agua que el permiso describe, el cuarto donde de verdad se guardan los residuos, los registros que el personal de campo sí diligencia.

Por eso conviene que alguien de la empresa acompañe el recorrido, y por eso desconfíe de una auditoría que se entrega sin que el auditor haya pisado las instalaciones.

Qué entrega: el informe y los hallazgos

El producto de una auditoría es un informe, y su calidad se nota en tres cosas. Dice con qué criterio se auditó, es decir, qué normas y qué documentos de la empresa se usaron como vara. Separa lo que encontró de lo que opina. Y entrega cada hallazgo con la evidencia que lo sostiene y la obligación que incumple, de modo que un tercero pueda comprobarlo sin haber estado.

Un informe que dice «la empresa debe mejorar su gestión de residuos» no es un hallazgo: es una opinión. Un hallazgo dice qué se encontró, dónde, qué exige la norma o el permiso y por qué no coinciden.

Lo que la empresa haga con el informe es la parte que más se descuida. Los hallazgos no se corrigen solos: necesitan un responsable y una fecha dentro de la empresa, y el informe sin seguimiento solo documenta que se supo del problema. Eso pesa, como se ve a continuación.

Qué cambia si la autoridad llega primero

La Ley 1333 de 2009 es la que regula el procedimiento sancionatorio ambiental, y tres de sus artículos explican por qué la auditoría se contrata antes de la visita y no después.

• Presunción de culpa (art. 5, parágrafo 1). En las infracciones ambientales se presume la culpa o el dolo del infractor, que es quien debe desvirtuarla. Es decir, la carga de probar está del lado de la empresa.
• Atenuantes (art. 6). La ley reconoce como atenuantes confesar la infracción antes de que se inicie el procedimiento sancionatorio, y resarcir o mitigar el daño por iniciativa propia, también antes de ese procedimiento.
• Agravantes (art. 7). Entre otras, la reincidencia, obstaculizar la acción de la autoridad y las infracciones que involucren residuos peligrosos.

Las sanciones del artículo 40 incluyen amonestación, multas hasta cien mil salarios mínimos mensuales, cierre temporal o definitivo y revocatoria de licencias, permisos o registros. La sanción no exime de restaurar lo afectado.

Lo que esto dice sobre la auditoría: un incumplimiento detectado y corregido por la propia empresa antes de que exista un procedimiento está en mejor posición que uno descubierto por la autoridad. Qué conviene informar a la autoridad y cuándo es una decisión jurídica de cada caso, y la toma el abogado de la empresa, no el auditor.

Los errores que más se encuentran

Comprar una auditoría sin decir contra qué. El contrato dice solo «auditoría» y el informe llega auditando un sistema que la empresa no tiene, o revisando normas que no le aplican. El error nace de no haber fijado el criterio al contratar.

Que audite quien elaboró los documentos. Una firma que redactó el plan de manejo y luego lo audita está revisando su propio trabajo. Es el mismo conflicto que el Decreto 1072 prohíbe en el SG-SST.

Confundir el certificado ISO 14001 con cumplimiento legal. El certificado habla del sistema. Los permisos, los vertimientos y los residuos peligrosos tienen sus propias obligaciones, que el sistema puede no cubrir.

Auditar con los permisos incompletos. Si el auditor no recibe la licencia, el plan y los permisos vigentes, la auditoría compara contra una lista inventada.

Un informe sin dueño. Se entrega, se archiva y nadie asume los hallazgos. Cuando llega la autoridad, la empresa tiene un documento que prueba que sabía.

Qué exigirle al auditor

Como no hay una norma que defina el perfil de un auditor ambiental para las empresas, el criterio de selección lo pone quien contrata.