Norma ISO 9001:2015: requisitos, pasos y cuánto tarda certificarse

Qué es la norma ISO 9001 y para quién tiene sentido

ISO 9001 es una norma publicada por la Organización Internacional de Normalización que define los requisitos de un sistema de gestión de la calidad (SGC). La versión vigente es ISO 9001:2015, adoptada en España como UNE-EN ISO 9001:2015. En 2021 se confirmó su vigencia sin cambios, y en 2024 se publicó una enmienda menor sobre cambio climático que no altera los requisitos de fondo, aunque conviene comprobar la edición que utiliza su organismo de certificación.

La norma no dice cómo debe ser su producto ni su servicio. Dice cómo debe organizarse la empresa para entregar de forma consistente lo que el cliente pide y para mejorar con el tiempo. Por eso es aplicable a una fábrica, a una consultora, a una clínica o a una empresa de software, y por eso su interpretación depende mucho del contexto de cada organización.

Estructura de la norma: las cláusulas 4 a 10

ISO 9001:2015 sigue la llamada estructura de alto nivel, común a otras normas de sistemas de gestión como ISO 14001, ISO 45001 o ISO/IEC 27001. Las cláusulas 1 a 3 son introductorias (objeto, referencias y términos). Los requisitos auditables están en las cláusulas 4 a 10, y todos son obligatorios: la única exclusión posible es justificar que un requisito de la cláusula 8 no es aplicable a la actividad de la empresa, sin que ello afecte a su capacidad de suministrar productos conformes.

• Cláusula 4, Contexto de la organización: cuestiones internas y externas, partes interesadas y sus requisitos, alcance del sistema y determinación de los procesos.
• Cláusula 5, Liderazgo: compromiso de la dirección, enfoque al cliente, política de la calidad y asignación de roles y responsabilidades.
• Cláusula 6, Planificación: acciones para abordar riesgos y oportunidades, objetivos de la calidad medibles y planificación de los cambios.
• Cláusula 7, Apoyo: recursos, competencia del personal, toma de conciencia, comunicación e información documentada.
• Cláusula 8, Operación: planificación operativa, requisitos del cliente, diseño y desarrollo, control de proveedores externos, producción y prestación del servicio, liberación y control de salidas no conformes.
• Cláusula 9, Evaluación del desempeño: seguimiento y medición, satisfacción del cliente, auditoría interna y revisión por la dirección.
• Cláusula 10, Mejora: tratamiento de no conformidades, acciones correctivas y mejora continua.

Enfoque a procesos y pensamiento basado en riesgos

Dos ideas atraviesan toda la norma y explican la mayoría de los hallazgos de auditoría. La primera es el enfoque a procesos. La empresa debe identificar sus procesos, sus entradas y salidas, su secuencia e interacción, los recursos y responsables de cada uno, y los indicadores con los que sabe si funcionan. Un mapa de procesos colgado en la pared no basta: el auditor pedirá ver que cada proceso tiene un dueño, que se mide y que los datos se usan para decidir.

La segunda idea es el pensamiento basado en riesgos. Desde la versión 2015 la norma ya no exige acciones preventivas como procedimiento separado, sino que pide que la empresa identifique qué puede salir mal (y qué oportunidades tiene) en cada proceso y planifique acciones proporcionadas. No obliga a usar una metodología formal de gestión de riesgos, pero sí a poder explicar qué riesgos se han considerado, qué se ha decidido hacer y cómo se evalúa la eficacia de esas acciones.

Cómo funciona la auditoría de certificación

La certificación la concede un organismo de certificación independiente, no ISO. En España conviene elegir un organismo acreditado por ENAC (Entidad Nacional de Acreditación) para la norma ISO 9001 en el sector de actividad correspondiente, porque es lo que garantiza que el certificado sea reconocido en licitaciones y por clientes internacionales a través de los acuerdos de reconocimiento mutuo de IAF. Antes de firmar, compruebe en la web de ENAC que la acreditación del organismo está vigente y cubre su sector.

El proceso sigue la norma ISO/IEC 17021-1 y se divide en dos fases. La auditoría de fase 1 es una revisión de la preparación: el auditor examina la documentación del sistema, el alcance, la comprensión del contexto y los riesgos, la planificación de la auditoría interna y la revisión por la dirección, y confirma que la empresa está lista para la fase 2. Puede realizarse a distancia o en las instalaciones. Su resultado es un informe con áreas de preocupación que deben resolverse antes de continuar.

La auditoría de fase 2 es la auditoría de certificación propiamente dicha. El equipo auditor visita las instalaciones, entrevista a personal de todos los niveles, observa los procesos en funcionamiento y verifica registros contra los requisitos de la norma. Al finalizar emite un informe con las no conformidades detectadas, clasificadas como mayores o menores, y las observaciones u oportunidades de mejora.

Una no conformidad mayor es un incumplimiento que pone en duda la capacidad del sistema para lograr los resultados previstos, por ejemplo la ausencia total de auditoría interna. Debe cerrarse, con evidencia verificada, antes de que se emita el certificado. Las no conformidades menores requieren un plan de acción correctiva aceptado por el organismo, cuya implantación se comprueba en la siguiente visita. El certificado tiene una validez de tres años, con auditorías de seguimiento anuales y una auditoría de renovación al final del ciclo.

Cuánto tarda certificarse y de qué depende

No hay un plazo fijo, porque depende del punto de partida, del tamaño de la empresa, del número de centros y de la dedicación del equipo. Para una pyme de servicios con procesos razonablemente ordenados y una persona responsable con tiempo real asignado, un proyecto de implantación suele desarrollarse en varios meses, y el ciclo completo hasta obtener el certificado, incluyendo la auditoría en dos fases y el cierre de no conformidades, con frecuencia se extiende entre seis meses y un año. Empresas industriales con varios centros o con requisitos de diseño y trazabilidad suelen necesitar más.

Hay un condicionante técnico importante: antes de la fase 2 el sistema tiene que haber funcionado el tiempo suficiente para generar registros. El organismo de certificación querrá ver al menos un ciclo completo de auditoría interna y una revisión por la dirección realizadas, además de datos de indicadores, reclamaciones y acciones correctivas reales. Implantar la documentación en un mes y solicitar la auditoría a la semana siguiente no funciona.

Carencias típicas en pymes

Las no conformidades más repetidas en empresas pequeñas rara vez tienen que ver con la calidad del producto. Tienen que ver con demostrar que el sistema se usa para gestionar y no solo para pasar la auditoría.

• El contexto y las partes interesadas (cláusula 4) están redactados de forma genérica, sin conexión con los riesgos ni con los objetivos.
• Los objetivos de la calidad no son medibles, no tienen responsable ni plazo, o nadie hace seguimiento durante el año.
• La identificación de riesgos y oportunidades existe en papel, pero no se traduce en acciones ni se revisa.
• Falta evidencia de competencia: no hay registros de formación ni criterios definidos para los puestos que afectan a la calidad.
• El control de proveedores externos se limita a una lista, sin criterios de evaluación ni seguimiento del desempeño.
• Las salidas no conformes y las reclamaciones de clientes no se registran de forma sistemática, así que no alimentan acciones correctivas.
• La auditoría interna la hace la misma persona que gestiona el sistema, sin independencia, o se hace con prisa la semana antes de la certificación.
• La revisión por la dirección es un acta de trámite que no contiene las entradas exigidas por la norma ni decisiones sobre recursos y mejora.

Cómo prepararse: un plan realista

El camino más eficaz empieza por un diagnóstico honesto frente a cada cláusula, para saber qué existe ya, qué existe pero no se documenta y qué falta por completo. Con ese mapa se asigna un responsable del sistema con tiempo real, se define el alcance y se fijan la política y los objetivos con la dirección, no en su lugar.

A continuación se describen los procesos con quien los ejecuta, se decide la información documentada mínima y se establecen los indicadores. Se implanta, se deja funcionar unos meses y se realiza la primera auditoría interna, a poder ser con alguien que no haya diseñado el sistema. Con sus resultados se celebra la revisión por la dirección y se abren las acciones correctivas. Solo entonces tiene sentido solicitar ofertas a organismos acreditados por ENAC y planificar la fase 1.

Una autoevaluación gratuita en baltum.ai le permite comprobar en pocos minutos en qué cláusulas está más lejos de lo que pedirá el auditor y priorizar el trabajo antes de comprometer fechas con un organismo de certificación.

Este artículo es informativo y no constituye asesoramiento jurídico. baltum.ai es un software independiente, no un organismo de certificación.