Mantenimiento del sistema de gestión

Mantener un sistema de gestión no es archivar el manual el día después de la certificación. Entre una auditoría y la siguiente hay objetivos que revisar, indicadores que actualizar, no conformidades que cerrar y auditorías internas que programar y ejecutar. Cuando nadie sostiene ese calendario, el sistema se convierte en lo que en el sector se llama sistema de cajón: documentos correctos que no reflejan lo que la empresa hace de verdad, y detrás de esa expresión hay un riesgo con nombre en la norma: la suspensión (apartado 9.6.5.2).

El ciclo que impone la certificación es concreto. Según ISO/IEC 17021-1:2015, apartado 9.1.3.2, el primer ciclo de certificación dura tres años desde la decisión de certificar: se planifican auditorías de seguimiento en el primer y segundo año, y una auditoría de recertificación en el tercero, antes de que expire el certificado. Cada auditoría de seguimiento revisa una muestra del sistema, no todo el alcance, así que lo que no se ha tocado en un año puede llegar intacto a la siguiente visita, pero también puede acumular deuda sin que nadie se dé cuenta hasta que es tarde.

El riesgo real tiene nombre y consecuencia documentada. La propia norma que regula a las entidades certificadoras (apartado 9.6.5.2) las obliga a suspender un certificado cuando el cliente no cumple los requisitos de la certificación o no permite realizar las auditorías de seguimiento o recertificación con la frecuencia pactada. Bajo suspensión, la certificación queda temporalmente inválida (9.6.5.3); si el motivo no se resuelve en el plazo habitual de hasta seis meses que señala la norma (apartado 9.6.5.4), la suspensión deriva en retirada o reducción del alcance del certificado. Un sistema mantenido con descuido no suele perder el certificado de golpe: llega a la auditoría de seguimiento con no conformidades acumuladas que, si no se cierran a tiempo, se convierten en ese escenario.

El responsable de calidad externo o compartido cubre exactamente el hueco que deja ese ciclo: sostiene el calendario anual, actualiza la matriz de riesgos y la matriz legal, prepara la revisión por la dirección, hace seguimiento de las acciones correctivas abiertas y coordina, sin sustituir necesariamente, el programa de auditoría interna. Llega a la auditoría de seguimiento con la evidencia lista, en vez de reconstruirla la semana antes.

Este servicio no es lo mismo que la auditoría interna: la auditoría interna es un hito programado que exige la cláusula 9.2 de cada norma, con su propio calendario y su propio informe. El mantenimiento cubre todo lo que pasa alrededor de ese hito, durante los doce meses del año, incluida la coordinación de esas mismas auditorías internas cuando se contratan aparte. Y si el sistema mantenido es un sistema integrado de varias normas, el calendario y el cuadro de mando se sostienen igual, con más piezas que coordinar en la misma revisión por la dirección.

En Summum Calidad acompañamos sistemas de gestión en Castilla y León y Canarias desde 2007; en ese tiempo hemos sumado cerca de 200 certificaciones acompañadas. El responsable de calidad externo no sustituye a la entidad de certificación, que sigue siendo quien decide mantener, suspender o retirar el certificado; nuestro papel es que ese momento nunca la sorprenda con el sistema descuidado.

El calendario tipo de doce meses

No hay dos empresas con el mismo calendario de certificación, pero la mayoría de las tareas de mantenimiento se repiten cada año en un orden parecido. Este es el calendario tipo que aplicamos, ajustado después al mes real de la auditoría de seguimiento de cada cliente:

El mes de la auditoría de seguimiento cambia según cuándo se certificó la empresa: lo que no cambia es que las doce tareas tengan que pasar por el calendario, se audite en octubre o en cualquier otro mes.

Interno, externo o compartido: qué modelo conviene

No hay un modelo mejor en abstracto: depende del tamaño de la empresa, de cuántas normas mantiene y de si ya tuvo algún aviso de la entidad certificadora.

El modelo compartido es el que con más frecuencia acaba en empresas de tamaño medio: una persona interna sostiene el día a día y Summum Calidad aporta el calendario, la experiencia normativa y la preparación de la auditoría externa.

Qué pasa si el sistema se abandona

«Sistema de cajón» no es una expresión coloquial vacía: describe un riesgo documentado en la propia norma que regula a las entidades certificadoras. ISO/IEC 17021-1:2015 obliga a suspender la certificación cuando el cliente no cumple los requisitos, o no permite las auditorías de seguimiento o recertificación con la frecuencia acordada (apartado 9.6.5.2). Bajo suspensión, la certificación queda temporalmente inválida: la empresa no puede usarla frente a clientes ni en licitaciones mientras dure (apartado 9.6.5.3).

La suspensión no es indefinida: en la mayoría de los casos no debería superar los seis meses (apartado 9.6.5.4, nota). Si el motivo no se resuelve en ese plazo, deriva en retirada del certificado o en reducción del alcance (apartado 9.6.5.5). Casi nunca se llega ahí de golpe: el camino habitual empieza con no conformidades menores repetidas por falta de seguimiento, sigue con una mayor cuando el patrón se confirma, y solo si esa mayor no se cierra a tiempo se llega a la suspensión.

El ciclo de certificación: seguimiento y recertificación

El reloj del ciclo empieza a contar el día de la decisión de certificar, no el de la auditoría de etapa 2 (ISO/IEC 17021-1:2015, apartado 9.1.3.2). Desde ahí, la entidad planifica auditorías de seguimiento al menos una vez por año natural, salvo en los años de recertificación (apartado 9.1.3.3): visitas presenciales que no necesariamente cubren todo el sistema (apartado 9.6.2.2).

La auditoría de recertificación, en el tercer año, tiene una intensidad comparable a la inicial de etapa 2: confirma que el sistema sigue siendo eficaz, revisa el historial de seguimientos anteriores y, si hay una no conformidad mayor, exige corregirla antes de que expire el certificado para renovarlo sin interrupción (apartado 9.6.3). Mantener el sistema vivo los tres años, no solo antes de cada visita, es lo que hace de esa auditoría un trámite y no una sorpresa.