Sistema integrado de gestión

Integrar no es sumar. Una empresa con ISO 9001, ISO 14001 y ISO 45001 certificadas por separado suele arrastrar tres manuales, tres calendarios de auditoría interna, tres revisiones por la dirección y tres matrices de riesgo que dicen cosas parecidas con palabras distintas. Un sistema integrado de gestión (SIG) junta la parte que las tres normas piden igual (contexto, liderazgo, planificación, apoyo, evaluación del desempeño y mejora) y deja separada la parte específica de cada una: satisfacción del cliente en 9001, aspectos ambientales en 14001, identificación de peligros en 45001.

Esto es posible porque desde hace más de una década las normas de gestión ISO no se redactan cada una a su manera. Comparten un mismo esqueleto, antes llamado Anexo SL o estructura de alto nivel, hoy «estructura armonizada», que introdujo la 12.ª edición (2021) de las Directivas ISO/IEC Parte 1 y que mantienen las ediciones posteriores, con las mismas cláusulas 4 a 10, los mismos términos centrales y buena parte de las definiciones. ISO 9001:2015, ISO 14001:2015 y ISO 45001:2018 comparten ese esqueleto, y también lo hacen ISO/IEC 27001:2022 y ISO 50001:2018: por eso un SIG bien construido no se cierra en tres normas, se puede ampliar.

En la práctica, integrar significa un manual único, una matriz de contexto y partes interesadas, una matriz de riesgos y oportunidades que recoge los tres enfoques, un programa de auditoría interna y una revisión por la dirección donde se tratan a la vez calidad, ambiente y seguridad laboral. La entidad de certificación puede auditar las tres normas en una sola visita, con un ahorro de tiempo real pero acotado por un documento obligatorio del International Accreditation Forum (IAF MD 11), no por la voluntad de ir rápido.

Integrar no diluye ninguna norma. La 45001 sigue exigiendo su jerarquía de controles del apartado 8.1.2, la 14001 su identificación de aspectos ambientales significativos, la 9001 su enfoque al cliente. Lo que cambia es dónde vive cada cosa: la política, la gestión documental, la gestión del cambio y el ciclo de no conformidad y mejora se sostienen una sola vez para las tres, y cada norma aporta su capítulo propio encima de esa base común.

No siempre conviene empezar por aquí. Si la empresa solo persigue una norma, o va a transicionar la que ya tiene a la edición 2026, el punto de partida es esa norma sola; nuestras fichas de transición a ISO 9001:2026 y transición a ISO 14001:2026 cubren ese caso. El SIG tiene sentido cuando la empresa ya tiene, o va a implantar, más de un sistema certificable.

En Summum Calidad diseñamos la arquitectura del sistema integrado, formamos al equipo y coordinamos la auditoría con la entidad de certificación que elijas, acreditada por ENAC. Llevamos desde 2007 acompañando implantaciones ISO en Castilla y León y Canarias, con cerca de 200 certificaciones acompañadas; el certificado lo emite la entidad, nosotros construimos el sistema. Si quieres el detalle paso a paso, en el blog hemos desarrollado qué es un sistema de gestión integrado y cómo se integran 9001, 14001 y 45001, que incluye un plan a 120 días.

La estructura armonizada, cláusula por cláusula

La integración no es un truco comercial: responde a que ISO 9001, ISO 14001 y ISO 45001 comparten desde hace años el mismo esqueleto normativo, la «estructura armonizada» que introdujo la 12.ª edición (2021) de las Directivas ISO/IEC Parte 1 y que mantienen las ediciones posteriores, válida para todas las normas de sistemas de gestión. Las cláusulas 4 a 10 son comunes en su título y en gran parte de su texto; lo que cambia es el contenido técnico que cada norma cuelga de ellas.

Este reparto es lo que permite mantener un solo manual sin perder el detalle exigible de cada norma: la parte común vive una vez, la parte técnica de cada norma vive dentro de esa misma estructura.

Qué comparten realmente las tres normas

Compartir cláusula no significa compartir palabra por palabra. Lo que un sistema integrado unifica de verdad son estos elementos:

• Política integrada: un solo documento con los compromisos de calidad, ambiente y seguridad laboral, en vez de tres declaraciones separadas.
• Matriz de partes interesadas y contexto: clientes, proveedores, administración, trabajadores y comunidad, con sus expectativas relevantes por norma.
• Matriz de riesgos y oportunidades: un registro único que distingue el origen de cada riesgo pero se revisa en el mismo ciclo.
• Gestión del cambio (6.3): un cambio relevante (línea de producción, proveedor, instalación) se evalúa una sola vez desde los tres ángulos.
• No conformidad y acción correctiva: un procedimiento común, con el hallazgo trazado a la norma afectada.
• Auditoría interna y revisión por la dirección: un programa y una reunión, no tres.

Lo que no se integra es el contenido técnico específico: peligros de la 45001, aspectos ambientales de la 14001 o control del diseño de la 9001 siguen su propio análisis, dentro de la misma estructura común.

La auditoría integrada: qué permite IAF MD 11

El tiempo de una auditoría integrada no se negocia libremente: lo regula IAF MD 11:2023, documento obligatorio del International Accreditation Forum para las entidades de certificación. El cálculo parte de sumar el tiempo de auditar cada norma por separado (T = A + B + C, apartado 2.1.1) y se ajusta según tres factores: el grado real de integración del sistema, la capacidad del personal para responder sobre más de una norma, y la disponibilidad de auditores competentes en varias a la vez.

El límite es explícito: cuando hay reducción, no puede superar el 20 % del punto de partida (apartado 2.1.2). No es un descuento automático por pedir un SIG; la entidad certificadora confirma el nivel de integración declarado en la auditoría de etapa 1. El documento distingue un «sistema combinado» (normas que conviven con documentación separada) de un «sistema integrado» real (que comparte documentación y responsabilidades): cuanto más real es la integración, mayor el margen de ajuste.

De 9001, 14001 y 45001 a ISO/IEC 27001 o ISO 50001: cómo se amplía

El SIG no tiene por qué quedarse en tres normas. ISO/IEC 27001:2022 (seguridad de la información) e ISO 50001:2018 (gestión energética) comparten la misma estructura armonizada, así que sumarlas reutiliza el manual, la matriz de contexto y el ciclo de revisión por la dirección ya construidos. Se añade la parte propia de cada norma: el análisis de riesgos de activos de información y los controles del Anexo A en ISO 27001, o la revisión energética y los indicadores de desempeño (IDEn) en ISO 50001.

La ampliación no exige rehacer el sistema: se audita como una extensión de alcance dentro del ciclo de certificación existente, con el mismo criterio de IAF MD 11 que la integración inicial. Si tu sistema ya integrado va a transicionar además a la edición 2026 de alguna norma base, conviene planificar los dos cambios juntos: la transición a ISO 9001:2026 y la transición a ISO 14001:2026 tocan justo la parte que un SIG comparte.