Qué pasó con la acción preventiva en ISO 9001

El procedimiento se llamaba control de acciones correctivas y preventivas, tenía código, revisión 4 y una fecha de 2011. El auditor lo leyó, encontró el apartado de acción preventiva con su formato y su bitácora, y pidió el último registro. El último era de hacía tres años y decía capacitar al personal en el nuevo procedimiento. La conversación derivó hacia donde suele derivar: si la ISO 9001:2015 ya no habla de acción preventiva, por qué el procedimiento seguía exigiéndola, y por qué en tres años el sistema no había prevenido nada de forma registrada. Las dos preguntas tienen la misma respuesta y no es la que la mayoría espera.

No se eliminó: se repartió

La versión 2015 de la ISO 9001 dejó de tener una cláusula llamada acción preventiva, y de ahí salió la lectura fácil de que el concepto desapareció. Lo que ocurrió es distinto: el concepto se absorbió en el pensamiento basado en riesgos, que atraviesa toda la norma. La lógica del cambio es explícita en el propio texto de la norma: uno de los propósitos clave de un sistema de gestión de la calidad es actuar como herramienta preventiva, y por eso la norma no dedica una cláusula separada a la acción preventiva, sino que expresa ese concepto mediante los requisitos de determinar riesgos y oportunidades y planificar acciones para abordarlos.

El cambio de fondo es de momento y de alcance. La acción preventiva de la versión anterior era reactiva a una señal: alguien detectaba una no conformidad potencial y abría un registro. El pensamiento basado en riesgos actúa antes, en la planificación, y no sobre un evento sino sobre el sistema completo, incluidos los procesos que nunca han fallado.

Dónde vive ahora el concepto

• —En la determinación del contexto y de las partes interesadas: ahí se identifican las cuestiones internas y externas que pueden afectar la capacidad de lograr los resultados previstos. Es prevención a nivel estratégico.
• —En las acciones para abordar riesgos y oportunidades: se determinan los riesgos, se planifican acciones proporcionadas al impacto potencial, se integran esas acciones en los procesos del sistema y se evalúa su eficacia. Este es el corazón de lo que antes se llamaba acción preventiva.
• —En la planificación de los cambios: cualquier cambio en el sistema se lleva a cabo de manera planificada, considerando el propósito, las consecuencias potenciales, la integridad del sistema, los recursos y la asignación de responsabilidades. Prevenir el efecto colateral de un cambio es prevención pura.
• —En el control operacional y en los criterios de aceptación: los controles existen para que la falla no ocurra, no para detectarla después.
• —En la mejora: la norma pide considerar la mejora de productos y servicios para cumplir requisitos y considerar necesidades futuras, corregir, prevenir o reducir efectos no deseados, y mejorar el desempeño del sistema.
• —En el análisis y evaluación de datos: detectar una tendencia antes de que cruce el límite es la forma más concreta de prevenir, y es un requisito medible.

Las normas donde sí sigue existiendo con nombre propio

Aquí es donde la confusión cuesta hallazgos. La ISO 13485, que no adoptó la estructura de la versión 2015 de la ISO 9001, conserva la acción preventiva como cláusula independiente y además exige un procedimiento documentado para ella: determinar acciones que eliminen las causas de no conformidades potenciales para prevenir su ocurrencia, evaluar la necesidad de la acción, verificar que no afecte adversamente la capacidad de cumplir requisitos reglamentarios, y registrar los resultados de la investigación y de la acción tomada. Una empresa de dispositivos médicos que borró la acción preventiva de su procedimiento porque migró a la lógica de 2015 tiene un incumplimiento directo.

La IATF 16949 va por otro camino y llega al mismo lugar: exige un proceso para determinar y eliminar las causas potenciales de no conformidades, con acciones apropiadas a la severidad de los problemas potenciales, y pide aplicar lo aprendido de un problema a procesos y productos similares mediante un mecanismo formal de lecciones aprendidas. La ISO 45001, por su naturaleza, es preventiva de principio a fin: la jerarquía de controles y la identificación de peligros son acción preventiva con otro nombre.

Cómo se demuestra que se previene sin un formato que se llame así

Con evidencia de que el circuito completo funciona, no con una bitácora vacía. El registro de riesgos con su evaluación y sus acciones asignadas, cerradas y evaluadas en eficacia. Las acciones derivadas de tendencias de indicadores antes de que la meta se incumpliera. Los cambios planificados con su evaluación de consecuencias potenciales. Las lecciones aprendidas aplicadas de un producto o una línea a las demás, que es de las evidencias más convincentes y de las que menos se registran. Y la revisión por la dirección tratando la eficacia de las acciones tomadas para abordar riesgos y oportunidades, que es entrada obligatoria.

Un detalle práctico: mantener un procedimiento que hable de acción preventiva no es un incumplimiento. La norma no prohíbe conservar el término ni el método. Lo que sí genera hallazgo es tener el apartado y no usarlo, porque entonces el sistema incumple su propio documento, que también es un requisito.

El error de convertir cada riesgo en una acción

La reacción defensiva al cambio produce matrices de ochenta riesgos con ochenta acciones abiertas, y un sistema que no puede cerrar ninguna. La norma es explícita en el criterio: las acciones tomadas para abordar riesgos y oportunidades deben ser proporcionales al impacto potencial en la conformidad de los productos y servicios. Aceptar un riesgo es una respuesta válida, siempre que la decisión esté tomada con criterio y quede registrada. Lo que no es válido es no haber determinado el riesgo, o haberlo determinado y no haber decidido nada.

Dónde se rompe en la operación

La prevención se rompe en el seguimiento, no en la identificación. Los riesgos se determinan una vez al año en un taller, las acciones se asignan en una hoja de cálculo, las lecciones aprendidas viven en el informe de un proyecto y las acciones de mejora se anuncian en la revisión por la dirección. Nadie cierra el ciclo, y cuando el auditor pide la eficacia de las acciones tomadas para abordar riesgos, la respuesta es una matriz actualizada de fecha y ninguna evidencia de resultado. Un Software de mejora continua y proyectos de mejora mantiene cada iniciativa preventiva con su origen —riesgo, tendencia, lección aprendida o cambio planificado—, su responsable, su plazo, su avance y el resultado medido, que es exactamente lo que convierte la prevención en algo demostrable en lugar de declarativo.

En resumen

La acción preventiva no desapareció de la ISO 9001: se convirtió en el pensamiento basado en riesgos y quedó repartida entre el contexto, la determinación de riesgos y oportunidades, la planificación de los cambios, el control operacional, el análisis de datos y la mejora. Eso la volvió más exigente, no menos, porque ya no se cumple llenando un formato cuando alguien detecta una no conformidad potencial. En ISO 13485 sigue siendo cláusula propia con procedimiento documentado obligatorio, y en IATF 16949 vive como proceso de eliminación de causas potenciales y lecciones aprendidas. Y el criterio que ordena todo es la proporcionalidad: la acción se dimensiona según el impacto potencial, y aceptar un riesgo con la decisión registrada es una respuesta legítima.