Qué es un análisis de brechas contra la ISO 9001

El fabricante de arneses llevaba once años surtiendo tableros a dos armadoras de electrodomésticos sin certificado de nada. En marzo, el cliente que representaba el sesenta por ciento de su facturación le comunicó que a partir del siguiente ejercicio solo compraría a proveedores con ISO 9001 vigente, y le dio nueve meses. Lo primero que contrató fue un diagnóstico. Lo que recibió fue un archivo con trescientas veintiocho filas, una por requisito, y una columna con Sí, No o Parcial, cerrado con un semáforo que declaraba un cuarenta y siete por ciento de cumplimiento. Nadie había pisado la planta. Ocho meses después, en la auditoría de etapa 1, el organismo levantó como bloqueante algo que en el archivo aparecía en verde: el alcance del sistema excluía el proceso de crimpado, que es exactamente lo que la empresa hace.

Qué es y qué no es

Un análisis de brechas es la comparación estructurada entre lo que la norma exige y lo que la organización hace hoy, requisito por requisito y con evidencia de por medio. No es un requisito de la ISO 9001: la norma no lo menciona en ninguna cláusula. Es una herramienta de proyecto, y su función es responder tres preguntas antes de gastar el primer peso: qué falta, cuánto pesa lo que falta y en qué orden hay que atacarlo para llegar a la fecha comprometida.

Conviene separarlo de dos cosas con las que se confunde. No es una auditoría interna: esa la exige la cláusula 9.2, presupone un sistema ya implementado, requiere auditores competentes e independientes del área auditada y un programa que considere el estado y la importancia de los procesos. No es tampoco la auditoría de etapa 1, que la ejecuta el organismo de certificación para comprobar la preparación del sistema, revisar la información documentada, confirmar el alcance y evaluar si tiene sentido programar la etapa 2. El análisis de brechas es anterior a ambas, lo hace la propia empresa o su consultor, y no produce hallazgos formales sino una lista de trabajo con fechas.

Contra qué se compara

Contra los requisitos auditables, que son los de las cláusulas 4 a 10. Las tres primeras no contienen obligaciones: objeto y campo de aplicación, referencias normativas y términos y definiciones. Un checklist que arranca en la cláusula 1 con casillas de cumplimiento delata que quien lo hizo no leyó la norma. Pero la comparación no termina en el texto de la ISO 9001: hay que incluir también los requisitos legales y reglamentarios aplicables al producto y a la operación, los requisitos específicos que el cliente haya impuesto por contrato o por manual de proveedores, y cualquier esquema sectorial que la empresa pretenda alcanzar después. En una empresa que hoy busca ISO 9001 pero en dos años necesitará IATF 16949, saber desde el diagnóstico cuáles decisiones de diseño del sistema le cerrarían esa puerta ahorra rehacerlo completo.

Cómo se levanta la evidencia

Recorriendo procesos, no leyendo carpetas. Cada requisito se contrasta contra tres fuentes: lo que dice el documento, lo que muestran los registros de los últimos meses y lo que responde y hace la persona que ejecuta el trabajo. La brecha se declara cuando falta cualquiera de las tres, y el caso más frecuente no es la ausencia de la práctica sino la ausencia de rastro: el proceso se hace bien, se hace siempre, y no queda nada que lo demuestre. Un diagnóstico de escritorio no puede detectar eso, porque en el escritorio el documento existe y la casilla se marca en verde.

La segunda regla es entrevistar a quien opera, no solo a quien administra el sistema. El responsable de calidad conoce la norma y contesta lo que la norma quiere oír. El operador, el comprador, el almacenista y el supervisor de turno contestan lo que efectivamente pasa, y la distancia entre ambas respuestas es, casi literalmente, la brecha.

Qué se busca en cada bloque

• —Cláusula 4, contexto: cuestiones internas y externas identificadas y con seguimiento, partes interesadas pertinentes con sus requisitos, alcance escrito con los límites y la justificación de cualquier requisito no aplicable, y los procesos determinados con sus entradas, salidas, secuencia, criterios y responsables. El error típico es un alcance copiado de otra empresa que deja fuera un proceso central.
• —Cláusula 5, liderazgo: evidencia de que la dirección rinde cuentas por la eficacia del sistema y no solo lo patrocina, política de calidad comunicada y disponible, y roles con autoridades asignadas y conocidas por quien las tiene. La prueba es simple: preguntar a tres personas quién decide detener un embarque.
• —Cláusula 6, planificación: acciones para abordar riesgos y oportunidades integradas a los procesos y evaluadas después, objetivos de calidad medibles con plan, recursos, responsable, plazo y forma de evaluación, y planificación de los cambios en el sistema.
• —Cláusula 7, apoyo: personas, infraestructura, ambiente, recursos de seguimiento y medición con trazabilidad metrológica cuando aplique, competencia demostrada, toma de conciencia, comunicación determinada e información documentada bajo control, incluida la de origen externo.
• —Cláusula 8, operación: es la más extensa y la que más brechas concentra. Planificación y control operacional, determinación y revisión de requisitos del producto, diseño y desarrollo si aplica, control de procesos y proveedores externos, producción y provisión del servicio, identificación y trazabilidad, propiedad del cliente, preservación, actividades posteriores a la entrega, control de cambios, liberación con criterios y firma, y tratamiento de salidas no conformes.
• —Cláusula 9, evaluación del desempeño: qué se mide y con qué método, percepción del cliente, análisis y evaluación de datos, programa de auditoría interna y revisión por la dirección con las entradas y salidas que la norma enumera.
• —Cláusula 10, mejora: no conformidad y acción correctiva con análisis de causa y verificación de eficacia, y mejora continua demostrable con algo más que la lista de correcciones del año.

Los tres niveles de brecha

No todas cuestan lo mismo y confundirlas arruina el cronograma. La brecha de tipo uno es la ausencia total: el requisito no se cumple de ninguna forma, no hay práctica ni documento, y hay que diseñar el proceso desde cero. La de tipo dos es la más común: la práctica existe y funciona, pero no hay criterio escrito ni registro que la demuestre, y cerrarla es barato porque no hay que cambiar cómo se trabaja sino dejar rastro de lo que ya se hace. La de tipo tres es la más traicionera: existe el documento, existe el registro y aun así no cumple, porque el objetivo no es medible, porque la evaluación de proveedores no tiene criterios, porque el indicador no se compara contra nada o porque el procedimiento describe algo distinto de lo que ocurre en el piso.

Clasificarlas cambia la conversación con la dirección. Un cuarenta y siete por ciento de incumplimiento suena a proyecto de dos años; el mismo cuarenta y siete repartido en un diez por ciento de tipo uno, un treinta de tipo dos y un siete de tipo tres es un proyecto de seis a nueve meses con la mayor parte del esfuerzo en levantar evidencia de lo que ya se hace.

Qué debe entregar

Por cada requisito: estado actual, evidencia que se examinó con su identificación, brecha declarada, acción concreta, responsable con nombre, fecha y esfuerzo estimado. Y encima de eso, un cronograma con la ruta crítica marcada, que es la parte que casi nunca aparece. Hay requisitos que no se cierran con trabajo sino con calendario: la auditoría interna tiene que estar ejecutada y con hallazgos tratados, la revisión por la dirección tiene que haber ocurrido con todas sus entradas, los indicadores necesitan una serie de varios periodos para que exista análisis y tendencia, y la evaluación de proveedores necesita un ciclo completo de desempeño. Si esos ciclos no arrancan al inicio del proyecto, la fecha comprometida no se sostiene aunque todo lo demás esté listo.

Los errores que lo vuelven inútil

El checklist descargado de internet con casillas de sí y no, que mide presencia de documentos y no cumplimiento de requisitos. El diagnóstico hecho en una sala de juntas con el responsable de calidad, que refleja lo que el sistema debería ser. El porcentaje único de cumplimiento sin desglose por tipo de brecha, que no permite planear nada. La omisión de los requisitos legales y de los requisitos específicos del cliente, que aparecen después como sorpresas caras. Y el más costoso de todos: dar por buena la definición del alcance sin recorrer la operación, porque un alcance mal delimitado no se corrige con trabajo, se corrige rehaciendo el sistema.

Dónde se rompe en la operación

El diagnóstico se levanta bien y muere en una hoja de cálculo. Trescientas acciones con responsable y fecha viven en un archivo que alguien actualiza las primeras tres semanas, y a los dos meses nadie sabe cuántas se cerraron, cuáles se movieron ni cuáles bloquean a otras. En Guadalajara, donde buena parte del clúster de manufactura electrónica llega a la certificación empujado por el calendario de un cliente OEM y no por decisión propia, esa pérdida de control del plan es lo que hace que la fecha se recorra. Levantar las brechas con evidencia real, clasificarlas por tipo y darles seguimiento en un sistema donde cada acción tiene dueño, plazo y estado visible es parte de lo que se hace en la Consultoría ISO 9001 en Guadalajara, junto con la implementación que cierra esas brechas y el acompañamiento hasta la certificación.

En resumen

El análisis de brechas no es un requisito de la norma sino la herramienta que define el proyecto. Compara requisito por requisito las cláusulas 4 a 10, más los requisitos legales y los del cliente, contra lo que la empresa hace hoy, y la evidencia se levanta recorriendo procesos y entrevistando a quien opera, no revisando carpetas. Las brechas se clasifican en ausencia total, práctica sin evidencia y cumplimiento aparente que no cumple, porque cada una cuesta distinto. El entregable útil trae acción, responsable, fecha y esfuerzo por requisito, y marca la ruta crítica de los ciclos que solo se cierran con calendario. Un porcentaje de cumplimiento sin ese desglose no sirve para decidir nada.