Qué se revisa en una auditoría de recertificación

El certificado vencía el 14 de noviembre y la empresa lo tenía anotado. En agosto llamaron al organismo para agendar "la auditoría de renovación" y les dieron la primera semana de noviembre, que era la única disponible con el auditor que conocía la planta. La auditoría se hizo, salieron dos no conformidades mayores en control de proveedores externos y en revisión por la dirección, y el equipo se puso a trabajar en las acciones con la calma de quien ya pasó lo peor. El 20 de noviembre el organismo notificó que el certificado había expirado, que la decisión de recertificación no podía tomarse porque las mayores seguían abiertas y que a partir de esa fecha la empresa no estaba certificada. Nadie había hecho el cálculo hacia atrás.

La recertificación no renueva: vuelve a decidir

Un certificado de sistema de gestión tiene un ciclo de tres años. Dentro de ese ciclo hay auditorías de vigilancia —al menos una al año, en los años uno y dos— que revisan partes del sistema, y al final hay una auditoría de recertificación que cierra el ciclo y abre el siguiente. La diferencia no es de tamaño sino de propósito: la vigilancia comprueba que el sistema sigue funcionando y que se mantiene la conformidad en los elementos que toca; la recertificación evalúa el cumplimiento de todos los requisitos de la norma y la eficacia del sistema en su conjunto.

Eso significa que el organismo no está renovando un documento: está volviendo a tomar la decisión de certificación, con la misma formalidad que la primera vez. El informe de recertificación va a revisión y decisión igual que el de la certificación inicial, y esa decisión puede ser otorgar, condicionar o no otorgar.

Qué mira una recertificación que una vigilancia no mira

• —Todos los requisitos de la norma, no una selección. En vigilancia el organismo cubre obligatoriamente auditorías internas, revisión por la dirección, acciones sobre hallazgos previos, quejas, mejora, uso de la marca y cambios; en recertificación cubre el sistema completo.
• —El desempeño del sistema durante todo el ciclo, no del último año. Se revisan las tendencias de los indicadores, el comportamiento de las no conformidades, la evolución de las quejas y los resultados de los objetivos a lo largo de los tres años.
• —La eficacia del sistema en su conjunto frente a los cambios internos y externos: si la organización creció, cambió de procesos, de sitios, de productos o de contexto, la pregunta es si el sistema siguió siendo el adecuado o se quedó describiendo una empresa que ya no existe.
• —La vigencia y la aplicabilidad del alcance: que el alcance certificado siga describiendo lo que la organización hace hoy. Es el punto donde aparecen las ampliaciones y las reducciones que se fueron acumulando sin notificar.
• —El compromiso demostrado con el mantenimiento y la mejora del sistema, que en la práctica se lee en la revisión por la dirección de los tres años y en qué se hizo con lo que ahí se decidió.
• —Los informes de las auditorías de vigilancia anteriores. El auditor llega con ellos leídos y verifica que lo que se cerró en el papel se sostenga en el piso dos años después.

Cuándo hace falta una etapa 1 otra vez

La recertificación normalmente no lleva etapa 1, porque el organismo ya conoce a la organización. Pero hay una excepción prevista: cuando hubo cambios significativos en el sistema de gestión, en la organización o en el contexto en el que opera, el organismo puede necesitar una etapa 1 previa. Cambio de planta, incorporación de procesos que antes estaban subcontratados, una fusión, un cambio de norma de referencia o una reestructura que mueve la alta dirección son los disparadores típicos. Conviene preguntarlo al agendar, porque agrega días y cambia el calendario.

El calendario es el requisito que más se subestima

Tres cosas tienen que ocurrir antes de la fecha de vencimiento del certificado: la auditoría de recertificación, el cierre de las no conformidades mayores que hayan salido, y la decisión de certificación por parte del organismo. No es que sea recomendable; es la condición para que el certificado no expire. Y el cierre de una mayor no es mandar un plan de acción: es implementar la corrección y la acción correctiva y presentar evidencia que el organismo acepte, lo que en muchos casos exige una verificación adicional en sitio.

Por eso el cálculo se hace hacia atrás desde el vencimiento y no hacia adelante desde el calendario del auditor. Una regla práctica: la auditoría de recertificación se agenda con al menos tres meses de holgura respecto al vencimiento. Ese margen no es para la auditoría, es para lo que pasa después de la auditoría.

Qué pasa si el certificado expira

Si la decisión no se alcanza antes del vencimiento, el certificado expira y la organización deja de estar certificada. La certificación puede restaurarse dentro de un plazo acotado —seis meses desde el vencimiento— si se completa lo que faltaba, y en ese caso la fecha de vencimiento del nuevo certificado se calcula desde la anterior, no desde el día en que se resolvió. Pasado ese plazo no hay restauración: hay que volver a empezar con una certificación inicial completa, con etapa 1 y etapa 2. Entre medias, la empresa está en la incómoda posición de tener un sistema funcionando y ningún documento que lo acredite ante sus clientes.

Lo que complica una recertificación por dentro

El patrón de los ciclos que terminan mal es reconocible. La auditoría interna del tercer año se hizo tarde y no cubrió todos los procesos, así que llega sin cerrar. La revisión por la dirección del último año se convirtió en una presentación de indicadores sin decisiones ni asignación de recursos. Los hallazgos de la vigilancia del año dos se cerraron con correcciones que no atacaron la causa y reaparecen ahora, agravados: una no conformidad repetida es de las que más fácilmente se clasifican como mayor. Y el alcance quedó desactualizado porque en el ciclo entraron una línea o un servicio que nadie notificó.

Ninguno de esos cuatro se resuelve en las dos semanas previas. Se resuelven tratando el tercer año del ciclo como lo que es: el año en el que el sistema completo se vuelve a poner a prueba.

Dónde se rompe en la operación

La falla más común no es técnica, es de planeación: la recertificación se agenda como si fuera una vigilancia, en la fecha en que había hueco, sin contar el tiempo del cierre de hallazgos ni el de la decisión del organismo. En empresas de Jalisco que sostienen contratos con clientes del clúster electrónico, con cadenas de retail o con laboratorios que auditan su base de proveedores, un mes sin certificado vigente puede significar quedar fuera de un padrón que después cuesta meses recuperar. Planear el tercer año del ciclo —auditoría interna completa, revisión por la dirección con decisiones, hallazgos cerrados de raíz y alcance actualizado— es parte del acompañamiento que se hace en la Consultoría ISO 9001 en Guadalajara, porque una recertificación se gana antes de que el auditor llegue, no durante.

En resumen

La recertificación cierra el ciclo de tres años y vuelve a evaluar el sistema completo: todos los requisitos de la norma, el desempeño del ciclo entero, la vigencia del alcance, la eficacia frente a los cambios y lo que realmente se hizo con los hallazgos anteriores. Puede requerir una etapa 1 si hubo cambios significativos. Y tiene una restricción de calendario que no admite negociación: auditoría, cierre de mayores y decisión del organismo tienen que ocurrir antes del vencimiento, con seis meses de gracia para restaurar y, después de eso, un proceso inicial desde cero.