Quién toma la decisión de certificación

El auditor cerró la carpeta, dijo que recomendaba la certificación y felicitó al equipo. Esa misma tarde el director le escribió al cliente que los tenía en espera: ya estamos certificados. Cuatro semanas después el organismo notificó que la revisión previa a la decisión había detectado que el alcance propuesto incluía un proceso de servicio en sitio que no se había auditado en ninguna de las dos etapas, y que el certificado se emitiría con un alcance más corto. El sistema estaba bien. El problema fue creer que la recomendación del auditor era la decisión.

El auditor recomienda; el organismo decide

La ISO/IEC 17021-1 separa dos actos que en la conversación de pasillo se confunden. El equipo auditor recoge evidencia, redacta hallazgos, elabora el informe y emite una recomendación. La decisión de certificación la toma el organismo, y la norma exige que la tomen una persona o un grupo que no haya participado en la auditoría cuya evidencia se está evaluando. No es un trámite ni una firma de cortesía: es una revisión independiente que puede confirmar la recomendación, pedir más evidencia, modificar el alcance o no otorgar.

La razón es la misma que gobierna toda la norma: la imparcialidad. Quien pasó tres días en la planta desarrolla una relación con el auditado, conoce el esfuerzo que hubo detrás y tiene un incentivo natural a cerrar bien. La revisión independiente existe para que ese vínculo no decida sobre el certificado, y para que la organización que emite el documento —no una persona— responda por él.

Qué revisa quien decide

• —El informe de auditoría completo, no solo la recomendación: si la evidencia registrada sostiene las conclusiones y si los hallazgos están redactados con requisito, evidencia y desviación.
• —Las no conformidades y su tratamiento: el análisis de causa, la corrección, la acción correctiva y la evidencia con la que el equipo auditor las dio por cerradas o aceptó el plan.
• —El alcance propuesto: que todo lo que va a aparecer en el certificado haya sido efectivamente auditado, en los sitios donde ocurre, y que la redacción describa la actividad real de la organización.
• —El tiempo de auditoría empleado contra el tiempo calculado para esa organización según su tamaño, complejidad, turnos y sitios. Una auditoría más corta de lo que correspondía es motivo para no decidir a favor.
• —La competencia del equipo auditor para el alcance y el sector auditados, incluyendo la asignación de códigos de actividad y la participación de expertos técnicos cuando el sector lo requiere.
• —Cualquier información adicional que el organismo tenga sobre la organización: quejas recibidas, información pública, resultados de auditorías anteriores del ciclo, uso previo de la marca de certificación.

Los cuatro desenlaces posibles

La decisión no es binaria. Puede ser otorgar la certificación en los términos recomendados. Puede ser otorgarla con el alcance modificado, típicamente recortado, cuando algo de lo propuesto no fue cubierto por la auditoría. Puede ser suspender la decisión y solicitar información adicional: más evidencia sobre el cierre de un hallazgo, una aclaración del informe o incluso una visita complementaria cuando lo que falta no puede resolverse en papel. Y puede ser no otorgar, que ocurre cuando quedan no conformidades mayores sin resolver o cuando la evidencia no sostiene que el sistema cumpla.

Cualquiera de las tres últimas se percibe desde adentro como un cambio de reglas de última hora, sobre todo cuando el auditor se despidió con una recomendación favorable. No lo es: la recomendación siempre fue condicionada, aunque en la reunión de cierre casi nunca se enuncie así.

Por qué el certificado tarda semanas

Entre la reunión de cierre y el documento emitido hay una secuencia que casi siempre toma más de lo que la empresa calcula. El equipo auditor termina el informe, que no se redacta en la planta. La organización entrega el tratamiento de las no conformidades dentro del plazo que se le dio. El equipo auditor evalúa esa respuesta y actualiza el informe. Recién entonces el expediente entra a revisión y decisión, y la persona o el comité que decide tiene su propia cola de trabajo. Después viene la emisión del certificado y la carga en el directorio del organismo.

Ese calendario importa por dos razones prácticas. La primera es comercial: comprometerle una fecha a un cliente basándose en la reunión de cierre es apostar sobre un proceso que no controlas. La segunda es de vencimiento: en una recertificación, la decisión tiene que estar tomada antes de que expire el certificado vigente, así que las semanas de la revisión se restan del calendario disponible, no se suman al final.

Cómo se le facilita el trabajo a quien decide

La empresa no habla con el decisor y no puede argumentarle. Su única influencia es la calidad de lo que llega en el expediente, y ahí sí hay margen. Un tratamiento de no conformidades con causa raíz real y evidencia adjunta se aprueba en una lectura; uno con un plan de acción genérico genera una solicitud de información adicional y dos semanas más. Un alcance revisado y acordado antes de la auditoría —redactado con las actividades que efectivamente se van a auditar y en los sitios donde ocurren— no se recorta en la decisión. Y una lista de sitios, procesos y exclusiones consistente entre la solicitud inicial, el plan de auditoría y el informe evita la pregunta que detiene el expediente.

Dónde se rompe en la operación

Se rompe casi siempre en el mismo punto: se anuncia la certificación con la recomendación del auditor y se compromete una fecha con el cliente. En Sonora, donde los proveedores de la planta automotriz, los contratistas mineros y los exportadores agrícolas y pesqueros presentan el certificado como condición de un alta de proveedor con fecha, ese anuncio anticipado deja a la empresa explicando un retraso que no depende de ella. Definir bien el alcance desde la solicitud, cerrar los hallazgos con evidencia sólida y manejar los plazos contando la revisión independiente es parte del acompañamiento que se hace en la Consultoría ISO 9001 en Hermosillo, porque la auditoría termina cuando decide el organismo, no cuando se va el auditor.

En resumen

El equipo auditor recomienda y el organismo decide, a través de personas que no participaron en la auditoría. Esa revisión evalúa el informe, el tratamiento de los hallazgos, el alcance propuesto contra lo realmente auditado, el tiempo empleado, la competencia del equipo y la información que el organismo tenga por otras vías. Puede otorgar, recortar el alcance, pedir más evidencia o no otorgar. Por eso el certificado tarda semanas después de la reunión de cierre, y por eso conviene no comprometer fechas con un cliente sobre la base de una recomendación.