Qué es la imparcialidad de un organismo certificador

En la reunión de cierre el gerente de calidad hizo la pregunta que parecía más razonable del mundo: "¿y usted cómo lo resolvería?". El auditor le respondió que no podía contestar eso. La sala lo tomó como una descortesía —llevaban tres días trabajando bien juntos— y el comentario en el pasillo fue que el auditor se había puesto rígido al final. No se había puesto rígido. Si hubiera contestado, habría convertido su propia recomendación en el objeto de la auditoría del año siguiente, y eso es exactamente lo que la norma que gobierna a su organismo le prohíbe hacer.

Ser imparcial y además parecerlo

La ISO/IEC 17021-1 es la norma bajo la cual se acreditan los organismos de certificación de sistemas de gestión, y su primer principio es la imparcialidad. El texto exige dos cosas distintas: que las actividades de certificación se ejecuten de forma imparcial y que el organismo sea percibido como imparcial. Lo segundo no es cosmética. Un certificado vale porque un tercero sin interés en el resultado dijo que el sistema cumple; si ese tercero tiene algo que ganar con el resultado, el documento pierde su sentido aunque la auditoría haya sido impecable.

Por eso el organismo está obligado a identificar de forma continua las amenazas a su imparcialidad y a documentar cómo las elimina o las reduce. Las amenazas tienen nombre: interés propio, cuando el organismo gana algo con un resultado determinado; autorevisión, cuando audita algo que él mismo hizo; familiaridad, cuando la cercanía con el cliente sustituye a la evidencia; e intimidación, cuando el cliente presiona con retirar el contrato. La última es más común de lo que se admite y es la razón por la que la decisión de certificación no la toma quien vende el servicio.

La regla que más afecta a las empresas: consultoría y certificación no se mezclan

La restricción central es que un organismo de certificación no puede ofrecer consultoría de sistemas de gestión y certificar a la vez a la misma organización. Consultoría, en este contexto, significa participar en el diseño, la implementación o el mantenimiento del sistema: redactar los procedimientos, armar la matriz de riesgos, definir los indicadores o dar asesoría específica para resolver un requisito. De ahí se derivan reglas concretas que conviene conocer antes de contratar a nadie.

• —El organismo no puede certificar un sistema de gestión al que él, o una entidad relacionada con él, le dio consultoría. La prohibición no se levanta con el tiempo dentro del mismo ciclo comercial: se aplica un periodo mínimo de dos años desde que terminó la consultoría.
• —Un auditor no puede auditar a una organización a la que le dio consultoría, ni a una en la que trabajó, hasta que hayan pasado dos años desde el fin de esa relación. Vale también para quien participó en el diseño del sistema como empleado.
• —Si un tercero le hizo las auditorías internas a la empresa, ese mismo proveedor no puede ser quien la audite para certificarla. Auditar la auditoría propia es autorevisión pura.
• —El personal del organismo, interno o subcontratado, tiene que declarar cualquier situación que pueda representar un conflicto: haber trabajado en la empresa, tener relación con directivos, haber prestado servicios a la competencia en condiciones sensibles.
• —El organismo no puede presentar la certificación como más simple, más rápida o más barata si se contrata también un servicio de consultoría, ni vincular comercialmente ambas cosas.
• —La decisión de certificación la toman personas distintas a las que hicieron la auditoría, y el pago del servicio no puede condicionar el sentido de esa decisión.

Qué sí puede hacer un auditor y qué no

La línea confunde porque no está donde la gente cree. El auditor sí puede explicar el requisito: qué dice la norma, qué se entiende por información documentada, qué alcance tiene un requisito determinado. Sí puede describir con precisión el hallazgo y la evidencia que lo sustenta, y debe hacerlo de forma que la organización entienda exactamente qué se incumplió. Lo que no puede es proponer la solución: decir qué procedimiento escribir, qué formato usar, cómo estructurar el proceso o qué software instalar. En el momento en que lo hace, la evaluación del año siguiente sería sobre su propio trabajo.

Un organismo que en la venta ofrece "acompañarte a documentar" o que manda al auditor con plantillas para llenar no está siendo generoso: está incumpliendo la norma bajo la que está acreditado, y ese incumplimiento es de los que un organismo de acreditación detecta en una auditoría testigo. El riesgo lo termina cargando el cliente, porque las no conformidades del certificador afectan a los certificados que emitió.

Rotación de auditores y familiaridad

La amenaza de familiaridad es la más silenciosa. Un auditor que lleva seis años yendo a la misma planta conoce a todo el mundo, sabe dónde está cada cosa y deja de mirar lo que ya dio por bueno. Por eso el organismo debe gestionar la rotación del personal que audita a un mismo cliente a lo largo de los ciclos. No es que el auditor tenga que cambiar todos los años, pero un mismo equipo no puede sostenerse indefinidamente sin que el organismo lo evalúe como riesgo. Cuando una empresa nota que el auditor ya casi no pide evidencia porque "ya conoce el sistema", el problema no es de comodidad: es una señal de que la auditoría está perdiendo valor.

La implicación práctica al elegir proveedores

De todo esto se sigue una consecuencia operativa que las empresas descubren tarde: hay dos servicios distintos y no pueden comprarse al mismo proveedor. Uno es la implementación del sistema —diagnóstico, diseño de procesos, documentación, capacitación, auditoría interna, preparación—, que es trabajo de consultoría. El otro es la certificación, que ejecuta un organismo acreditado y que se limita a evaluar. Contratar a un despacho que promete las dos cosas termina en una de dos: o el certificado lo emite alguien sin acreditación reconocida, o el organismo tiene que declinar la auditoría cuando descubre la relación, con el proyecto ya en marcha.

Dónde se rompe en la operación

El error se comete en la cotización, meses antes de la auditoría: se pide una sola propuesta que incluya "todo hasta el certificado" y se elige la más barata, sin distinguir quién implementa y quién evalúa. En Nuevo León, donde los proveedores de las armadoras, del sector acero y de los corporativos regiomontanos tienen que presentar certificados que sus clientes revisan contra el directorio del organismo de acreditación, un certificado emitido por quien implementó el sistema simplemente no se acepta en el alta de proveedor. Separar los dos roles desde el inicio y llegar a la auditoría con un sistema propio y defendible es el sentido de la Consultoría ISO 9001 en Monterrey: el consultor prepara a la empresa, el organismo evalúa, y nadie firma su propio examen.

En resumen

La imparcialidad no es una declaración de intenciones del certificador: es un requisito auditable con reglas concretas. El organismo no puede dar consultoría y certificar a la misma organización, ni hacerlo antes de que pasen dos años; el auditor no puede auditar donde trabajó o asesoró en ese mismo plazo; quien hizo las auditorías internas no puede certificar; y la decisión no la toma el equipo auditor. Para la empresa, la lectura práctica es simple: quien te ayuda a construir el sistema y quien te lo evalúa tienen que ser dos, y el auditor que no te da la solución está haciendo bien su trabajo.