Qué exige la AS9100 sobre los riesgos operacionales

La empresa acababa de transferir el maquinado de un soporte estructural de su planta en Estados Unidos a su planta en México. En la auditoría de vigilancia, el auditor pidió el análisis de riesgos de la transferencia. La coordinadora de calidad mostró la matriz de riesgos del sistema: incluía el tipo de cambio, la rotación de personal, la dependencia de un cliente y la ciberseguridad. Nada sobre la pieza. Nadie había evaluado qué pasaba si la máquina nueva no alcanzaba la tolerancia, si el tratamiento térmico local no estaba aprobado por el cliente o si el único programador con experiencia en la pieza renunciaba. La transferencia salió bien, pero el hallazgo quedó levantado.

Dos niveles de riesgo en la AS9100

La AS9100 hereda de la ISO 9001 el requisito de determinar los riesgos y oportunidades del sistema de gestión, que se trabaja a partir del contexto de la organización y de las necesidades de las partes interesadas. Ese es un riesgo de nivel estratégico: afecta la capacidad de la empresa para lograr los resultados de su sistema. Pero la norma aeroespacial agrega un segundo requisito, dentro de la planificación y el control operacional, dedicado específicamente a la gestión de los riesgos operacionales.

El riesgo operacional es el que amenaza el cumplimiento de los requisitos de un producto, un proyecto o un contrato concreto: que una pieza no se pueda fabricar dentro de especificación, que un proveedor único no entregue, que un proceso especial pierda su aprobación, que un cambio de diseño llegue tarde o que un programa no tenga capacidad para el volumen comprometido. Se gestiona cerca de la operación, por proyecto o por proceso, y cambia a lo largo de la vida del producto.

Qué exige el requisito

La AS9100 pide planificar, implementar y controlar un proceso para gestionar los riesgos operacionales que afectan el cumplimiento de los requisitos aplicables, con un contenido mínimo definido y adecuado a la organización y a sus productos:

• —Asignar responsabilidades para la gestión de los riesgos operacionales.
• —Definir criterios de evaluación del riesgo, como probabilidad, consecuencias y aceptación del riesgo.
• —Identificar, evaluar y comunicar los riesgos a lo largo de las operaciones.
• —Identificar, implementar y gestionar acciones para mitigar los riesgos que excedan los criterios de aceptación definidos.
• —Aceptar formalmente los riesgos que permanecen después de implementar las acciones de mitigación.

El último punto es el que más se omite. Mitigar no significa eliminar, y la norma obliga a que alguien con autoridad decida, con evidencia, que el riesgo residual es aceptable para seguir adelante. Sin esa aceptación, la matriz queda como una lista de preocupaciones sin decisión.

Dónde aparece el riesgo operacional

El riesgo operacional se evalúa en los momentos en que el producto o el proceso cambian. La revisión de contrato es el primero: antes de aceptar un pedido, la organización debe determinar si puede cumplir los requisitos, y los requisitos especiales, las características críticas y las tolerancias difíciles son justamente las fuentes de riesgo. La planificación de la realización del producto es el segundo, junto con la gestión de proyectos que la AS9100 pide de forma explícita. El tercero son las transferencias de trabajo entre sitios o hacia un proveedor, que la norma obliga a controlar y a verificar. Y el cuarto es la cadena de suministro, donde las fuentes únicas, los procesos especiales subcontratados y las partes con riesgo de falsificación deben evaluarse.

Por eso la herramienta rara vez es la misma matriz del sistema. Lo habitual es un registro de riesgos por proyecto o por programa, alimentado desde la revisión de contrato y actualizado en cada revisión de fase, con escalas de probabilidad y consecuencia que reflejan el impacto en la seguridad del producto, en la entrega y en el cumplimiento regulatorio. El AMEF de proceso cubre una parte, la de los modos de falla en manufactura, pero no sustituye al registro: no evalúa proveedores, capacidades ni calendario.

Qué revisa el auditor

El auditor aeroespacial no suele empezar por el procedimiento. Toma un proyecto reciente, una transferencia o un número de parte con características críticas y pregunta qué riesgos se identificaron, con qué criterio se evaluaron, qué acciones se tomaron, quién aceptó el riesgo residual y cómo se comunicó a las áreas afectadas. Después busca coherencia: si el proveedor de un proceso especial aparece como riesgo alto, espera ver ese riesgo reflejado en la frecuencia de auditoría al proveedor y en la inspección de recibo. Un riesgo registrado que no cambió nada en la operación es un hallazgo tan claro como un riesgo que nunca se registró.

Errores frecuentes

• —Usar la matriz de riesgos del contexto de la organización para cumplir el requisito operacional.
• —Evaluar riesgos una vez al inicio del proyecto y no actualizarlos en cada fase.
• —No definir criterios de aceptación, con lo que cualquier riesgo se considera aceptable.
• —Mitigar sin que nadie acepte formalmente el riesgo residual.
• —Hacer transferencias de trabajo entre plantas sin un análisis de riesgos documentado.
• —Dejar fuera a los proveedores de fuente única y de procesos especiales.
• —Confundir el AMEF de proceso con la gestión completa del riesgo operacional.
• —Registrar riesgos que no se traducen en ningún cambio de control en la operación.

Dónde se rompe en la operación

La gestión del riesgo operacional suele fallar por quién la hace. Si vive en el departamento de calidad, se llena al final para la auditoría; si vive en ingeniería, se discute en juntas pero no queda registrada. En Hermosillo, donde conviven la manufactura automotriz con proveedores de maquinado, ensamble y procesos especiales que abastecen a la industria aeroespacial de Sonora, muchas plantas manejan programas con requisitos de ambos sectores y reciben transferencias de trabajo desde plantas hermanas en Estados Unidos, lo que multiplica los momentos en que el riesgo cambia. Integrar el registro de riesgos a la revisión de contrato, a las revisiones de fase y a la evaluación de proveedores es parte de lo que se estructura en la Consultoría ISO 9001 en Hermosillo, donde el pensamiento basado en riesgos se aplica a cada proyecto y no solo a la planeación anual.

En resumen

La AS9100 distingue entre los riesgos del sistema de gestión, que vienen del contexto de la organización, y los riesgos operacionales, que amenazan el cumplimiento de los requisitos de productos, proyectos y contratos concretos. Para estos últimos exige un proceso con responsables, criterios de evaluación y de aceptación, identificación y comunicación a lo largo de las operaciones, acciones para los riesgos que exceden los criterios y aceptación formal del riesgo residual. Se aplica en la revisión de contrato, en la planificación y gestión de proyectos, en las transferencias de trabajo y en la cadena de suministro.