ISO 9001

La norma ISO 9001 es la norma internacional que fija los requisitos que debe cumplir un sistema de gestión de calidad. No dice cómo debe fabricar una empresa ni qué procedimientos escribir: dice qué tiene que estar bajo control. Cuáles son sus procesos y cómo se relacionan; qué espera el cliente y cómo se verifica que se cumplió; qué riesgos pueden impedirlo; qué se mide; qué se hace cuando algo falla; y cómo la dirección revisa todo eso y decide.

Debajo de esos requisitos hay siete principios de gestión de la calidad, que ISO publica para toda la familia ISO 9000 y sin orden de prioridad. No se auditan uno por uno, pero explican por qué la norma pide lo que pide:

Ese enfoque explica por qué la norma sirve igual a una fábrica de alimentos, a una constructora y a una firma de servicios: los requisitos son los mismos, la manera de cumplirlos cambia por completo. Y explica también el error más frecuente en Colombia, copiar el sistema de otra empresa: los requisitos se cumplen, pero describen procesos que no son los propios, y la auditoría lo detecta en la primera entrevista a un operario.

La estructura de la norma sigue el ciclo planear-hacer-verificar-actuar y se organiza en capítulos numerados del 4 al 10: contexto de la organización, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora. Un sistema bien montado se puede recorrer capítulo por capítulo mostrando evidencia; uno mal montado tiene documentos para todos los capítulos y evidencia para ninguno.

En Colombia nadie certifica en nombre del Estado. El certificado ISO 9001 lo emite un organismo de certificación —ICONTEC, SGS, Bureau Veritas, AENOR y otros—, y lo que le da peso es que ese organismo esté acreditado para el alcance que certifica. La acreditación nacional la otorga el ONAC, el Organismo Nacional de Acreditación de Colombia, que no certifica empresas: acredita a quienes las certifican.

Antes de contratar conviene verificar tres cosas: que el organismo esté acreditado, que la acreditación cubra el sector económico de la empresa y, desde 2027, que ya esté acreditado para la edición 2026. Un certificado emitido por un organismo sin acreditación puede ser legal, pero rara vez sirve como requisito habilitante en un pliego. El punto de partida del sistema es el mapa de procesos, y la mejora del capítulo 10 se organiza con el ciclo PHVA.

ISO 9001 no exige una matriz de riesgos ni un método formal de gestión del riesgo: la edición 2015 lo dice en su anexo A.4. Lo que pide el apartado 6.1 es otra cosa. Al planificar el sistema, considerar las cuestiones del contexto y los requisitos de las partes interesadas, determinar los riesgos y las oportunidades que hay que abordar, planificar acciones proporcionales a su impacto potencial en la conformidad de los productos y servicios, integrarlas en los procesos y evaluar si funcionaron.

La edición 2026 reorganiza ese apartado en tres partes: determinar los riesgos y las oportunidades, las acciones para los riesgos y las acciones para las oportunidades. Una matriz que mezcla las dos cosas en la misma fila y con la misma escala es de lo primero que conviene separar en el diagnóstico de brechas.

La plantilla de matriz de riesgos y oportunidades en Excel las lleva en hojas distintas. En la de riesgos, cada fila separa el riesgo de su causa y de su consecuencia, lo califica de 1 a 5 en probabilidad e impacto y calcula el nivel con umbrales que la empresa puede ajustar; si el nivel es alto o extremo, la hoja pide la acción con responsable, fecha y la forma de evaluar su eficacia, y después el resultado y el riesgo residual. Las oportunidades se priorizan por beneficio y viabilidad. Trae un ejemplo ilustrativo de cada una, con los riesgos del proceso de compras que usa la caracterización de procesos. La escala es una convención —ninguna norma la fija—, y si la empresa ya tiene una metodología de riesgos, por ejemplo bajo ISO 31000, manda la suya.

Una precisión para quien integra sistemas: en el SG-SST, los peligros y los riesgos laborales se valoran con la metodología que exige el artículo 2.2.4.6.15 del Decreto 1072 de 2015, en la matriz de peligros. La matriz de riesgos y oportunidades de calidad no la reemplaza.

ISO recomienda abordar la transición como una decisión de negocio y no como un trámite, en cinco pasos: entender los cambios, hacer un diagnóstico de brechas del sistema actual contra la edición 2026, ajustar procesos, información documentada y gobierno donde haga falta, involucrar a la dirección y a las personas, y acordar el plan con el organismo certificador. El sistema no se rehace: se conserva lo que funciona y se cambia lo necesario.

Las fechas que fija el documento de transición de Global ACI para los organismos de acreditación y de certificación son estas; la fecha de la auditoría de cada empresa la define su organismo:

Antes de la auditoría de transición conviene una auditoría interna que ya incluya las cláusulas que cambian, y una revisión de la ficha técnica de los indicadores y de la caracterización de procesos, que es donde suele aparecer la mayor parte del trabajo de adecuación.

La pregunta por el costo de la ISO 9001 son, en realidad, cuatro costos que pagan personas distintas en momentos distintos. Ninguno tiene tarifa fija: dependen del alcance, del número de trabajadores y de sedes, de la complejidad de los procesos y de cuánto de la operación ya esté ordenado.

El precio de la consultoría lo mueven, sobre todo, estos factores:

Para comparar cotizaciones de certificación conviene pedir a cada organismo cuántos días de auditoría calcula por fase y verificar que su acreditación cubra el alcance. Para la implementación, que quede por escrito qué entregables recibe la empresa y qué queda a cargo de su propio equipo.

Tagline levanta los procesos, documenta lo que la norma exige, forma a los auditores internos de la empresa y acompaña la auditoría de certificación. No emitimos certificados y ningún consultor puede hacerlo: la independencia entre quien implementa y quien certifica es requisito de acreditación del organismo certificador.

El entregable no es una carpeta. Es un sistema que la empresa puede sostener sin nosotros: procesos escritos en el lenguaje de la operación, indicadores que alguien calcula porque le sirven, y un equipo interno capaz de auditar y corregir. Si al terminar el proyecto la empresa necesita volver a contratar al consultor para pasar la siguiente auditoría, el trabajo no se hizo.