En resumen
Según la ISO/IEC 17021-1, la auditoría de certificación inicial se realiza siempre en dos fases: el Stage 1 evalúa la preparación y el Stage 2 la implantación y la eficacia.
El Stage 1 verifica documentación, alcance y requisitos legales, y si las auditorías internas y las revisiones por la dirección están planificadas y realizadas.
Las áreas de preocupación del Stage 1 todavía no son no conformidades, pero son justo los puntos que el auditor revisará en el Stage 2.
Las correcciones de las no conformidades mayores deben verificarse en un plazo de seis meses desde el último día del Stage 2; si no, hace falta un nuevo Stage 2.
El certificado lo deciden personas del organismo distintas de los auditores, tras la recomendación del equipo auditor.
El auditor no viene a buscarte fallos: viene a ver si el sistema funciona de verdad. Qué te pedirá en las dos fases y qué tener a mano.
La auditoría de certificación ISO inicial se realiza siempre en dos tiempos, Stage 1 y Stage 2, y no es un trámite burocrático. Así lo establece la ISO/IEC 17021-1, la norma internacional que fija los requisitos para los organismos que certifican sistemas de gestión: se aplica tanto a la ISO 9001 como a la ISO 14001, la ISO 27001 o la ISO 45001. Conocer esas reglas te permite saber de antemano qué revisará el auditor, en qué orden y con qué objetivo.
Aquí encontrarás qué verifica el organismo en cada fase, cómo transcurre un día de auditoría desde la reunión de apertura hasta la de cierre, qué ocurre si aparecen no conformidades y qué documentos y evidencias tener preparados. Si antes necesitas repasar qué es una certificación y cómo funciona todo el proceso, empieza por nuestra guía sobre qué son las certificaciones ISO.
¿Qué es la auditoría de certificación inicial y por qué se divide en dos fases?
La auditoría de certificación inicial es la evaluación con la que un organismo acreditado comprueba si tu sistema de gestión cumple la norma. Según la ISO/IEC 17021-1 se realiza obligatoriamente en dos fases: Stage 1 y Stage 2.
La división tiene una lógica precisa. En el Stage 1 el auditor entiende cómo está construido el sistema y si la empresa está preparada; en el Stage 2 comprueba que ese sistema se aplica y es eficaz en la realidad del día a día. Las dos fases forman parte de un programa de auditoría trienal, que incluye también las auditorías de seguimiento en el primer y segundo año tras la decisión de certificación y la auditoría de renovación en el tercer año, antes del vencimiento. Hablamos del seguimiento y la renovación en la guía dedicada a las auditorías de seguimiento y recertificación.
Quién hace la auditoría y quién decide el certificado
La auditoría la realiza un equipo auditor dirigido por un responsable, el auditor jefe. Pero quien verifica no es quien decide: la ISO/IEC 17021-1 exige que la decisión de conceder o denegar la certificación la tomen personas distintas de las que realizaron la auditoría.
En la práctica, al final del Stage 2 el equipo auditor formula una recomendación y envía al organismo el informe, los comentarios sobre las no conformidades y las acciones emprendidas. La decisión llega tras una revisión interna del organismo. Por eso, aunque la reunión de cierre vaya bien, el certificado no se entrega en ese momento: hace falta un paso posterior, cuyos plazos dependen del organismo y del cierre de las posibles no conformidades.
El plan de auditoría y el derecho a conocer a los auditores
Antes de cada auditoría el organismo prepara un plan de auditoría con objetivos, criterios, alcance, fechas, centros, duración prevista y funciones del equipo. Las fechas se acuerdan contigo de antemano. El Stage 1, precisa la norma, no requiere un plan formal, pero el organismo debe informarte de las actividades que realizará en tus instalaciones.
Existe además un derecho poco conocido. El organismo debe comunicarte los nombres de los miembros del equipo auditor, y su perfil si lo pides, con antelación suficiente para que puedas oponerte a un miembro por un motivo justificado, por ejemplo un auditor que en el pasado trabajó para ti o para un competidor directo. En ese caso el organismo debe recomponer el equipo.
¿Qué verifica el auditor en el Stage 1?
En el Stage 1 el auditor evalúa tu preparación: lee la documentación, conoce el contexto y decide si se dan las condiciones para pasar al Stage 2. Todavía no es la verificación completa de la aplicación del sistema.
Los objetivos del Stage 1 figuran en la cláusula 9.3.1.2 de la ISO/IEC 17021-1. Traducidos a lenguaje operativo, el auditor debe:
revisar la información documentada del sistema de gestión (política, alcance, procedimientos, registros);
evaluar las condiciones específicas del centro y hablar con el personal para saber si la empresa está preparada para el Stage 2;
comprobar en qué medida la empresa ha comprendido los requisitos de la norma, en particular aspectos significativos o desempeño clave, procesos y objetivos;
recopilar información sobre el alcance: centros, procesos y equipos, niveles de control, requisitos legales aplicables;
revisar los recursos para el Stage 2 y acordar sus detalles;
entender lo suficiente del sistema y de las actividades para planificar bien el Stage 2;
evaluar si las auditorías internas y las revisiones por la dirección están planificadas y realizadas, y si el nivel de implantación justifica pasar al Stage 2.
El punto que frena a más empresas: auditoría interna y revisión por la dirección
El último objetivo es el que con más frecuencia detiene el proceso. Si cuando llega el auditor la auditoría interna no se ha realizado o no existe revisión por la dirección, faltan pruebas de que el sistema se controla a sí mismo, y el Stage 2 corre el riesgo de retrasarse.
Piensa en una empresa tipo: un taller mecánico de cuarenta personas que aspira a la ISO 9001. Ha redactado los procedimientos, tiene la política de calidad firmada y ha mapeado los procesos. Pero la auditoría interna está "prevista para el mes que viene" y la revisión por la dirección está planificada "después de la certificación". Para el auditor, ese sistema aún no ha demostrado que funciona. La solución es fácil de decir y menos de hacer: completa un ciclo completo de auditoría interna y revisión por la dirección antes del Stage 1. Explicamos cómo organizarlo en la guía sobre la auditoría interna ISO.
Dónde se realiza el Stage 1: en las instalaciones o en remoto
La norma no exige que el Stage 1 se realice en las instalaciones, pero señala que realizar al menos una parte en tu empresa ayuda a alcanzar sus objetivos. Ver el centro, los departamentos y a las personas permite al auditor valorar condiciones reales que un documento no transmite.
La ISO/IEC 17021-1 admite que partes de la auditoría se realicen por medios electrónicos, como videollamadas, intercambio de documentos o acceso remoto a los sistemas, siempre que lo haga personal competente y que las evidencias sean suficientes para decidir. Las reglas detalladas sobre el uso de estas tecnologías se recogen en el documento obligatorio internacional IAF MD 4. Para ti la consecuencia práctica es una sola: pregunta al organismo, al planificar, qué actividades serán presenciales y cuáles a distancia.
¿Cómo se cierra el Stage 1 y qué ocurre antes del Stage 2?
El Stage 1 se cierra con conclusiones documentadas que el organismo debe comunicarte. Indican si se han alcanzado los objetivos, si estás preparado para el Stage 2 y qué áreas de preocupación podrían convertirse en no conformidades en la fase siguiente.
No es un informe completo como el del Stage 2: la norma precisa que el resultado del Stage 1 no tiene que cumplir todos los requisitos de un informe de auditoría. Pero es la herramienta más útil que recibirás en todo el proceso, porque te dice con precisión dónde mirará el auditor cuando vuelva.
Las áreas de preocupación: un aviso, no un suspenso
Las áreas de preocupación señaladas en el Stage 1 todavía no son no conformidades. Son puntos débiles que, si siguen así, podrían serlo en el Stage 2.
Algunos ejemplos frecuentes: un alcance redactado de forma demasiado genérica, objetivos sin indicadores medibles, una lista incompleta de requisitos legales, una evaluación de riesgos hecha pero no vinculada a acciones. Trata cada área de preocupación como una tarea con responsable y fecha, y conserva la evidencia de lo que has hecho. Cuando el auditor vuelva, será lo primero que mire.
Cuánto tiempo pasa entre las dos fases
La ISO/IEC 17021-1 no fija un intervalo mínimo ni máximo entre el Stage 1 y el Stage 2. Lo que pide al organismo es que tenga en cuenta el tiempo que necesitas para resolver las áreas de preocupación detectadas.
Esto tiene dos consecuencias. La primera: un intervalo demasiado corto, elegido solo para terminar rápido, te deja sin margen para corregir lo que ha salido. La segunda: si entretanto cambia algo significativo en el sistema, por ejemplo un nuevo centro o un cambio de propiedad, el organismo valora si repetir total o parcialmente el Stage 1. La norma prevé además que se te informe de que los resultados del Stage 1 pueden llevar al aplazamiento o la cancelación del Stage 2.
¿Qué verifica el auditor en el Stage 2?
El Stage 2 sirve para evaluar la implantación y la eficacia del sistema de gestión. Se realiza en los centros de la empresa y es la fase en la que el auditor pasa de los documentos a la realidad.
La cláusula 9.3.1.3 de la ISO/IEC 17021-1 enumera lo que el Stage 2 debe cubrir como mínimo:
información y evidencias de conformidad con todos los requisitos de la norma aplicable;
seguimiento, medición, informe y revisión del desempeño respecto a objetivos y metas clave;
capacidad y desempeño del sistema para cumplir los requisitos legales, reglamentarios y contractuales aplicables;
control operacional de los procesos;
auditorías internas y revisión por la dirección;
responsabilidad de la dirección respecto a las políticas de la empresa.
Cómo recoge el auditor las evidencias
La información se recoge mediante entrevistas, observación de procesos y revisión de documentos y registros. Son los tres métodos que indica la norma, y normalmente el auditor los combina: pregunta a un operario cómo gestiona un producto no conforme, observa cómo lo hace realmente y después comprueba el registro.
La auditoría se basa en un muestreo. El auditor no lo lee todo: elige algunos pedidos, algunos proveedores, algunos registros de formación, y comprueba que sean coherentes. Por eso no hace falta preparar montañas de papel, pero sí que cualquier muestra que elija cuente la misma historia. Si el procedimiento dice que los proveedores se evalúan cada año, las tres fichas que abra el auditor deben tener una evaluación del último año.
Las personas, no solo los documentos
En el Stage 2 el auditor habla con quien trabaja, no solo con el responsable de calidad. Una dirección realmente implicada es uno de los puntos que la norma pide verificar: el auditor querrá oír del propietario o del gerente por qué existen esos objetivos y cómo se les hace seguimiento.
Prepara a las personas sin ensayar un guion. Quien responde "no lo sé, pero sé dónde encontrarlo" causa mejor impresión que quien repite de memoria un procedimiento que no aplica. Explica a cada uno qué hace el auditor, qué preguntas podría recibir sobre su trabajo y dónde están las instrucciones y los registros que usa cada día.
¿Cómo transcurre un día de auditoría, de la apertura al cierre?
Toda auditoría presencial sigue un esquema previsible: reunión de apertura, recogida de evidencias, reunión de cierre e informe escrito. Conocerlo reduce la ansiedad y te ayuda a organizar personas y espacios.
La reunión de apertura
La reunión de apertura es formal y participan la dirección y, si procede, los responsables de los procesos que se van a auditar. El auditor jefe presenta al equipo y confirma el alcance de la certificación y el plan, los canales de comunicación, la confidencialidad, las normas de seguridad para los auditores, el método de muestreo y el idioma de la auditoría.
También es el momento adecuado para preguntar: la norma prevé que puedas pedir aclaraciones. Asegúrate de que haya una persona de contacto disponible todo el día, una sala para el equipo auditor y acceso rápido a documentos y sistemas.
Durante la auditoría
El auditor jefe debe mantenerte informado del avance y de cualquier problema a medida que avanza la auditoría. Si surge la necesidad de modificar el alcance, lo comenta contigo y lo comunica al organismo.
Las no conformidades deben comentarse con la empresa para comprobar que las evidencias son correctas y que el hallazgo se entiende. Un detalle importante: el auditor no puede sugerirte la causa ni la solución de una no conformidad. Puede señalar oportunidades de mejora, pero sin recomendar soluciones concretas, porque de lo contrario perdería su imparcialidad. Si lo ves dudar cuando le preguntas "¿usted cómo lo resolvería?", simplemente está respetando la regla.
La reunión de cierre y el informe
En la reunión de cierre el auditor jefe presenta las conclusiones y la recomendación sobre la certificación. Las no conformidades deben explicarse de forma comprensible y se acuerdan los plazos para responder.
También se te explican los plazos del informe, la gestión de las no conformidades y los procedimientos de quejas y apelaciones. Si no estás de acuerdo con un hallazgo, dilo en ese momento: las discrepancias no resueltas se registran y se remiten al organismo. El informe escrito, que sigue siendo propiedad del organismo, llega después e incluye también una declaración sobre la conformidad y la eficacia del sistema.
¿Qué ocurre si en la auditoría aparecen no conformidades?
Una no conformidad es el incumplimiento de un requisito. Encontrar una no significa perder la certificación: significa que debes analizar su causa y corregirla en un plazo definido.
No conformidades mayores y menores
La ISO/IEC 17021-1 distingue dos niveles. Una no conformidad mayor afecta a la capacidad del sistema para lograr los resultados previstos: por ejemplo, cuando existe una duda significativa de que los procesos estén bajo control, o cuando varias no conformidades menores sobre el mismo requisito revelan un fallo sistémico. Una no conformidad menor, en cambio, no afecta a esa capacidad.
La diferencia pesa en la decisión. Antes de certificar, el organismo debe haber revisado, aceptado y verificado las correcciones y las acciones correctivas de cada no conformidad mayor; para las menores basta con que haya revisado y aceptado tu plan. Profundizamos en criterios y ejemplos en la guía sobre no conformidades mayores y menores.
La regla de los seis meses
Para las no conformidades mayores hay un límite preciso. Si el organismo no puede verificar la implantación de las correcciones y acciones correctivas en un plazo de seis meses desde el último día del Stage 2, debe realizar un nuevo Stage 2 antes de recomendar la certificación.
En cualquier caso, el organismo te pide que analices la causa y describas las correcciones y acciones correctivas en un plazo establecido. La verificación puede hacerse sobre documentos que envías tú o, cuando es necesario, con una nueva visita a tus instalaciones. Un ejemplo concreto: el auditor encuentra tres equipos de medición con la calibración caducada. La corrección es calibrar esos equipos; la acción correctiva es entender por qué falló el calendario de vencimientos y cambiar la forma de gestionarlo. Enviar solo los certificados de calibración resuelve el síntoma, no la causa, y difícilmente se aceptará.
¿Qué tener a mano para el Stage 1 y el Stage 2?
Llegar a la auditoría con las evidencias ordenadas es la forma más sencilla de reducir los tiempos muertos y los malentendidos. La tabla resume qué preparar para cada fase.
Qué preparar | Stage 1 | Stage 2 |
|---|---|---|
Alcance, política y objetivos con indicadores | Sí, para revisión | Sí, con datos de seguimiento actualizados |
Mapa de procesos, centros y equipos principales | Sí | Sí, verificados sobre el terreno |
Lista de requisitos legales aplicables | Sí | Sí, con evidencia de cumplimiento |
Análisis de riesgos y oportunidades | Sí | Sí, vinculado a acciones concretas |
Auditoría interna y su informe | Sí, planificada y realizada | Sí, con acciones cerradas o en curso |
Acta de la revisión por la dirección | Sí, planificada y realizada | Sí, con decisiones y acciones registradas |
Registros operativos (formación, proveedores, calibraciones, no conformidades) | Por muestreo | Sí, por muestreo de todo el periodo |
Acciones sobre las áreas de preocupación del Stage 1 | No aplicable | Sí, con evidencias |
Además de los documentos, organiza la logística: una única persona de contacto, la agenda de las personas que se entrevistarán, una sala, acceso a los sistemas informáticos y, si la auditoría es en parte remota, una conexión estable y la posibilidad de compartir pantalla. Para el contenido mínimo del sistema de gestión de la calidad, consulta nuestra guía sobre la ISO 9001.
Cómo te acompaña Complaion entre las dos fases
En Complaion un Lead Auditor dedicado sigue a la empresa durante todo el proceso: analiza el punto de partida, propone el camino más adecuado a tus necesidades, configura el sistema contigo y te prepara para la auditoría, gestionando también el diálogo con el organismo de certificación. El Lead Auditor no es el auditor del organismo: está de tu lado y trabaja para que llegues preparado. Antes del Stage 1, tu Lead Auditor de Complaion realiza la auditoría interna con el mismo criterio que el organismo: las carencias salen a la luz y se cierran antes de la visita.
Junto al Lead Auditor trabaja la plataforma: recoge las evidencias, gestiona los documentos con sus versiones, mantiene el calendario de vencimientos de calibraciones, formación, evaluación de proveedores y auditorías internas, y prepara el material para la auditoría. Cuando el auditor pide tres fichas de proveedores como muestra, las encuentras en el mismo sitio, actualizadas y con su historial. Puedes ver cómo funciona en la página de la plataforma.
¿Qué errores dificultan la auditoría de certificación?
Los errores más frecuentes no tienen que ver con el conocimiento de la norma, sino con la coherencia entre papel y realidad. El auditor los detecta rápido porque el muestreo los saca a la luz.
El primero es el sistema escrito pero no vivido: procedimientos copiados de una plantilla que describen una empresa distinta de la que el auditor ve en planta. El segundo es la auditoría interna hecha deprisa la semana anterior, con un informe sin hallazgos: para un auditor experimentado, una auditoría interna que no encuentra nada es una señal débil, no una garantía.
El tercer error es subestimar los requisitos legales aplicables. En la ISO 14001 y la ISO 45001, pero también en la ISO 9001 para los requisitos del producto, el auditor comprueba que sabes qué obligaciones se aplican y cómo las cumples. Una autorización caducada o un plazo legal incumplido difícilmente escapan al muestreo.
El cuarto es el contacto único improvisado: una sola persona sabe dónde están los documentos y está ausente justo el día de la auditoría. Reparte el conocimiento y guarda las evidencias en un lugar compartido, con una versión vigente clara.
Cómo preparar la auditoría de certificación con Complaion
El Stage 1 y el Stage 2 premian a quien llega con un sistema realmente aplicado y con las evidencias en orden. Todo lo demás, desde el intervalo entre fases hasta la gestión de las no conformidades, resulta mucho más manejable cuando sabes qué esperar.
Complaion acompaña a más de 1.000 clientes con un modelo que une un Lead Auditor dedicado y una plataforma que recoge las evidencias, gestiona los documentos, mantiene el calendario de vencimientos y prepara la auditoría. El Lead Auditor te propone el camino más adecuado para tu empresa, tanto para la primera certificación como para las normas que quieras añadir, de la ISO 9001 a la ISO 27001, entre las que encontrarás en la página de certificaciones y normativas.
Si tienes una auditoría en el calendario o quieres saber por dónde empezar, habla con nuestro equipo: valoraremos juntos tu punto de partida y te prepararemos un presupuesto según tus necesidades.
Preguntas frecuentes sobre la auditoría de certificación ISO
¿Se pueden realizar el Stage 1 y el Stage 2 el mismo día?
La ISO/IEC 17021-1 no fija un intervalo mínimo entre las dos fases, pero pide al organismo que tenga en cuenta el tiempo que necesitas para resolver las áreas de preocupación del Stage 1. Además, el Stage 2 se planifica en función de lo que surgió en el Stage 1. Para una pyme que se certifica por primera vez, casi siempre conviene dejar un margen entre fases para corregir los puntos señalados. Los plazos se acuerdan con el organismo durante la planificación.
¿Puedo suspender el Stage 1?
El Stage 1 no termina con una decisión de certificación, sino con conclusiones sobre tu preparación. Si el sistema no está listo, el organismo puede aplazar o, en los casos más graves, cancelar el Stage 2: la norma prevé que se te informe de ello. Más que un suspenso, es una pausa para completar el sistema, por ejemplo realizando la auditoría interna o la revisión por la dirección que faltan.
¿Cuánto dura la auditoría de certificación?
La duración depende de la norma, de la complejidad de la empresa y del sistema, del contexto tecnológico y normativo, de las actividades externalizadas, del tamaño y número de centros y de los riesgos de productos y procesos. La ISO/IEC 17021-1 exige a los organismos tener procedimientos documentados para calcularla y registrar su justificación. Por eso dos empresas parecidas pueden recibir duraciones distintas. El organismo te indica la duración prevista en su oferta y en el plan de auditoría.
¿Puede el auditor decirme cómo resolver una no conformidad?
No. La ISO/IEC 17021-1 prohíbe al auditor sugerir la causa o la solución de una no conformidad y recomendar soluciones concretas en el informe. Puede señalar oportunidades de mejora, pero la solución sigue siendo decisión tuya. Es una garantía de la imparcialidad del certificado: quien certifica no puede diseñar lo que después juzgará.
¿Qué ocurre si no estoy de acuerdo con un hallazgo?
Durante la auditoría el auditor jefe debe intentar resolver las discrepancias sobre las evidencias o los hallazgos. Si persisten opiniones distintas, se registran y se remiten al organismo. También puedes recurrir a los procedimientos de quejas y apelaciones que el organismo debe explicarte en la reunión de cierre. Siempre conviene aportar evidencias objetivas que respalden tu postura.
¿Recibo el certificado nada más terminar el Stage 2?
No. El equipo auditor formula una recomendación, pero la decisión corresponde a personas del organismo distintas de quienes realizaron la auditoría. Antes de decidir, el organismo comprueba que la información sea suficiente y que las no conformidades se hayan gestionado: las mayores requieren correcciones verificadas y las menores un plan aceptado. El ciclo trienal de certificación empieza en la fecha de la decisión.
¿Debo haber hecho la auditoría interna antes del Stage 1?
Uno de los objetivos del Stage 1 es comprobar que las auditorías internas y las revisiones por la dirección estén planificadas y realizadas. Si faltan, el auditor puede concluir que no estás preparado para el Stage 2. Por eso conviene completar al menos un ciclo de auditoría interna y revisión por la dirección antes de llamar al organismo, para presentarte con un sistema que ya ha demostrado que se controla a sí mismo.
