Seguimiento y recertificación ISO: cómo funciona el ciclo de tres años

El certificado no se gana una sola vez. Cada año tienes que demostrar que el sistema sigue vivo, y basta una auditoría que no se haga para acabar en suspensión. Muchas pymes viven su primer certificado ISO como una meta: el trabajo está hecho, el cuadro está colgado en recepción. En realidad, ese día empieza el ciclo de certificación de tres años, con una auditoría de seguimiento cada año y una auditoría de recertificación antes del vencimiento.

En esta guía vemos cómo funciona el ciclo de tres años, qué revisa el auditor en el seguimiento, en qué se diferencia la recertificación y qué pasa si una auditoría no se hace o el certificado caduca. Las reglas no las inventa el organismo de certificación: están recogidas en la ISO/IEC 17021-1, la norma que fija los requisitos para quienes certifican sistemas de gestión, y se aplican igual a calidad, medio ambiente, seguridad de la información o seguridad y salud. Si necesitas las bases sobre normas, certificado y alcance, empieza por nuestra guía sobre qué son las certificaciones ISO. Aquí nos centramos en lo que viene después del primer certificado.

¿Cómo funciona el ciclo de certificación de tres años?

El ciclo de certificación dura tres años y empieza con la decisión de certificación, no con la auditoría. En el primer y el segundo año hay auditorías de seguimiento; en el tercero, antes del vencimiento, la auditoría de recertificación.

La ISO/IEC 17021-1 lo dice de forma explícita: el programa de auditoría para la certificación inicial incluye la auditoría inicial en dos etapas, los seguimientos en el primer y el segundo año tras la decisión y la recertificación en el tercer año. Los ciclos siguientes parten de la decisión de recertificación. Las etapas de la auditoría inicial, Stage 1 y Stage 2, las tienes explicadas en la guía sobre cómo funciona la auditoría de certificación en dos etapas.

Cuándo empieza y cuándo termina el ciclo

La fecha que cuenta es la de la decisión de certificación, que el organismo toma después de la auditoría con personas distintas de quienes la realizaron. Desde ahí empieza la cuenta de los tres años y desde ahí se calcula el primer plazo importante: el primer seguimiento no puede caer más allá de 12 meses desde esa fecha.

Para los seguimientos posteriores la norma usa otro criterio: al menos una vez por año natural, salvo en los años de recertificación. Esto deja cierta flexibilidad para fijar la fecha, pero no elimina la obligación. Una nota de la norma admite adaptar la frecuencia a factores como la estacionalidad, por ejemplo cuando la actividad que hay que observar solo se realiza en ciertos meses. La idea práctica es sencilla: apunta enseguida en el calendario la fecha de la decisión y planifica hacia atrás, no esperes a que te lo recuerde el organismo.

Algunos esquemas de certificación sectoriales pueden prever un ciclo de duración distinta. Para las normas ISO de sistemas de gestión más extendidas, sin embargo, la referencia sigue siendo el ciclo de tres años.

Quién decide el programa de auditoría y en qué se basa

El organismo de certificación define un programa de auditoría para todo el ciclo, que debe cubrir todos los requisitos del sistema de gestión en los tres años. No todo se revisa cada año, pero al final del ciclo no debe quedar nada fuera.

La norma pide que el programa tenga en cuenta el tamaño de la empresa, el alcance y la complejidad del sistema, los procesos y los productos, el nivel de eficacia demostrado y los resultados de las auditorías anteriores. Entre los elementos que pueden cambiar el programa cita también las quejas recibidas por el organismo sobre el cliente, los cambios en los requisitos legales y los indicadores de desempeño. Si la empresa trabaja por turnos, el organismo debe tener en cuenta también las actividades que se realizan en los turnos. En la práctica, el programa no es un formulario fijo: se adapta a cómo se comporta tu sistema auditoría tras auditoría.

¿Qué es una auditoría de seguimiento y qué revisa el auditor?

La auditoría de seguimiento es una verificación in situ que sirve para confirmar que el sistema certificado sigue cumpliendo los requisitos entre una renovación y otra. No es una auditoría completa del sistema, pero tiene algunos puntos fijos que el auditor siempre debe tocar.

Según la ISO/IEC 17021-1, cada seguimiento debe incluir al menos estos elementos:

• auditorías internas y revisión por la dirección;

• la revisión de las acciones tomadas sobre las no conformidades de la auditoría anterior;

• la gestión de las quejas;

• la eficacia del sistema respecto a los objetivos de la empresa y a los resultados previstos;

• el avance de las actividades planificadas para la mejora continua;

• el control operacional continuo;

• la revisión de cualquier cambio;

• el uso de las marcas y de cualquier otra referencia a la certificación.

Por qué el seguimiento no es una auditoría completa, pero tampoco un trámite

El seguimiento es más ágil que la auditoría inicial porque muestrea: revisa áreas y funciones representativas del alcance, de forma rotativa, en lugar de recorrer cada requisito. La cobertura completa de los requisitos se reparte a lo largo de todo el ciclo.

Ágil, sin embargo, no significa ligero. Los dos primeros puntos de la lista, auditorías internas y revisión por la dirección, son en los que más tropiezan las empresas, porque son las primeras actividades que se aplazan cuando el año se complica. Si el auditor encuentra una auditoría interna que nunca se hizo o una revisión redactada deprisa la semana anterior, esa es la evidencia de un sistema que no funciona solo. Para saber cómo plantearlas bien, consulta la guía sobre la auditoría interna ISO.

Las otras actividades de seguimiento

Además de la auditoría in situ, el organismo puede realizar otras actividades de control durante el año. La norma cita consultas al cliente sobre la certificación, la revisión de sus declaraciones sobre sus actividades, como material promocional y sitio web, y solicitudes de documentos.

El caso de la web es más frecuente de lo que parece. Una empresa certificada en ISO 9001 solo para su planta de producción que escribe en la página de inicio "empresa certificada" sin precisar el alcance, o que aplica la marca de certificación en un producto, está usando mal la referencia a la certificación. Es uno de los puntos fijos del seguimiento y se corrige en cinco minutos si se revisa antes de la auditoría y no durante.

¿Cómo prepararte para el seguimiento sin ir detrás de las evidencias?

El seguimiento se prepara en los doce meses anteriores, no en las dos semanas previas. El auditor no busca documentos perfectos: busca huellas de un sistema que se usa de verdad, con fechas repartidas a lo largo del año.

Piensa en una empresa tipo: 40 empleados, fabricación mecánica, certificada en ISO 9001. A la primera auditoría llegó preparada, con un consultor que redactó procedimientos y registros. Después el año pasó volando: las evaluaciones de proveedores no se actualizaron, la formación del nuevo mozo de almacén no se registró, la auditoría interna se aplazó a "después del verano". A seis semanas del seguimiento, la responsable de calidad descubre que las evidencias faltan o están dispersas entre correos, carpetas compartidas y cuadernos de taller. El resultado es una carrera por reconstruirlas, con el riesgo real de no conformidades en requisitos que la empresa en realidad cumple.

Las evidencias que el auditor pide casi siempre

Algunos registros aparecen en casi todos los seguimientos, sea cual sea la norma. Mantenerlos al día durante el año es la forma más sencilla de llegar a la auditoría con evidencias ya preparadas:

• el informe de la auditoría interna realizada en el periodo, con las no conformidades y acciones;

• el acta de la revisión por la dirección, con decisiones y responsables;

• el estado de las acciones correctivas abiertas en la auditoría anterior, con la verificación de su eficacia;

• el registro de quejas y cómo se gestionaron;

• la evolución de los objetivos y de los indicadores, comparada con el año anterior;

• registros operativos de muestra: formación, mantenimientos, evaluación de proveedores, controles.

Cómo lo gestiona Complaion

En Complaion el mantenimiento está planteado para que estas evidencias no se acumulen en el último momento. El Lead Auditor dedicado acompaña a la empresa durante todo el ciclo, no solo hasta el primer certificado: realiza la auditoría interna y planifica contigo la revisión por la dirección, te dice qué revisará el auditor del organismo y te acompaña durante la visita.

Que la auditoría interna la realice el Lead Auditor de Complaion cambia el resultado: aplica el mismo criterio que el organismo, sin verificar ningún trabajo operativo propio, así que las carencias salen a la luz meses antes del seguimiento, cuando aún hay tiempo para cerrarlas. Y la revisión por la dirección parte de datos reales, no de un acta redactada la semana anterior.

La plataforma recoge las evidencias a medida que se generan, gestiona documentos y versiones y lleva un calendario de vencimientos de las actividades del sistema, desde la formación hasta los mantenimientos, pasando por la fecha del próximo seguimiento. Cuando llega la auditoría, el material ya está ordenado y el Lead Auditor lo usa para preparar la visita contigo. Puedes ver cómo está organizada en la página de la plataforma Complaion.

¿Qué es la auditoría de recertificación y en qué se diferencia del seguimiento?

La auditoría de recertificación es la verificación que, en el tercer año, confirma la conformidad y la eficacia global del sistema y su pertinencia respecto al alcance del certificado. Si el resultado es positivo, el organismo decide la renovación y empieza un nuevo ciclo de tres años.

La diferencia con el seguimiento es de perspectiva. El seguimiento muestrea; la recertificación debe evaluar el cumplimiento de todos los requisitos de la norma. Además, la norma pide al organismo que revise los informes de los seguimientos anteriores y considere el desempeño del sistema en el último ciclo. Dicho de otro modo, el auditor mira los tres años, no solo el último trimestre.

Qué evalúa el auditor en la recertificación

Según la ISO/IEC 17021-1, la auditoría de recertificación in situ debe abordar tres temas. El primero es la eficacia de todo el sistema a la luz de los cambios internos y externos, y su pertinencia respecto al alcance certificado. El segundo es el compromiso demostrado de mantener la eficacia y mejorar el sistema. El tercero es la eficacia respecto a los objetivos de la empresa y a los resultados previstos.

En la práctica: si en tres años la empresa ha cambiado su organización, abierto una nueva línea o añadido un servicio, el auditor se pregunta si el sistema ha seguido esos cambios. Un análisis del contexto parado en el primer año, objetivos copiados de un año a otro, indicadores nunca comentados en la revisión: son señales de que el sistema existe más en el papel que en los hechos. Por eso conviene llegar al tercer año con una revisión por la dirección que cuente de verdad el ciclo que acaba de cerrarse.

Cuándo la recertificación requiere de nuevo un Stage 1

Por lo general, la recertificación es una auditoría en una sola etapa. La norma prevé, sin embargo, que pueda necesitarse también un Stage 1 cuando ha habido cambios significativos en el sistema, en la organización o en el contexto en el que opera, por ejemplo cambios legislativos relevantes.

El caso típico es una empresa que durante el ciclo se ha fusionado con otra sociedad, ha cambiado de sede principal o ha ampliado mucho sus actividades. En estas situaciones el organismo puede necesitar revisar las bases antes de verificar la aplicación. Comunicar estos cambios a tiempo, como veremos más adelante, evita sorpresas en la planificación.

Las no conformidades mayores antes del vencimiento

Si en la recertificación aparece una no conformidad mayor, el organismo fija plazos para la corrección y la acción correctiva, y estas deben estar implantadas y verificadas antes del vencimiento del certificado. No basta con presentar un plan: el organismo tiene que haber verificado su implantación.

Esta es la razón práctica por la que la recertificación debe planificarse con antelación respecto al vencimiento, y la norma lo pide de forma explícita: debe programarse a tiempo para permitir la renovación antes de la fecha de vencimiento. Una auditoría fijada justo antes del vencimiento deja muy poco margen para cerrar una mayor. Si quieres entender bien qué distingue una no conformidad mayor de una menor, lee la guía sobre no conformidades mayores y menores.

¿Qué pasa si no haces una auditoría o el certificado caduca?

No hacer un seguimiento o no completar la recertificación a tiempo tiene consecuencias precisas previstas por la norma: suspensión, reducción del alcance, retirada o vencimiento del certificado. No son decisiones arbitrarias del organismo, sino reglas que se aplican a todos.

La suspensión: un certificado temporalmente no válido

La ISO/IEC 17021-1 enumera los casos en los que el organismo debe suspender la certificación. Entre ellos están el sistema que incumple de forma persistente o grave los requisitos, también los de eficacia, y el cliente que no permite las auditorías de seguimiento o recertificación con la frecuencia requerida. La suspensión también puede solicitarla voluntariamente la empresa.

Durante la suspensión, la certificación es temporalmente no válida. Para la empresa significa que, en ese periodo, no puede presentarse como certificada: un problema serio si el certificado sirve para una licitación, un registro de proveedores o un contrato. Si el problema se resuelve, el organismo restablece la certificación. Una nota de la norma indica que en la mayoría de los casos la suspensión no supera los seis meses.

Retirada y reducción del alcance

Si las causas de la suspensión no se resuelven en el plazo fijado por el organismo, la consecuencia es la retirada o la reducción del alcance de la certificación. La reducción se aplica cuando los requisitos no se cumplen solo en una parte del alcance: esa parte queda excluida del certificado.

Piensa en una empresa certificada para diseño y fabricación que, durante un año, deja de aplicar todos los controles sobre el proceso de diseño. El organismo puede decidir reducir el alcance solo a la fabricación. El certificado sigue existiendo, pero cubre menos de lo que creen los clientes, y quien consulte el certificado se dará cuenta.

Certificado caducado: la ventana de seis meses

Si la recertificación no se completa antes del vencimiento, o el organismo no consigue verificar las acciones sobre una no conformidad mayor, la renovación no puede recomendarse y la validez no se prorroga. El certificado caduca.

La norma deja una salida: dentro de los seis meses siguientes al vencimiento, el organismo puede restablecer la certificación, siempre que se completen las actividades de recertificación pendientes. Pasado ese límite se necesita al menos un nuevo Stage 2. Cuidado, eso sí, con un detalle: incluso cuando la certificación se restablece, la fecha de vigencia del certificado es igual o posterior a la decisión de recertificación, mientras que el vencimiento sigue ligado al ciclo anterior. En el periodo entre el vencimiento y el restablecimiento, la empresa no está certificada.

¿Qué cambios debes comunicar al organismo durante el ciclo?

Durante el ciclo debes informar al organismo, sin demora, de los cambios que pueden afectar a la capacidad del sistema para seguir cumpliendo la norma. Esta obligación procede de los acuerdos contractuales que la ISO/IEC 17021-1 exige al organismo establecer con la empresa certificada.

Qué cambios entran en la obligación

La norma pone algunos ejemplos: cambios en la situación jurídica, comercial u organizativa o en la propiedad; en la organización y la dirección, como personal directivo o técnico clave; en las direcciones y los centros; en el alcance de las actividades cubiertas por el sistema; y cambios importantes en el sistema y en los procesos.

Un ejemplo concreto: una empresa de servicios TI certificada en ISO 27001 abre una segunda oficina y traslada allí al equipo de desarrollo. Si lo comunica enseguida, el organismo puede valorar si incluir la nueva sede en el próximo seguimiento. Si lo descubre en la auditoría, la empresa tiene que explicar por qué no se notificó un cambio tan relevante, y el programa tiene que revisarse sobre la marcha.

Auditorías especiales, ampliaciones y auditorías con poca antelación

Además de los seguimientos y la recertificación, la norma prevé las auditorías especiales. El primer caso es la ampliación del alcance: si quieres añadir una actividad o una sede, el organismo revisa la solicitud y decide qué verificaciones hacen falta, a menudo junto con un seguimiento.

El segundo caso son las auditorías con poca antelación o sin previo aviso, que el organismo puede realizar para investigar quejas, en respuesta a cambios o para el seguimiento de un cliente suspendido. Las condiciones en las que pueden producirse deben comunicarse de antemano a la empresa, normalmente en el contrato. Merece la pena releerlas: saber cuándo puede llegar una verificación no programada forma parte de la gestión del ciclo.

¿Cuáles son los errores más comunes en el mantenimiento de la certificación?

Los errores en el mantenimiento son casi siempre los mismos, y casi siempre organizativos más que técnicos. Estos son los que un auditor ve con más frecuencia en las pymes.

1. Tratar la auditoría interna y la revisión por la dirección como trámites que se despachan justo antes del seguimiento, en lugar de como herramientas para gestionar la empresa.

2. Dejar abiertas las acciones correctivas de la auditoría anterior sin verificar su eficacia, con el riesgo de que la misma no conformidad vuelva a aparecer.

3. No comunicar al organismo cambios de sede, propiedad o actividad, y descubrirlos solo durante la auditoría.

4. Fijar la recertificación demasiado cerca del vencimiento, sin margen para cerrar una posible no conformidad mayor.

5. Usar la referencia a la certificación de forma indebida en la web, en catálogos o en productos.

6. Hacer depender el sistema de una sola persona, interna o externa, que al marcharse se lleva el conocimiento de dónde están las evidencias.

El hilo común es la continuidad del sistema: un sistema de gestión que solo cobra vida los días de auditoría genera no conformidades repetidas y estrés. Uno que se usa cada mes llega al seguimiento casi sin preparación específica. Si gestionas varias normas a la vez, la misma lógica vale aún más, porque los plazos se suman: las certificaciones y normativas que sigues pueden compartir auditoría interna, revisión por la dirección y gestión documental.

¿Cómo te ayuda Complaion en el ciclo de seguimiento y recertificación?

Mantener la certificación significa mantener vivo el sistema durante tres años, no solo superar una auditoría. Complaion te acompaña con un Lead Auditor dedicado que sigue a tu empresa durante todo el ciclo: realiza las auditorías internas, planifica contigo la revisión por la dirección, te prepara para los seguimientos y la recertificación y te acompaña durante las visitas del organismo.

Junto al Lead Auditor está la plataforma, que recoge las evidencias, gestiona los documentos, lleva el calendario de vencimientos de las actividades y prepara la auditoría, para que el material esté listo cuando haga falta. El recorrido se propone según las necesidades de tu empresa, las normas que ya tienes y las que vas a necesitar. Más de 1.000 clientes ya han elegido Complaion para certificarse y mantener sus certificaciones en el tiempo.

Si tienes un seguimiento o una recertificación a la vista, habla con un experto de Complaion para ver cómo plantear tu próximo ciclo.

Preguntas frecuentes sobre seguimiento y recertificación ISO

¿Cada cuánto se hace la auditoría de seguimiento ISO?

Según la ISO/IEC 17021-1, las auditorías de seguimiento se realizan al menos una vez por año natural, salvo en los años en que se hace la recertificación. El primer seguimiento debe realizarse dentro de los 12 meses siguientes a la fecha de la decisión de certificación. En el ciclo de tres años hay, por tanto, dos seguimientos, en el primer y el segundo año. La frecuencia puede adaptarse en casos concretos, por ejemplo para actividades estacionales.

¿Cuánto dura un certificado ISO?

Para las normas ISO de sistemas de gestión más extendidas, el ciclo de certificación dura tres años. El primer ciclo parte de la decisión de certificación, los siguientes de la decisión de recertificación. La validez, sin embargo, depende de superar los seguimientos anuales: un certificado puede suspenderse o retirarse antes del vencimiento. Algunos esquemas sectoriales pueden prever ciclos de duración distinta.

¿Qué diferencia hay entre auditoría de seguimiento y auditoría de recertificación?

El seguimiento verifica por muestreo que el sistema siga cumpliendo los requisitos, con algunos puntos fijos como auditorías internas, revisión por la dirección y acciones sobre las no conformidades anteriores. La recertificación evalúa en cambio todos los requisitos de la norma y la eficacia del sistema a lo largo de todo el ciclo, teniendo en cuenta también los informes de seguimiento. Es la recertificación la que, si es positiva, lleva a la renovación por otros tres años.

¿Qué pasa si aplazo o no hago una auditoría de seguimiento?

Si la empresa no permite las auditorías con la frecuencia requerida, la ISO/IEC 17021-1 prevé que el organismo suspenda la certificación. Durante la suspensión, el certificado es temporalmente no válido. Si el problema no se resuelve en el plazo fijado por el organismo, se llega a la retirada o a la reducción del alcance. Si un aplazamiento es inevitable, acuérdalo a tiempo con el organismo sin salir de los límites de la norma.

¿Se puede recuperar un certificado ISO caducado?

Sí, dentro de ciertos límites. Si las actividades de recertificación se completan dentro de los seis meses siguientes al vencimiento, el organismo puede restablecer la certificación; pasado ese plazo se necesita al menos un nuevo Stage 2. El certificado restablecido tiene validez desde la decisión de recertificación, así que en el periodo entre vencimiento y restablecimiento la empresa no está certificada.

¿Tengo que avisar al organismo si cambio de sede o de organización?

Sí. La empresa certificada debe informar al organismo sin demora de los cambios que pueden afectar al sistema: situación jurídica o propiedad, personal clave, direcciones y centros, alcance de las actividades y cambios importantes en los procesos. El organismo valora después las acciones necesarias, que pueden ir desde una verificación en el siguiente seguimiento hasta una auditoría especial.

¿La recertificación requiere de nuevo Stage 1 y Stage 2?

Por lo general, no: la recertificación es una auditoría in situ que evalúa el sistema en su conjunto. La norma prevé, sin embargo, que pueda necesitarse también un Stage 1 si ha habido cambios significativos en el sistema, en la organización o en el contexto, por ejemplo cambios legislativos relevantes. Un nuevo Stage 2 se exige si el certificado caducó hace más de seis meses.