Contexto y partes interesadas: el punto de partida de toda norma ISO

¿Quién influye en tu empresa y qué espera de ti? El análisis del contexto es la base sobre la que se apoya todo lo demás. Antes de redactar procedimientos, fijar objetivos o preparar una auditoría, toda norma ISO de sistemas de gestión te pide entender dónde operas, qué puede ayudarte o frenarte y quién tiene un interés legítimo en lo que haces. Son los apartados 4.1 y 4.2, los primeros con requisitos propiamente dichos, y son idénticos en la ISO 9001, la ISO 14001, la ISO 45001, la ISO/IEC 27001 y las demás normas certificables.

Muchas pymes los despachan con una tabla rellenada una vez y olvidada. Pero si el contexto está mal descrito, riesgos, objetivos y controles se construyen sobre una base equivocada, y el auditor se da cuenta. En esta guía vemos qué piden exactamente los dos apartados, cómo hacer el análisis en la práctica con un ejemplo concreto, cómo identificar las partes interesadas realmente pertinentes, qué cambia con la enmienda sobre el cambio climático y qué comprueba el auditor. Si antes necesitas las bases sobre normas y certificados, empieza por nuestra guía sobre qué son las certificaciones ISO.

¿Qué son el contexto y las partes interesadas en las normas ISO?

El contexto es el conjunto de cuestiones, externas e internas, que influyen en la capacidad de tu empresa para lograr los resultados previstos del sistema de gestión. Las partes interesadas son las personas y organizaciones que pueden influir en tus decisiones o verse afectadas por ellas. Los dos apartados trabajan en pareja: el primero retrata el escenario, el segundo pone nombre y voz a quienes lo habitan.

Todas las normas ISO certificables de sistemas de gestión siguen la estructura armonizada (Harmonized Structure, nacida como High Level Structure), definida en el Anexo SL de las Directivas ISO/IEC. Significa mismos números de apartado, mismos títulos y el mismo texto básico: solo cambia la palabra que indica la disciplina (calidad, medio ambiente, seguridad de la información, etc.). Por eso lo que lees aquí vale para cualquier norma que estés adoptando.

El apartado 4.1: comprensión de la organización y de su contexto

El apartado 4.1 exige a la organización determinar las cuestiones externas e internas pertinentes para su propósito y que afectan a su capacidad para lograr los resultados previstos del sistema de gestión. No tienes que enumerar todo lo que ocurre en el mundo, solo lo que puede alterar los resultados del sistema.

Para la ISO 9001, los resultados previstos son, en síntesis, proporcionar regularmente productos y servicios conformes y aumentar la satisfacción del cliente. Para la ISO 14001 se refieren al desempeño ambiental; para la ISO 45001, a la prevención de lesiones y deterioro de la salud relacionados con el trabajo. La misma cuestión puede pesar de forma distinta según la norma: un proveedor único de una materia prima crítica es un tema de calidad, mientras que ese mismo proveedor situado en una zona con riesgo de inundaciones se convierte también en un tema de continuidad y, potencialmente, ambiental.

El apartado 4.2: necesidades y expectativas de las partes interesadas

En el texto de la estructura armonizada, el apartado 4.2 te pide determinar tres cosas distintas: las partes interesadas pertinentes para el sistema de gestión, sus requisitos pertinentes y cuáles de esos requisitos se abordarán a través del sistema. El tercer punto es el que muchas empresas se saltan, y es el más útil: te obliga a decidir de forma explícita qué entra en el perímetro del sistema y qué no.

Por "parte interesada" la terminología ISO entiende una persona u organización que puede afectar, verse afectada o percibirse como afectada por una decisión o actividad. Clientes, empleados, socios, proveedores, bancos, autoridades de control, comunidad local: la lista cambia de una empresa a otra. Cuenta la pertinencia, no lo completa que sea la lista.

¿Por qué el análisis del contexto es el punto de partida de toda norma ISO?

El análisis del contexto es el punto de partida porque alimenta directamente casi todos los apartados siguientes. En la estructura armonizada, el alcance (4.3) se determina considerando las cuestiones del 4.1 y los requisitos del 4.2. La planificación de riesgos y oportunidades (6.1) parte expresamente de los mismos elementos. La revisión por la dirección vuelve a mirar cómo han cambiado.

Dicho de otro modo, el contexto no es un capítulo introductorio: es la entrada de la planificación. Lo dice con claridad la guía "Context" del ISO 9001 Auditing Practices Group, el grupo de expertos de ISO/TC 176 e IAF que publica orientaciones para auditores: el resultado del análisis del contexto debe reconocerse en los riesgos y oportunidades que la organización ha determinado.

Del contexto a los riesgos, los objetivos y la revisión

Imagina una cadena con cuatro eslabones. Una cuestión externa (por ejemplo, depender de un solo cliente que supone la mitad de la facturación) genera un riesgo. El riesgo requiere una acción y a menudo un objetivo medible (reducir la concentración en el primer cliente). El objetivo se sigue y, en la revisión por la dirección, la dirección valora si el escenario ha cambiado. Si falta un eslabón, la cadena se rompe y el auditor lo ve.

Por eso conviene leer esta guía junto con la de riesgos y oportunidades en las normas ISO, que arranca justo donde termina el análisis del contexto. Y cuando prepares la revisión, los cambios en las cuestiones externas e internas y en las expectativas de las partes interesadas están entre los primeros puntos que llevar a la mesa: lo tratamos en la guía sobre la revisión por la dirección.

Un solo análisis para varias normas

Como los apartados 4.1 y 4.2 son comunes a todas las normas, una empresa certificada en varios sistemas puede hacer un único análisis del contexto y leerlo después con las gafas de cada disciplina. La comunicación de IAF sobre el clima lo dice de forma explícita: si gestionas varios sistemas, una cuestión pertinente debe considerarse en el alcance de cada uno.

Es una de las principales ventajas de un sistema de gestión integrado: evitas tres documentos casi iguales que mantener alineados y das al auditor una visión coherente de la empresa.

¿Cómo se hace el análisis del contexto en la práctica?

El análisis del contexto se hace partiendo de los resultados previstos del sistema y preguntándose qué, dentro y fuera de la empresa, puede favorecerlos u obstaculizarlos. La norma no impone un método: puedes usar un análisis DAFO, una matriz PESTEL, un mapa mental o una simple tabla. Lo que cuenta es que el razonamiento sea comprensible, esté actualizado y conectado con el resto del sistema.

Las cuestiones externas que considerar

Las cuestiones externas son aquellas que no controlas directamente pero que debes saber interpretar. Las áreas típicas son el mercado y la competencia, el marco legal y contractual, la tecnología, la situación económica y financiera, la cadena de suministro, el territorio y las condiciones ambientales. Para una pyme, las preguntas útiles son muy concretas: ¿de cuántos clientes dependo? ¿Tengo proveedores únicos para componentes críticos? ¿Qué obligaciones legales van a cambiar en mi sector?

Una buena cuestión externa se describe de forma específica. "Competencia creciente" no dice nada. "Dos competidores extranjeros ofrecen plazos de entrega más cortos en nuestro producto principal" orienta enseguida una acción, un riesgo y quizá un objetivo sobre plazos de entrega.

Las cuestiones internas que considerar

Las cuestiones internas se refieren a lo que la empresa es y sabe hacer: organización, competencias, cultura, procesos, infraestructuras, sistemas de información, situación financiera. Aquí la honestidad rinde más que la imagen. Un punto débil declarado y gestionado no es una no conformidad: lo es un punto débil ignorado que luego aflora durante la auditoría.

Ejemplos típicos en las pymes: conocimientos concentrados en una o dos personas sin sustitutos, maquinaria antigua con paradas frecuentes, un software de gestión que no traza los lotes, un relevo generacional a la vista. Cada una de estas cuestiones, si es pertinente, debería reflejarse después en los riesgos, en la formación o en las inversiones previstas.

Herramientas útiles y fuentes de información

La guía "Context" del ISO 9001 Auditing Practices Group cita como fuentes útiles el plan de negocio, los planes estratégicos, el análisis de la competencia, los informes económicos sectoriales, el análisis DAFO, las actas de reuniones y los mapas mentales. El mensaje es claro: no hace falta inventar un documento nuevo si la información ya existe, basta con conectarla al sistema de gestión.

Un método sencillo que funciona en muchas pymes es una reunión de dos horas con la dirección y los responsables de área, una vez al año y siempre que ocurra algo importante. Se parte del mapa del año anterior, se pregunta qué ha cambiado, se actualizan las entradas y se anotan las consecuencias en riesgos y objetivos. El acta de esa reunión ya es una evidencia excelente.

¿Cómo identificar las partes interesadas pertinentes y sus requisitos?

Las partes interesadas pertinentes se identifican partiendo de una lista amplia y filtrándola con un criterio declarado: cuánto pueden influir en los resultados previstos del sistema o cuánto se ven afectadas por él. Para cada parte pertinente anotas los requisitos, es decir, necesidades y expectativas, y decides cuáles gestionas en el sistema. La guía "Context" del APG señala justo estos tres aspectos como objeto de evaluación del auditor: el abanico de partes consideradas, los criterios de selección y los criterios de elección de requisitos.

De la lista larga a la lista útil

Parte de todas las categorías posibles: clientes, usuarios finales, empleados y sus representantes, socios, bancos y aseguradoras, proveedores y subcontratistas, autoridades públicas y organismos de control, comunidad local, asociaciones sectoriales. Luego aplica el filtro. Una regla práctica es preguntarte si, ignorando a esa parte, te arriesgarías a no lograr los resultados del sistema o a incumplir una obligación.

Cuidado con confundir pertinencia y poder. Un vecino que se queja del ruido puede ser irrelevante para la ISO 9001 pero muy pertinente para la ISO 14001. Por eso la columna "sistema de referencia" del mapa es tan útil cuando gestionas varias normas.

Requisitos obligatorios y requisitos elegidos

Algunos requisitos de las partes interesadas son obligatorios: las leyes aplicables, las cláusulas de los contratos firmados, las condiciones de las autorizaciones. Otros pasan a ser vinculantes solo si decides adoptarlos: una petición de un cliente que no figura en el contrato, un código de conducta sectorial, un compromiso voluntario de sostenibilidad. El tercer punto del 4.2 sirve precisamente para hacer explícita esta elección.

Así puede verse un extracto del mapa de una empresa tipo.

Fíjate en la última fila: decidir no abordar un requisito es legítimo, siempre que la decisión sea consciente y motivada. Es exactamente lo que te pide el apartado.

Cambio climático: ¿qué exige la enmienda de 2024?

Desde el 23 de febrero de 2024, las principales normas ISO de sistemas de gestión contienen una frase más en el 4.1 y una nota en el 4.2. Según el comunicado conjunto ISO-IAF del 22 de febrero de 2024, la organización debe determinar si el cambio climático es una cuestión pertinente, y la nota recuerda que las partes interesadas pertinentes pueden tener requisitos relacionados con el clima. La lista incluye, entre otras, ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001, ISO 22301, ISO 37001 e ISO 50001.

Qué cambia de verdad para tu empresa

ISO e IAF aclaran que la intención de los apartados 4.1 y 4.2 no cambia: ya antes debías considerar todas las cuestiones que afectan al sistema. La enmienda se trata como una aclaración, no como un requisito nuevo, por lo que IAF estableció que no hace falta una transición y que los certificados no tienen que reemitirse. El mismo texto se incorpora a las nuevas ediciones de las normas a medida que se revisan.

¿Qué significa en concreto? Que tu análisis del contexto debe incluir una valoración explícita del clima, con una conclusión. La guía del APG sobre el clima precisa que la enmienda no obliga a poner en marcha iniciativas climáticas si el tema no resulta pertinente para los resultados previstos del sistema.

Ejemplos de cuestiones climáticas pertinentes

La misma guía del APG enumera ejemplos útiles para la ISO 9001: fenómenos meteorológicos extremos que pueden provocar escasez de suministros o dificultades en las entregas, nuevas obligaciones sobre materiales y circularidad de los productos, clientes que piden productos de menor impacto, declaraciones ambientales sobre los productos que luego hay que demostrar.

Volviendo a la empresa de moldeo de la tabla: el proveedor de granza tiene la planta en una zona afectada varias veces por inundaciones, el cliente principal pide datos sobre contenido reciclado y el área de prensas supera a menudo temperaturas críticas en verano. El clima es, por tanto, pertinente, y debe llevarse a los riesgos, a la gestión de proveedores y a la evaluación de riesgos de seguridad y salud.

Si concluyes que el clima no es pertinente

Puedes concluir que el cambio climático no es una cuestión pertinente para tu sistema, pero tienes que saber justificarlo. IAF indica que, en ese caso, el organismo de certificación comprueba la eficacia del proceso con el que has llegado a esa conclusión. Una línea que diga "no aplica" sin razonamiento difícilmente basta.

Una justificación sólida remite a los resultados previstos del sistema y explica por qué el clima no los afecta. Un pequeño despacho profesional sin cadena de suministro física, por ejemplo, puede llegar a esa conclusión para la ISO 9001, documentando las comprobaciones realizadas.

¿Qué comprueba el auditor sobre contexto y partes interesadas?

El auditor comprueba que el análisis existe, que tiene sentido respecto a la realidad de la empresa y, sobre todo, que produce efectos en el resto del sistema. La guía del APG sugiere abordar el tema entrevistando a la dirección y seguir las cuestiones identificadas durante toda la auditoría, comprobando que reaparecen en riesgos y oportunidades, en la comunicación y en otras áreas del sistema.

Las preguntas que oirás en la auditoría

Durante la auditoría de certificación te pedirán que describas tu empresa: quiénes son los clientes, qué ha cambiado en el último año, qué proveedores son críticos, qué obligaciones legales te afectan. Luego el auditor relacionará las respuestas con los documentos: si dices que un cliente supone la mitad de la facturación y ese riesgo no aparece en ninguna parte, tienes un problema.

Sobre el clima, IAF indica a los organismos de certificación que planteen un hallazgo si la organización no demuestra haber considerado todas las cuestiones pertinentes, cambio climático incluido. Es, por tanto, una de las comprobaciones que encontrarás también en las auditorías de seguimiento.

¿Hace falta un documento escrito?

En la ISO 9001, los apartados 4.1 y 4.2 no exigen explícitamente información documentada, como recuerda la guía del APG. La misma guía observa, sin embargo, que la mayoría de las organizaciones considera útil conservarla, y que sin documentos el auditor buscará evidencias objetivas de que el análisis se refleja en el sistema. El alcance (4.3), en cambio, debe estar siempre disponible como información documentada.

El consejo práctico es conservar un mapa sintético, actualizado y fechado, más las actas de las reuniones en las que lo revisas. Cuesta poco y ahorra mucho tiempo en la auditoría. Si quieres profundizar en cómo organiza el sistema la ISO 9001, lo encontrarás todo en la guía sobre el sistema de gestión de la calidad ISO 9001.

Cómo trabajamos esta fase con Complaion

Con Complaion, el análisis del contexto es uno de los primeros pasos del recorrido. Tu Lead Auditor dedicado lo plantea junto con la dirección a partir de los datos reales de la empresa, y la plataforma guarda el mapa, las actas y las evidencias vinculadas, gestiona las versiones de los documentos y mantiene el calendario de vencimientos de las revisiones. Así, cuando llega la auditoría, el hilo que va del contexto a los riesgos y los objetivos ya es visible.

¿Cuáles son los errores más comunes en el análisis del contexto?

Los errores más comunes nacen de un malentendido: tratar el análisis del contexto como un trámite formal en lugar de como una herramienta de gestión. Estos son los que un auditor encuentra con más frecuencia en las pymes, y cómo evitarlos.

Análisis genéricos y copiados

El primer error es el análisis genérico, a menudo sacado de una plantilla: "crisis económica", "competencia", "normativa en evolución". Son frases ciertas para cualquier empresa y, por tanto, inútiles para la tuya. Un auditor con experiencia reconoce enseguida un texto que podría estar en el expediente de cualquier otra empresa.

La solución es redactar cuestiones que contengan un dato específico: un nombre de cliente o de sector, un porcentaje interno, un proveedor, una máquina, un plazo normativo. Si una cuestión no tiene ninguna consecuencia en el sistema, pregúntate si es realmente pertinente.

Un análisis congelado en el tiempo

El segundo error es el análisis que no cambia nunca. Las empresas cambian: llegan clientes nuevos, se pierde uno importante, se abre una nueva planta, cambia una obligación legal. Si el mapa es idéntico al de hace tres años, el auditor se preguntará si la dirección lo está usando de verdad.

Fija al menos una actualización anual, idealmente antes de la revisión por la dirección, y prevé una actualización extraordinaria cuando ocurra algo significativo. Un calendario de vencimientos compartido evita que la revisión se vaya aplazando mes a mes.

Partes interesadas sin requisitos

El tercer error es enumerar las partes interesadas sin escribir qué quieren, o sin decidir qué requisitos abordar. Una lista de nombres no satisface el 4.2: el apartado pide requisitos y decisiones.

Contexto desconectado de riesgos y objetivos

El cuarto error, el más grave, es un contexto bien redactado que no lleva a nada. Si en el mapa aparece la dependencia de un proveedor único pero en el registro de riesgos no, o si un cliente pide datos ambientales y nadie sabe quién los prepara, el sistema no funciona como una cadena. Antes de la auditoría haz la prueba del hilo: elige tres cuestiones al azar y comprueba dónde las encuentras en el sistema.

Cómo te ayuda Complaion a construir un contexto que resista la auditoría

Un análisis del contexto bien hecho convierte riesgos, objetivos y revisión en consecuencias naturales, no en documentos escritos aparte. Complaion te acompaña con un Lead Auditor dedicado que conoce las normas desde dentro y propone el recorrido más adecuado a las necesidades de tu empresa, y con una plataforma que recopila las evidencias, gestiona los documentos, mantiene el calendario de vencimientos y prepara la auditoría.

Ya lo hacemos para más de 1.000 clientes, en una o varias normas, entre ellas la ISO 9001, la ISO 14001, la ISO 45001 y la ISO/IEC 27001. Si quieres saber por dónde empezar o cómo poner en orden un análisis que no te convence, contáctanos para una consulta gratuita: partimos de tu realidad y te proponemos un presupuesto a medida.

Preguntas frecuentes sobre contexto y partes interesadas

¿Qué apartados ISO tratan el contexto y las partes interesadas?

Son los apartados 4.1 (comprensión de la organización y de su contexto) y 4.2 (comprensión de las necesidades y expectativas de las partes interesadas). Forman parte de la estructura armonizada y tienen el mismo número y el mismo texto básico en todas las normas certificables de sistemas de gestión, como ISO 9001, ISO 14001, ISO 45001 e ISO/IEC 27001. Juntos alimentan el alcance (4.3) y la planificación de riesgos y oportunidades (6.1).

¿El análisis del contexto tiene que ser un documento escrito?

En la ISO 9001, los apartados 4.1 y 4.2 no establecen una obligación explícita de información documentada. Sin embargo, la guía del ISO 9001 Auditing Practices Group observa que la mayoría de las organizaciones considera útil conservarla. Sin un documento, el auditor buscará otras evidencias objetivas de que el análisis se ha hecho y se usa. Un mapa sintético y fechado sigue siendo la opción más práctica.

¿Cada cuánto hay que actualizar el análisis del contexto?

La norma no fija una frecuencia, pero el análisis debe mantenerse actualizado. En la práctica conviene revisarlo al menos una vez al año, antes de la revisión por la dirección, y siempre que ocurra algo significativo, como perder un cliente importante, abrir una nueva sede o una nueva obligación legal. El acta de la revisión es la prueba más sencilla que mostrar al auditor.

¿Tengo que considerar sí o sí el cambio climático?

Sí, tienes que valorarlo, pero no estás obligado a concluir que sea pertinente. Desde febrero de 2024, el apartado 4.1 exige determinar si el cambio climático es una cuestión pertinente. Si lo es, se gestiona como las demás cuestiones, a través de riesgos, objetivos y procesos. Si no lo es, debes poder justificar la conclusión, porque el organismo de certificación comprueba su solidez.

¿La enmienda sobre el clima exige un nuevo certificado?

No. Según la decisión de IAF, la enmienda es una aclaración y no un requisito nuevo: no hace falta transición y el certificado no tiene que reemitirse, porque el año de publicación de la norma no cambia. Los organismos de certificación sí verifican el nuevo texto en las auditorías posteriores a la publicación, y pueden plantear un hallazgo si el tema no se ha considerado.

¿Puedo hacer un solo análisis del contexto para varias normas ISO?

Sí, y a menudo es la opción más eficiente. Como los apartados 4.1 y 4.2 son comunes a todas las normas, puedes mantener un solo mapa de cuestiones y partes interesadas, indicando en cada entrada a qué sistema se refiere. Una cuestión pertinente debe considerarse después en el alcance de cada sistema en el que tenga peso.