Cuánto se tarda en obtener una certificación ISO: los factores que cuentan

Tamaño, alcance, punto de partida y tiempo que dedica el equipo interno: estas son las variables que alargan o acortan el proceso. Quien pregunta "¿cuánto tiempo se tarda en obtener una certificación ISO?" suele buscar un número de meses. La respuesta honesta es que ningún número sirve para todos: dos empresas con la misma norma y la misma facturación pueden tardar tiempos muy distintos, porque parten de situaciones diferentes y dedican al proyecto esfuerzos diferentes.

En esta guía te explicamos de qué depende realmente la duración. Separamos los dos "relojes" del proceso: el tiempo de preparación, que depende sobre todo de ti, y el tiempo de auditoría, que el organismo de certificación calcula con reglas internacionales públicas. Vemos cómo influyen el número de personas, los centros y los turnos, los procesos externalizados, la madurez del sistema, el sector y la norma elegida. Al final encontrarás un ejemplo concreto, los errores que hacen perder semanas y una checklist para estimar tu proceso antes de pedir un presupuesto. Si antes necesitas las bases sobre qué es una certificación y cómo funciona, empieza por la guía sobre qué son las certificaciones ISO.

¿De qué depende cuánto tiempo se tarda en obtener una certificación ISO?

El tiempo total es la suma de dos duraciones distintas: preparación y auditoría. La primera la controlas tú; la segunda la fija el organismo de certificación según criterios definidos.

Confundirlas es el origen de muchas expectativas equivocadas. Para estimar de forma realista conviene analizar las dos partes por separado y después añadir los tiempos de espera entre una y otra.

El tiempo de preparación: depende de ti

La preparación va desde el primer análisis de la situación hasta el momento en que el sistema de gestión está operativo y es demostrable. Incluye el análisis de brechas (gap analysis), la definición de procesos, funciones y documentos, la formación de las personas, la recogida de los primeros registros, la auditoría interna y la revisión por la dirección.

Esta fase no tiene una duración estándar porque depende de variables totalmente internas: cuántas personas y actividades entran en el sistema, cuánto de lo que exige la norma ya existe y cuánto tiempo pueden dedicar cada semana las personas clave.

El tiempo de auditoría: lo calcula el organismo con reglas públicas

La duración de las auditorías no es una elección comercial libre. La ISO/IEC 17021-1, la norma que regula a los organismos que certifican sistemas de gestión, exige disponer de procedimientos documentados para determinar el tiempo de auditoría y registrar su justificación. Entre los aspectos a considerar enumera la complejidad de la organización y de su sistema, el contexto tecnológico y normativo, las actividades externalizadas, los resultados de auditorías anteriores, el tamaño y el número de centros, los riesgos ligados a productos y procesos y la posible integración de varias normas.

Para calidad, medio ambiente y seguridad y salud en el trabajo, el cálculo sigue el documento obligatorio IAF MD 5, publicado por el IAF, el foro internacional de las entidades de acreditación. Otros esquemas tienen criterios específicos: para la ISO 27001, por ejemplo, la propia 17021-1 remite a la ISO/IEC 27006. En los esquemas cubiertos por IAF MD 5, el organismo debe comunicarte la duración establecida y su justificación como parte del contrato.

¿Cuánto influye el tamaño de la empresa?

El tamaño es el punto de partida del cálculo, pero no coincide con el número de empleados en nómina. IAF MD 5 habla de "número efectivo de personal" y lo define con reglas precisas.

En el número efectivo entran todas las personas implicadas en el alcance de la certificación: personal fijo, temporal y a tiempo parcial, incluido el que trabaja a turnos. Si dentro del alcance hay trabajadores no permanentes, por ejemplo personal de contratistas, también se cuentan. En seguridad y salud en el trabajo el perímetro es aún más amplio e incluye al personal de contratistas y subcontratistas que trabaja bajo el control o la influencia de la organización.

Tiempo parcial, turnos y estacionalidad

El número efectivo se adapta a la realidad organizativa. El personal a tiempo parcial puede convertirse en equivalentes a tiempo completo: el documento pone el ejemplo de 30 personas que trabajan 4 horas al día, computadas como 15. En las actividades estacionales, como la agricultura o los establecimientos turísticos, el cómputo se basa en el personal presente en temporada alta.

Cuando una parte importante del personal realiza actividades repetitivas, como limpieza, vigilancia, transporte o call center, en calidad y medio ambiente se admite una reducción coherente y documentada. La misma lógica vale para los turnos: el organismo debe decidir cómo cubrirlos y al menos un turno debe auditarse. Por eso una empresa con producción a tres turnos debe esperar un plan de auditoría distinto al de una oficina con horario único, aunque tenga las mismas personas.

Cuando pidas un presupuesto, facilita datos de plantilla precisos, desglosados por centro, turno y tipo de contrato. Un dato aproximado lleva a una estimación equivocada de los días de auditoría, que después hay que corregir.

¿Por qué el alcance de la certificación cambia los plazos?

El alcance de la certificación decide qué centros, procesos y actividades forman parte del sistema. Cuanto más amplio es, más trabajo hace falta para prepararlo y más tiempo necesita el organismo para auditarlo.

Puedes certificar toda la empresa o una línea de producto, un centro o un servicio, siempre que el alcance sea coherente y no excluya de forma artificial actividades relevantes. Reducirlo para "acabar antes" puede resultar un falso ahorro si el cliente que te pide el certificado espera ver cubierta justo la actividad excluida.

Varios centros, obras y logística compleja

Entre los factores que IAF MD 5 indica como motivo de aumento del tiempo de auditoría están la logística compleja en varios edificios, el personal que habla varios idiomas, los centros muy extensos en relación con el número de personas y las actividades que exigen visitar emplazamientos temporales.

Para las organizaciones con varios centros existe un documento específico, IAF MD 1, que establece en qué condiciones se puede auditar una muestra de centros en lugar de todos. El muestreo no es automático: el organismo debe determinar caso por caso si está permitido. En la fase de preparación, por tanto, tener reglas comunes entre centros ahorra tiempo dos veces.

Diseño, externalización y actividades excluidas

Algunas características del alcance reducen el trabajo de auditoría. IAF MD 5 cita el caso de la organización que no es responsable del diseño (en calidad), los centros pequeños en relación con la plantilla, el alto nivel de automatización y el personal que trabaja fuera de las instalaciones, como comerciales o técnicos, cuando sus actividades pueden verificarse a través de registros.

Otras lo aumentan. En calidad, los procesos externalizados y las actividades consideradas de alto riesgo requieren más tiempo. Externalizar no significa sacar el proceso del sistema: el organismo debe verificar que la organización controla eficazmente lo que confía a terceros. Una empresa que externaliza producción, logística o desarrollo de software necesita, por tanto, criterios de evaluación de proveedores concretos, no una simple lista de nombres.

¿Cuánto pesa el punto de partida?

El punto de partida suele ser la variable más infravalorada. Dos empresas idénticas en tamaño y alcance pueden tener procesos muy distintos si una ya tiene procesos documentados y la otra sigue trabajando "de memoria".

El análisis de brechas mide esa distancia: compara lo que haces hoy con lo que exige la norma, requisito por requisito, y genera una lista de actividades por completar. Sin este paso, cualquier estimación de plazos es una suposición. Si tu norma es la ISO 9001, encontrarás los requisitos principales explicados en la guía sobre el sistema de gestión de la calidad ISO 9001.

Qué acorta la preparación

Acorta el proceso todo lo que ya existe y funciona: procedimientos operativos realmente aplicados, funciones claras, registros de controles y formación, un análisis de riesgos actualizado. Otras certificaciones también cuentan. IAF MD 5 prevé una reducción del tiempo de auditoría vinculada a la madurez del sistema y al conocimiento previo por parte del organismo, por ejemplo si la organización ya está certificada en otra norma.

Una empresa certificada en ISO 9001 que aspira a la ISO 27001 parte de procesos ya conocidos: auditoría interna, revisión por la dirección, gestión de no conformidades, control de documentos. Las normas ISO de sistemas de gestión comparten la misma estructura armonizada, y cuando se integran varias normas el organismo aplica IAF MD 11 para calcular la duración según el nivel de integración. Lo explicamos en la guía sobre el sistema de gestión integrado.

Los registros no se escriben en un día

Un sistema de gestión se demuestra con evidencias de funcionamiento, no con documentos. Los procedimientos y las políticas se pueden redactar en pocas semanas, pero el auditor quiere ver que se aplican: controles registrados, formación impartida, proveedores evaluados, objetivos medidos.

Por eso el sistema necesita un periodo mínimo de "vida" antes de la auditoría. La ISO/IEC 17021-1 incluye entre los objetivos de la Etapa 1 comprobar que auditorías internas y revisiones por la dirección están planificadas y realizadas, y que el nivel de implantación demuestra que la organización está preparada para la Etapa 2. Una auditoría interna hecha el día antes, sin acciones posteriores, es una señal débil. Planifica el calendario hacia atrás: primero la auditoría del organismo, después la revisión por la dirección, antes aún la auditoría interna y, antes de todo, algunos ciclos de registros reales.

¿Cuánto tiempo debe dedicar el equipo interno?

El tiempo interno es el factor que marca el ritmo del proyecto. Ningún apoyo externo puede sustituir a las personas que conocen los procesos, toman las decisiones y generan las evidencias.

Hacen falta al menos tres aportaciones. La dirección debe definir política, objetivos y recursos y participar en la revisión: la norma exige un compromiso explícito del liderazgo y el auditor lo comprueba hablando con quien dirige la empresa. Un responsable interno debe coordinar el trabajo, recopilar información y seguir los plazos. Los responsables de área deben describir cómo trabajan, aplicar las reglas acordadas y registrar lo que hacen.

El cuello de botella más habitual

En la mayoría de los procesos que se alargan, el problema no es la norma sino la disponibilidad del responsable interno. Es una persona que ya tiene otro trabajo a tiempo completo y que dedica al sistema los ratos libres. Cada semana que no puede hacerlo, el proyecto se detiene.

La solución no es pedir heroicidades, sino planificar. Conviene reservar una franja semanal protegida, repartir las actividades entre los responsables de área en lugar de concentrarlas en una sola persona y decidir de antemano quién aprueba qué, para que los documentos no se queden esperando una firma.

Aquí es donde el modelo de Complaion trabaja de forma concreta. El Lead Auditor dedicado prepara el plan, redacta y valida los procedimientos sobre los procesos reales y te dice con claridad qué hace falta y qué no. La plataforma recopila las evidencias y gestiona los documentos con control de versiones, asigna cada actividad a un responsable y mantiene el calendario de vencimientos, de modo que el responsable interno siempre sabe qué falta en lugar de reconstruirlo a final de mes. Tampoco la auditoría interna recae sobre el responsable interno: la realiza el Lead Auditor de Complaion, con el criterio de una auditoría de certificación, y la planifica con la antelación necesaria para cerrar las acciones antes de la Etapa 1.

Sector, riesgo y norma: ¿por qué la misma plantilla no implica los mismos plazos?

Con el mismo número de personas, el sector y la norma elegida cambian tanto la preparación como la duración de las auditorías. IAF MD 5 lo prevé de forma explícita con categorías de riesgo y complejidad.

En calidad, el documento usa tres categorías de riesgo, ligadas a las consecuencias de un fallo del producto o del servicio. Las actividades de alto riesgo, como nuclear, sanitario, farmacéutico, alimentario y construcción, requieren normalmente más tiempo de auditoría; las de riesgo medio, como la fabricación sencilla, se sitúan en la media; las de bajo riesgo requieren menos tiempo.

Medio ambiente, seguridad y salud, seguridad de la información

En medio ambiente, IAF MD 5 usa cinco categorías de complejidad, basadas en la naturaleza, el número y la gravedad de los aspectos ambientales. También pueden aumentar el tiempo la sensibilidad del entorno, las opiniones de las partes interesadas y los riesgos de accidentes ambientales.

En seguridad y salud en el trabajo hay tres categorías de complejidad, que dependen de los riesgos del sector. También pesan factores como una tasa de accidentes superior a la media, la presencia de público en las instalaciones o de muchos contratistas. En seguridad de la información, en cambio, la duración de la auditoría sigue la ISO/IEC 27006 y la preparación depende mucho de cuántos sistemas, proveedores TI y datos entran en el alcance: lo explicamos en la guía completa de la ISO 27001.

La tabla resume cómo influye cada factor en las dos duraciones.

¿Qué ocurre entre la Etapa 1, la Etapa 2 y la emisión del certificado?

Incluso después de la preparación hay plazos que dependen de los resultados. La auditoría inicial siempre se realiza en dos etapas, y el paso de una a otra no es automático.

La Etapa 1 revisa la documentación, las condiciones específicas del centro y la preparación para la Etapa 2. Según la ISO/IEC 17021-1, al fijar el intervalo entre las dos etapas el organismo tiene en cuenta el tiempo que necesitas para resolver las áreas de preocupación detectadas en la Etapa 1, y los resultados de la Etapa 1 pueden llevar a aplazar o cancelar la Etapa 2. La Etapa 2 evalúa la implantación y la eficacia del sistema en las instalaciones de la organización. Encontrarás el detalle en la guía sobre auditorías de Etapa 1 y Etapa 2.

No conformidades y decisión de certificación

El certificado no se emite al cerrar la Etapa 2. Antes, el organismo debe tomar la decisión de certificación, y para ello debe haber verificado las correcciones y acciones correctivas de cada no conformidad mayor y aceptado el plan de acción de las menores. Si no puede verificar las acciones sobre las mayores en un plazo de seis meses desde el último día de la Etapa 2, la 17021-1 exige repetir la Etapa 2.

Por eso llegar a la auditoría bien preparado importa más que llegar pronto. La diferencia entre mayores y menores se explica en la guía sobre no conformidades mayores y menores.

El ciclo de tres años empieza con la decisión de certificación. La 17021-1 prevé auditorías de seguimiento al menos una vez por año natural, la primera dentro de los 12 meses siguientes a la decisión, y una auditoría de renovación en el tercer año. Según IAF MD 5, cada año el seguimiento dura aproximadamente un tercio de la auditoría inicial y la renovación unos dos tercios de la auditoría inicial recalculada sobre la situación actualizada. El tiempo, por tanto, no termina con el certificado: también hay que planificarlo para los años siguientes.

Cómo estimar los plazos de tu proceso: un ejemplo concreto

La forma más fiable de estimar los plazos es partir de tus propias variables, no de una media de mercado. Probemos con una empresa tipo.

Imagina un taller mecánico con 45 personas, un solo centro, producción a dos turnos y parte del mecanizado subcontratado. Aspira a la ISO 9001 porque se lo pide un cliente importante. Tiene planos técnicos y controles de recepción, pero registra los controles de forma irregular, nunca ha hecho una auditoría interna y la persona designada como responsable es también la responsable de compras.

Dos escenarios para la misma empresa

En el primer escenario la responsable trabaja en el sistema cuando puede, los documentos circulan por correo electrónico y la dirección aplaza la definición de los objetivos. Las semanas se acumulan entre esperas y rehacer trabajo. Cuando por fin llega la Etapa 1, surgen problemas en la evaluación de los subcontratistas y en los registros de control del segundo turno, y la Etapa 2 se retrasa.

En el segundo escenario la empresa hace enseguida el análisis de brechas, reserva media jornada a la semana para la responsable, asigna los controles a los jefes de turno y define cómo evaluar a los subcontratistas. La auditoría interna se realiza con algunas semanas de antelación y deja tiempo para cerrar las acciones. El proceso se vuelve previsible y gestionable, porque cada actividad tiene un responsable y un plazo.

Antes de pedir un presupuesto, prepara esta información: la necesitarás para una estimación seria de la preparación y para el cálculo del organismo.

• Número de personas por centro, turno y tipo de contrato, incluido el personal a tiempo parcial y de temporada.

• Centros, obras o emplazamientos temporales y actividades que se realizan en cada uno.

• Procesos externalizados y proveedores críticos.

• Norma o normas que certificar y plazo externo, si lo hay.

• Procedimientos, registros y certificaciones ya existentes.

• Nombre del responsable interno y tiempo que puede dedicar cada semana.

¿Qué errores alargan el proceso de certificación?

Los errores que más tiempo hacen perder son errores de planificación, no de interpretación de la norma.

El primero es partir del plazo en lugar del análisis de brechas: fijar una fecha de auditoría porque lo pide un cliente, sin saber cuánto trabajo falta. El segundo es redactar documentos genéricos copiados de plantillas, que luego hay que reescribir porque no describen la organización real. El tercero es concentrarlo todo en una sola persona, que se convierte en el cuello de botella de cada decisión.

Hacer la auditoría interna y la revisión por la dirección justo antes de la Etapa 1 deja evidencias demasiado débiles y ningún margen para corregir. Dar al organismo datos de plantilla o de alcance incompletos lleva a un plan de auditoría que hay que rehacer. Por último, considerar el certificado como una meta hace llegar sin preparación a la primera auditoría de seguimiento, cuando el sistema debería ser más sólido, no más frágil.

Cómo te ayuda Complaion a gestionar los plazos del proceso

Complaion no promete los mismos plazos para todos: construye un plan sobre tu realidad. Con más de 1.000 clientes, sabemos que tamaño, alcance, punto de partida y tiempo interno deben evaluarse antes de fijar una fecha.

Un Lead Auditor dedicado te acompaña desde el análisis de brechas hasta la auditoría del organismo: te propone el camino más adecuado a las necesidades de tu empresa, define el alcance, redacta y valida los procedimientos, realiza la auditoría interna y te prepara para las preguntas del auditor. La plataforma recopila las evidencias, gestiona los documentos, mantiene el calendario de vencimientos y prepara la auditoría, de modo que el trabajo del responsable interno es ordenado y visible. El mismo método vale para los seguimientos y las renovaciones y para todas las certificaciones y normativas que gestionamos. La certificación siempre corresponde a un organismo independiente y acreditado.

¿Quieres saber cuánto trabajo requiere tu caso? Habla con un Lead Auditor y recibe una propuesta construida sobre tu empresa.

Preguntas frecuentes sobre los plazos de la certificación ISO

¿Existe una duración estándar para obtener una certificación ISO?

No. Ninguna norma ni documento oficial fija una duración estándar del proceso de preparación, porque depende del tamaño, el alcance, el punto de partida y el tiempo que dedica el equipo interno. Sí existen reglas para calcular el tiempo de las auditorías del organismo, como IAF MD 5 para calidad, medio ambiente y seguridad y salud en el trabajo. Para una estimación fiable hace falta un análisis de brechas de tu empresa.

¿Quién decide cuántos días dura la auditoría de certificación?

Lo decide el organismo de certificación, que según la ISO/IEC 17021-1 debe tener procedimientos documentados y registrar la justificación de la duración. En calidad, medio ambiente y seguridad y salud en el trabajo, el punto de partida es el número efectivo de personal, ajustado con los factores de aumento o reducción previstos en IAF MD 5. La duración y su justificación se te comunican como parte del contrato.

¿Puedo acortar la auditoría declarando menos empleados?

No, y no te conviene. El número efectivo de personal incluye al personal fijo, temporal, a tiempo parcial y a turnos dentro del alcance, y el organismo debe poder justificar el cálculo ante la entidad de acreditación. Un dato erróneo aflora durante la auditoría y obliga a revisar el plan. Facilita datos precisos: las reducciones permitidas ya existen y se aplican con reglas documentadas.

¿Tener ya una certificación ISO acorta los plazos de la segunda?

Normalmente sí, tanto en la preparación como en la auditoría. Procesos como la auditoría interna, la revisión por la dirección y la gestión de no conformidades son comunes a las normas ISO de sistemas de gestión gracias a la estructura armonizada. IAF MD 5 incluye la madurez del sistema y el conocimiento previo entre los posibles factores de reducción, y en las auditorías integradas se aplica IAF MD 11. Queda por construir la parte específica de la nueva norma.

¿Cuánto tiempo pasa entre la Etapa 1 y la Etapa 2?

Depende de los problemas detectados en la Etapa 1. La ISO/IEC 17021-1 pide al organismo que tenga en cuenta el tiempo que necesita la organización para resolver las áreas de preocupación antes de fijar la Etapa 2. Si mientras tanto el sistema cambia de forma significativa, el organismo puede tener que repetir total o parcialmente la Etapa 1.

¿Qué ocurre si en la Etapa 2 aparece una no conformidad mayor?

El certificado no puede emitirse hasta que el organismo haya verificado las correcciones y las acciones correctivas. Si la verificación no se produce en un plazo de seis meses desde el último día de la Etapa 2, la ISO/IEC 17021-1 prevé que se repita la Etapa 2. Por eso conviene llegar a la auditoría con una auditoría interna ya hecha y las acciones cerradas.

Después de la certificación, ¿cuánto tiempo requiere el mantenimiento?

El ciclo dura tres años desde la decisión de certificación, con auditorías de seguimiento al menos una vez por año natural y una renovación en el tercer año. Según IAF MD 5, el seguimiento anual equivale aproximadamente a un tercio de la auditoría inicial. El tiempo interno depende de cuánto esté el sistema integrado en el trabajo diario: si las evidencias se recogen durante el año, preparar el seguimiento es mucho más ligero.