En resumen
Una no conformidad mayor afecta a la capacidad del sistema de lograr los resultados previstos; una menor no (ISO/IEC 17021-1).
Varias menores sobre el mismo requisito pueden demostrar un fallo sistémico y convertirse en una mayor.
En la auditoría inicial, las mayores deben cerrarse y verificarse antes del certificado; para las menores basta un plan aceptado.
Si las acciones sobre una mayor no se verifican en 6 meses desde el final de la Etapa 2, hace falta una nueva Etapa 2.
Una respuesta eficaz combina corrección, análisis de la causa, acción correctiva y evidencias fechadas.
Una no conformidad menor es una oportunidad de mejora; una mayor puede bloquear el certificado. Cómo distinguirlas y en cuánto tiempo cerrarlas es la pregunta que se hace toda empresa después de una auditoría, cuando aparecen en el informe las primeras no conformidades mayores y menores. La diferencia no depende de la gravedad percibida, sino del efecto sobre el sistema de gestión: una menor señala un requisito incumplido en un punto concreto, mientras que una mayor pone en duda la capacidad del sistema de lograr los resultados para los que existe.
En esta guía vemos cómo las define la ISO/IEC 17021-1, la norma que fija las reglas para los organismos de certificación, con ejemplos tomados de una pyme tipo. Después pasamos a la parte práctica: qué ocurre tras la reunión de cierre, qué plazos se aplican en la auditoría inicial, en el seguimiento y en la renovación, cómo se redacta un plan de acciones correctivas que el organismo acepte y qué errores hacen que la misma no conformidad se reabra en la auditoría siguiente. Si necesitas repasar cómo funciona la certificación en general, empieza por nuestra guía sobre qué son las certificaciones ISO. Las referencias a los apartados de la norma que verás entre paréntesis siguen la edición de 2015 de la ISO/IEC 17021-1.
¿Qué es una no conformidad en una auditoría de certificación?
Una no conformidad es el incumplimiento de un requisito. Es la definición de la ISO/IEC 17021-1 (apartado 3.11) y se aplica a cualquier sistema de gestión certificado: calidad, medio ambiente, seguridad de la información, seguridad y salud en el trabajo, inteligencia artificial.
El requisito puede proceder de fuentes distintas. Puede ser un apartado de la norma, como la obligación de planificar las auditorías internas. Puede ser una regla que la empresa se ha impuesto en un procedimiento, una obligación legal incluida en el alcance del certificado o un requisito del cliente que el sistema se ha comprometido a cumplir. El auditor no juzga si una empresa "trabaja bien" en sentido general: compara lo que ve con un requisito preciso. Por eso la norma (9.4.5.3) exige que cada no conformidad se registre frente a un requisito concreto, con una descripción clara y las evidencias objetivas en las que se basa.
No conformidades, observaciones y oportunidades de mejora
En el informe de auditoría sueles encontrar tres tipos de hallazgos. Las no conformidades son las únicas que exigen formalmente una respuesta: análisis de la causa, corrección y acción correctiva. Las oportunidades de mejora son sugerencias: el auditor ha visto algo que funciona, pero que podría funcionar mejor. Muchos organismos utilizan también las "observaciones" para señalar un punto débil que, si se descuida, podría convertirse en una no conformidad.
El límite lo fija la propia norma (9.4.5.2): un hallazgo que es una no conformidad no puede rebajarse a oportunidad de mejora. Así que cuando decimos que una menor "es una oportunidad de mejora", lo decimos en sentido práctico, no técnico. Sigue siendo una no conformidad, hay que cerrarla con un plan formal y el organismo volverá a revisarla.
Quién decide la clasificación y qué puedes hacer tú
La clasificación corresponde al equipo auditor, que la decide antes de la reunión de cierre (9.4.6). Las no conformidades deben comentarse con la empresa para comprobar que las evidencias son correctas y que el hallazgo se ha entendido. Pero "entendido" no significa "aceptado": la norma lo aclara expresamente en una nota. Si no estás de acuerdo, el auditor jefe debe intentar resolver la discrepancia, y los puntos no resueltos quedan registrados (9.4.5.4).
Hay un detalle que sorprende a muchas empresas: el auditor del organismo no debe sugerir causas ni soluciones (9.4.5.3). No es falta de ayuda, es imparcialidad. Quien certifica no puede diseñar el remedio que después tendrá que juzgar. El análisis de las causas y la elección de las acciones siguen siendo tarea tuya, con el apoyo, si lo tienes, de quien te acompaña en el proceso.
¿Cuál es la diferencia entre no conformidad mayor y menor?
La diferencia está en el efecto sobre el sistema. Según la ISO/IEC 17021-1, una no conformidad mayor afecta a la capacidad del sistema de gestión para lograr los resultados previstos (3.12); una menor no (3.13). No importa lo grave que parezca el problema, sino si el sistema, tal como está, sigue siendo capaz de hacer su trabajo.
Cuándo una no conformidad es mayor
La norma indica dos situaciones típicas en una nota a la definición. La primera: existe una duda significativa de que haya un control eficaz del proceso, o de que los productos y servicios cumplan los requisitos especificados. La segunda: varias no conformidades menores asociadas al mismo requisito o al mismo problema demuestran un fallo sistémico y, en conjunto, constituyen una mayor.
En la práctica, una mayor aparece cuando falta una parte entera del sistema, por ejemplo ninguna auditoría interna realizada o ninguna revisión por la dirección. También aparece cuando un proceso crítico no está bajo control, como una empresa que declara tolerancias estrictas pero no gestiona la calibración de sus equipos de medición. O cuando el mismo error se repite de forma generalizada, en varios departamentos o en varios periodos.
Cuándo una no conformidad es menor
Una menor es un incumplimiento aislado de un requisito, que no afecta a la capacidad global del sistema. Un registro de formación que falta para una nueva incorporación, un documento externo sin actualizar en un departamento, un proveedor ocasional todavía sin evaluar. El sistema funciona, pero en ese punto hay un hueco.
Cuidado, eso sí, con la palabra "aislado". Si el auditor encuentra tres registros de formación ausentes en tres departamentos distintos, el panorama cambia: ya no es un descuido, es la señal de que el proceso de gestión de competencias no funciona. Es exactamente el caso en el que varias menores se convierten en una mayor.
La comparación de un vistazo
No conformidad menor | No conformidad mayor | |
|---|---|---|
Efecto sobre el sistema | No afecta a la capacidad de lograr los resultados previstos | Afecta a la capacidad de lograr los resultados previstos |
Situación típica | Un requisito incumplido en un punto aislado | Proceso crítico sin control, requisito ignorado en su conjunto, menores repetidas sobre el mismo tema |
Qué necesita el organismo para decidir | Revisión y aceptación del plan de corrección y acción correctiva | Revisión, aceptación y verificación de la corrección y la acción correctiva |
Efecto sobre el certificado inicial | El certificado puede emitirse con el plan aceptado | El certificado no se emite hasta que se verifiquen las acciones |
Las dos últimas filas proceden del apartado 9.5.2 de la norma, que establece qué debe haber comprobado el organismo antes de tomar la decisión de certificación.
Ejemplos concretos: cómo se clasifica una no conformidad
Los ejemplos ayudan más que las definiciones. Tomemos una empresa tipo: un taller mecánico de 40 empleados, certificado en ISO 9001, que fabrica componentes a plano para fabricantes de maquinaria industrial.
Durante la auditoría de seguimiento, el auditor encuentra cuatro situaciones. Primera: un calibre de un departamento lleva dos meses con la calibración caducada, pero todos los demás equipos están en regla y el registro de calibraciones está al día. Segunda: la última revisión por la dirección no contiene ningún análisis de las reclamaciones, aunque se han duplicado respecto al año anterior. Tercera: en un pedido de la muestra falta el registro de la revisión de los requisitos del cliente. Cuarta: las no conformidades de producto se registran, pero nadie las analiza, y el mismo defecto ha vuelto a aparecer varias veces en pocos meses.
Situación | Clasificación probable | Por qué |
|---|---|---|
Un calibre con la calibración caducada, el resto en regla | Menor | El proceso de calibración existe y funciona; el hueco es puntual |
Revisión por la dirección sin análisis de las reclamaciones | Menor o mayor | Depende del peso: si las reclamaciones son el principal problema del año, la dirección no está gobernando el sistema |
Un pedido sin revisión de requisitos | Menor | Caso aislado en la muestra examinada |
Defectos recurrentes nunca analizados | Mayor | La duda sobre el control del proceso y la conformidad del producto es significativa |
La columna central dice "probable" por un motivo preciso. La clasificación depende del contexto y de las evidencias recogidas: el mismo hallazgo puede ser menor en una empresa y mayor en otra. Un calibre caducado en una zona de desbarbado pesa poco; ese mismo calibre en la inspección final de un componente de seguridad cambia por completo el razonamiento.
La misma lógica vale para otras normas
La lógica no cambia al pasar de la calidad a la seguridad de la información. En una empresa de software certificada en ISO/IEC 27001, un único excolaborador con la cuenta todavía activa será muy probablemente una menor, si el proceso de revocación de accesos existe y funciona en los demás casos. Si, en cambio, no hay ninguna revisión periódica de accesos y el auditor encuentra cuentas huérfanas en varios sistemas, la duda afecta a la eficacia del control en su conjunto: estamos en terreno de no conformidad mayor.
Qué ocurre después de la auditoría: plazos y consecuencias para el certificado
Todo empieza en la reunión de cierre. Allí el auditor jefe presenta las no conformidades y se acuerdan los plazos de respuesta (9.4.7.1), incluido el plazo para presentar el plan de corrección y acción correctiva. La norma no fija un número de días igual para todos: exige que el organismo defina un plazo (9.4.9). Por tanto, encontrarás los plazos exactos en el reglamento de tu organismo y en el informe de auditoría, y conviene leerlos enseguida.
En la auditoría de certificación inicial
En la certificación inicial, la diferencia entre mayores y menores se vuelve concreta. Antes de decidir, el organismo debe haber revisado, aceptado y verificado las acciones de cada no conformidad mayor; para las menores basta con haber revisado y aceptado el plan (9.5.2). Dicho de otro modo: con solo menores, el certificado puede emitirse con el plan aprobado; con una mayor abierta, no.
Hay además un plazo fijo. Si el organismo no puede verificar las correcciones y acciones correctivas de una mayor en un plazo de 6 meses desde el último día de la Etapa 2, debe realizar una nueva Etapa 2 antes de recomendar la certificación (9.5.3.2). Explicamos cómo funcionan las dos etapas en la guía sobre Etapa 1 y Etapa 2. Un consejo práctico: al final de la Etapa 1, el organismo te comunica las áreas de preocupación que podrían clasificarse como no conformidades en la Etapa 2 (9.3.1.2.3). Úsalas como lista de trabajo, no como un comentario de cortesía.
Durante el seguimiento
Tras la certificación, las auditorías de seguimiento se realizan al menos una vez por año natural, salvo en el año de la renovación (9.1.3.3). Cada seguimiento incluye la revisión de las acciones tomadas sobre las no conformidades de la auditoría anterior (9.6.2.2). Una menor mal cerrada reaparece aquí, y una menor que se repite puede convertirse en mayor.
En el seguimiento, una mayor no invalida automáticamente el certificado, pero el auditor jefe debe notificarla para que personal del organismo distinto de quien realizó la auditoría decida si la certificación puede mantenerse (9.6.1). Si el sistema incumple los requisitos de forma grave o persistente, el organismo suspende el certificado (9.6.5.2), que mientras tanto deja de ser válido temporalmente. Si el problema no se resuelve en el plazo establecido, se llega a la retirada o a la reducción del alcance (9.6.5.4). La norma señala que, en la mayoría de los casos, la suspensión no supera los seis meses.
En la renovación
En la auditoría de renovación, para cada no conformidad mayor el organismo fija plazos para las correcciones y acciones correctivas, que deben implantarse y verificarse antes del vencimiento del certificado vigente (9.6.3.2.2). Si no lo consigue, no se recomienda la renovación y la validez no se prolonga (9.6.3.2.4). Por eso conviene programar la renovación con margen: una mayor detectada justo antes del vencimiento deja muy poco tiempo para cerrarla. El calendario completo está en la guía sobre auditorías de seguimiento y renovación.
Cómo gestionar una no conformidad paso a paso
Gestionar bien una no conformidad significa hacer tres cosas distintas en el orden correcto: corregir, entender la causa, impedir que se repita. La ISO/IEC 17021-1 pide justo esto: el organismo debe exigir a la empresa que analice la causa y describa la corrección y las acciones correctivas, tomadas o previstas, dentro de un plazo definido (9.4.9).
Corrección y acción correctiva no son lo mismo
La corrección elimina la no conformidad detectada: calibras el calibre caducado, actualizas el documento, evalúas al proveedor que faltaba. La acción correctiva elimina la causa, para que el problema no vuelva: cambias la forma en que el calendario de calibraciones avisa a los departamentos, asignas un responsable, añades un control al proceso.
Muchas respuestas rechazadas confunden las dos cosas. "Hemos calibrado el calibre" es una corrección; sin actuar sobre la causa, la misma menor volverá en la próxima auditoría, quizá en otro equipo. También ocurre al revés: una acción correctiva bien pensada no basta si el calibre caducado sigue en uso. Para las técnicas de análisis, como los 5 porqués o el diagrama causa-efecto, tienes una guía específica sobre acciones correctivas y análisis de causas.
El plan en cinco pasos
Contén el problema de inmediato: si hace falta, aparta el producto o detén la actividad afectada y evalúa las consecuencias, por ejemplo qué piezas se midieron con el calibre caducado.
Corrige la no conformidad detectada y conserva la evidencia: certificado de calibración, documento actualizado, acta.
Analiza la causa con método, preguntándote por qué el sistema permitió el error, no quién se equivocó.
Define la acción correctiva con responsable y plazo, y comprueba si el mismo problema puede existir en otros puntos.
Verifica la eficacia pasado un tiempo razonable y registra el resultado.
El cuarto paso es el que marca la diferencia. Si el calibre caducado dependía de un calendario que nadie miraba, la pregunta correcta es: ¿cuántos otros equipos, documentos o proveedores dependen de ese mismo calendario? Ampliar la comprobación demuestra al auditor que has entendido el problema, no solo el síntoma.
Cómo verifica el organismo el cierre
El organismo revisa las correcciones, las causas y las acciones correctivas para decidir si son aceptables, y verifica su eficacia (9.4.10). También debe decirte cómo lo hará: con una auditoría adicional completa, con una auditoría adicional limitada o a partir de evidencias documentales que se confirmarán en auditorías posteriores. La verificación puede basarse en los documentos que envíes o, si hace falta, realizarse in situ. En cualquier caso, lo que cuenta son las evidencias ordenadas y fechadas: el certificado de calibración, la nueva instrucción aprobada, el registro de formación.
Cómo redactar una respuesta que el organismo acepte
Una buena respuesta es breve, precisa y verificable. El auditor debe entender en pocos minutos qué pasó, por qué, qué has hecho y cómo lo demuestras.
Volvamos al taller. Una respuesta débil sería: "Se ha calibrado el calibre. Se sensibilizará al personal." Una respuesta sólida sería: "Corrección: calibre calibrado, certificado adjunto; revisados los lotes medidos durante el periodo de caducidad, ninguna pieza fuera de tolerancia (registro adjunto). Causa: el calendario de calibraciones era una hoja compartida sin avisos, que solo consultaba el responsable de calidad, ausente durante dos meses. Acción correctiva: vencimientos gestionados en un sistema con aviso automático al jefe de sección y a un suplente; estado de las calibraciones añadido a la lista de comprobación de inicio de turno. Verificación de la eficacia: control a los tres meses de todos los equipos de la lista."
La diferencia salta a la vista. La segunda respuesta demuestra el control del proceso, que es precisamente el punto en el que una menor corre el riesgo de convertirse en mayor.
Los errores que hacen reabrir la no conformidad
El primer error es indicar como causa el error humano o el olvido. Casi nunca es la causa real: la pregunta siguiente es por qué el sistema permitió que una persona se olvidara. El segundo es usar la "sensibilización del personal" como única acción: sin un cambio en el proceso, el efecto dura pocas semanas.
El tercer error es cerrar sobre el papel sin evidencias, o con evidencias generadas el día antes de la auditoría. El cuarto es tratar cada no conformidad por separado, sin darse cuenta de que tres menores tienen la misma causa común. El quinto es responder fuera del plazo acordado: incluso una menor gestionada con retraso complica la decisión del organismo y pesa en la auditoría siguiente.
Cómo prevenir las no conformidades antes de la auditoría externa
La mejor prevención es encontrar las no conformidades antes que el organismo. Las auditorías internas sirven exactamente para esto, si se hacen con el mismo criterio que una auditoría de certificación: muestras reales, evidencias, clasificación honesta. Una auditoría interna que nunca encuentra nada no es buena señal: normalmente es una auditoría poco profunda.
La segunda herramienta es el calendario de vencimientos. Muchas menores nacen de cosas que caducan: calibraciones, formación, evaluaciones de proveedores, revisiones de documentos, controles periódicos. Si los vencimientos viven en hojas sueltas y bandejas de correo, tarde o temprano alguno se escapa. La tercera herramienta es una revisión por la dirección hecha de verdad, con reclamaciones, no conformidades y objetivos sobre la mesa: es ahí donde la dirección detecta un problema sistémico antes que el auditor.
Complaion trabaja precisamente sobre estos tres puntos. Un Lead Auditor dedicado acompaña a la empresa y realiza las auditorías internas con el mismo criterio que una auditoría de certificación, para que las posibles no conformidades salgan a la luz cuando todavía hay tiempo de cerrarlas. La plataforma recoge las evidencias, gestiona los documentos y mantiene el calendario de vencimientos, para que calibraciones, formación y evaluaciones de proveedores no dependan de la memoria de una persona. Cuando llega la auditoría, el material ya está ordenado. Para una visión más amplia de cómo se construye un sistema que se sostiene en el tiempo, lee la guía sobre el sistema de gestión de la calidad ISO 9001.
Cómo te ayuda Complaion a gestionar las no conformidades
La mejor forma de gestionar las no conformidades es no llegar a tenerlas. El proceso de certificación con Complaion está pensado precisamente para evitarlas: tu Lead Auditor revisa el sistema antes que el organismo, con la auditoría interna y una preparación específica, para que las carencias salgan a la luz y se cierren antes de la auditoría externa. Por eso quien se certifica con nosotros llega a la auditoría externa con un éxito del 100%.
Con Complaion tienes un Lead Auditor dedicado que te acompaña durante todo el ciclo: te ayuda a interpretar los hallazgos, a hacer el análisis de causas y a plantear un plan de corrección y acción correctiva claro, y te prepara para la auditoría siguiente. La plataforma recoge las evidencias de cada acción, gestiona los documentos actualizados y mantiene el calendario de plazos y verificaciones de eficacia, para que llegues a la auditoría con todo listo. Te proponemos el camino más adecuado a las necesidades de tu empresa, tanto si se trata de la primera certificación como del mantenimiento de la que ya tienes. Así trabajamos con más de 1.000 clientes.
¿Acabas de recibir un informe de auditoría o quieres prepararte para la próxima? Habla con uno de nuestros expertos y solicita un presupuesto a medida.
Preguntas frecuentes sobre no conformidades mayores y menores
¿Una no conformidad menor bloquea la certificación?
No. En la auditoría inicial, el organismo puede decidir certificar tras haber revisado y aceptado tu plan de corrección y acción correctiva para las menores, como prevé la ISO/IEC 17021-1. Eso sí, el plan hay que cumplirlo: en la auditoría siguiente el organismo comprobará que las acciones se han implantado y son eficaces. Una menor descuidada o repetida puede convertirse en mayor.
¿Cuánto tiempo tengo para cerrar una no conformidad mayor?
El plazo lo fija el organismo de certificación y se comunica en la reunión de cierre de la auditoría. En la certificación inicial, la ISO/IEC 17021-1 establece un límite: si las acciones sobre una mayor no se verifican en un plazo de seis meses desde el último día de la Etapa 2, hace falta una nueva Etapa 2. En la renovación, las acciones deben verificarse antes del vencimiento del certificado.
¿Varias no conformidades menores pueden convertirse en una mayor?
Sí. La ISO/IEC 17021-1 prevé que varias menores asociadas al mismo requisito o al mismo problema puedan demostrar un fallo sistémico y, por tanto, constituir una mayor. Ocurre, por ejemplo, cuando faltan registros de formación en varios departamentos. Por eso conviene buscar la causa común en lugar de corregir los casos uno a uno.
¿Qué diferencia hay entre corrección y acción correctiva?
La corrección elimina la no conformidad detectada, por ejemplo calibrando el equipo caducado. La acción correctiva elimina la causa para que el problema no se repita, por ejemplo cambiando la forma de gestionar los vencimientos. El organismo pide ambas, junto con el análisis de la causa. Una respuesta que solo incluye la corrección normalmente no basta.
¿Puedo rebatir una no conformidad?
Sí, si consideras que las evidencias no son correctas. Las no conformidades deben comentarse contigo durante la auditoría, el auditor jefe debe intentar resolver las discrepancias y los puntos no resueltos quedan registrados. Además, todo organismo debe tener un proceso documentado de apelaciones. Conviene, eso sí, rebatir sobre las evidencias, no sobre la gravedad percibida.
¿Una observación debe gestionarse como una no conformidad?
No formalmente: las observaciones y las oportunidades de mejora no exigen un plan de acciones correctivas. Aun así, conviene valorarlas, porque a menudo señalan un punto débil que en la próxima auditoría podría convertirse en una no conformidad. Una buena práctica es registrarlas y decidir en la revisión por la dirección si actuar y cómo.
¿Puede el auditor decirme cómo resolver la no conformidad?
No. La ISO/IEC 17021-1 exige que el auditor del organismo no sugiera causas ni soluciones, para proteger su imparcialidad. El análisis y la elección de las acciones corresponden a la empresa. Aquí es donde necesitas un apoyo independiente del organismo, como el Lead Auditor de Complaion que te acompaña en la preparación.
¿Una no conformidad mayor en el seguimiento hace perder el certificado?
No automáticamente. La mayor activa una revisión por parte de personal del organismo distinto de quien realizó la auditoría, que decide si la certificación puede mantenerse. Si el sistema incumple los requisitos de forma grave o persistente, el certificado puede suspenderse y, si el problema no se resuelve en el plazo establecido, retirarse. Cerrar la mayor a tiempo y con evidencias sólidas es la forma de evitarlo.
