En resumen
El apartado 5.3, común a todas las normas ISO de sistemas de gestión, exige asignar responsabilidad y autoridad para mantener el sistema conforme e informar de su desempeño a la dirección.
La ISO 9001 exigía un representante de la dirección hasta la edición de 2008: hoy ya no es obligatorio, pero sus tareas deben asignarse igualmente.
La alta dirección puede delegar la ejecución, pero sigue siendo responsable de la eficacia del sistema, y la revisión la hace ella.
El tiempo necesario no tiene una cifra estándar: depende de normas, tamaño, madurez, fase del ciclo, responsables de proceso y herramientas.
El responsable coordina, no posee: responsables de proceso, un calendario compartido y un sustituto evitan el cuello de botella.
¿Quién mantiene en pie el sistema ISO en una pyme? A menudo, una persona que ya se dedica a otra cosa. Es la técnica de oficina que «también se ocupa de la calidad», el responsable de compras que lleva la ISO 9001 desde que llegó la certificación, la office manager a la que le tocó la ISO 27001 porque «se maneja bien con los ordenadores». El responsable del sistema de gestión es casi siempre un rol añadido a otro.
En esta guía vemos qué exigen realmente las normas ISO sobre este rol, por qué el antiguo «representante de la dirección» ya no es obligatorio, qué tiene que hacer en concreto quien lleva el sistema y qué competencias necesita. También hablaremos de tiempo, pero sin cifras inventadas: te mostramos los factores que hacen crecer o bajar la dedicación, para que puedas estimarla en tu empresa. El hilo conductor es uno: el responsable coordina el sistema, no lo posee. Si se convierte en el único que sabe dónde están los documentos y cuándo vencen las cosas, el sistema se para con él.
¿Quién es el responsable del sistema de gestión?
El responsable del sistema de gestión es la persona, o el grupo, a la que la alta dirección asigna dos tareas: mantener el sistema conforme con los requisitos de la norma e informar a la dirección sobre su desempeño. Lo establece el apartado 5.3, común a todas las normas ISO de sistemas de gestión.
El apartado es igual en ISO 9001, ISO 14001, ISO 27001, ISO 45001 y en las demás normas de sistemas de gestión gracias a la estructura armonizada, el texto común que ISO impone a todas ellas (en las Directivas ISO es el Anexo SL, Apéndice 2). UNI, el organismo de normalización italiano, ha publicado su traducción al italiano con una guía de uso: es la fuente de la que partimos. Cada norma añade después su propio ámbito y, si hace falta, requisitos específicos sobre los roles de su disciplina.
Qué dice el apartado 5.3
El apartado 5.3, «Roles, responsabilidades y autoridades», pide a la alta dirección dos cosas. La primera, general: asegurarse de que las responsabilidades y autoridades de los roles pertinentes se asignan y comunican dentro de la organización. Vale para todos los roles que cuentan en el sistema, no solo para el responsable.
La segunda es más específica. La alta dirección debe asignar la responsabilidad y autoridad para asegurarse de que el sistema es conforme con los requisitos de la norma y para informar a la dirección sobre el desempeño del sistema. Fíjate en dos detalles. La norma habla de responsabilidad y autoridad, no solo de tareas: quien lleva el sistema tiene que poder pedir, insistir y parar, no solo recoger formularios. Y la guía de la estructura armonizada precisa que estas tareas pueden asignarse a una persona, a varias personas o a un equipo.
Responsable de calidad, RSGC, referente ISO: los nombres cambian
La norma no da nombre al rol, y cada empresa lo llama a su manera. En calidad se habla a menudo de responsable de calidad, en seguridad de la información de responsable del sistema de gestión de seguridad de la información, en un sistema integrado de responsable del sistema integrado.
El nombre importa poco. Importa que en el organigrama o en un nombramiento firmado por la dirección conste quién tiene las dos tareas del apartado 5.3 y con qué autoridad: el auditor lo preguntará, y «un poco todos» no es una respuesta. Si necesitas una visión general de cómo es un sistema de calidad, la tienes en la guía sobre el sistema de gestión de la calidad ISO 9001.
¿Sigue existiendo el representante de la dirección?
No, como obligación ya no existe. Hasta la edición de 2008, la ISO 9001 exigía nombrar un representante de la dirección; la edición de 2015 eliminó este requisito, y la estructura armonizada común a todas las normas no lo contempla.
Lo confirma el ISO 9001 Auditing Practices Group, el grupo de expertos de ISO/TC 176 e IAF que publica guías para auditores. En su guía sobre la auditoría de la alta dirección indica que el puesto de representante de la dirección lo exigían las ediciones anteriores a 2015. Si la organización decide no mantenerlo, el auditor debe fijarse en cómo se han repartido las responsabilidades y autoridades históricamente asociadas a ese rol.
Qué ha cambiado realmente
El cambio no es «menos trabajo», es más responsabilidad para la dirección. Con un representante nombrado, era fácil que la dirección le delegara, en la práctica, todo el sistema. Hoy el apartado 5.1 pide a la alta dirección demostrar liderazgo y compromiso en primera persona, y el 5.3 le pide asignar las tareas de forma explícita.
En la práctica el rol sigue siendo necesario: alguien tiene que coordinar documentos, auditorías, acciones correctivas y revisión. La diferencia es que hoy puedes organizarlo como quieras. Puedes mantener una figura única, repartir las tareas entre varias personas o confiarlas a un pequeño comité. Lo que no puedes hacer es dejarlas sin un titular claro.
Puedes mantener el título si te resulta útil
Nada te impide seguir llamando a alguien «representante de la dirección». Lo importante es que el título corresponda a responsabilidades y autoridades reales, escritas y comunicadas.
El riesgo es un título histórico asignado a alguien que ha cambiado de puesto o ya no tiene tiempo. El auditor no discute el nombre, discute la distancia entre papel y realidad.
¿Qué le queda a la alta dirección y qué se puede delegar?
A la alta dirección le queda la responsabilidad última sobre la eficacia del sistema; al responsable se le delegan la ejecución y la coordinación. La estructura armonizada lo dice de forma explícita en la guía del apartado 5.1.
El apartado 5.1 enumera lo que la dirección debe asegurar: política y objetivos compatibles con la estrategia, integración de los requisitos en los procesos de negocio, recursos disponibles, comunicación de la importancia del sistema, logro de los resultados previstos, apoyo a las personas, mejora continua. La guía de la estructura armonizada precisa que «asegurarse» significa que la dirección no tiene que hacerlo todo ella misma: puede delegar la autoridad para hacerlo, pero sigue siendo responsable de que se haga.
Dónde está la frontera en la práctica
En concreto, el responsable del sistema puede preparar la política, pero es la dirección quien la establece. Puede proponer los objetivos, pero es la dirección quien los fija y da los recursos para alcanzarlos. Puede reunir todos los datos para la revisión, pero la revisión la hace la dirección, y las decisiones que salen de ella son suyas.
Actividad | Quién la ejecuta normalmente | Quién responde |
|---|---|---|
Política y objetivos del sistema | Responsable del sistema (borrador) | Alta dirección |
Recursos para el sistema | Responsable (petición motivada) | Alta dirección |
Documentos, registros, plazos | Responsable y responsables de proceso | Responsable del sistema |
Desempeño del sistema | Responsable (informe) | Alta dirección (revisión) |
Acciones correctivas | Responsables de proceso | Responsables de proceso, coordinados por el responsable |
La revisión por la dirección es justo el momento en que los dos roles se encuentran: el responsable aporta los datos, la dirección decide. Si quieres profundizar en cómo prepararla y qué debe contener, lee la guía sobre la revisión por la dirección ISO.
¿Qué hace realmente el responsable del sistema de gestión?
El responsable del sistema de gestión marca el ritmo del sistema: se asegura de que documentos, controles, auditorías, acciones y revisiones se hagan cuando toca y dejen evidencias. No tiene que hacerlo todo, tiene que saber en qué punto está todo.
Sus actividades recurrentes se agrupan en cinco áreas. La primera es el control de los documentos: mantener al día procedimientos, instrucciones y registros, con las versiones correctas en los sitios correctos. La segunda es el calendario de plazos: auditorías, revisiones, calibraciones, renovaciones de cualificaciones, evaluaciones de proveedores, obligaciones legales. La tercera es la coordinación de no conformidades y acciones correctivas, comprobando que se cierran y que funcionan. La cuarta es informar a la dirección sobre el desempeño. La quinta es la relación con el organismo de certificación: planificar las auditorías externas, preparar a la empresa, gestionar los hallazgos.
Un año tipo, mes a mes
Pensemos en una empresa de 60 personas que fabrica componentes de plástico, certificada ISO 9001. La responsable del sistema es Giulia, que también es responsable de compras. Su año está marcado por unas pocas etapas fijas: el programa de auditorías internas a principios de año, las auditorías internas en los meses siguientes, la revisión por la dirección antes de la auditoría externa, la auditoría de seguimiento, el cierre de los hallazgos.
Entre una etapa y otra está el trabajo continuo: un procedimiento que actualizar, una reclamación que abre una no conformidad, un proveedor que homologar, un carné a punto de caducar. Sin calendario de plazos, Giulia lo descubre todo de golpe en el mes anterior a la auditoría, y ahí es donde el rol se vuelve insostenible.
Lo que no debería hacer
El responsable no debería redactar solo todos los procedimientos: quien trabaja en los procesos sabe cómo funcionan, él los hace coherentes. No debería rellenar en lugar de los departamentos los registros que les corresponden. Y no debería verificar su propio trabajo.
El último punto afecta a la auditoría interna. El apartado 9.2 exige seleccionar a los auditores y realizar las auditorías de forma que se asegure la objetividad e imparcialidad. El responsable puede coordinar el programa de auditoría, pero conviene que las actividades que gestiona directamente, como el control de documentos o las acciones correctivas, las verifique otra persona. Lo explicamos en detalle en la guía sobre la auditoría interna ISO.
¿Qué competencias necesita el responsable del sistema de gestión?
El responsable necesita tres grupos de competencias: conocimiento de la norma, conocimiento de los procesos de la empresa y capacidad de poner en marcha a las personas. La tercera es la que más falta, y la que marca la diferencia.
El responsable también entra en el apartado 7.2: la organización debe determinar la competencia necesaria de las personas que realizan trabajos que afectan al desempeño del sistema, asegurarse de que son competentes por educación, formación o experiencia y conservar evidencias. El rol del responsable afecta al desempeño del sistema más que ningún otro, así que sus competencias deben definirse y demostrarse como las de los demás puestos clave.
Competencias técnicas
En el plano técnico hacen falta conocimiento de los requisitos de la norma o normas aplicadas, capacidad de leer un proceso y encontrar sus puntos de control, gestión documental y conocimiento de los principios de auditoría. Para seguridad de la información, medio ambiente o seguridad y salud se añade el conocimiento de la materia: no se gestiona un sistema ISO 27001 sin entender los riesgos informáticos, ni un sistema ISO 45001 sin conocer la normativa de prevención. No hace falta ser experto en todo: hace falta saber a quién llamar, por ejemplo al responsable de IT o al técnico de prevención.
Competencias organizativas y autoridad
En el plano organizativo hacen falta planificación, capacidad de priorizar y de hablar con la dirección en términos de riesgos y resultados, no de requisitos. Un responsable que llega a la reunión con la lista de formularios por rellenar pierde la atención en dos minutos; uno que trae tres datos y una decisión que tomar es escuchado.
También hace falta autoridad, y es un punto delicado. Si el responsable es un empleado junior que tiene que perseguir a los jefes de departamento, cada petición se convierte en una negociación. Por eso el apartado 5.3 habla de autoridad además de responsabilidad: la dirección debe hacerla visible, por ejemplo con una comunicación interna o presentando el rol en las reuniones con los responsables de área.
Cómo demostrar la competencia del responsable
Las evidencias son las mismas que usas para los demás roles: requisitos del puesto por escrito, formación sobre la norma, experiencia documentada, posibles cualificaciones de auditor interno. El resultado también es una buena evidencia: un sistema con acciones cerradas a tiempo y revisiones completas demuestra competencia mejor que un certificado. Para organizar esta parte tienes un método práctico en la guía sobre competencia, formación y toma de conciencia.
¿Cuánto tiempo hace falta para gestionar el sistema?
No existe un número de horas válido para todos, y las normas no lo indican. El apartado 7.1 exige determinar y proporcionar los recursos necesarios para el sistema, y la guía de la estructura armonizada cita expresamente el tiempo entre los recursos que hay que considerar.
El tiempo depende de algunos factores que puedes valorar en tu empresa. Te conviene estimarlo a partir de ellos, y no de una cifra oída por ahí.
Factor | Aumenta la dedicación cuando… | La reduce cuando… |
|---|---|---|
Número de normas | Gestionas varios sistemas separados | Tienes un sistema integrado con procesos comunes |
Tamaño y centros | Hay varias sedes o turnos | Un solo centro, organización sencilla |
Madurez del sistema | Estás en el primer año o en transición | El sistema es estable desde hace varios ciclos |
Fase del ciclo | Estás cerca de la etapa 1, la etapa 2 o la recertificación | Estás a mitad de ciclo, entre dos seguimientos |
Implicación de los responsables de proceso | Todo pasa por el responsable | Los departamentos gestionan sus propios registros |
Herramientas | Documentos dispersos entre carpetas y correos | Documentos, evidencias y plazos en un único sitio |
Apoyo externo | El responsable también tiene que hacer las auditorías internas | La auditoría interna y la preparación se confían a un experto |
Los picos cuentan más que la media
La dedicación no se reparte de forma uniforme. Hay semanas de pico antes de las auditorías externas, durante las auditorías internas y en torno a la revisión, y meses más tranquilos. El problema de las pymes rara vez es el total anual: es que los picos caen sobre una persona que además tiene otro trabajo con sus propios plazos.
La pregunta útil para la dirección no es «¿cuántas horas hacen falta?», sino «¿qué dejamos en manos de otros en las semanas de pico?».
Más normas no significa multiplicar el trabajo
Si tienes o piensas añadir una segunda norma, recuerda que los apartados de la estructura armonizada son comunes. Revisión, auditoría interna, acciones correctivas, competencias y control de documentos pueden ser un único proceso para todas. Gestionar tres sistemas separados triplica las reuniones; integrarlos, no. Lo explicamos en la guía sobre el sistema de gestión integrado.
Interno, externo o compartido: ¿cómo organizar el rol?
En una pyme funcionan tres soluciones: una persona interna a tiempo parcial, un pequeño equipo interno con tareas repartidas, o una persona interna apoyada por un experto externo. La elección depende del tamaño, del número de normas y de las competencias que ya tienes en casa.
La persona interna a tiempo parcial es la solución más sencilla en las empresas pequeñas. Funciona si el tiempo dedicado al sistema está reconocido y protegido, y si alguien la sustituye cuando falta. El equipo interno funciona bien en los sistemas integrados: por ejemplo, una persona coordina y lleva la calidad, el responsable de IT la seguridad de la información y el técnico de prevención la seguridad y salud en el trabajo.
El apoyo externo no sustituye al rol interno
Apoyar al responsable con un experto externo es útil sobre todo en las actividades que requieren competencias de auditor o independencia, como la auditoría interna y la preparación para las auditorías de certificación. Pero el apartado 5.3 pide a la alta dirección asignar responsabilidades y autoridades dentro de la organización: sigue haciendo falta una persona interna que conozca la empresa, tome decisiones operativas y responda ante la dirección.
Un apoyo externo que lo hace todo, sin referente interno, produce un sistema que la empresa no siente suyo, y el auditor lo nota al entrevistar a las personas.
¿Cómo evitar que el responsable se convierta en un cuello de botella?
El responsable se convierte en un cuello de botella cuando todo tiene que pasar por él para existir. La solución es repartir la titularidad de los procesos y dejar en el centro solo la coordinación.
Volvamos a Giulia. Cada reclamación, cada no conformidad, cada cambio de procedimiento pasaba por su mesa; cuando se fue de vacaciones dos semanas antes de la auditoría de seguimiento, nadie sabía dónde estaba el registro de calibraciones. El problema no era Giulia: era un sistema construido en torno a una sola persona.
Cinco pasos concretos
Para evitarlo bastan unos pocos pasos, válidos en casi todas las pymes.
Nombrar un responsable para cada proceso, a cargo de sus propios registros y de sus propias acciones correctivas.
Escribir una matriz sencilla de quién hace, quién decide y a quién se informa en las actividades principales del sistema.
Mantener un calendario de plazos compartido, visible para la dirección y los responsables de proceso, no un archivo en el ordenador del responsable.
Recoger las evidencias donde nace el trabajo, en el mismo sitio para todos, en lugar de enviarlas por correo al responsable.
Designar un sustituto que conozca el estado del sistema y pueda gestionar lo ordinario en su ausencia.
La señal de alarma
Hay una señal sencilla para saber si el rol se está convirtiendo en un cuello de botella: pregunta a tres personas de departamentos distintos dónde encuentran el procedimiento actualizado de su proceso y quién cierra sus no conformidades. Si todas responden «se lo pregunto al responsable de calidad», el sistema depende de una persona. Es la misma prueba que hará el auditor al entrevistar a las personas sobre el terreno.
¿Cuáles son los errores más comunes con el responsable del sistema?
Los errores más frecuentes nacen de un nombramiento hecho por necesidad, sin definir el tiempo, la autoridad y los límites del rol. Además, son errores que el auditor detecta con facilidad.
El primero es el nombramiento solo en papel: un nombre en el organigrama, ninguna comunicación interna, ninguna autoridad reconocida. El segundo es el responsable para todo, que redacta los procedimientos, rellena los registros y audita los procesos que gestiona él mismo, con un problema de imparcialidad. El tercero es la dirección ausente: la revisión se prepara y se «firma» sin un verdadero debate, y las decisiones no llegan.
Luego hay errores más silenciosos: ningún sustituto, competencias del responsable nunca definidas, tiempo para el sistema nunca debatido y siempre detrás del trabajo «de verdad». Casi todos se resuelven con un nombramiento escrito y comunicado, un calendario de plazos compartido y una revisión en la que la dirección decida de verdad.
Cómo Complaion aligera la carga del responsable del sistema de gestión
Con Complaion el responsable del sistema ya no está solo. Un Lead Auditor dedicado acompaña a tu empresa: valora el contexto, te propone el camino más adecuado a tus necesidades en una o varias normas y realiza la auditoría interna. Si haces el recorrido con Complaion, haces la auditoría interna con nosotros, y el Lead Auditor no verifica su propio trabajo operativo: la imparcialidad que exige el apartado 9.2 se respeta sin quitar tiempo a tu equipo.
La plataforma reúne en un único sitio evidencias y documentos, mantiene el calendario de auditorías, revisiones y renovaciones y prepara la auditoría con todo ya en orden. Así los plazos son visibles para todos, las evidencias llegan de quien trabaja en los procesos y el responsable coordina en lugar de perseguir. El recorrido con Complaion evita las no conformidades y lleva a la auditoría externa con un éxito del 100%. Más de 1.000 clientes ya han elegido este modelo. Si quieres entender cómo organizar el rol en tu empresa, contáctanos para una primera valoración y un presupuesto a medida.
Preguntas frecuentes sobre el responsable del sistema de gestión ISO
¿Es obligatorio el representante de la dirección en la ISO 9001?
No. Lo exigían las ediciones de la ISO 9001 anteriores a 2015, pero la edición de 2015 ya no lo contempla. Hoy el apartado 5.3 pide a la alta dirección asignar responsabilidad y autoridad para mantener el sistema conforme e informar sobre su desempeño, sin imponer un título. Puedes mantener la figura si te resulta útil, siempre que tenga responsabilidades reales y comunicadas.
¿Puede el propietario de la empresa ser el responsable del sistema de gestión?
Sí, la norma no lo prohíbe, y en las empresas muy pequeñas ocurre a menudo. En ese caso, sin embargo, tienes que organizar bien la auditoría interna, porque el propietario no debería verificar las actividades que gestiona directamente. También hace falta prestar más atención al tiempo: si el sistema depende de quien ya lleva toda la empresa a cuestas, corre el riesgo de ser siempre la última prioridad.
¿Se puede confiar el rol a una persona externa?
Un apoyo externo puede ayudar mucho, sobre todo en las auditorías internas y en la preparación para las auditorías de certificación. Sin embargo, el apartado 5.3 exige asignar responsabilidad y autoridad dentro de la organización, así que sigue haciendo falta un referente interno que conozca la empresa y responda ante la dirección. En una pyme, una combinación eficaz es una persona interna apoyada por un experto.
¿Cuántas horas a la semana hacen falta para gestionar un sistema ISO?
Las normas no indican un número de horas, y no existe una cifra válida para todos. La dedicación depende del número de normas, del tamaño y los centros, de la madurez del sistema, de la fase del ciclo de certificación, de la implicación de los responsables de proceso y de las herramientas usadas. Más que los totales, cuentan los picos antes de las auditorías: es entonces cuando hay que prever quién libera al responsable del resto del trabajo.
¿Qué competencias debe tener el responsable de calidad?
Conocimiento de los requisitos de la norma, de los procesos de la empresa, gestión documental y principios de auditoría. En normas como ISO 27001 o ISO 45001 también hace falta conocimiento de la materia. Cuentan mucho las competencias organizativas: planificar, priorizar, hablar con la dirección en términos de riesgos y resultados. Como en todo puesto clave, las competencias deben estar definidas y documentadas según el apartado 7.2.
¿Puede el responsable del sistema hacer la auditoría interna?
Puede coordinar el programa de auditoría, pero el apartado 9.2 exige seleccionar a los auditores de forma que se asegure la objetividad y la imparcialidad. Por eso no debería verificar las actividades que gestiona directamente, como el control de documentos o las acciones correctivas. Una solución habitual es confiarla a un auditor cualificado independiente de los procesos auditados, que además aporta la mirada de quien conoce las auditorías de certificación.
Con varias normas, ¿hace falta un responsable para cada una?
No necesariamente. Las normas ISO de sistemas de gestión comparten la misma estructura armonizada, así que revisión, auditoría interna, acciones correctivas y control de documentos pueden gestionarse como un único proceso. A menudo funciona un responsable del sistema integrado que coordina, apoyado por referentes con las competencias específicas, por ejemplo el responsable de IT para la seguridad de la información.
