En resumen
Un sistema de gestión integrado es un único sistema que cumple los requisitos de dos o más normas ISO: no es una norma ni un certificado aparte.
La integración es posible porque las normas ISO de sistemas de gestión comparten la estructura armonizada del Anexo SL: mismos capítulos, mismo texto básico, términos comunes.
Contexto, política, riesgos, documentos, auditorías internas, revisión y acciones correctivas se gestionan una sola vez, mientras los requisitos específicos de cada norma siguen siendo trazables.
Según IAF MD 11 el tiempo de la auditoría integrada parte de la suma de los tiempos de cada norma y puede reducirse como máximo un 20 %, según la integración confirmada en la Etapa 1.
Los errores más comunes son declarar una integración que no existe y unificar tanto que se pierden los requisitos específicos.
Las normas ISO tienen la misma estructura. Gestionarlas juntas significa una sola auditoría interna, una sola revisión por la dirección y menos documentos duplicados. Esa es la idea del sistema de gestión integrado: un único sistema que responde a los requisitos de varias normas, en lugar de varios sistemas paralelos con manuales, responsables y plazos distintos.
El problema casi siempre aparece de la misma forma. Una empresa obtiene la ISO 9001, luego un cliente pide la ISO 14001, después llega la ISO 45001 o la ISO/IEC 27001. Cada certificación trae sus procedimientos, sus formularios y su auditoría interna, y al cabo de unos años te encuentras gestionando tres sistemas que apenas se comunican: la misma información registrada en tres sitios, tres revisiones por la dirección en tres meses distintos, tres personas persiguiendo las mismas evidencias.
En esta guía verás qué es un sistema de gestión integrado, por qué las normas ISO se pueden integrar, qué ventajas concretas aporta, cómo funciona la auditoría de certificación cuando hay más de una norma y cómo construir el sistema paso a paso, con un ejemplo práctico y los errores que debes evitar. Si antes necesitas las bases sobre normas, certificados y auditorías, empieza por nuestra guía sobre qué son las certificaciones ISO.
¿Qué es un sistema de gestión integrado?
Un sistema de gestión integrado es un único sistema que cumple los requisitos de dos o más normas de sistemas de gestión. No es una norma en sí misma y no existe un "certificado integrado" con requisitos propios: es una forma de organizar el trabajo.
La definición más clara procede del mundo de la certificación. El documento obligatorio IAF MD 11, que los organismos acreditados aplican a las auditorías de sistemas integrados, lo describe como un solo sistema de gestión que gestiona varios aspectos del desempeño de la organización para cumplir los requisitos de más de una norma. Calidad, medio ambiente, seguridad y salud, seguridad de la información: ámbitos distintos, gestionados con el mismo marco de políticas, procesos, responsabilidades y controles.
Sistema combinado o sistema integrado: la diferencia
El mismo documento de IAF aclara que la integración no es "sí o no", sino una escala. En un extremo está el sistema combinado, es decir, la simple suma de sistemas separados creados para cada norma: quizá certificados a la vez, pero con documentos, responsabilidades y herramientas distintos. En el otro extremo está el sistema realmente integrado, en el que documentación, elementos del sistema y responsabilidades se gestionan en una única estructura.
Entre ambos extremos hay muchos matices, y IAF los llama "nivel de integración". Según IAF MD 11, un sistema está más integrado cuantos más elementos comparte: una documentación única, incluidas las instrucciones de trabajo cuando hacen falta; una revisión por la dirección que tiene en cuenta la estrategia global de la empresa; un enfoque integrado de las auditorías internas, de la política y los objetivos, de los procesos y de los mecanismos de mejora (acciones correctivas, mediciones); y un apoyo y responsabilidades de la dirección unificados. Es una lista útil también para ti, porque te dice exactamente dónde mirar cuando valoras lo integrado que está hoy tu sistema.
Qué normas se pueden integrar
En teoría, cualquier norma de sistemas de gestión. En la práctica, las combinaciones más habituales en las pymes son calidad y medio ambiente (ISO 9001 e ISO 14001), a las que a menudo se suma la ISO 45001 para seguridad y salud: el clásico sistema de calidad, medio ambiente y seguridad. En las empresas digitales o que tratan datos por cuenta de sus clientes, en cambio, la ISO 9001 se combina con la ISO/IEC 27001.
También pueden formar parte del mismo sistema normas como ISO 50001 (energía), ISO 22301 (continuidad del negocio), ISO 37001 (antisoborno) o ISO/IEC 42001 (inteligencia artificial). La elección no depende de qué normas "combinan bien", sino de lo que te piden clientes, licitaciones y tu sector. La propia ISO, en el manual The integrated use of management system standards, subraya que el enfoque integrado se aplica a cualquier norma de sistemas de gestión, no solo a las de ISO.
¿Por qué se pueden integrar las normas ISO?
Las normas ISO de sistemas de gestión se integran con facilidad porque comparten el mismo esqueleto: la estructura armonizada. Es un modelo común definido por la propia ISO, que cada comité técnico debe seguir cuando redacta o revisa una norma certificable de sistemas de gestión.
La estructura armonizada se describe en el Anexo SL de las Directivas ISO/IEC, Parte 1 (Suplemento ISO consolidado), las reglas que rigen el trabajo técnico de la ISO. Prevé números de capítulo idénticos en la misma secuencia, títulos idénticos, texto básico idéntico y términos y definiciones comunes. Las directivas ISO dicen expresamente que este enfoque está pensado también para las organizaciones que deciden gestionar un único sistema, "a veces llamado integrado", capaz de cumplir varias normas a la vez.
Los capítulos comunes y qué puedes unificar
Tras los capítulos introductorios (objeto, referencias, términos y definiciones), todas las normas construidas sobre la estructura armonizada siguen los mismos siete capítulos. Esto es lo que contienen y lo que puedes gestionar una sola vez.
Capítulo | Qué exige (texto común) | Qué puedes unificar |
|---|---|---|
4 Contexto de la organización | Cuestiones internas y externas, partes interesadas, alcance | Un único análisis del contexto y un único registro de partes interesadas |
5 Liderazgo | Compromiso de la dirección, política, roles y responsabilidades | Una política integrada y un solo organigrama de responsabilidades |
6 Planificación | Riesgos y oportunidades, objetivos, planificación de los cambios | Un método único de evaluación de riesgos y un único plan de objetivos |
7 Apoyo | Recursos, competencia, toma de conciencia, comunicación, información documentada | Un solo sistema documental, un solo plan de formación |
8 Operación | Planificación y control operacional | Procesos descritos una vez, con los controles específicos de cada norma |
9 Evaluación del desempeño | Seguimiento, auditoría interna, revisión por la dirección | Un programa de auditorías internas y una revisión única |
10 Mejora | No conformidades, acciones correctivas, mejora continua | Un solo registro de no conformidades y acciones |
Qué sigue siendo específico de cada norma
La estructura común no hace iguales a las normas. Cada comité añade al texto básico sus propios requisitos específicos de la disciplina, y son precisamente estos los que marcan la diferencia.
La ISO 14001 exige identificar los aspectos ambientales y los requisitos legales y otros requisitos; la ISO 45001 exige identificar los peligros e implicar a los trabajadores; la ISO/IEC 27001 exige una evaluación de riesgos de seguridad de la información y la declaración de aplicabilidad de los controles. Estos contenidos no se fusionan: se sitúan dentro del mismo marco. El registro de riesgos puede ser uno solo, pero con secciones dedicadas a los riesgos ambientales, a los peligros para la salud y a los riesgos sobre la información, cada una evaluada con los criterios que exige la norma.
¿Qué ventajas concretas aporta un sistema integrado?
La ventaja principal es hacer una sola vez lo que es común. Menos actividades repetidas, menos documentos que mantener alineados y una única visión de los riesgos y las prioridades para la dirección.
Una sola auditoría interna y una sola revisión
El texto común de la estructura armonizada pide a todas las normas lo mismo: auditorías internas a intervalos planificados, un programa que fije su frecuencia, métodos y responsabilidades, auditores elegidos de forma que se garantice la objetividad y la imparcialidad, y resultados comunicados a la dirección y conservados como evidencia. Con un sistema integrado puedes crear un único programa de auditorías internas que cubra todas las normas, con verificaciones organizadas por proceso y no por norma. Lo explicamos en detalle en la guía sobre la auditoría interna ISO.
Lo mismo vale para la revisión por la dirección. Las entradas previstas por el texto común son idénticas: estado de las acciones anteriores, cambios en el contexto y en las partes interesadas, evolución de no conformidades, seguimientos y auditorías, oportunidades de mejora. Hacer una revisión única significa que la dirección analiza calidad, medio ambiente y seguridad en la misma reunión y toma decisiones coherentes, en lugar de aprobar tres actas inconexas. Encontrarás cómo plantearla en la guía sobre la revisión por la dirección.
Menos documentos duplicados, menos contradicciones
En los sistemas separados la misma información vive en varios sitios: tres procedimientos de control documental, tres formularios de no conformidad, tres listas de formación. Cuando algo cambia, hay que acordarse de actualizarlo todo, y tarde o temprano una versión se queda atrás. Es una de las causas más frecuentes de hallazgos en auditoría.
Con un sistema integrado hay un solo procedimiento de control de documentos, un solo registro de no conformidades, una sola matriz de competencias. Cada dato tiene un único sitio y un único responsable. El resultado no es solo menos papel: es un sistema más fácil de explicar a las personas, porque quien trabaja en producción no necesita saber qué procedimiento pertenece a qué norma.
Decisiones más coherentes y menos tiempo de auditoría externa
Un sistema integrado saca a la luz las relaciones entre los temas. Un cambio de proveedor afecta a la calidad del producto, a los impactos ambientales y quizá a la seguridad de los datos: si lo evalúas una sola vez, desde todos los puntos de vista, evitas decisiones que resuelven un problema creando otro.
También hay un efecto en la auditoría de certificación. Como verás en la próxima sección, las reglas de IAF permiten al organismo reducir el tiempo total de auditoría cuando el sistema está realmente integrado. No es automático, pero es un beneficio concreto para quien ha trabajado bien.
¿Cómo funciona la auditoría de certificación de un sistema integrado?
Cuando un organismo audita varias normas a la vez, realiza una auditoría de sistema integrado. Las reglas las fija IAF MD 11, que se aplica junto con la ISO/IEC 17021-1 sin sustituir ninguno de sus requisitos.
Cómo se calcula el tiempo de auditoría
Según IAF MD 11, el organismo calcula primero el tiempo de auditoría necesario para cada norma, como si se certificara por separado. Después suma los tiempos y obtiene un punto de partida. Sobre esa suma aplica factores que pueden aumentarla o reducirla. Entre los factores de reducción están el grado de integración del sistema, la capacidad del personal para responder a preguntas que afectan a más de una norma y la disponibilidad de auditores competentes en varias normas. El factor que puede aumentarla es la mayor complejidad de la auditoría integrada.
La reducción tiene un límite preciso: no puede superar el 20 % del tiempo de partida. El organismo debe documentar el cálculo y los motivos. El nivel de integración lo declaras tú en la solicitud de certificación, pero los auditores deben confirmarlo durante la Etapa 1, y el tiempo de auditoría puede revisarse si la realidad no coincide con lo declarado. Por eso conviene describir el sistema tal como es. La verificación continúa en los años siguientes: en cada auditoría de seguimiento y renovación, el organismo debe confirmar que el nivel de integración no ha cambiado. Encontrarás una explicación completa de las dos fases en la guía sobre la auditoría de certificación Etapa 1 y Etapa 2.
Quién hace la auditoría y qué pasa con las no conformidades
IAF MD 11 exige que el equipo auditor, en su conjunto, tenga la competencia requerida para cada norma y cada área técnica, y que la auditoría la dirija un auditor jefe competente en al menos una de las normas auditadas. Todos los requisitos aplicables de cada norma deben auditarse: la integración no permite saltarse partes.
El informe de auditoría puede ser único o separado por norma, pero cada hallazgo debe vincularse a la norma o normas a las que se refiere. Y hay un punto que muchas empresas subestiman: el organismo debe considerar el efecto de una no conformidad detectada en una norma sobre la conformidad con las demás. Si tu control documental no funciona, el problema no es solo de la ISO 9001. Del mismo modo, si una certificación se suspende o se retira, el organismo debe valorar el impacto en las demás. La integración aporta eficiencia, pero también hace más visibles los puntos débiles.
Cómo construir un sistema de gestión integrado paso a paso
La forma más eficaz de construir un sistema integrado es partir de lo que ya tienes y unificar primero los elementos comunes y después los específicos. No hace falta reescribirlo todo desde cero.
Los pasos para integrar las normas
Esta es la secuencia que funciona en la mayoría de las pymes.
Mapea lo que existe: para cada norma ya implantada, enumera procedimientos, formularios, registros, responsables y plazos, y señala dónde aparece la misma información más de una vez.
Define el alcance común: centros, actividades y procesos cubiertos por cada norma, porque no siempre coinciden.
Unifica los elementos de la estructura armonizada: contexto, partes interesadas, política, riesgos y oportunidades, objetivos, documentos, competencias, auditorías internas, revisión, no conformidades.
Integra los requisitos específicos de cada norma en el marco común, sin perderlos: aspectos ambientales, peligros, controles de seguridad de la información.
Organiza un único programa de auditorías internas por proceso y una única revisión por la dirección.
Forma a las personas en el sistema en su conjunto, no norma por norma.
Qué unificar de inmediato y qué mantener separado
Los elementos que conviene unificar primero son los que generan más duplicados: la gestión documental, las no conformidades y acciones correctivas, las auditorías internas, la revisión por la dirección y la formación. Son idénticos en el texto común y casi siempre se gestionan con herramientas distintas en sistemas separados.
Mantén diferenciados, aunque dentro del mismo sistema, los contenidos que tienen criterios propios: el análisis de los aspectos ambientales, la evaluación de los peligros, la declaración de aplicabilidad de la ISO/IEC 27001. Unificar no significa diluir: cada requisito debe seguir siendo reconocible y trazable hasta su norma, porque así es como lo verificará el auditor.
Cómo te ayuda Complaion
Integrar varias normas es sobre todo una cuestión de método y orden, y ahí es donde trabaja Complaion. Un Lead Auditor dedicado acompaña a tu empresa: analiza los sistemas existentes, te propone el camino más adecuado (qué normas integrar, en qué orden, con qué alcance) y realiza la auditoría interna integrada, proceso por proceso, sobre todas las normas del alcance. La plataforma reúne en un único lugar las evidencias de todas las normas, gestiona los documentos, mantiene el calendario de auditorías internas, revisiones, formación y auditorías de seguimiento, y te ayuda a llegar a la auditoría con todo en orden. Es el enfoque con el que acompañamos a más de 1.000 clientes, muchos de los cuales gestionan más de una certificación.
Ejemplo: una empresa que pasa de tres sistemas a uno
Piensa en una empresa metalmecánica de 60 empleados, certificada en ISO 9001 desde hace años. Un cliente importante le pide la ISO 14001 y, para participar en algunas licitaciones, también necesita la ISO 45001. La primera idea es construir dos sistemas nuevos junto al que ya existe.
Antes: tres sistemas paralelos
Con tres sistemas separados, la responsable de calidad gestiona el manual de calidad, el consultor ambiental lleva un registro de aspectos ambientales en un archivo aparte y el técnico de prevención actualiza la evaluación de riesgos laborales con su propio calendario. Hay tres auditorías internas, en tres momentos del año, con los mismos departamentos entrevistados tres veces. La revisión por la dirección se hace tres veces, y el gerente firma tres actas que no se mencionan entre sí.
El resultado típico es que la misma no conformidad aparece en un registro y no en los demás. Un proveedor de pinturas se homologa por la calidad del producto, pero nadie revisa las fichas de datos de seguridad ni la gestión de los envases vacíos como residuo. En la auditoría, el auditor detecta la contradicción.
Después: un solo sistema
Con un sistema integrado, la empresa tiene una política única de calidad, medio ambiente y seguridad, un único análisis del contexto y un registro de riesgos con secciones diferenciadas para los riesgos de proceso, los aspectos ambientales y los peligros para la salud. La homologación de proveedores pasa a ser una sola evaluación con criterios de calidad, medio ambiente y seguridad. El programa de auditorías internas se organiza por proceso: cuando el auditor interno visita la zona de pintura, verifica en la misma ronda los controles de calidad, la gestión de residuos y el uso de los equipos de protección.
La revisión por la dirección se convierte en una reunión al año con una sola acta, en la que el gerente ve juntos reclamaciones, consumos, accidentes e incidentes. La auditoría de certificación puede realizarse en una única visita, con el tiempo calculado según las reglas de IAF en función del nivel de integración realmente alcanzado.
¿Qué errores debes evitar al integrar varias normas?
El error más común es pensar que integrar significa juntar los documentos en una carpeta. Un sistema combinado con un índice común sigue siendo un sistema combinado, y el auditor lo nota en la Etapa 1.
Declarar una integración que no existe
Declarar en la solicitud de certificación un nivel de integración superior al real no compensa. IAF MD 11 prevé que el nivel se confirme en la Etapa 1 y que el tiempo de auditoría se revise si es necesario. Es mejor describir el sistema con honestidad y hacer crecer la integración con el tiempo, ciclo tras ciclo.
Perder los requisitos específicos
El segundo error es el contrario: unificar tanto que se borra lo que cada norma exige de forma específica. Una "evaluación de riesgos integrada" que no contiene los aspectos ambientales significativos ni la evaluación de los peligros es un sistema más ligero solo en apariencia. En la auditoría, cada hallazgo se vincula a su norma, y un requisito no cubierto sigue siendo una no conformidad aunque el sistema sea elegante.
Los demás errores frecuentes son prácticos. Integrarlo todo de golpe, en lugar de avanzar por elementos. Confiar el sistema a una sola persona sin responsables claros para medio ambiente y seguridad. Olvidar que el alcance puede ser distinto para cada norma: un centro puede estar cubierto por la ISO 9001 pero no por la ISO 45001, y el sistema debe dejarlo claro.
Cómo te ayuda Complaion a gestionar varias normas en un solo sistema
Un sistema de gestión integrado te permite dedicar menos tiempo a los duplicados y más a lo que importa: una sola auditoría interna, una sola revisión, un solo registro de riesgos, documentos y acciones. Pero exige método, sobre todo cuando las normas se añaden de una en una.
Con Complaion tienes un Lead Auditor dedicado que conoce tu empresa, valora los sistemas que ya tienes y te propone el camino más adecuado a tus necesidades, desde el orden de las normas hasta el alcance. La plataforma reúne las evidencias de todas las normas en un único lugar, gestiona los documentos, mantiene el calendario y prepara las auditorías, mientras que la auditoría interna la realiza tu Lead Auditor. Más de 1.000 clientes ya trabajan así.
¿Quieres saber cómo integrar las normas que ya tienes con las que necesitas? Contacta con nosotros para hablar de tu caso y recibir un presupuesto a medida.
Preguntas frecuentes sobre el sistema de gestión integrado
¿Qué es un sistema de gestión integrado?
Un sistema de gestión integrado es un único sistema que responde a los requisitos de dos o más normas de sistemas de gestión, por ejemplo ISO 9001, ISO 14001 e ISO 45001. Política, riesgos, documentos, auditorías internas, revisión y acciones correctivas se gestionan una sola vez, mientras que los requisitos específicos de cada norma siguen siendo reconocibles. No es una norma aparte: es una forma de organizar el sistema.
¿Existe una certificación del sistema integrado?
No existe una norma ISO de "sistema integrado" con requisitos propios. Se obtienen las certificaciones de cada norma, que pueden evaluarse mediante una auditoría integrada realizada por el mismo organismo y al mismo tiempo. El informe puede ser único, pero cada hallazgo sigue vinculado a la norma a la que se refiere.
¿Qué normas ISO se pueden integrar?
Todas las normas de sistemas de gestión construidas sobre la estructura armonizada de la ISO, como ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001, ISO 50001, ISO 22301, ISO 37001 e ISO/IEC 42001. La combinación más habitual es calidad, medio ambiente y seguridad, pero la elección depende de lo que te piden clientes, licitaciones y tu sector.
¿Una auditoría integrada dura menos?
Puede durar menos, pero no es automático. Según IAF MD 11, el organismo suma los tiempos de auditoría de cada norma y puede reducirlos en función del nivel de integración y de la competencia de los auditores, hasta un máximo del 20 %. El nivel de integración se verifica en la Etapa 1.
¿Puedo integrar una norma nueva en un sistema ya certificado?
Sí, y es el caso más frecuente. Se parte de los elementos comunes ya implantados, como documentos, auditorías internas, revisión y acciones correctivas, y se añaden los requisitos específicos de la nueva norma. El alcance debe definirse para cada norma, porque los centros y las actividades cubiertos pueden ser distintos.
¿Hace falta un auditor interno para cada norma?
No necesariamente. El texto común exige que las auditorías internas las realicen personas competentes de forma objetiva e imparcial. Un auditor interno puede cubrir varias normas si tiene la competencia necesaria, o bien se puede formar un pequeño equipo con competencias complementarias y un único programa de auditoría.
Si pierdo una certificación, ¿pierdo también las demás?
No automáticamente. IAF MD 11 prevé que, si una certificación se suspende o se retira, el organismo valore el impacto en las demás. En un sistema integrado muchos elementos son compartidos, por lo que un problema grave en un proceso común puede tener consecuencias en varias normas.
