Una empresa puede tener procesos correctamente documentados y todavía no contar con un sistema de gestión.
La documentación explica cómo debe realizarse el trabajo. Para formar un sistema, esos procesos deben quedar conectados con una dirección común, políticas, gobernanza, objetivos y mecanismos permanentes de evaluación.
1. Establecer la primera política
La alta dirección debe expresar formalmente la dirección que desea establecer.
La política debe ser coherente con la realidad y la actividad de la empresa. No debe copiarse desde otra organización ni redactarse únicamente para presentarla durante una auditoría.
Desde esa política comenzará a construirse el sistema.
2. Definir la gobernanza
Debe quedar claro quién dirige el sistema, quién puede tomar decisiones y quién responde por sus resultados.
En una empresa pequeña pueden participar:
- el dueño o gerente
- los responsables de las áreas
y las personas encargadas de procesos críticos.
No es necesario crear una estructura burocrática, pero sí establecer autoridad, responsabilidades y mecanismos de rendición de cuentas.
3. Definir el alcance
La empresa debe determinar qué actividades, productos, servicios, áreas o sedes serán parte del sistema.
Por ejemplo, puede incluir toda la empresa o comenzar por una línea de negocio determinada.
El alcance permite saber con claridad dónde comienza y dónde termina el sistema.
4. Comprender la realidad de la empresa
El sistema debe considerar:
- qué hace la empresa
- quiénes son sus clientes
- qué esperan otras personas u organizaciones relacionadas
- qué obligaciones debe cumplir
- qué riesgos enfrenta
y qué condiciones internas o externas pueden afectarla.
Un sistema de gestión debe construirse sobre la empresa real, no sobre una descripción ideal.
5. Transformar la política en objetivos
La política establece la dirección. Los objetivos indican los resultados que se busca alcanzar.
Por ejemplo:
- reducir los reclamos
- disminuir los accidentes
- mejorar el cumplimiento de plazos
- evitar pérdidas de información
- reducir residuos
o disminuir el tiempo de recuperación frente a una interrupción.
Cada objetivo debe tener responsables, recursos, plazos y una forma de evaluar su cumplimiento.
6. Conectar los procesos con los objetivos
Los procesos documentados deben contribuir a los objetivos del sistema.
Por ejemplo, si el objetivo es mejorar el cumplimiento de los plazos, deberán revisarse los procesos de ventas, planificación, compras, inventario, operaciones y despacho.
No basta con tener buenos procedimientos separados. También deben funcionar correctamente sus conexiones.
7. Gestionar riesgos y obligaciones
La empresa debe identificar qué situaciones podrían impedir el cumplimiento de sus objetivos.
También debe conocer las obligaciones legales, contractuales y reglamentarias relacionadas con el sistema.
Después debe decidir qué riesgos requieren controles y quién será responsable de aplicarlos.
8. Entregar recursos y desarrollar competencias
Las personas deben contar con los medios necesarios para cumplir los procesos.
Esto puede incluir:
- tiempo
- herramientas
- equipos
- materiales
- sistemas
- infraestructura
- capacitación
y conocimientos.
No se puede exigir un resultado sin entregar los recursos necesarios para conseguirlo.
9. Implementar controles y conservar evidencias
La empresa debe definir cómo comprobará que los procesos se realizaron correctamente.
Las evidencias pueden ser:
- formularios
- órdenes de trabajo
- listas de verificación
- fotografías
- mediciones
- firmas
- aprobaciones
- registros de capacitación
o datos guardados en un sistema.
La evidencia permite revisar lo ocurrido sin depender exclusivamente de la memoria de las personas.
10. Incorporar el control de gestión
En esta etapa los indicadores, metas, costos, plazos y resultados comienzan a entregar información sobre el desempeño del sistema.
El control de gestión permite responder preguntas como:
¿Se están cumpliendo los objetivos?
¿Dónde existen desviaciones?
¿Qué proceso está generando problemas?
¿Se necesitan más recursos?
¿Qué decisión debe tomar la dirección?
Los indicadores no dirigen por sí solos el sistema, pero entregan la información necesaria para gobernarlo.
11. Revisar el sistema desde la dirección
La dirección debe revisar periódicamente:
- las políticas
- los objetivos
- los indicadores
- los riesgos
- los problemas
- las auditorías
- los reclamos
- los recursos
y las oportunidades de mejora.
Esta revisión es parte esencial de la gobernanza. Es el momento en que la dirección analiza la información y toma decisiones.
12. Aplicar el ciclo PDCA
Los sistemas de gestión utilizan la lógica de mejora continua del ciclo PDCA:
Planificar: establecer políticas, objetivos, procesos, recursos y controles.
Hacer: ejecutar lo planificado.
Verificar: revisar los resultados y compararlos con lo esperado.
Actuar: corregir problemas e incorporar mejoras.
Se llama ciclo porque después de actuar se vuelve a planificar. La empresa aprende de sus resultados y comienza una nueva vuelta con mejor información.
El camino desde el sistema de gestión hacia la certificación ISO
Implementar un sistema de gestión y certificarlo no son la misma cosa.
Una empresa puede utilizar una norma ISO para organizar su gestión sin solicitar una certificación.
La certificación agrega una evaluación externa que permite demostrar que el sistema cumple los requisitos de una norma determinada.
1. Elegir la norma
La empresa debe escoger el sistema que tenga relación con sus necesidades:
- ISO 9001 para calidad
- ISO 14001 para medioambiente
- ISO 45001 para seguridad y salud en el trabajo
- ISO/IEC 27001 para seguridad de la información
o ISO 22301 para continuidad del negocio.
No corresponde elegir una norma solamente porque otras empresas la utilizan. La decisión debe responder a los objetivos, riesgos y necesidades reales de la organización.
2. Definir el alcance de la certificación
Debe establecerse qué actividades, productos, servicios, áreas o sedes serán incluidos en la certificación.
El alcance certificado debe coincidir con aquello que el sistema controla realmente.
3. Comparar el sistema con los requisitos de la norma
La empresa debe revisar qué requisitos cumple y cuáles todavía faltan.
Puede descubrir, por ejemplo, que:
- existen procesos, pero no están controlados
- existe una política, pero no orienta los objetivos
- hay indicadores, pero nadie toma decisiones con ellos
- las responsabilidades no están claras
o los problemas se corrigen sin investigar sus causas.
Esta revisión permite identificar las brechas.
4. Completar e implementar el sistema
Las brechas deben corregirse.
Esto puede requerir ajustar:
- políticas
- gobernanza
- objetivos
- responsabilidades
- procesos
- recursos
- controles
- indicadores
- registros
y mecanismos de revisión.
El propósito no debe ser producir documentos para mostrarlos al auditor. El sistema debe funcionar en la operación diaria.
5. Utilizar el sistema y generar evidencia
La empresa debe aplicar el sistema durante un tiempo suficiente para demostrar que funciona.
Debe existir evidencia de que:
- los procesos se ejecutan
- los controles se realizan
- las personas están capacitadas
- los indicadores se revisan
- los problemas se corrigen
y la dirección toma decisiones.
Un sistema que solo existe en documentos no está preparado para certificarse.
6. Realizar una auditoría interna
La auditoría interna revisa si el sistema cumple:
- lo definido por la propia empresa
y los requisitos de la norma seleccionada.
Su objetivo no es encontrar culpables. Busca detectar diferencias entre lo que debería ocurrir y lo que ocurre realmente.
7. Realizar la revisión por la dirección
La alta dirección debe evaluar formalmente el funcionamiento del sistema.
Debe revisar los resultados, los objetivos, las auditorías, los riesgos, los recursos, los problemas y las decisiones necesarias.
Esta revisión demuestra que la gobernanza no existe solamente en el papel.
8. Corregir las brechas detectadas
Los problemas encontrados deben analizarse y corregirse.
No basta con resolver el caso puntual. La empresa debe investigar su causa y tomar medidas para evitar que vuelva a ocurrir.
9. Elegir una entidad certificadora
ISO desarrolla y publica las normas, pero no audita empresas ni emite certificados.
La certificación es realizada por entidades certificadoras independientes. Cuando sea posible, conviene verificar que la entidad cuente con una acreditación reconocida para la norma y el sector correspondientes.
10. Recibir la auditoría de certificación
La auditoría inicial normalmente considera dos etapas.
En la primera se revisa la preparación del sistema, su alcance, la información documentada y si la empresa está en condiciones de avanzar.
En la segunda se comprueba si el sistema está realmente implementado y funcionando en la operación.
Cuando se detectan incumplimientos, la empresa debe corregirlos y presentar las evidencias correspondientes.
11. Mantener el sistema
La certificación no es el término del trabajo.
La empresa debe continuar:
- aplicando sus políticas
- manteniendo su gobernanza
- ejecutando sus procesos
- revisando sus objetivos
- realizando auditorías
- corrigiendo problemas
y actualizando su documentación.
La entidad certificadora realizará evaluaciones posteriores para comprobar que el sistema continúa funcionando.
El certificado no crea el sistema
El camino correcto puede resumirse así:
La política expresa formalmente la dirección establecida por la alta dirección.
La gobernanza define quién dirige, quién decide y quién responde.
Los objetivos transforman esa dirección en resultados que la empresa busca alcanzar.
Los procesos estandarizados ordenan cómo se realiza el trabajo.
El control de gestión muestra si se están alcanzando los resultados.
El sistema de gestión conecta políticas, gobernanza, objetivos, personas, procesos, recursos, controles y mejora continua.
La certificación ISO verifica externamente que ese sistema cumple los requisitos de una norma.
El sistema de gestión nace con la primera política, pero se vuelve real cuando existe gobernanza, los objetivos se traducen en procesos, las personas cuentan con recursos, los resultados se revisan y la dirección toma decisiones para mejorar.