Alcance de una certificación ISO: qué incluye y cómo definirlo correctamente
“Tenemos la ISO 9001”. Es una frase habitual, pero deja fuera un dato importante. ¿Para qué actividades? ¿En qué instalaciones? ¿Abarca todo lo que hace la empresa? El alcance de una certificación ISO determina exactamente qué queda cubierto por el certificado, y conviene tenerlo claro antes de iniciar el proceso.
La cuestión cobra especial importancia en empresas que ofrecen varios servicios, trabajan desde distintas sedes o han crecido desde que implantaron su sistema de gestión. En esos casos, dar por hecho que el certificado cubre toda la organización puede llevar a errores.
En Audita T ayudamos a las organizaciones a preparar sus sistemas de gestión antes de acudir a una entidad certificadora. Somos expertos en certificaciones y sabemos de esto.
Una de las decisiones que se estudian durante ese trabajo es precisamente qué actividades y centros forman parte del sistema que se quiere certificar.
Qué es el alcance de una certificación ISO
El alcance describe las actividades, productos, servicios y, cuando corresponda, ubicaciones que quedan comprendidos dentro de la certificación. Dicho de una forma sencilla, marca los límites de aquello que ha sido evaluado.
Esto explica por qué dos empresas certificadas según una misma norma pueden tener certificados bastante diferentes. Una compañía puede incluir fabricación y distribución, mientras que otra certifica únicamente determinados servicios. La norma puede ser la misma y el ámbito certificado ser distinto.
De ahí que sea recomendable leer el alcance cuando un cliente o una licitación solicita una certificación. Comprobar únicamente que aparece “ISO 9001” en el certificado puede quedarse corto si la actividad que interesa no figura dentro del ámbito correspondiente.
El alcance debe tener relación con lo que realmente hace la empresa
La definición comienza mirando la organización tal como funciona, no intentando encontrar una frase que suene bien para el certificado. Hay que identificar actividades, procesos, servicios, ubicaciones y relaciones entre departamentos. El alcance debe describir de manera comprensible la actividad cubierta por el sistema.
Pensemos en una empresa que diseña equipos industriales, los instala y posteriormente presta mantenimiento. Si quiere certificar su sistema de calidad, tendrá que valorar qué actividades forman parte del sistema. Incluir únicamente “mantenimiento” tiene consecuencias diferentes a incorporar diseño, instalación y mantenimiento. La redacción elegida debe corresponderse con las actividades sometidas a evaluación.
Una consultoría de Calidad ISO 9001 permite analizar esta cuestión durante la implantación, además de revisar procesos, documentación y requisitos aplicables. Definir el alcance pronto ayuda a saber qué partes de la organización habrá que preparar.
Qué ocurre cuando una empresa tiene varias sedes
Una oficina central en Madrid, un almacén en Toledo y dos delegaciones comerciales en otras ciudades. Aquí la pregunta deja de ser únicamente qué hace la empresa. También hay que determinar qué ubicaciones quedan incluidas dentro del sistema y de la certificación.
No conviene asumir que abrir una nueva sede hace que quede automáticamente cubierta por un certificado existente. Habrá que revisar el alcance, las actividades desarrolladas allí y las condiciones aplicables al proceso de certificación. Los cambios de estructura pueden obligar a revisar el ámbito certificado.
Esta situación aparece con frecuencia en organizaciones que han crecido mediante nuevas delegaciones, adquisiciones o traslado de actividades. El sistema que se diseñó inicialmente puede necesitar ajustes porque la empresa actual ya no tiene exactamente la misma estructura.
¿Es obligatorio certificar todas las actividades?
Esta duda suele aparecer en compañías con varias líneas de negocio. La respuesta dependerá de la norma, del sistema implantado, de la organización y de los requisitos que correspondan. Lo importante es evitar una definición engañosa o una exclusión incompatible con lo que realmente se pretende certificar. Los límites del sistema deben poder justificarse con claridad.
También interesa pensar en el motivo que ha llevado a buscar la certificación. Si un cliente exige que determinada actividad esté certificada, obtener un certificado cuyo alcance deja esa actividad fuera serviría de poco para ese objetivo. La utilidad comercial del certificado depende también de su alcance.
Antes de comenzar, merece la pena revisar contratos, requisitos de clientes y posibles licitaciones. Así se puede comprobar qué actividades interesa incluir y evitar descubrir demasiado tarde que el certificado previsto no responde a la necesidad que originó el proyecto.
Alcance del sistema y alcance del certificado pueden generar confusión
En proyectos de implantación aparecen términos parecidos que conviene distinguir. Por un lado está el alcance del sistema de gestión que establece la propia organización de acuerdo con los requisitos correspondientes. Después, la certificación externa tendrá un alcance que quedará reflejado en el certificado. Ambos conceptos están relacionados y deben mantener coherencia.
Durante la preparación habrá que revisar qué procesos afectan a las actividades incluidas, qué departamentos participan y qué documentación demuestra su funcionamiento. Una delimitación poco clara termina generando preguntas más adelante. Cuanto mejor definidos estén los límites, más sencillo será organizar la implantación.
En nuestra entrada sobre cómo conseguir una certificación ISO en España explicamos las distintas fases que atraviesa una organización antes de obtener el certificado. La definición del sistema forma parte del trabajo previo a la evaluación externa.
Un alcance demasiado amplio puede añadir trabajo innecesario
A veces se intenta incluir prácticamente cualquier actividad relacionada con la empresa pensando que un certificado más amplio siempre será mejor. La decisión merece algo más de análisis. Cada actividad incorporada debe estar respaldada por procesos, controles y evidencias que puedan ser evaluados. Ampliar el alcance también amplía aquello que deberá mantenerse bajo el sistema.
Esto se nota especialmente cuando existen líneas de negocio muy distintas. Puede haber procesos compartidos, pero también requisitos, responsables y formas de trabajo diferentes. Incluirlos sin haber estudiado previamente sus implicaciones puede complicar la implantación. El alcance debe responder a una decisión operativa y comercial razonada.
Quedarse demasiado corto tampoco suele ser buena idea
El problema contrario aparece cuando se intenta simplificar tanto el proyecto que quedan fuera actividades relevantes. El certificado puede terminar siendo técnicamente correcto, pero poco útil para los clientes que la empresa quiere captar. Reducir el alcance sin valorar sus consecuencias puede limitar el valor de la certificación.
Imagina una empresa tecnológica que desarrolla software y presta posteriormente soporte a sus clientes. Si necesita acreditar determinadas actividades ante un gran cliente, tendrá que comprobar que la descripción incluida en su certificación encaja con aquello que el cliente está solicitando. La lectura del alcance debería hacerse siempre junto al requisito que se quiere cumplir.
El alcance también importa en seguridad de la información
En un sistema como ISO 27001, delimitar correctamente el ámbito adquiere una importancia especial. Hay que analizar procesos, información, activos, tecnologías, ubicaciones y otras dependencias relacionadas con las actividades incluidas. Un límite poco claro dificulta identificar qué información y sistemas deben quedar bajo control.
La consultoría de Seguridad de la información ISO 27001 de Audita T parte del análisis de la organización y de los riesgos asociados a su actividad. En este tipo de proyectos, entender bien dónde empieza y termina el sistema evita numerosas dudas posteriores.
Qué pasa si la empresa cambia después de certificarse
Una certificación puede obtenerse cuando la empresa tiene veinte trabajadores y una sola sede. Tres años después puede contar con cincuenta personas, nuevas instalaciones y una línea de negocio que antes ni siquiera existía. El alcance debe revisarse cuando se producen cambios relevantes en la organización.
No todos los cambios obligarán a modificarlo. Una sustitución de personal o un ajuste menor de un procedimiento tendrán normalmente un tratamiento diferente a la apertura de una planta o la incorporación de una actividad completamente nueva. Lo importante es valorar cómo afecta cada cambio al sistema certificado.
Esperar a que el auditor externo detecte una diferencia importante entre el certificado y la situación actual no es una buena forma de gestionar estas modificaciones. Es preferible revisarlas cuando se producen y consultar, cuando corresponda, con la entidad certificadora. El mantenimiento del sistema incluye vigilar que su alcance siga teniendo sentido.
La auditoría interna ayuda a comprobar si el alcance sigue siendo adecuado
Una auditoría interna puede revelar que existen actividades relacionadas con el sistema que se están gestionando de manera diferente a lo previsto. También puede detectar nuevos procesos, cambios de responsabilidad o documentación que ya no refleja la estructura actual. Revisar el alcance durante la auditoría evita tratarlo como una decisión tomada para siempre.
En Audita T realizamos auditorías de Calidad ISO 9001 para comprobar el funcionamiento de los sistemas y detectar desviaciones antes de una evaluación externa. Dentro de ese trabajo, la coherencia entre actividades, procesos y documentación merece una revisión específica.
Cómo definir un alcance que siga teniendo sentido dentro de unos años
No existe una frase universal que pueda copiarse de otra empresa. Dos organizaciones del mismo sector pueden tener estructuras y necesidades comerciales diferentes. Antes de redactarlo hay que entender qué se hace, dónde se hace y qué pretende conseguir la compañía con la certificación. Un buen alcance nace del conocimiento de la actividad, no de una plantilla.
También conviene evitar descripciones innecesariamente ambiguas. El certificado debe permitir entender qué actividad ha sido evaluada sin atribuirle una cobertura que realmente no tiene. Si después la organización crece, siempre podrá estudiar una ampliación. La claridad resulta más útil que intentar abarcar demasiado desde el primer día.
Si tu empresa está preparando una certificación y tienes dudas sobre qué actividades deberían formar parte del sistema, puedes explicarnos el caso mediante nuestro formulario de contacto. En Audita T podemos revisar el punto de partida, ayudarte con la implantación y preparar la organización para la auditoría. Definir correctamente el alcance desde el comienzo evita tener que corregir decisiones cuando el proceso ya está avanzado.
