Cualquiera puede enseñar un sistema de gestión de la calidad a alguien que ya sabe dónde está todo. La prueba interesante es la contraria: ¿puede un sistema ser auditado por alguien que trabaja a partir de consultas, sin visita guiada, y que tiene que establecer cuál es la población antes de muestrearla?

Así que se construyó un SGC completo para un fabricante ficticio y después se auditó contra ISO 9001:2015. Durante la construcción se sembraron carencias deliberadas para ver si la auditoría las encontraba.

Qué se construyó

Una biblioteca de 65 requisitos, R01–R65, que mapea las cláusulas de ISO 9001:2015 — los criterios, guardados como ítems para poder enlazarlos, heredarlos y auditarlos como información documentada por derecho propio.

Y después Aureon Smart Systems, una empresa ficticia que fabrica válvulas inteligentes de radiador y un concentrador conectado: su documento de alcance, sus procesos, sus productos hasta nivel de componente, sus registros —revisión por la dirección, programa de auditoría interna, no conformidad y acción correctiva, diseño y desarrollo, seguimiento y medición—.

La empresa está tipada contra la biblioteca de requisitos, lo que convierte el checklist en un registro de cumplimiento: 69 requisitos en alcance, 98 filas contando las acumulaciones, con cuadre exacto.

La auditoría

65 requisitos dictaminados:

Las carencias sembradas se encontraron. Pero el resultado que merece contarse es el que nadie plantó.

El hallazgo que no se sembró

De las 36 no conformidades menores, 16 eran «contenido presente, enlace ausente».

El SGC contenía un registro que habría satisfecho el requisito. No faltaba nada. Pero ninguna arista conectaba el registro con el requisito al que respondía, de modo que la conformidad no podía establecerse por consulta — solo si alguien resultaba saber que el documento existía y se acordaba de ir a mirarlo.

Ese es un modo de fallo que un registro en una hoja de cálculo no puede ver por construcción, porque en una hoja de cálculo la conexión entre un requisito y su evidencia es la memoria de alguien. Aquí apareció como una carencia contable y direccionable.

Una auditoría de certificación real agregaría muchas de ellas en un puñado de hallazgos de sistema —control de la información documentada, contexto y partes interesadas—. Aquí se listan una por requisito porque el ejercicio puntuaba por requisito.

Trabajar como trabaja un auditor

La superficie de auditoría está construida en torno a las preguntas que un auditor hace de verdad:

• ¿Cuál es la población? Listados, siempre con un total, porque una lista de nueve sin denominador es indistinguible de los nueve primeros de trescientos.
• ¿Se movió el registro mientras lo leía? Lecturas fijadas a la reunión de apertura, e informe de deriva desde cualquier fecha.
• ¿Qué base de datos es esta, exactamente? Un bloque de procedencia que nombra el fichero, los recuentos, la última escritura y la revisión de configuración.
• ¿Puedo demostrar qué examiné? Un diario de solo-anexado de la cobertura — escrito al lado de la base de datos, no dentro, y que registra qué se leyó y no qué se devolvió.

La guía del auditor viaja dentro del producto, en /info/audit, junto con una lista de comprobación del encargo que cerrar antes de la reunión de apertura. Véase auditoría.

Lo que no hizo

La afirmación bajo prueba era «la auditoría puede realizarse solo desde KF». La respuesta honesta es en parte.

Todos los requisitos fueron alcanzables y todos los veredictos se alcanzaron a partir de datos de KF. Pero tres cosas tuvieron que venir de fuera, y una de ellas es determinante: juzgar si la evidencia es suficiente no es una consulta. KF puede mostrarle que existe un registro de revisión por la dirección, que está enlazado al requisito y que se escribió en una fecha dentro del periodo auditado. Si su contenido demuestra realmente que la dirección revisó el sistema de calidad es un juicio humano, y ninguna cantidad de estructura lo elimina.

Eso es un límite de la auditoría, no de KF — pero una página de producto que insinuara lo contrario le estaría mintiendo.