Qué es la estructura de alto nivel de las normas

La empresa tenía tres certificados y tres sistemas. Tres controles de documentos, tres programas de auditoría interna, tres revisiones por la dirección al año y tres listas de partes interesadas que no coincidían entre sí, pese a que la empresa era una sola y los procesos también. Nadie lo había diseñado así: había pasado que cada certificación se implementó en su momento, con su consultor y su carpeta, y nadie notó que las tres normas pedían lo mismo en los mismos capítulos.

Por qué todas las normas ISO se parecen

Desde 2012 ISO obliga a que todas sus normas de sistemas de gestión se escriban sobre un mismo esqueleto: diez capítulos con el mismo título y en el mismo orden, un vocabulario común y un conjunto de requisitos idénticos palabra por palabra. Esa plantilla se conocía como estructura de alto nivel o Anexo SL, y desde su actualización de 2021 se llama estructura armonizada. El objetivo declarado era terminar con el problema del ejemplo: que una organización con varios sistemas de gestión tuviera que mantener estructuras paralelas para requisitos que eran el mismo.

Por eso la ISO 9001, la ISO 14001, la ISO 45001, la ISO 27001 y la ISO 50001 tienen el capítulo 4 dedicado al contexto, el 5 al liderazgo, el 6 a la planificación, el 7 al apoyo, el 8 a la operación, el 9 a la evaluación del desempeño y el 10 a la mejora. No es coincidencia ni imitación: es la misma plantilla con requisitos específicos injertados encima.

Qué comparten de verdad

• —Contexto de la organización, partes interesadas y sus requisitos, y determinación del alcance del sistema.
• —Liderazgo y compromiso de la alta dirección, política, y asignación de roles, responsabilidades y autoridades.
• —Acciones para abordar riesgos y oportunidades, objetivos y planificación para lograrlos, y planificación de los cambios.
• —Recursos, competencia, toma de conciencia, comunicación e información documentada.
• —Seguimiento, medición, análisis y evaluación; auditoría interna; revisión por la dirección.
• —No conformidad y acción correctiva, y mejora continua.

Todo eso se implementa una sola vez para toda la organización. Un procedimiento de control de la información documentada, un programa anual de auditoría que cubra las tres normas en las mismas visitas, una revisión por la dirección con una agenda que incluya las entradas de cada sistema, una matriz de partes interesadas que registre lo que cada una espera en calidad, en ambiente y en seguridad. La integración no es un permiso especial que haya que pedir: es la consecuencia natural de que los requisitos sean idénticos.

Qué no se puede integrar

Aquí es donde la simplificación se vuelve riesgo. Lo común es el esqueleto; lo específico de cada norma sigue siendo obligatorio y no tiene equivalente en las otras. La identificación y evaluación de aspectos ambientales solo vive en la ISO 14001. La identificación de peligros, la jerarquía de controles y la consulta y participación de los trabajadores solo viven en la ISO 45001. La declaración de aplicabilidad y el tratamiento de riesgos de seguridad de la información solo viven en la ISO 27001. Y el capítulo 8 de la ISO 9001 —requisitos del cliente, diseño y desarrollo, control de proveedores externos, producción, liberación, salidas no conformes— es propio de calidad y es, con diferencia, el más extenso de todos.

El error típico de la integración mal hecha es tomar la matriz de riesgos de calidad y declarar que también cubre los riesgos ambientales y los peligros laborales. Son tres análisis con metodologías, criterios y salidas distintas, y ninguna auditoría los acepta como uno solo.

Qué gana una empresa que integra bien

Gana en tres frentes medibles: menos documentos que mantener, menos días de auditoría porque el organismo puede auditar en modo combinado los requisitos comunes, y una sola conversación de dirección sobre desempeño en lugar de tres reuniones desconectadas. El cuarto beneficio no es medible pero es el que más se nota: la organización deja de vivir la certificación como tres proyectos que compiten por el mismo tiempo del mismo personal.

Es una decisión que aparece temprano en plazas donde acumular certificados es la norma y no la excepción. En Querétaro, con el aeroespacial pidiendo AS9100, el automotriz pidiendo IATF 16949 y los corporativos añadiendo requisitos ambientales y de seguridad, es común que una planta cargue tres o cuatro esquemas a la vez sobre la misma base de calidad; definir desde el arranque qué se implementa una vez y qué tiene que ir por separado ahorra meses y es parte del alcance de Consultoría ISO 9001 en Querétaro.

En resumen

La estructura armonizada hace que todas las normas ISO de sistemas de gestión compartan diez capítulos, un vocabulario y un bloque grande de requisitos idénticos, y eso permite montar un solo sistema con varios alcances en lugar de sistemas paralelos. Lo que no permite es dar por cubierto lo específico de cada norma: los aspectos ambientales, los peligros laborales, los controles de información y el capítulo de operación de calidad siguen siendo propios. Integrar bien es reconocer las dos cosas al mismo tiempo.