Cómo se verifica que un certificado ISO 9001 es válido

El expediente de alta de proveedor llegó completo: acta constitutiva, opinión de cumplimiento, póliza de responsabilidad civil y un PDF de una página con un sello dorado, el nombre de la empresa y la leyenda ISO 9001:2015. La compradora de la cadena lo dio por bueno y el proveedor entró al padrón. Catorce meses después, cuando el corporativo auditó su propia cadena de suministro, se encontró tres cosas en ese PDF: el alcance decía comercialización y distribución, y lo que la empresa surtía era producto que ella misma manufacturaba; la dirección del certificado correspondía a una oficina, no a la planta; y el organismo que lo emitió no aparecía en el directorio de ninguna entidad de acreditación. El certificado no era falso. Simplemente no servía para lo que se estaba usando.

Qué tiene que decir un certificado

La norma que gobierna a los organismos de certificación es la ISO/IEC 17021-1, y ahí está la lista de lo que un certificado debe contener. No es una recomendación de formato: es un requisito para el organismo, y por eso un documento al que le falten piezas es en sí mismo una señal. Tiene que identificar el nombre y la dirección de la organización certificada, la fecha de emisión, la fecha de vencimiento y la referencia al ciclo de certificación, la norma aplicable con su año de versión, el alcance de la certificación, el nombre y la dirección del organismo que lo emite y un identificador único del certificado.

A eso se suma la marca de acreditación, que es la pieza que la mayoría de los compradores mira sin leer. Un certificado emitido por un organismo acreditado lleva el símbolo del organismo de acreditación junto con el número bajo el cual está acreditado. Si el documento solo trae el logotipo del certificador y ningún símbolo de acreditación, lo que tienes en la mano es la opinión de una empresa privada que nadie audita.

Certificación y acreditación no son lo mismo

La cadena tiene tres eslabones y conviene tenerla clara antes de revisar cualquier documento. La empresa se certifica; quien la certifica es un organismo de certificación; y a ese organismo lo acredita un organismo de acreditación —en México, la Entidad Mexicana de Acreditación— que a su vez está sujeto a los acuerdos de reconocimiento multilateral del Foro Internacional de Acreditación. Ese último eslabón es el que hace que un certificado emitido en Querétaro valga en Alemania. Un certificado sin acreditación reconocida rompe la cadena en el segundo eslabón y no tiene por qué ser aceptado por ningún cliente.

Los seis puntos que se revisan, en orden

• —La entidad legal: el nombre en el certificado debe coincidir exactamente con el de la empresa que firma el contrato. Un certificado a nombre del corporativo no cubre a la filial que factura, y uno a nombre de una sociedad anterior no cubre a la actual.
• —La vigencia: fecha de emisión, fecha de vencimiento y —en certificados de ciclos posteriores— la fecha de la certificación original. Un certificado dentro de vigencia puede estar suspendido, así que la fecha no basta por sí sola.
• —La norma y su versión: ISO 9001:2015 no es lo mismo que una edición anterior, y en periodos de transición circulan certificados de la versión saliente que dejan de ser válidos en una fecha determinada.
• —El alcance: qué actividades, qué productos y qué procesos cubre. Es el campo que más se pasa por alto y el que más veces no coincide con lo que el proveedor realmente hace para ti.
• —Los sitios: la dirección o el anexo de sitios cubiertos. En certificaciones multisitio el certificado principal suele venir acompañado de una lista, y la planta que te surte tiene que estar en esa lista.
• —La acreditación: símbolo del organismo de acreditación y número. Sin eso, el resto de la revisión es irrelevante.

Dónde se comprueba, fuera del PDF

Ningún dato del certificado se valida leyendo el certificado. Se valida en tres lugares. El primero es el directorio público del organismo de certificación: los organismos acreditados están obligados a mantener información sobre la validez de las certificaciones que otorgan y a proporcionarla cuando alguien la solicita. El segundo es la base de datos global de certificados válidos que mantiene el Foro Internacional de Acreditación, alimentada por los propios organismos, donde se busca por empresa o por número de certificado. El tercero es el directorio del organismo de acreditación, que sirve para lo otro: comprobar que el certificador está acreditado, para qué normas y bajo qué alcance sectorial.

Ese último punto tiene una vuelta de tuerca que casi nadie revisa. La acreditación de un organismo tiene alcance: cubre determinadas normas y determinados sectores. Un certificador acreditado para ISO 9001 no necesariamente lo está para ISO 13485, y uno acreditado para servicios puede no estarlo para manufactura de alimentos. Un certificado emitido fuera del alcance de la acreditación del propio organismo es, en la práctica, un certificado no acreditado.

El alcance es la parte que más problemas causa

La mayoría de los certificados que circulan son auténticos, están vigentes y están acreditados. El problema casi siempre es otro: el alcance no cubre la operación que le compras al proveedor. Casos típicos: el certificado ampara diseño y comercialización pero la manufactura está subcontratada y no entra; ampara una planta y el material sale de otra; ampara una familia de producto y el que te venden es de otra; o ampara la operación de servicio pero no el laboratorio interno que emite los certificados de análisis que te llegan con cada lote.

Por eso la revisión útil no es una casilla en el expediente. Es leer el alcance en voz alta y preguntarse si describe lo que ese proveedor hace por tu empresa. Cuando no lo describe, la conclusión no es rechazarlo: es saber que ese riesgo queda sin cubrir por el certificado y que hay que cubrirlo por otra vía, típicamente con criterios de evaluación propios o con una auditoría de segunda parte.

Suspendido, retirado, vencido y reducido

Un certificado deja de ser válido de cuatro formas distintas y solo una de ellas es visible en el documento. El vencimiento sí se ve. La suspensión no: el organismo la aplica temporalmente cuando el cliente incumple —no cierra hallazgos en plazo, no permite la auditoría de vigilancia, usa mal la marca— y durante ese periodo el certificado no puede usarse, aunque el PDF siga diciendo lo mismo. El retiro es definitivo. Y la reducción de alcance ocurre cuando el organismo saca del certificado una parte que la empresa dejó de cumplir; el documento se reemite y el PDF que el proveedor guardó en su carpeta de ventas suele ser el anterior. Ninguna de las tres se detecta sin consultar la fuente.

Dónde se rompe en la operación

Del lado de quien evalúa proveedores el problema es que el certificado se archiva y no se vuelve a mirar hasta que alguien lo pide. Del lado de quien se certifica el problema es el inverso y es el que aquí importa: llegar al alta de proveedor con un certificado cuyo alcance no describe lo que la empresa vende, o con un organismo cuya acreditación el cliente no reconoce, y descubrirlo cuando el contrato ya tenía fecha. Es una situación frecuente entre proveedores de la Ciudad de México que licitan con dependencias, surten a cadenas de retail o entran a la cadena de suministro de corporativos financieros y de salud, donde el área de compras revisa el alcance línea por línea. Definir desde el inicio qué alcance necesita el certificado, con qué sitios y con qué organismo, es parte de lo que se decide en la Consultoría ISO 9001 en Ciudad de México, porque corregir un alcance mal definido después de la certificación cuesta una auditoría de ampliación y varios meses.

En resumen

Un certificado ISO 9001 válido identifica a la entidad legal exacta, la norma con su versión, el alcance, los sitios, las fechas y un número único, y lleva la marca de un organismo de acreditación reconocido. Nada de eso se da por bueno leyendo el PDF: se comprueba en el directorio del certificador, en la base de datos de la IAF y en el directorio del organismo de acreditación, que además dice si el certificador estaba acreditado para esa norma y ese sector. Y la falla más común no es la falsificación, sino un alcance auténtico que no cubre lo que la empresa realmente entrega.