Una no conformidad no es el fallo; es su registro. Una auditoría interna encuentra una revisión que no se hizo, un incidente muestra un control que no aguantó, el cuestionario de un cliente saca a la luz una política que nadie aprobó, e ISO 27001 no pide que nada de esto ocurra nunca. Pide, en el apartado 10.2, qué hace la empresa a continuación, y pide la prueba. El hallazgo que se arregla esa misma tarde y nunca se escribe es, para el auditor de certificación, un hallazgo que nunca se trató, y reaparece en la siguiente auditoría como una segunda no conformidad sobre la primera. Este artículo lee el apartado como una secuencia, nombra las siete secciones de un registro que un auditor acepta, separa la corrección de la acción correctiva, enumera los errores que reabren un hallazgo cerrado y remite a la página gratuita que redacta el registro en el orden del apartado a partir del hallazgo, la causa, la acción y la comprobación.

Lo que pide el apartado, como secuencia

El apartado es corto y es una secuencia. Primero reaccionar: parar el problema y corregirlo donde sea posible, y tratar lo que ya haya causado. Segundo buscar la causa: revisar lo ocurrido, averiguar por qué la disposición existente lo dejó pasar, y preguntar si la misma no conformidad, u otra similar, existe en otro lugar o podría existir. Tercero actuar sobre la causa donde haga falta una acción, para que no vuelva aquí ni aparezca allí. Cuarto comprobar después que la acción funcionó. Quinto cambiar el propio sistema de gestión donde estaba la causa, en un procedimiento, un rol, un control o el registro de riesgos. Alrededor de esto hay una frase de proporción, que la acción debe corresponder al efecto de la no conformidad, y un requisito de registros: qué fue la no conformidad y qué se hizo al respecto, y qué logró la acción correctiva, conservados como información documentada según el apartado 7.5. Dos cosas se siguen de leerlo así. Un registro que solo tiene el primer paso es medio registro, porque el apartado dedica la mayoría de sus palabras a la causa y a la comprobación. Y el último paso es el que más se salta: se encuentra la causa, se hace la acción, y el procedimiento que lo permitió nunca se cambia, así que el mismo hallazgo vuelve un año después con un número nuevo.

Las siete secciones de un registro que un auditor acepta

El registro tiene siete secciones, en el orden de la norma. Una: la no conformidad, escrita como evidencia y no como opinión, con qué se encontró, dónde, cuándo, por quién, y frente a qué requisito de la norma o qué control de la propia declaración de aplicabilidad de la empresa. Dos: la corrección y las consecuencias, qué se hizo de inmediato para parar y arreglar el caso, y qué había causado ya y cómo se trató, la cuenta de la persona que salió eliminada y su uso desde la fecha de salida comprobado. Tres: la causa, con el método usado para encontrarla, cinco porqués, un diagrama de causa y efecto o una simple revisión, y escrita como la razón por la que la disposición falló y no como el síntoma: no "se saltó la revisión" sino "la revisión estaba asignada a una persona por su nombre y nadie la asumió durante su ausencia". Cuatro: si el mismo problema existe en otro lugar, porque una causa de ese tipo rara vez vive en un solo sitio, y la respuesta, comprobada y escrita, o bien amplía la acción o bien deja constancia de que se miraron los otros sitios. Cinco: la acción correctiva, un cambio en la disposición y no otro recordatorio, con un responsable y una fecha límite, y proporcionada: una errata en una política necesita una corrección y una nota, una revisión de accesos a la base de datos de producción que se saltó necesita la secuencia entera. Seis: la comprobación de la eficacia, con una fecha posterior a la acción y una forma de comprobar que sea evidencia, las dos siguientes revisiones trimestrales completadas dentro del trimestre y visibles en el gestor de tareas, y una línea de resultado que queda vacía hasta que se hace la comprobación. Siete: el cambio en el sistema de gestión, qué documento, qué entrada del registro de riesgos, qué control, y su nueva aprobación, o una frase que diga que no hace falta ningún cambio y por qué. El registro se cierra solo cuando la sección seis tiene un resultado, y se conserva con el estado y la fecha.

Corrección no es acción correctiva

El apartado usa dos palabras que el registro tiene que mantener separadas. La corrección es lo que arregla el caso: la revisión hecha tarde, la cuenta eliminada, el documento aprobado. La acción correctiva es lo que cambia la disposición para que el caso no se repita: la revisión asignada a un rol con suplente y abierta por el gestor de tareas el primer día del trimestre. Un registro que archiva la corrección como acción correctiva, que es el hallazgo más común sobre los hallazgos, le dice al auditor que la causa nunca se buscó, y la prueba de la propia norma es la pregunta de la repetición: si lo mismo pudiera pasar el trimestre que viene de la misma forma, solo se ha hecho la corrección. La frase de proporción corta en el otro sentido y pesa lo mismo: no toda no conformidad necesita un análisis de causa, un plan de acción y un cambio en el sistema, y una empresa que aplica la secuencia entera a cada errata produce un registro que nadie lee. El juicio, anotado en una línea, es lo que pide el apartado, el efecto de la no conformidad decide hasta dónde llega la secuencia, y el auditor lee la línea.

Los errores que reabren un hallazgo

El registro cerrado el día en que se hizo la acción, sin comprobar que funcionó; el auditor pide la evidencia de la eficacia y no la hay. La causa escrita como el síntoma, de modo que la acción es un recordatorio y el hallazgo vuelve. Nadie preguntó si el mismo problema existía en otro lugar, y el auditor lo encuentra allí. La acción no tiene responsable o no tiene fecha, de modo que la revisión por la dirección no puede informar de ella según el apartado 9.3 y la siguiente auditoría interna según el apartado 9.2 la encuentra todavía abierta. El procedimiento que lo dejó pasar nunca se cambió, o se cambió y nunca se volvió a aprobar, de modo que la información documentada según el apartado 7.5 contradice el registro. Los hallazgos de la auditoría de certificación se trataron y los de las auditorías internas no, o al revés, porque los dos vivían en sitios distintos. El registro lo cerró la persona responsable de la acción, sin que nadie más mirara. Y ningún registro general, de modo que nadie puede decir cuántas no conformidades se abrieron y cerraron en el periodo, que es la primera de las cuatro tendencias de las que informa la revisión por la dirección. Cada uno de estos errores se evita redactando el registro en el orden del apartado y dejando una sección vacía en vez de saltarla, porque una sección vacía se ve y una saltada no.

Qué hacer con ello

Introduzca el hallazgo en la página gratuita: la empresa, la referencia, la fecha y de dónde viene el hallazgo, el requisito afectado, luego la no conformidad, la corrección y las consecuencias, la causa y el método, si existe en otro lugar, la acción con su responsable y su fecha límite, cómo y cuándo se comprueba la eficacia, y si cambia el sistema de gestión. La página redacta el registro en el orden del apartado, con los datos del registro en el enlace y el texto libre en la página, y deja el resultado de la eficacia como un hueco hasta que se haga la comprobación. Cópielo, haga que lo cierre alguien distinto del responsable de la acción, archívelo como la información documentada de la no conformidad, y cuéntelo en la siguiente revisión por la dirección. StandardOS abre una no conformidad desde un hallazgo de auditoría, un control fallido o un incidente, con la corrección, la causa, la acción, el responsable y la verificación como campos, la fecha límite a la vista, y la revisión por la dirección recogiendo las que siguen abiertas; el programa de auditoría interna es de donde vienen la mayoría de los hallazgos, el acta de la revisión por la dirección es donde se cuentan, y los controles del anexo A son donde suele nombrarse el requisito afectado.