La perspectiva de Cyber Academy
Una no conformidad es el hallazgo del auditor de que un requisito no se cumple. Las NC mayores ponen en riesgo el certificado; las NC menores exigen un plan de acción correctiva con plazo. Las NC menores repetidas en la misma área pueden escalar a mayores en la siguiente auditoría de seguimiento. El objetivo no es cero NC, sino una acción correctiva honesta y trazable.
Qué es realmente una no conformidad
Una no conformidad registra una brecha entre lo que exige un requisito y lo que un auditor puede constatar en la práctica. El requisito puede provenir de la propia norma (por ejemplo, una cláusula de ISO/IEC 27001), de un control que usted declaró aplicable en su Declaración de Aplicabilidad, o de su propia política documentada. Si lo escribió y se comprometió a ello, un auditor puede exigirle que lo cumpla. Ese último punto pilla desprevenidos a los equipos: prometer de más en una política crea no conformidades que la norma por sí sola nunca habría generado.
Una no conformidad no es lo mismo que una observación o una oportunidad de mejora. Una observación señala algo que el auditor quiere dejar constancia sin afirmar que se incumple un requisito. Una no conformidad es una afirmación definitiva de que un requisito no se cumple, respaldada por evidencia objetiva como un registro, una entrevista o un artefacto faltante. La distinción importa porque solo las no conformidades obligan a una respuesta formal.
Mayor frente a menor, y cómo las menores escalan
Los auditores clasifican los hallazgos por su impacto en el sistema de gestión, no por lo molestos que les resulten. Una no conformidad mayor significa que un requisito está fundamentalmente ausente, o que un fallo es lo bastante generalizado como para socavar la confianza en que el sistema funciona. Las mayores ponen en riesgo la decisión de certificación y suelen tener que cerrarse antes de que la certificación o la recertificación pueda continuar. Una no conformidad menor es un desliz aislado en un proceso que por lo demás funciona: una única revisión faltante, un registro que no se firmó.
La trampa está en tratar las menores como inofensivas. El mismo hallazgo menor en la misma área, auditoría tras auditoría, le indica al auditor que su acción correctiva nunca solucionó la causa raíz. En la siguiente auditoría de seguimiento ese patrón puede reclasificarse como mayor, porque un control que sigue fallando de la misma forma no está operando realmente.
| Aspecto | NC menor | NC mayor |
|---|---|---|
| Alcance | Desliz aislado y contenido | Ausencia sistémica o total de un requisito |
| Efecto en el certificado | El certificado normalmente sigue adelante | Puede bloquear o suspender la certificación |
| Respuesta requerida | Plan de acción correctiva con un plazo | A menudo corrección más reverificación in situ o por evidencia |
| Si se repite | Puede escalar a mayor la próxima vez | Ya en lo más alto de la escala |
Qué hacen realmente los profesionales con una
Cerrar bien una no conformidad es un proceso, no una disculpa. El patrón reconocido es corrección, luego acción correctiva, luego verificación de la eficacia. La corrección es el arreglo inmediato del caso concreto que el auditor encontró. La acción correctiva es el movimiento más profundo: un análisis de causa raíz que explica por qué existía la brecha y un cambio que evita que se repita. La verificación confirma, con evidencia y tras haber transcurrido tiempo suficiente, que el cambio realmente se mantuvo.
Cada uno de estos elementos pertenece a un plan de acción correctiva con un responsable y un plazo realista que el auditor acepte. La evidencia que presente debería permitir que alguien que no estuvo en la sala reconstruya lo ocurrido y confirme que está cerrado. Aquí es donde la honestidad rinde frutos: un auditor prefiere ver un número reducido de acciones correctivas bien trazadas que un informe de apariencia impecable que no resiste el escrutinio.
Frequently asked questions
01¿Cuál es la diferencia entre una no conformidad y una observación?
Una observación anota algo que vale la pena registrar sin afirmar que se incumple un requisito. Una no conformidad es un hallazgo definitivo, respaldado por evidencia objetiva, de que un requisito no se cumple y que, por tanto, exige una acción correctiva formal.
02¿Una no conformidad menor impedirá que nos certifiquemos?
Normalmente no por sí sola. La certificación suele seguir adelante una vez que usted presenta un plan de acción correctiva aceptado con un plazo. La no conformidad mayor es la que puede bloquear o suspender el certificado.
03¿Una no conformidad menor puede convertirse en una mayor?
Sí. El mismo hallazgo menor que reaparece en la misma área a lo largo de las auditorías indica que su acción correctiva nunca llegó a la causa raíz, de modo que el auditor puede reclasificarla como mayor en la siguiente auditoría de seguimiento.
04¿Qué se necesita para cerrar una no conformidad?
La corrección del caso concreto, una acción correctiva que aborde la causa raíz para que no se repita, y la verificación con evidencia de que el arreglo realmente se mantuvo. Los tres se incorporan a un plan de acción correctiva con un responsable y un plazo.
05¿Deberíamos aspirar a cero no conformidades?
No. Un número reducido de hallazgos identificados con honestidad, cada uno con una acción correctiva trazable, es una señal más saludable que un informe impecable. Cero hallazgos a menudo significa que el sistema no se está poniendo realmente a prueba.