Implementar ISO 9001 paso a paso: guía 2026 | kawak®

La mayoría de las empresas que se preparan para certificar ISO 9001 empiezan por el lugar equivocado: redactan procedimientos. Escriben decenas de documentos, los guardan en una carpeta compartida y llegan a la auditoría con un problema que el auditor detecta en menos de veinte minutos. Nadie sabe cuál es la versión vigente, hay tres copias distintas del mismo formato circulando y el responsable del proceso no recuerda quién aprobó la última actualización.

El problema no es la cantidad de documentos. Es la ausencia de un programa de gestión documental: un conjunto de reglas que define cómo nace, se aprueba, se distribuye, se actualiza y se retira cada pieza de información dentro del sistema de gestión.

Este artículo explica qué exige exactamente ISO 9001:2015 en materia documental, qué información es obligatoria, qué controles debe evidenciar la organización y dónde falla la mayoría de implementaciones.

Qué es un programa de gestión documental en el contexto ISO 9001

Un programa de gestión documental es el marco que gobierna el ciclo de vida completo de la información de la organización: creación, identificación, revisión, aprobación, distribución, almacenamiento, control de cambios, conservación y disposición final.

Conviene separar dos conceptos que suelen confundirse:

• Programa de Gestión Documental (PGD) en sentido archivístico: instrumento formal y obligatorio para las entidades públicas colombianas y para los privados que cumplen funciones públicas, regulado por la Ley 594 de 2000 y el Decreto 1080 de 2015.
• Gestión de la información documentada según ISO 9001: el requisito de la norma de calidad, aplicable a cualquier organización que quiera certificarse, sin importar sector ni tamaño.

Ambos comparten lógica y se pueden integrar en una sola estructura. En la práctica, una empresa que cumple bien el numeral 7.5 de ISO 9001 ya tiene el 70% del trabajo hecho para un PGD formal. Si quieres profundizar en el enfoque archivístico y operativo, revisa los contenidos sobre sistema de gestión documental del blog.

Qué dice exactamente la norma: numeral 7.5

ISO 9001:2015 eliminó la exigencia del "manual de calidad" y de los seis procedimientos documentados obligatorios de la versión 2008. En su lugar introdujo el término información documentada, que agrupa lo que antes se llamaba documentos y registros. Todo el requisito vive en el numeral 7.5, dividido en tres apartados.

El numeral 7.5.3 añade dos matices que suelen pasar desapercibidos y que un auditor experimentado sí revisa:

1. Información documentada de origen externo (normas técnicas, planos de cliente, fichas de seguridad de proveedor) también debe identificarse y controlarse.
2. La información conservada como evidencia de conformidad debe protegerse contra modificaciones no intencionadas. Un registro que cualquiera puede editar sin dejar rastro no es evidencia válida.

La distinción que ordena todo: mantener vs. conservar

La norma usa dos verbos distintos y no es casual.

Un documento se actualiza y reemplaza. Un registro se congela: refleja un hecho ocurrido en una fecha y no debe modificarse.

Información documentada obligatoria en ISO 9001:2015

Aunque la norma flexibilizó la documentación, hay piezas que sí son exigidas de forma explícita. Esta es la base mínima que revisará cualquier auditor.

Debe mantenerse (documentos):

Debe conservarse (registros):

Todo lo demás es decisión de la organización. Y ahí está la trampa: la norma no obliga a tener un procedimiento de control de documentos, pero sí obliga a demostrar que la información se controla. En la práctica, documentar ese control es la forma más simple de evidenciarlo.

Buena parte de esa información las entradas de la revisión por la dirección, el desempeño de procesos, los objetivos de calidad se sostiene sobre mediciones. Definir bien el tablero de medición desde el principio evita reconstruirlo a última hora; un software para indicadores conectado a los mismos procesos documentados ahorra ese doble trabajo.

Cómo estructurar el programa: niveles documentales

Aunque la pirámide documental ya no es un requisito normativo, sigue siendo la forma más clara de organizar la información y de explicarla en auditoría.

El nivel 1 exige claridad sobre el entorno en el que opera la empresa. Si el análisis de contexto de la organización está mal hecho, todo lo que se documente debajo hereda el error.

Los seis controles que el auditor va a verificar

Los cinco errores que más hallazgos generan

1. Documentos aprobados por quien no tiene autoridad. El procedimiento dice que aprueba el gerente y quien firma es el analista.
2. Versiones descontroladas en carpetas compartidas. Aparecen archivos con nombres como "procedimiento_v3_final_ok_definitivo".
3. Documentos vigentes que nadie usa. Redactados para la auditoría, desconectados de la operación real.
4. Registros modificables. Hojas de cálculo abiertas donde cualquiera puede cambiar un resultado de inspección sin dejar rastro.
5. Documentación externa sin control. Se trabaja con una norma técnica derogada o con un plano de cliente desactualizado.

Los cuatro primeros tienen una causa común: la carpeta compartida no fue diseñada para controlar información documentada.

Carpeta compartida vs. software especializado

El punto de quiebre suele llegar cuando la empresa supera los 150-200 documentos vigentes o las tres sedes. A partir de ahí, el control manual deja de escalar y aparece el retrabajo. Un software de gestión documental especializado en normas ISO resuelve el ciclo completo versiones, permisos, aprobaciones y confirmación de lectura sin depender de la memoria de nadie.

Cuando además se necesita que la aprobación siga una ruta con varios responsables y tiempos definidos, el control documental se apoya en un software para workflow que automatiza la secuencia y deja registro de cada paso.

Checklist de autoevaluación

Antes de tu próxima auditoría, verifica:

• Existe un listado maestro actualizado de información documentada
• Cada documento vigente tiene código, versión, fecha y responsable de aprobación
• Se puede demostrar quién aprobó cada versión y cuándo
• Las versiones obsoletas están retiradas de los puestos de trabajo
• Los registros están protegidos contra modificación no autorizada
• Existe tabla de retención con tiempos definidos por tipo documental
• La documentación de origen externo está identificada y controlada
• Los permisos de acceso corresponden al rol de cada usuario
• Hay evidencia de que el personal conoce los documentos que aplica

Preguntas frecuentes

¿ISO 9001:2015 exige manual de calidad?
No. Dejó de ser obligatorio. Muchas organizaciones lo conservan como documento de presentación o porque un cliente lo solicita, pero la norma no lo requiere.

¿Cuántos procedimientos necesito para certificar?
Los que tu operación requiera. La versión 2015 eliminó los seis procedimientos obligatorios. Un auditor evaluará si la información documentada es suficiente para asegurar la eficacia de los procesos, no cuántos archivos hay.

¿Puedo llevar la información documentada en Excel?
Puedes, pero debes demostrar control de versiones, aprobación, acceso restringido y protección contra modificación. Cumplir eso en hojas de cálculo exige una disciplina que pocas organizaciones sostienen más de un año.

¿Cuánto tiempo debo conservar los registros?
La norma no fija plazos: los define la organización según requisitos legales, contractuales y del cliente. Esa decisión debe quedar documentada en una tabla de retención.

¿La información documentada externa también se controla?
Sí. Normas técnicas, especificaciones de cliente y documentación de proveedor deben identificarse y controlarse en la medida necesaria, según el numeral 7.5.3.2.