Las no conformidades que más se repiten en las auditorías ISO 9001 (y cómo evitarlas)

Las no conformidades más comunes en las auditorías ISO 9001 se concentran en un puñado de requisitos que fallan una y otra vez: documentos sin control de versiones, objetivos de calidad que nadie mide, auditorías internas incompletas, revisiones por la dirección con entradas a medias, proveedores sin evaluar, equipos de medición sin calibrar y acciones correctivas que tratan el síntoma en lugar de la causa. Quien revisa estos diez puntos un mes antes de la auditoría cubre la mayor parte del terreno donde los auditores encuentran hallazgos.

Esta lista complementa la guía sobre gestión de no conformidades y acciones correctivas: aquella explica cómo tratar una no conformidad cuando ya existe; esta te dice dónde suelen aparecer. Y si lo que tienes delante es tu primera certificación, el mapa completo de normas, auditorías y procesos está en el vertical de certificaciones ISO.

Antes de la lista: qué es una no conformidad y cómo se clasifica

Una no conformidad es un incumplimiento de un requisito: de la norma, de tu propio sistema de gestión o de un compromiso con el cliente. No es una opinión del auditor; debe apoyarse en una evidencia concreta. En una auditoría de certificación se distinguen habitualmente tres niveles:

• No conformidad mayor: un requisito no se cumple en absoluto, o hay un fallo sistemático que pone en duda que el sistema funcione. Bloquea la certificación hasta que se resuelve.
• No conformidad menor: un incumplimiento puntual que no tumba el sistema. Se puede certificar con menores abiertas, pero exigen un plan de acción con plazos.
• Observación u oportunidad de mejora: no es un incumplimiento; es un aviso de algo que podría convertirse en no conformidad si se descuida.

La frontera entre mayor y menor la marca la extensión del fallo, no el requisito afectado: la misma carencia puede ser menor si es un caso aislado y mayor si el auditor encuentra el patrón repetido en tres departamentos.

Las 10 no conformidades más frecuentes

El orden no es un ranking científico —ISO no publica estadísticas de hallazgos por requisito—, sino la síntesis de lo que auditores y consultores señalan de forma recurrente en pymes españolas.

1. Información documentada sin control

El clásico entre los clásicos: procedimientos en versión 3 circulando cuando la vigente es la 5, plantillas obsoletas en cada escritorio, registros sin fecha ni firma, documentos «aprobados» que nadie sabe quién aprobó. El requisito de información documentada (apartado 7.5) pide algo muy concreto: saber qué versión es la buena, quién la aprobó y que la obsoleta no pueda usarse por error.

Cómo evitarla: una única ubicación oficial para los documentos vigentes, fecha y versión en cada uno, y retirada activa de las copias viejas, también las impresas.

2. Riesgos y oportunidades identificados… y abandonados

Muchas organizaciones hicieron su análisis de riesgos y oportunidades al implantar el sistema y no lo han vuelto a tocar. El auditor pregunta «¿qué ha cambiado desde entonces?» y la respuesta es un silencio incómodo. El enfoque a riesgos no es un documento fundacional, es un ciclo: identificar, planificar acciones, ejecutarlas y evaluar si funcionaron.

Cómo evitarla: revisa la matriz de riesgos al menos una vez al año y deja rastro escrito de qué acciones se derivaron y en qué estado están.

3. Objetivos de calidad que nadie mide

Los objetivos existen, están escritos y hasta enmarcados. Pero no tienen indicador, ni responsable, ni plazo, ni seguimiento. «Mejorar la satisfacción del cliente» sin cifra de partida ni meta no es un objetivo, es un deseo; al auditor le basta pedir la última medición.

Cómo evitarla: cada objetivo con indicador, valor de partida, meta, responsable y periodicidad de seguimiento. Tres objetivos bien medidos valen más que diez decorativos.

4. Auditoría interna incompleta o sin independencia

Fallos típicos: el programa no cubre todos los procesos del alcance, la auditoría interna se hizo la semana antes de la externa (sin tiempo para cerrar acciones), o la realiza alguien que audita su propio trabajo. También la versión «de mínimos»: una mañana para todo el sistema y un informe de dos líneas.

Cómo evitarla: planifícala con dos o tres meses de margen respecto a la externa y que nadie evalúe su propia área. La guía de auditoría interna ISO detalla cómo montar un programa proporcionado al tamaño de la empresa.

5. Revisión por la dirección con entradas a medias

La norma pide que la dirección revise el sistema con una serie de entradas concretas: resultados de auditorías, desempeño de procesos, satisfacción del cliente, estado de acciones correctivas, desempeño de proveedores… Muchas actas cubren tres o cuatro y omiten el resto. El auditor coteja el acta contra la lista completa y la no conformidad se escribe sola.

Cómo evitarla: un orden del día que recorra todas las entradas exigidas, aunque alguna conclusión sea «sin cambios relevantes». Y que del acta salgan decisiones, no solo constataciones.

6. Competencia y formación sin evidencias

La empresa forma a su gente, pero no puede demostrarlo: sin registros de la formación impartida, sin competencia definida por puesto, o con personal haciendo tareas críticas sin la cualificación establecida. También asoma la formación sin evaluación de eficacia: se dio el curso, pero nadie comprobó si sirvió.

Cómo evitarla: ficha de competencia por puesto, registro de cada acción formativa y una evaluación de eficacia sencilla (basta la valoración del responsable pasados unos meses).

7. Proveedores externos sin evaluación ni seguimiento

Casi todas las empresas evaluaron a sus proveedores al implantar el sistema; muchas no lo han vuelto a hacer. Otras tienen criterios de selección que luego no aplican: compran a quien sea por urgencia y el sistema no se entera. El requisito no pide burocracia, pide criterio: saber a quién compras lo que afecta a tu calidad y reaccionar cuando falla.

Cómo evitarla: reevaluación periódica (anual es lo habitual) con criterios simples —incidencias, plazos, calidad de lo servido— y registro de qué haces con los problemáticos.

8. Equipos de medición sin calibrar o sin verificar

Básculas, manómetros, pies de rey, termómetros de cámaras frigoríficas: si el resultado de una medición afecta a la conformidad del producto, el equipo debe estar calibrado o verificado, con criterio y registro. Hallazgos típicos: calibraciones caducadas, equipos sin identificar o certificados que nadie ha revisado para comprobar si el error detectado era aceptable para el uso.

Cómo evitarla: inventario de equipos con fecha de próxima calibración y alerta antes del vencimiento. Y lee los certificados: archivarlos sin mirarlos es otra no conformidad en potencia.

9. Acciones correctivas que no atacan la causa raíz

Se abre la no conformidad, se corrige el fallo puntual y se cierra el expediente. Falta lo esencial: analizar por qué ocurrió y actuar sobre esa causa. El auditor lo detecta cuando la misma no conformidad reaparece año tras año, o cuando el campo «análisis de causas» dice «error humano» en todos los registros.

Cómo evitarla: una técnica de análisis de causas proporcionada al problema (los 5 porqués llega para la mayoría) y verificación de eficacia pasado un tiempo.

10. Satisfacción del cliente sin seguimiento real

La encuesta anual que casi nadie responde y que nadie analiza. O directamente ningún mecanismo de escucha: ni encuestas, ni análisis de reclamaciones, ni seguimiento comercial documentado. La norma no exige encuestas; exige saber cómo perciben los clientes tu servicio, por el canal que tenga sentido en tu negocio.

Cómo evitarla: uno o dos mecanismos realistas (análisis de reclamaciones y repetición de compra funcionan mejor que encuestas ignoradas), frecuencia de revisión fijada y conclusiones llevadas a la revisión por la dirección.

Checklist exprés: repásalo un mes antes de la auditoría

1. ¿La versión vigente de cada documento es localizable y las obsoletas están retiradas?
2. ¿La matriz de riesgos tiene fecha de este año y acciones con estado actualizado?
3. ¿Cada objetivo de calidad tiene indicador, meta, responsable y última medición?
4. ¿La auditoría interna cubrió todo el alcance y sus acciones están cerradas o en plazo?
5. ¿El acta de revisión por la dirección recorre todas las entradas exigidas?
6. ¿Puedes evidenciar la competencia del personal en tareas críticas?
7. ¿La evaluación de proveedores está al día y se aplica de verdad?
8. ¿Ningún equipo de medición tiene la calibración caducada?
9. ¿Las acciones correctivas del último año tienen análisis de causas y verificación de eficacia?
10. ¿Hay datos recientes de satisfacción del cliente y alguien los ha analizado?

Si respondes que no a alguna, mejor descubrirlo tú ahora que el auditor después. Y si estás aún montando el sistema, la guía completa de implantación y certificación ISO 9001 ordena todo el camino desde cero.

Te han levantado una no conformidad: qué hacer ahora

Primero, calma: salir de una auditoría con no conformidades menores es lo normal, no un fracaso. El certificado no se pierde por tener hallazgos; se pierde por no tratarlos. El proceso estándar tiene cinco pasos:

1. Aceptar el hallazgo o rebatirlo con evidencias. Se discuten los hechos, no el criterio del auditor.
2. Corregir el efecto inmediato. El documento que faltaba, el registro sin firmar, el equipo sin calibrar.
3. Analizar la causa raíz. Por qué ocurrió, no quién lo hizo.
4. Definir la acción correctiva con plazo y responsable. Sin fecha ni nombre, no es una acción.
5. Presentar el plan a la entidad certificadora en el plazo que fije, normalmente de pocas semanas.

Las mayores exigen además evidencia de implantación antes de emitir o mantener el certificado.

Un apunte de contexto sobre la versión de la norma: la revisión de ISO 9001 está en su fase final de aprobación (FDIS) y la publicación de la nueva edición se espera hacia septiembre de 2026, así que a día de hoy la vigente sigue siendo la de 2015. Cuando se publique habrá un periodo de transición, pero los diez puntos de esta lista son disciplina básica del sistema y seguirán siendo terreno de hallazgos con cualquier edición.

Recuerda que el certificado con valor en el mercado es el acreditado: en España, emitido por una entidad certificadora acreditada por ENAC o por un acreditador equivalente firmante de los acuerdos internacionales de reconocimiento. Si dudas de qué normas o esquemas aplican a tu caso, la herramienta ¿Qué normativa me aplica? te da una primera orientación en dos minutos.

Preguntas frecuentes

Fuentes

• ISO — página oficial de la familia ISO 9000 y del proceso de revisión de ISO 9001: iso.org/iso-9001-quality-management.html
• ENAC, Entidad Nacional de Acreditación — buscador de entidades de certificación acreditadas: enac.es
• UNE, Asociación Española de Normalización — adopción española de las normas ISO: une.org
• Global Accreditation Cooperation Incorporated — organización internacional de acreditación que mantiene el acuerdo de reconocimiento multilateral de los certificados acreditados. Nació el 1 de enero de 2026 de la fusión del IAF y el ILAC, que cesaron operaciones ese mismo día.