Tu primera auditoría de certificación ISO, sin sustos: así funcionan las dos etapas

La auditoría de certificación ISO es el examen que una entidad certificadora independiente hace a tu sistema de gestión para comprobar dos cosas: que cumple los requisitos de la norma y que funciona de verdad en el día a día. Se desarrolla en dos etapas. En la etapa 1 el auditor revisa tu documentación y evalúa si estás preparado para el examen de fondo; en la etapa 2 verifica sobre el terreno, con entrevistas y evidencias, que lo que dicen tus documentos se cumple en la práctica. Si el resultado es favorable, la certificadora emite un certificado con una validez de tres años, sujeto a auditorías de seguimiento anuales.

Ese es el esquema completo. Lo que sigue es el detalle: qué pasa en cada etapa, qué te van a pedir, cuánto dura, qué tipos de hallazgos existen y por qué una no conformidad no es el fin del mundo. Si todavía estás decidiendo qué norma te conviene certificar, antes de seguir puedes pasar por el comprobador de normativa aplicable o por la página del vertical de certificaciones ISO, donde está el mapa completo de normas y procesos.

Qué es la auditoría de certificación y por qué se divide en dos etapas

Cuando implantas una norma ISO (9001, 14001, 27001, 45001 o cualquier otra certificable), el certificado no te lo da ISO ni te lo das tú: lo emite una entidad de certificación tras auditarte. En España, el sello con más reconocimiento es el de las certificadoras acreditadas por ENAC, la Entidad Nacional de Acreditación, que vigila que las certificadoras trabajen con competencia e imparcialidad. Si aún no has elegido con quién certificarte, aquí tienes una guía para elegir certificadora acreditada y un repaso de los organismos certificadores que operan en España y sus costes.

¿Y por qué dos etapas y no una sola visita? Por eficiencia y por justicia con el cliente. Las reglas internacionales de certificación exigen separar la evaluación en dos momentos:

• Etapa 1: comprobar que estás listo. Sería absurdo (y caro) desplegar el equipo auditor completo para descubrir el primer día que te falta media documentación o que no has hecho ninguna auditoría interna. La etapa 1 filtra eso antes.
• Etapa 2: comprobar que cumples. Con la preparación confirmada, el auditor dedica el grueso de las jornadas a verificar la implantación real: procesos funcionando, registros generados, gente que sabe lo que hace.

Entre ambas etapas tienes un margen para corregir lo que la etapa 1 detecte. Ese diseño convierte la certificación en un proceso escalonado en el que las sorpresas de última hora son raras si has hecho los deberes.

Un matiz importante: el auditor de certificación no puede asesorarte. Su imparcialidad se lo prohíbe. Te dirá qué incumples, pero no te diseñará la solución; para eso están los consultores, y por eso conviene llegar a la auditoría con el trabajo previo bien hecho.

Antes de la auditoría: lo que tiene que estar hecho

La certificadora no te auditará (o la etapa 1 acabará mal) si el sistema no tiene un rodaje mínimo. Antes de fijar fechas, comprueba que puedes responder «sí» a esto:

• El sistema lleva funcionando unos meses. No hay un plazo universal, pero un sistema recién estrenado no ha generado los registros que el auditor necesita ver. En la práctica, la mayoría de las pymes llegan a la etapa 2 con al menos tres meses de registros reales (orientativo, 2026).
• Has completado al menos un ciclo de auditoría interna. Es requisito de todas las normas de sistemas de gestión y es lo primero que se mira. Si no la has hecho o no sabes por dónde empezar, aquí está la guía completa de auditoría interna ISO.
• Has celebrado una revisión por la dirección. Con acta: qué entradas se analizaron, qué decisiones se tomaron.
• Los hallazgos de tu auditoría interna están tratados. No hace falta que todo esté cerrado, pero sí que exista un plan de acción en marcha. Llegar a la etapa 2 con tus propias no conformidades internas abandonadas es un clásico que se paga caro.

Si certificas ISO 9001 o ISO 14001, pregunta contra qué edición te auditan

Las dos normas están en momentos distintos de su revisión, y confundirlos cuesta dinero:

• ISO 14001 ya tiene edición nueva. La ISO 14001:2026 se publicó en abril de 2026 y sustituye a la de 2015 (enmienda climática de 2024 incluida). La transición es de tres años: los certificados emitidos contra la versión de 2015 deben migrar antes de mayo de 2029 para seguir siendo válidos. Si te certificas ahora, pregunta a la certificadora si te audita ya contra la edición de 2026 y qué implica en jornadas.
• ISO 9001 todavía no. A fecha de esta guía sigue en fase final de aprobación (FDIS) y su publicación se espera hacia septiembre de 2026; hasta que llegue, la edición vigente es la de 2015 y es contra la que te van a auditar. El contenido está en la práctica cerrado, así que puedes preparar el sistema con la vista puesta en los cambios, pero nadie puede certificarte hoy contra una norma que aún no existe.

En ambos casos la pregunta a la certificadora es la misma —contra qué edición te audita y qué pasa después—, y los plazos de la transición a la ISO 9001:2026 conviene tenerlos delante antes de firmar el contrato de certificación, para no comprometerte a un ciclo que se te queda corto.

Etapa 1: la revisión de preparación

La etapa 1 es una evaluación de madurez. El auditor —normalmente uno solo en una pyme— dedica entre media jornada y una jornada (orientativo, 2026) a formarse una opinión sobre si tu sistema está en condiciones de superar la etapa 2. Puede hacerse en tus instalaciones o en remoto, según la norma, el riesgo de tu actividad y el criterio de la certificadora; en normas con fuerte componente de instalaciones (como 45001 o 14001) es habitual que sea presencial para conocer el emplazamiento.

Qué revisa, en concreto:

• La documentación del sistema: política, alcance, objetivos, procesos, y los documentos que la norma exige en cada caso. No busca literatura: busca que exista, que sea coherente y que se corresponda con lo que haces.
• El alcance de la certificación: qué actividades, qué centros de trabajo, qué exclusiones. Un alcance mal definido es de los problemas más comunes en esta fase.
• Auditoría interna y revisión por la dirección: que se han hecho y con qué resultado.
• El contexto legal y reglamentario: que has identificado los requisitos legales que aplican a tu actividad (especialmente relevante en 14001 y 45001).
• La logística de la etapa 2: con quién hablará, qué áreas visitará, cuántas jornadas harán falta. La etapa 1 sirve también para planificar bien el examen de fondo.

El resultado es un informe de etapa 1 que distingue lo que está bien de lo que constituye un «área de preocupación»: puntos que, si no se resuelven, podrían convertirse en no conformidad en la etapa 2. Este informe es oro: es la única vez en todo el proceso en la que el auditor te dice por adelantado dónde puedes fallar.

¿Se puede «suspender» la etapa 1? Formalmente no hay un aprobado o suspenso, pero si el auditor concluye que el sistema está verde, recomendará aplazar la etapa 2. Eso no es un drama: es exactamente lo que la etapa 1 existe para evitar, que llegues al examen caro sin preparación.

Entre la etapa 1 y la etapa 2: el margen para corregir

Entre ambas etapas suelen pasar de unas semanas a un par de meses, el tiempo que necesites para resolver las áreas de preocupación del informe. Dos consejos:

• No lo alargues de más. Si pasa demasiado tiempo (las certificadoras manejan como referencia unos seis meses), la información de la etapa 1 caduca y pueden exigir repetirla total o parcialmente, con su coste.
• Documenta lo corregido. El auditor de la etapa 2 empezará comprobando qué hiciste con lo señalado en la etapa 1. Llegar con las correcciones hechas y trazadas da un arranque muy distinto a llegar con excusas.

Etapa 2: la auditoría de certificación propiamente dicha

La etapa 2 es el examen de fondo y casi siempre es presencial en tus instalaciones. En una pyme suele durar de una a tres jornadas (orientativo, 2026, según tamaño, número de centros y norma; las certificadoras calculan las jornadas con reglas internacionales de acreditación en función de empleados y complejidad, no a ojo).

La mecánica es siempre parecida:

1. Reunión de apertura. El auditor presenta el plan: qué áreas verá, en qué orden, con quién quiere hablar. Es breve y sirve para ajustar la agenda a la realidad del día.
2. Trabajo de campo. El auditor recorre los procesos siguiendo el plan. Su método es el muestreo: no lo mira todo, elige muestras (un pedido, un proyecto, un incidente, un empleado nuevo) y sigue su rastro por el sistema. Pide evidencias («enséñame el registro de esta formación», «¿cómo se aprobó este cambio?») y entrevista a las personas que ejecutan cada proceso, no solo al responsable de calidad.
3. Entrevistas al personal. Aquí aparece el miedo más extendido y el más infundado. El auditor no hace exámenes teóricos de la norma a la plantilla: pregunta a cada persona por su trabajo. A un operario le preguntará qué hace si detecta un producto defectuoso, no qué dice el capítulo de no conformidades. Si tu gente sabe hacer su trabajo y el sistema refleja cómo se trabaja de verdad, las entrevistas salen solas.
4. Reuniones de enlace. En auditorías de más de un día, el auditor suele cerrar cada jornada con un repaso de lo visto, para que no haya sorpresas al final.
5. Reunión de cierre. El auditor presenta sus conclusiones y los hallazgos, uno por uno, con la evidencia que los sustenta. Tienes derecho a discutir los hechos (no su criterio) si crees que hay un error. De aquí sale el informe final.

Qué mira con más atención en una primera certificación: que el liderazgo sea real (la dirección se implica, no delega el sistema en una carpeta), que los procesos operativos generan los registros previstos, que los recursos y competencias existen, y que los mecanismos de mejora (no conformidades, acciones correctivas, indicadores) están vivos y no recién estrenados para la ocasión.

No conformidades: qué son, tipos y qué pasa si te ponen una

Una no conformidad es un incumplimiento de un requisito, de la norma o de tu propio sistema, respaldado por una evidencia objetiva. Se clasifican en dos niveles:

• No conformidad menor: un fallo puntual que no tumba la eficacia del sistema. Ejemplo típico: un registro de calibración que falta en un equipo concreto, una acción correctiva documentada a medias. Se resuelve presentando a la certificadora un análisis de causa y un plan de acción; su implantación se verifica normalmente en la siguiente auditoría de seguimiento. Con no conformidades menores se puede obtener el certificado.
• No conformidad mayor: una ausencia total de un requisito o un fallo sistemático que compromete el sistema (por ejemplo, no hay auditoría interna, o un proceso clave funciona al margen de todo control). Bloquea la certificación hasta que demuestres que está corregida; según el caso, la certificadora verificará la corrección documentalmente o con una visita extraordinaria, dentro de un plazo acotado.

Además de no conformidades, el informe puede incluir observaciones u oportunidades de mejora: avisos sin efecto sobre la decisión de certificación, pero que conviene tratar porque suelen ser la semilla de la no conformidad del año siguiente.

El dato que desmonta el miedo: salir de una primera etapa 2 con algunas no conformidades menores es lo normal, no la excepción. El proceso está diseñado para que las corrijas, no para castigarte. Si quieres saber dónde se concentran los hallazgos para llegar con los deberes hechos, tienes la lista de las no conformidades más frecuentes en auditorías ISO 9001, con un checklist para repasarlas un mes antes.

La decisión de certificación y el ciclo de tres años

El auditor no decide: recomienda. Su informe pasa a un comité o responsable de decisión de la certificadora, independiente del equipo auditor, que revisa el expediente y emite la decisión. Si es favorable, recibes el certificado, con estas características:

• Validez de tres años desde la decisión.
• Auditorías de seguimiento anuales (más cortas que la etapa 2: revisan una muestra del sistema, no todo), que mantienen el certificado vivo.
• Auditoría de renovación (recertificación) antes de que expire el tercer año, de alcance completo.

El certificado no es un diploma que se cuelga y se olvida: es la foto de un sistema que la certificadora va a seguir mirando cada año.

Cuánto dura y cuánta gente participa

Horquillas orientativas para una pyme española (2026), a título de contexto y nunca como tarifa:

Las jornadas exactas las fija la certificadora con reglas de acreditación internacionales, en función de empleados, centros, turnos y complejidad de la actividad; certificar dos normas a la vez (auditoría integrada) reduce jornadas totales frente a dos procesos separados. Para presupuestos con cifras, mejor mirar el desglose de cuánto cuesta certificarse en ISO 9001, que separa consultoría, certificación y mantenimiento.

Por tu parte, el día de la auditoría necesitas disponibles: la dirección (apertura, cierre y su propia entrevista), el responsable del sistema (acompaña al auditor todo el día) y los responsables de las áreas del plan, cada uno en su franja. El resto de la plantilla trabaja con normalidad; el auditor se acerca a ellos, no al revés.

Los miedos más comunes (y por qué no deberían frenarte)

• «Nos van a suspender». La certificación no es un examen sorpresa: la etapa 1 te dice por adelantado dónde estás flojo y las no conformidades menores no impiden el certificado. La inmensa mayoría de los procesos que llegan a etapa 2 con los deberes hechos terminan en certificado, con o sin plan de acción por el camino.
• «El auditor viene a pillarnos». Viene a muestrear evidencias. Un buen auditor pregunta, escucha y contrasta; no interroga. Y tiene prohibido asesorarte, pero no ser razonable: los hechos se discuten en la reunión de cierre con total normalidad.
• «Mi equipo no se sabe la norma». No tiene que sabérsela. Tiene que saber hacer su trabajo y dónde consultar lo que le aplica. Las entrevistas van de su día a día, no de teoría.
• «Si sale mal, hemos tirado el dinero». El peor escenario realista no es «suspender»: es aplazar la etapa 2 unas semanas o cerrar una no conformidad mayor con una verificación extra. Incómodo, sí; ruinoso, no.

El resumen honesto: si el sistema lleva unos meses funcionando, la auditoría interna está hecha y la dirección se lo toma en serio, la primera certificación es un proceso exigente pero muy predecible. Para eso existen las dos etapas: para que nada de lo que pase te pille de nuevas.

Preguntas frecuentes

Fuentes

• ENAC — Entidad Nacional de Acreditación: información sobre acreditación de entidades de certificación y buscador de certificadoras acreditadas (enac.es).
• ISO — International Organization for Standardization: página oficial sobre certificación, donde se aclara que ISO no certifica (iso.org/certification).
• Global Accreditation Cooperation Incorporated — organización internacional de acreditación nacida el 1 de enero de 2026 de la fusión del IAF y el ILAC, que cesaron operaciones ese mismo día. Los documentos obligatorios sobre cálculo de duración de auditorías y uso de técnicas remotas que en su momento publicó el IAF siguen siendo la referencia del sector mientras se completa el traspaso.
• Las normas ISO no son de acceso público; los textos oficiales en español se adquieren a través de UNE/AENOR. Este artículo describe el proceso de certificación de forma funcional, sin reproducir cláusulas.