Sistema de Gestión Integrado: ISO 9001+14001+45001+27001

Un Sistema de Gestión Integrado (SGI) unifica ISO 9001, 14001, 45001 y 27001 en una sola estructura documental, apoyándose en la Estructura Armonizada que ISO exige a todas sus normas de sistemas de gestión. Integrar las tres normas clásicas ahorra entre un 25 % y un 40 %; añadir la ISO 27001 como cuarta norma es el salto que menos rinde: aporta estructura propia —análisis de riesgos y 93 controles del Anexo A— que apenas se solapa con la de las otras tres, y mantiene un sobrecoste relativo mayor.

Si tu empresa necesita más de una certificación ISO, implantar sistemas separados es un despilfarro de recursos. La Estructura Armonizada que ISO impone a todas sus normas de sistemas de gestión está diseñada específicamente para facilitar la integración. Un sistema de gestión integrado (SGI) bien diseñado reduce costes, elimina duplicidades, simplifica la documentación y hace que la gestión sea más coherente y eficiente.

Si tu alcance son las tres normas clásicas —calidad, medio ambiente y seguridad y salud—, parte de mi guía del sistema integrado de gestión ISO 9001, 14001 y 45001, que es la pieza base. Aquí me centro en las dos preguntas que esa guía no responde: qué cambia cuando entra la cuarta norma, la ISO 27001, y en qué estado está hoy cada una de las cuatro.

La Estructura Armonizada: el fundamento de la integración

La Estructura Armonizada establece una estructura común de 10 cláusulas para todas las normas ISO de sistemas de gestión. Las cláusulas 4 (contexto), 5 (liderazgo), 6 (planificación), 7 (apoyo), 8 (operación), 9 (evaluación del desempeño) y 10 (mejora) son esencialmente paralelas en ISO 9001, 14001, 45001 y 27001.

Esto significa que los elementos comunes (política de gestión, análisis de riesgos, gestión documental, auditoría interna, revisión por la dirección, no conformidades, mejora continua) pueden unificarse en un solo sistema, y los requisitos específicos de cada norma se integran como complementos de esa base común.

Elementos que se unifican

Política de gestión integrada

En lugar de tener una política de calidad, otra ambiental, otra de SST y otra de seguridad de la información, redacta una sola política de gestión integrada que cubra los compromisos de la organización en todas las disciplinas. Esto es más coherente, más fácil de comunicar y más creíble ante los empleados.

Procedimientos comunes

Los procedimientos de control de documentos, auditoría interna, gestión de no conformidades, acciones correctivas, revisión por la dirección, comunicación, formación y gestión del cambio son esencialmente los mismos para todas las normas. Tener un solo procedimiento de cada uno (con las particularidades de cada disciplina integradas) elimina duplicidades y contradicciones.

Auditoría interna integrada

Un solo programa de auditoría puede cubrir todos los requisitos si los auditores tienen competencia en las normas aplicables. La auditoría integrada ahorra tiempo (se audita cada proceso una vez, verificando todos los requisitos aplicables) y aporta una visión más holística del funcionamiento de la organización.

Revisión por la dirección

Una sola revisión por la dirección que cubra las entradas de todas las normas es más eficiente que cuatro reuniones separadas. La dirección obtiene una visión completa del desempeño de la organización en todas las disciplinas.

Elementos que se mantienen diferenciados

Los requisitos específicos de cada norma se integran como componentes especializados dentro de la estructura común. ISO 9001 aporta el enfoque al cliente, la gestión de requisitos del producto/servicio y el control de la producción. ISO 14001 aporta los aspectos ambientales, el cumplimiento legal ambiental y la perspectiva de ciclo de vida. ISO 45001 aporta la identificación de peligros, la jerarquía de controles y la participación de los trabajadores. E ISO 27001 aporta el análisis de riesgos de seguridad, los 93 controles del Anexo A y la gestión de incidentes de seguridad.

Ahorro cuantificado de la integración

La implantación integrada genera ahorros del 25-40% respecto a implantar cada norma por separado. El ahorro se produce en el menor tiempo de consultoría (una sola estructura documental en lugar de cuatro), en las auditorías de certificación integradas que son más baratas que auditorías separadas, en el menor tiempo del personal interno dedicado al mantenimiento del sistema y en la formación unificada.

Para una PYME que necesite ISO 9001 + ISO 14001, la implantación integrada puede ahorrarse entre 3.000 y 8.000 euros respecto a la implantación secuencial. Si añade ISO 45001 o ISO 27001, el ahorro incremental por cada norma adicional es aún mayor.

Estrategia de implantación

La estrategia más eficiente es implantar primero ISO 9001 como base (la norma más universal y la que establece la estructura de gestión), e ir añadiendo las demás normas progresivamente. Cada norma adicional aprovecha la estructura existente y solo requiere desarrollar los requisitos específicos.

Si necesita todas desde el inicio, la implantación simultánea es posible pero requiere más recursos y planificación. Un plazo realista para un SGI con cuatro normas es de 9 a 18 meses.

Antes de decidir la secuencia: tres de las cuatro normas se mueven a la vez

En 2026 la secuencia de implantación ya no depende solo de tu empresa: depende del calendario de las propias normas. Este es el estado de cada una, verificado el 1 de agosto de 2026.

• ISO 14001 · ya cambió. La cuarta edición se publicó el 15 de abril de 2026. En España, la UNE-EN ISO 14001:2026 está en vigor desde esa misma fecha y anula la UNE-EN ISO 14001:2015 y su modificación A1:2024, según la ficha de la norma en la tienda de AENOR. La transición es de tres años y termina en torno a abril o mayo de 2029.
• ISO 9001 · pendiente de publicación. Su borrador final (FDIS) está aprobado y la publicación se espera hacia septiembre de 2026. Hasta que se publique no obliga a nada. La fecha límite de transición todavía no la ha publicado ningún organismo de acreditación: si alguien te la da por cerrada, pídele el documento.
• ISO 45001 · en votación. El borrador internacional (DIS) se sometió a votación de los organismos nacionales el 16 de junio de 2026 y el plazo se cierra el 8 de septiembre de 2026. La publicación se espera en 2027, sin fecha fijada: LRQA la sitúa a mediados de 2027 y DNV en la segunda mitad. Ambas advierten de que las reglas de transición todavía no existen.
• ISO 27001 · estable. La edición de 2022 sigue vigente y no hay revisión abierta. Su ventana de transición se cerró el 31 de octubre de 2025: un certificado que hoy cite la ISO/IEC 27001:2013 no tiene un problema de plazos, no tiene validez.

La consecuencia práctica es que hay que secuenciar la transición, no sufrirla. Si integras calidad y medio ambiente, la decisión concreta es si actualizas la parte ambiental ahora o esperas a que salga la 9001 y haces una transición conjunta; lo desarrollo en la guía de la nueva ISO 14001:2026. Y si en tu alcance entra la 45001, cuenta con una tercera ventana de transición entre 2027 y 2029, solapada con las otras dos.

Tabla: ahorro estimado por integración (PYME 30-50 empleados)

Los importes son orientativos para una PYME industrial mediana en España a 2026. La ratio de ahorro real depende mucho del estado de partida (si ya tienes un sistema implantado, el incremental es menor) y del consultor elegido. ISO 27001, por su análisis de riesgos y los 93 controles del Anexo A, integra menos directamente y mantiene un sobrecoste relativo mayor que las tres normas "clásicas" entre sí.

Caso real: ingeniería técnica industrial en Castilla y León

Una ingeniería con 36 empleados que prestaba servicios a fabricantes de automoción necesitaba ISO 9001 + ISO 14001 + ISO 45001 para entrar como proveedor homologado de un tier 1 europeo. Tenía solo ISO 9001 implantada de hace años.

Decidió integrar las tres en SGI completo. El proyecto duró 8 meses con consultoría especializada en industria. Documentación común: política integrada, mapa de procesos único con perspectivas de calidad/ambiental/SST en cada ficha, procedimientos comunes (control documental, no conformidades, auditoría interna, revisión por la dirección), análisis de riesgos integrado en una única matriz con tres columnas de impacto. Auditoría externa integrada por una sola certificadora con auditores cualificados en las tres normas, en una visita única de 3 días.

Resultados respecto a haberlo hecho por separado: el coste total del proyecto se redujo claramente respecto al presupuesto que habían recibido para implantación secuencial, la auditoría externa fue una única intervención en lugar de tres distintas, y la documentación pasó de tres sistemas inconexos a un sistema único más manejable. La homologación con el tier 1 europeo se consiguió a los dos meses de la certificación.

FAQ sobre Sistema de Gestión Integrado

¿Hay que implantar todas las normas al mismo tiempo?

No. Lo más habitual es implantar ISO 9001 primero como base y añadir las demás progresivamente. Cada norma adicional aprovecha la estructura existente. La implantación simultánea es válida si la organización tiene capacidad para gestionar el proyecto, pero exige más recursos y planificación.

¿Una sola certificadora puede auditar las cuatro normas?

Por norma general sí, pero conviene confirmarlo entidad por entidad en vez de darlo por supuesto. Entre las grandes certificadoras que operan en España están AENOR, Bureau Veritas, SGS, TÜV Rheinland, LRQA, DNV y BSI. Antes de firmar, pide por escrito dos cosas distintas: que los auditores asignados estén cualificados en todas las normas de tu alcance y que la entidad esté acreditada para cada uno de esos esquemas, no solo para uno. En España acredita ENAC, y su buscador de acreditados publica el anexo técnico de cada entidad con el alcance exacto; un certificado emitido por una entidad acreditada por el organismo nacional de otro país vale igual por reconocimiento mutuo. Lo que no sirve es un certificado sin ninguna acreditación detrás. La integración auditora es donde más ahorro real se materializa.

¿Puedo añadir una norma después de tener certificadas otras?

Sí. La integración incremental es habitual. La nueva norma se incorpora a la estructura existente y se audita en la siguiente fase 1 + fase 2. El coste incremental es muy inferior al de empezar desde cero.

¿Vale la pena el SGI si solo necesito dos normas?

Para 9001 + 14001 sí, el ahorro suele compensar incluso en PYMEs pequeñas. Para combinaciones menos clásicas (por ejemplo 9001 + 27001) la integración aporta menos porque 27001 tiene mucha estructura propia. Calcula caso a caso, no asumas que integrar siempre ahorra.

¿Qué pasa si suspendo una norma del SGI?

Si las no conformidades afectan solo a una norma específica (por ejemplo, controles de 27001), se certifica el resto y se aplaza esa norma hasta cerrar hallazgos. Si afectan al sistema común (control documental, revisión por dirección), se aplaza la certificación integrada.

¿Tiene riesgos integrar?

Algunos, y ahora mismo hay uno encima de la mesa. Cuando una norma del SGI cambia de versión hay que revisar el sistema completo, y eso ya no es una hipótesis: la ISO 14001 se reeditó el 15 de abril de 2026 y la UNE-EN ISO 14001:2015 quedó anulada ese mismo día, con una transición de tres años que acaba en torno a abril o mayo de 2029. Si llevas un sistema integrado, la decisión concreta es si actualizas la parte ambiental ya o esperas a que se publique la nueva ISO 9001 —prevista para septiembre de 2026— y haces una transición conjunta; lo explico en la guía de la nueva ISO 14001:2026. El otro riesgo es de gobernanza: si la dirección no entiende todas las disciplinas integradas, puede tomar decisiones que perjudiquen a una norma para favorecer otra. El SGI exige más madurez que sistemas separados.

Mini-glosario

• SGI (Sistema de Gestión Integrado): integración de dos o más normas ISO en un único sistema.
• Estructura Armonizada (HS, Harmonized Structure): estructura común de 10 cláusulas que ISO exige a todas sus normas de sistemas de gestión. Es el nombre que sustituyó al antiguo «estructura de alto nivel» (HLS) en la edición de 2021 del Anexo SL de las Directivas ISO/IEC.
• Política integrada: documento único que recoge los compromisos en todas las disciplinas.
• Análisis de riesgos integrado: matriz única con perspectivas múltiples (calidad, ambiental, SST, seguridad información).
• Auditoría integrada: ejecutada por equipo cualificado en todas las normas auditadas, una sola vez por proceso.
• Recertificación integrada: renovación trienal de todas las normas en un único proceso.

Checklist: 10 pasos para diseñar un SGI eficiente

1. Define qué normas vas a integrar y en qué horizonte temporal.
2. Realiza diagnóstico de partida (qué tienes ya implantado, qué falta).
3. Diseña una política integrada que cubra todas las disciplinas.
4. Unifica el mapa de procesos con perspectivas múltiples.
5. Integra el análisis de riesgos en una matriz única.
6. Unifica procedimientos comunes (control documental, no conformidades, auditoría interna, revisión por dirección).
7. Diseña requisitos específicos por norma como componentes complementarios.
8. Forma a auditores internos en todas las normas del alcance.
9. Selecciona certificadora con cualificación multi-norma.
10. Programa una única revisión por la dirección anual integrada.

Si estás decidiendo por dónde empezar, te ayudará mi artículo comparativo ISO 9001 vs ISO 14001: explica qué aporta cada norma, dónde se solapan y qué parte del sistema puedes escribir una sola vez.

¿Necesitas un sistema de gestión integrado que cubra múltiples normas ISO? Hablamos. Diseño SGIs eficientes que eliminan duplicidades y maximizan el retorno de tu inversión en certificación.