Tabla de Contenidos
Resumen ejecutivo · cuál elegir primero
Si su organización opera procesos y entrega productos o servicios, ISO 9001 es la base lógica. Si su core de negocio es el manejo de información crítica de terceros (datos personales, propiedad intelectual, información financiera), ISO 27001 debería ir primero o en paralelo.
Qué cubre cada norma
ISO 9001:2015 es la norma del sistema de gestión de la calidad (SGC). Su foco es la satisfacción del cliente, la consistencia operativa y la mejora continua. Aplica a cualquier organización, sector y tamaño. Estructurada en 10 cláusulas bajo el Anexo SL, exige procesos documentados, indicadores de desempeño, control de no-conformidades y auditorías internas según ISO 19011.
ISO/IEC 27001:2022 es la norma del sistema de gestión de seguridad de la información (SGSI). Su foco es la protección de la confidencialidad, integridad y disponibilidad (CIA) de la información. Aplica a organizaciones que procesan, almacenan o transmiten información que requiere protección. Comparte las 10 cláusulas del Anexo SL y agrega un Anexo A con 93 controles agrupados en 4 dominios: organizacional, personas, físico y tecnológico.
| Dimensión | ISO 9001 | ISO 27001 |
|---|---|---|
| Foco | Calidad del producto/servicio | Seguridad de la información |
| Beneficiario clave | Cliente final | Cliente + parte interesada (titular del dato) |
| Anexo A controles | No tiene | 93 controles (4 dominios) |
| Evaluación de riesgos | Cláusula 6.1 · genérica | Cláusula 6.1 + ISO 27005 específica |
| Documentación obligatoria | ~15 procedimientos típicos | ~25 procedimientos + SoA + Análisis de Riesgos |
| Esfuerzo implementación | 4-6 meses | 6-9 meses |
Cuándo elegir cada una
Elegí ISO 9001 primero si:
- Sus clientes principales son del sector público, manufactura, construcción o agroindustria.
- Necesita demostrar consistencia operativa y mejora continua de procesos.
- Es proveedor en cadenas de suministro donde ISO 9001 es requisito de homologación.
- Su organización aún no tiene procesos formalmente documentados.
Elegí ISO 27001 primero si:
- Su core de negocio es procesar, almacenar o transmitir datos sensibles de clientes.
- Compite por contratos B2B con bancos, fintech, salud digital, gobierno digital o multinacionales.
- Necesita cumplir con regulaciones como GDPR, ARGENPRESPRO (Ley 25.326), HIPAA o PCI-DSS.
- Su cliente le pide evidencias de seguridad madura (cuestionarios SOC2, NIST, ISO).
Integrar ambas con la Estructura de Alto Nivel
Si la organización ya decidió que necesita ambas normas, la implementación integrada es más eficiente que en serie. La Estructura de Alto Nivel (Anexo SL) permite que las cláusulas 4 a 10 sean comunes — una sola política, un solo manual, un solo equipo de auditoría interna. La diferenciación opera solo en cláusula 8 (operación) y los anexos específicos.
En la práctica esto significa:
- Un único Comité del Sistema Integrado de Gestión que toma decisiones para ambos sistemas.
- Un único calendario de auditorías internas con un programa que cubre ambas normas.
- Un único informe de revisión por la dirección integrado.
- Una auditoría externa (de certificación) integrada bajo IAF MD 11 — ahorra entre 25% y 40% de costos vs auditorías separadas.
Costos y plazos comparados (rangos orientativos · 2026)
Los presupuestos formales se calculan según IAF MD 5 (días de auditoría por número de empleados y complejidad). Los siguientes rangos son orientativos para PyMEs en LATAM:
| Tamaño | ISO 9001 | ISO 27001 | Integrado |
|---|---|---|---|
| PyME (≤50 empl.) | USD 4.500–6.500 | USD 8.500–12.000 | USD 11.000–15.500 |
| Mediana (50–200) | USD 8.500–14.000 | USD 14.000–22.000 | USD 19.000–30.000 |
| Corporativa (200+) | USD 18.000+ | USD 30.000+ | USD 42.000+ |
Plazos típicos desde firma de contrato: ISO 9001 implementación 4–6 meses; ISO 27001 implementación 6–9 meses. La auditoría y emisión se calendarizan según alcance, sedes, madurez documental y disponibilidad del equipo auditor.
Conclusión · cómo decidir
Cuando una organización me pide consejo entre ISO 9001 e ISO 27001, planteo tres preguntas:
- ¿Qué te piden tus clientes hoy? Si licitan en sector público o manufactura, ISO 9001. Si licitan en TI, fintech o salud digital, ISO 27001.
- ¿Cuál es su mayor riesgo operacional? Si es la consistencia del producto/servicio, ISO 9001. Si es una brecha de seguridad o pérdida de datos, ISO 27001.
- ¿Cuánto presupuesto tenés para implementar? ISO 9001 es 20–40% más barata. Si recursos son limitados, conviene empezar por ISO 9001 y agregar ISO 27001 al año siguiente reusando la base.
En cualquier escenario, lo importante es que el certificado provenga de un organismo que opere bajo ISO/IEC 17021-1 y tenga alcance internacional verificable para la norma aplicable. Sin esa cadena de reconocimiento, el certificado pierde fuerza ante compradores y mercados exigentes.
— Fernando Arrieta, Director Técnico G-CERTI.
Compartir este artículo
Auditor líder
Auditor líder en 6 normas ISO. Representante regional de G-CERTI para el mercado hispanohablante y miembro del International Accreditation Center (IAC). Columnista y voz pública en certificación, cumplimiento, IA y calidad.
