No conformidad mayor vs menor en ISO — cómo clasificarlas correctamente

Definiciones canónicas (ISO 19011 + IAF MD 5)

No Conformidad (NC): incumplimiento de un requisito (ISO 9000 cláusula 3.6.9). El requisito puede ser de la norma certificada, del propio sistema documentado de la organización, o de regulación externa aplicable.

NC Mayor: NC que afecta la capacidad del sistema de gestión para lograr los resultados previstos. O bien: ausencia total o falla sistemática de un requisito; o NC menor recurrente; o NC que pone en riesgo el alcance certificado.

NC Menor: NC aislada en su tipo, que no afecta sustancialmente la capacidad del sistema. Ejemplo típico: un registro faltante en un proceso que normalmente genera el registro.

Observación: situación donde el auditor identifica un riesgo de que se genere una NC en el futuro, pero el sistema actualmente cumple. No es NC.

Oportunidad de Mejora (OFI): sugerencia del auditor para mejorar la eficacia o eficiencia del sistema. No es NC, no requiere acción correctiva, pero la organización debería considerarla.

Criterios objetivos de clasificación

Es NC MAYOR si:

• Hay ausencia total de un requisito de la norma (ej: no existe revisión por la dirección documentada).
• Hay falla sistémica · el problema se replica en múltiples instancias del mismo proceso.
• Es NC menor repetida de auditoría previa sin acción correctiva eficaz.
• Pone en riesgo la integridad del producto/servicio entregado al cliente.
• Compromete el alcance del certificado (un proceso clave del alcance no funciona).
• Implica incumplimiento legal directo del que la organización debe responder.

Es NC MENOR si:

• Es un incumplimiento aislado · una sola instancia entre múltiples conformes.
• El sistema tiene la capacidad de detectar y corregir el incumplimiento por sí mismo.
• El impacto es limitado y la organización ya tomó conocimiento.
• El requisito existe pero hay falla puntual de evidencia.

Consecuencias para la certificación

Casos reales · cómo se clasifica

Caso 1: auditor encuentra que la organización no realizó revisión por la dirección en los últimos 12 meses. Clasificación: NC mayor. Razón: ausencia total de un requisito explícito (cláusula 9.3) que es base del sistema de gestión.

Caso 2: auditor revisa 20 órdenes de compra y encuentra 1 sin firma del autorizador requerido por procedimiento. Clasificación: NC menor. Razón: incumplimiento aislado, el sistema tiene controles que detectarían el problema en revisiones siguientes.

Caso 3: auditor revisa 20 órdenes y encuentra 6 sin firma del autorizador. Clasificación: NC mayor. Razón: 30% de incumplimiento muestra falla sistémica del control, no aislada.

Caso 4: auditor verifica que indicadores de calidad se miden mensualmente. La medición se hace, pero no hay análisis de tendencia ni acciones cuando un indicador empeora 3 meses seguidos. Clasificación: NC menor. Razón: la cláusula 9.1.3 exige análisis. Hay parcial cumplimiento (medición sí, análisis no).

Caso 5: auditor identifica que la política de calidad es genérica (frases vacías, sin compromisos verificables). El cliente la firma sin entender. Clasificación: observación o NC menor según contexto. Razón: política existe (cumple cláusula 5.2) pero su eficacia es cuestionable. Es un riesgo de NC mayor en el futuro.

Errores típicos al clasificar

1. Inflar NC menor a mayor por subjetividad. Si no hay falla sistémica, no es mayor. Algunos auditores escalan por presión o miedo a "ser blandos".
2. Bajar NC mayor a menor para evitar conflicto. Más común. Auditor detecta ausencia total de revisión por la dirección y lo registra como menor "porque la organización es nueva". Está mal — la norma no admite excepciones.
3. Clasificar OFI cuando es NC menor. Si hay incumplimiento puntual de un requisito, es NC menor. OFI es solo para sugerencias de mejora sobre algo que ya cumple.
4. No documentar evidencia objetiva. "El operario me dijo que no se hace" no es evidencia auditable. Hay que ver registros, fechas, ausencia documental.
5. Confundir el requisito que no se cumple. Citar la cláusula equivocada. El hallazgo debe especificar exactamente qué cláusula del sistema o de la norma se incumple.

Conclusión

La clasificación correcta es la que protege a todos: a la organización (no la castiga injustamente), al auditor (mantiene su criterio profesional), al organismo certificador (preserva la calidad del dictamen), al sistema (sigue mejorando). Mal clasificar es el error más caro de una auditoría · puede llevar al cliente a perder el certificado o, peor, a quedarse con uno que no debería tener.

— Fernando Arrieta, Director Técnico G-CERTI.