Calidad, trazabilidad y normas con el sistema: la certificación como consecuencia

Libro Empresa y sistema, capítulo 17 (parte IV: Producir y entregar). Anterior: costo real por orden y mejora continua. Índice en la Escuela.

Al terminar este capítulo vas a poder:

1. Asociar cada requisito de una norma a un registro del sistema que nace al operar, con su responsable.
2. Ordenar la documentación de una norma en una pirámide al derecho: poco escrito arriba, registros completos abajo.
3. Organizar la auditoría interna y la revisión por la dirección como rutinas, no como eventos.
4. Preparar a la empresa para una auditoría de un cliente o de una certificadora sin carpetas de último momento.

El caso: Pastas Ricci, la carpeta que el auditor desarmó en diez minutos

Pastas Ricci, la fábrica de pastas frescas y secas del tablero de los diez números (capítulo 34 del libro de administración), tiene 30 personas y vende unos USD 90.000 por mes a almacenes, restaurantes y una cadena de supermercados. La cadena, después de la renegociación de precio y plazo del año anterior, compraba unos USD 28.000 por mes: casi un tercio de las ventas, con el margen más bajo de la cartera pero ya con un precio que cubría su costo real. Un día, la cadena avisó que todos sus proveedores de productos frescos tendrían que pasar una auditoría de buenas prácticas de manufactura, análisis de peligros y trazabilidad en cinco meses. Sin auditoría aprobada, no había próxima temporada.

Lucía, la hija de Mario, se puso al frente. Lo primero que hizo fue lo que hacen casi todas las empresas: armar la carpeta. Bajó una lista de requisitos, compró biblioratos y pasó tres semanas completando planillas de temperatura de las cámaras, de limpieza de las máquinas y de capacitación del personal, hacia atrás, con lo que recordaba la gente. La cadena mandó un auditor para una visita de diagnóstico. En diez minutos, el auditor notó que todas las planillas de temperatura del último mes tenían la misma letra y la misma lapicera. Pidió un simulacro de retiro, el recorrido desde un lote de harina hasta los clientes: llevó casi un día, revolviendo remitos en cajas. El informe tenía catorce no conformidades, seis mayores.

Ninguna era un problema de higiene grave. Eran registros que no existían, o que se habían escrito para el auditor. La planta era limpia; no podía demostrarlo.

Con cuatro meses por delante, Lucía cambió de estrategia. Tomó cada requisito de la norma y lo asoció a un registro del sistema que nacía al operar: la temperatura de las cámaras cargada en la tableta en cada turno, la recepción de cada lote de harina con su certificado, la limpieza de cada máquina como etapa de la orden de producción, la capacitación en la ficha de cada persona. En la auditoría final hubo dos no conformidades menores, el simulacro llevó 25 minutos y la cadena siguió comprando. Seis meses después, con el informe aprobado en la mano, Ricci consiguió una segunda cadena. De eso trata este capítulo.

1. El principio: la norma pide demostrar lo que ya hacés

Una norma de calidad o de inocuidad no inventa el trabajo: lo ordena y pide pruebas. La ISO 9001, la norma de gestión de la calidad más difundida del mundo, pide procesos definidos, controles, tratamiento de lo que sale mal y mejora, con información documentada que lo demuestre (cláusula 7.5). Las buenas prácticas de manufactura y el sistema de análisis de peligros y puntos críticos de control (HACCP, por sus siglas en inglés), que el Codex Alimentarius describe en sus principios generales de higiene de los alimentos (CXC 1-1969, cuya revisión de 2020 integró el HACCP al mismo texto), piden lo mismo para la inocuidad: identificar dónde puede fallar, controlarlo y registrarlo.

El capítulo 17 del libro del ERP explicó la mecánica: plan de control por etapa, lotes, no conformidades, trazabilidad hacia atrás y hacia adelante. Este capítulo trata de la integración: cómo una empresa que ya opera con su sistema convierte la norma en algo que se cumple solo, en lugar de un examen que se estudia la noche anterior.

La idea central es simple: si los registros nacen al operar, la auditoría es una consulta. Si se escriben para el auditor, la auditoría es una actuación, y los auditores están entrenados para notarlo.

2. Las tres auditorías

Hay tres tipos de auditoría, que la norma ISO 19011 describe como de primera, segunda y tercera parte:

• Primera parte, o interna: la empresa se audita a sí misma, con alguien propio o contratado. Es la herramienta para encontrar los problemas antes que otro.
• Segunda parte: un cliente audita a su proveedor, como la cadena a Ricci. Es cada vez más común entre pymes que venden a empresas grandes.
• Tercera parte: una certificadora independiente audita contra una norma y, si se cumple, emite un certificado que cualquier cliente puede verificar.

Para una pyme, la segunda parte suele llegar antes que la tercera, y por la misma puerta: un cliente grande que la exige. La preparación es la misma para las tres, y la mejor preparación para una auditoría externa es una interna bien hecha.

¿Certificar, o pasar las auditorías de cada cliente?

Tarde o temprano aparece la pregunta: ¿conviene certificar una norma, o alcanza con pasar las auditorías que pide cada cliente? No hay una respuesta única, pero sí cuatro preguntas que la ordenan:

• ¿Cuántos clientes auditan, y con qué frecuencia? Cada auditoría de segunda parte se lleva uno o dos días de la responsable de calidad, más la preparación, y cada cliente trae su propia lista. Con uno o dos clientes, se atienden. Cuando son cinco, un certificado reconocido puede reemplazar parte de esas visitas, porque muchos clientes lo aceptan como evidencia y auditan solo lo propio.
• ¿Qué piden los clientes que se quieren conseguir? Algunas cadenas grandes y exportadores no aceptan una auditoría propia: piden un certificado de un esquema determinado, por ejemplo uno reconocido por la Iniciativa Mundial de Seguridad Alimentaria (GFSI), como FSSC 22000 o BRCGS. Si el próximo cliente lo exige, la decisión está tomada.
• ¿Cuánto cuesta sostenerlo? Un certificado no se compra una vez: la certificadora hace una auditoría inicial, auditorías de seguimiento cada año y una de recertificación cada tres. Si los registros nacen al operar, ese costo es casi solo el de la certificadora; si hay que armar la carpeta cada año, es mucho más.
• ¿El sistema ya está? Certificar sin registros que nazcan de operar es comprar un examen anual. Con la matriz funcionando, la certificación es un trámite sobre lo que ya existe.

Ricci, con dos cadenas que auditan una vez por año, decidió no certificar todavía y fijó la regla en la revisión por la dirección: se vuelve a evaluar cuando un tercer cliente pida auditoría o cuando un cliente buscado exija un certificado.

3. De requisito a registro: la matriz

La herramienta que cambió la preparación de Ricci fue una tabla: cada requisito de la norma, en una fila, con el registro que lo demuestra, dónde vive en el sistema, quién lo genera y con qué frecuencia. Una parte de la matriz de Ricci:

La matriz tiene tres efectos. Muestra los huecos: los requisitos sin registro, que en Ricci eran casi todos los que el auditor había marcado. Asigna responsables: cada registro tiene una persona, no "calidad" en general. Y convierte la auditoría en una consulta: el auditor pide la temperatura de la cámara 2 del 14 de marzo, y la respuesta está en el sistema, con hora y firma.

4. La pirámide documental, al derecho

La documentación de una norma se suele dibujar como una pirámide de cuatro niveles: la política y los objetivos arriba, los procesos, los instructivos y, en la base, los registros. El error más común es invertirla: un manual de cien páginas arriba, que nadie lee, y registros pobres abajo.

John Seddon, un crítico conocido de cómo se implementaba la ISO 9000 en los años noventa, sostuvo que muchas empresas certificaban documentos en lugar de mejorar su trabajo, y que la burocracia resultante empeoraba el servicio. La norma misma fue en esa dirección: la revisión de 2000 redujo a seis los procedimientos documentados obligatorios y adoptó el enfoque por procesos, y la de 2015 dejó de exigir un manual de la calidad y procedimientos escritos, y los reemplazó por "información documentada" en la medida que cada organización necesite. La crítica de Seddon va más allá (cuestiona la lógica de mando y control en la que, según él, se apoya la norma), pero el problema que señalaba, el papel que reemplaza al trabajo, es el mismo que este capítulo quiere evitar.

La pirámide al derecho de Ricci tiene una página de política escrita por Mario, los procesos que ya vivían en las órdenes de trabajo (capítulo 14 de este libro), instructivos de una página con fotos en cada etapa donde hacen falta, y registros completos, nacidos de operar. El auditor de la cadena, en la visita final, dedicó el 80 % del tiempo a los registros y casi nada al manual.

5. Los puntos críticos de control, dentro de la orden

El análisis de peligros y puntos críticos de control del Codex se resume en siete principios, y cada uno tiene un lugar concreto en el sistema:

En Ricci, el análisis marcó tres puntos críticos: la pasteurización de la pasta fresca (temperatura y tiempo), el enfriado y la cámara de producto terminado, y el detector de metales al final de la línea. Los tres se volvieron puertas: si la pasteurización no registra el límite cumplido, el lote queda bloqueado y no se puede envasar ni despachar hasta que la responsable de calidad decida. La diferencia con la planilla es que el sistema no deja seguir; la planilla deja seguir y espera que alguien se acuerde de anotar.

El error más frecuente es marcar demasiados puntos críticos. Si todo es crítico, el operario aprende que nada lo es. La mayoría de los peligros se controlan con las buenas prácticas generales (limpieza, higiene del personal, control de plagas, recepción), que se registran pero no frenan la orden; los puntos críticos son pocos y frenan.

6. La auditoría interna y la revisión por la dirección

Un sistema de calidad se mantiene con dos rutinas que la ISO 9001 pide (la auditoría interna en la cláusula 9.2 y la revisión por la dirección en la 9.3) y que tienen sentido aunque nadie las pidiera:

La auditoría interna. Alguien que no hace el trabajo lo revisa contra la norma y la matriz, con muestras: diez lotes al azar, sus registros, su trazabilidad. En Ricci, la hace cada trimestre una persona de administración capacitada, con un tema por vez: un trimestre recepción y proveedores, el siguiente limpieza y temperaturas. Cada hallazgo se registra como no conformidad, con causa y acción, igual que un lote fuera de rango (capítulo 17 del libro del ERP).

La revisión por la dirección. Una vez por año, o por semestre, el dueño revisa con números si el sistema funciona: resultados de auditorías, no conformidades y su estado, reclamos de clientes, desempeño de proveedores, cumplimiento de objetivos y cambios necesarios. Dura dos horas y termina con decisiones escritas. Es la versión de calidad de la revisión de los diez números del libro de administración, y en Ricci se hace con el mismo tablero.

Las dos rutinas hacen que la auditoría externa sea un día más. Si la interna encontró los problemas y la dirección los resolvió, el auditor externo encuentra lo que ya se sabe.

7. El simulacro de retiro, como hábito

El simulacro que en la auditoría de diagnóstico llevó casi un día es la prueba más dura y más reveladora de un sistema de calidad, porque recorre todos los registros a la vez. Ricci lo convirtió en un hábito mensual: el primer lunes de cada mes, el agente elige un lote al azar y Lucía mide cuánto tarda en responder tres preguntas: con qué lotes de insumo se hizo, qué controles tuvo y a qué clientes llegó, con cantidades.

El primer simulacro con el sistema llevó dos horas, porque aparecieron consumos de harina sin lote en un turno. El segundo, 40 minutos. Desde el tercero, menos de media hora. Cada simulacro que tarda más de lo esperado se registra como no conformidad, con su causa: un eslabón que se cortó. Es la manera más barata de descubrir que la trazabilidad tiene un agujero, antes de que lo descubra un retiro real o un auditor.

8. Qué hace el agente, y quién decide

• Vigila los registros faltantes: temperaturas no cargadas en un turno, limpiezas sin registrar, recepciones sin certificado; avisa a quien corresponde antes del fin del turno.
• Mantiene los vencimientos: capacitaciones a renovar, calibraciones, certificados de proveedores, análisis periódicos.
• Prepara la auditoría interna: elige las muestras al azar, arma los registros de cada una y marca lo que no cierra.
• Corre el simulacro mensual y arma el informe de la revisión por la dirección con los datos del período.

La responsable de calidad decide las no conformidades y sus acciones; el dueño hace la revisión por la dirección y fija los objetivos; nadie, ni el agente ni una persona, completa un registro después de los hechos (primero el sistema, después los agentes). Esa última regla es la que hace creíble todo lo demás.

Ejemplo resuelto: los cinco meses de Ricci

Mes 1, la carpeta. Tres semanas de Lucía completando planillas hacia atrás. Auditoría de diagnóstico: 14 no conformidades, 6 mayores: trazabilidad 4, temperaturas 3, limpieza 3, capacitación 2, proveedores 2. Simulacro: casi un día.

Meses 2 y 3, la matriz. Cada requisito asociado a un registro del sistema y a una persona. Temperatura en tableta por turno, con alarma; recepción con lote y certificado; limpieza como etapa de la orden; capacitación en la ficha; evaluación trimestral de proveedores. Primer simulacro con el sistema: dos horas, por consumos sin lote; corregido con la regla de que no se puede consumir sin lote.

Mes 4, la auditoría interna. Diez lotes al azar, tres hallazgos menores, cerrados en dos semanas. Revisión por la dirección: objetivos de reclamos, simulacro y proveedores.

Mes 5, la auditoría final. Dos no conformidades menores, cerradas en un mes. Simulacro: 25 minutos. La cadena sigue comprando: unos USD 28.000 por mes de ventas, unos 5.600 de contribución mensual que estaban en juego. Seis meses después, la segunda cadena.

Lo que no cambió. La planta, la higiene y la gente. Cambió que lo que se hacía bien quedó demostrado al hacerse.

Ejercicios

Ejercicio 1 · Cálculo: lo que estaba en juego

La cadena le compra a Ricci unos USD 28.000 por mes con una contribución del 20 %, por debajo del promedio de la fábrica porque es el cliente de menor margen. Preparar la auditoría con el sistema le costó a Ricci unas 180 horas de trabajo interno a USD 12 la hora, una tableta para la planta de USD 400 y una capacitación externa de USD 1.200. Calculá la contribución anual en juego, el costo de la preparación y en cuánto tiempo se paga.

Solución

Contribución en juego: 28.000 × 20 % = USD 5.600 por mes, 67.200 por año. Costo de la preparación: 180 × 12 = 2.160 + 400 + 1.200 = USD 3.760. Se paga en 3.760 ÷ 5.600 = 0,7 meses: menos de tres semanas de contribución del cliente. Y no cuenta la segunda cadena, que llegó gracias al informe aprobado, ni la reducción de riesgo de un retiro real. Una auditoría bien preparada casi nunca es un gasto: es la condición para seguir vendiendo a los clientes que más compran.

Ejercicio 2 · Diseño: la matriz de una fábrica de alfajores

Una fábrica de alfajores tiene que demostrar ante un cliente: control de alérgenos (maní, leche, gluten), control del horno (temperatura y tiempo), control de peso del producto envasado, control de plagas y trazabilidad. Armá la matriz de requisito, registro, dónde nace, quién y frecuencia.

Solución

Una propuesta. Alérgenos: secuencia de producción (sin maní antes de productos sin maní) y limpieza validada entre cambios; registro de la secuencia y de la limpieza como etapa de la orden; operario y encargado; cada cambio de producto. Horno: temperatura y tiempo de cada horneada; registro automático del equipo o carga en la orden; operario del horno; cada horneada, con tolerancia y bloqueo del lote fuera de rango. Peso: muestra de envases pesada; registro en la orden con la balanza calibrada; envasado; cada hora. Plagas: inspección de cebos y trampas; informe del proveedor de control de plagas cargado en el sistema; responsable de calidad; según contrato, típicamente mensual. Trazabilidad: lotes de insumo a lote de producto a remito; automático; siempre, con simulacro mensual.

Ejercicio 3 · Diagnóstico: la auditoría interna que no encuentra nada

En una empresa, las últimas cuatro auditorías internas terminaron sin hallazgos. La externa, en cambio, encontró ocho no conformidades. ¿Qué está fallando y qué se corrige?

Solución

Una auditoría interna que no encuentra nada casi siempre está mal hecha: la hace alguien que audita su propio trabajo, revisa lo que le muestran en lugar de elegir muestras al azar, o mira documentos en lugar de registros. Se corrige con tres cambios: un auditor interno que no haga el trabajo auditado, capacitado en la norma; muestras elegidas por el sistema al azar; y una lista de verificación por requisito que obligue a ver el registro concreto. Y se mira la revisión por la dirección: si nunca pidió explicaciones por cero hallazgos cuatro veces seguidas, el problema también está ahí.

Ejercicio 4 · Para tu empresa

Elegí la norma o la exigencia de cliente más probable para tu empresa en los próximos dos años. Armá la matriz con diez requisitos: para cada uno, el registro, dónde nace, quién y con qué frecuencia. Marcá los que hoy no tienen registro, o lo tienen solo en papel o en la memoria. Esa lista es tu plan.

Errores comunes

• La carpeta para el auditor: registros escritos después, que se notan.
• La pirámide invertida: mucho manual y pocos registros.
• Calidad como área: cada registro tiene una persona con nombre, en la operación.
• Auditorías internas de compromiso: sin muestras al azar ni auditor independiente.
• Revisión por la dirección como trámite: dos horas con números y decisiones escritas.
• Simulacro solo cuando lo piden: se hace todos los meses.

Lo que hay que registrar

La matriz de requisitos con registro, origen, responsable y frecuencia. En la operación, los registros de cada requisito, con hora y firma, nacidos al operar. De cada auditoría interna o externa: muestras, hallazgos y no conformidades con su causa y acción. De cada revisión por la dirección: datos revisados y decisiones. De cada simulacro: lote, tiempo y eslabones que fallaron.

Resumen en cinco líneas

1. Una norma pide demostrar lo que la empresa ya hace; si los registros nacen al operar, la auditoría es una consulta.
2. La matriz asocia cada requisito a un registro del sistema, dónde nace, quién lo genera y con qué frecuencia; muestra los huecos y asigna responsables.
3. La pirámide documental va al derecho: poca política y pocos procedimientos escritos, instructivos cortos y registros completos.
4. La auditoría interna con muestras al azar y la revisión por la dirección con números hacen que la auditoría externa encuentre lo que ya se sabe.
5. El simulacro de retiro mensual prueba toda la cadena; el agente vigila registros y vencimientos, y nadie completa un registro después de los hechos.

Preguntas de repaso

1. ¿Por qué el auditor desarmó la carpeta de Ricci en diez minutos? Porque los registros se habían escrito después, todos iguales, y el simulacro de retiro llevó casi un día: la carpeta mostraba documentos, no la operación.

2. ¿Qué diferencia hay entre una auditoría de segunda y de tercera parte? La de segunda parte la hace un cliente sobre su proveedor; la de tercera, una certificadora independiente que emite un certificado verificable.

3. ¿Para qué sirve la matriz de requisitos contra registros? Para ver qué requisitos no tienen registro, asignar un responsable a cada uno y responder cualquier pregunta del auditor con una consulta.

4. ¿Qué es la pirámide documental invertida y por qué es un problema? Un manual grueso arriba y registros pobres abajo. Es un problema porque lo que demuestra el cumplimiento son los registros, no el manual.

5. ¿Por qué el simulacro de retiro se hace todos los meses? Porque recorre todos los registros a la vez y descubre los eslabones que se cortan antes de que lo haga un retiro real o un auditor.

6. ¿Por qué conviene que los puntos críticos de control sean pocos? Porque cada uno es una puerta que frena la orden: si todo es crítico, el operario aprende que nada lo es. Lo demás se controla con buenas prácticas que se registran pero no bloquean.

Conceptos clave

• Información documentada: lo que la norma pide escrito: lo que se hace y la prueba de que se hizo.
• Auditoría de primera, segunda y tercera parte: interna, de un cliente y de una certificadora.
• Matriz de requisitos: tabla que asocia cada requisito a su registro, origen, responsable y frecuencia.
• Pirámide documental: política, procesos, instructivos y registros.
• Auditoría interna: revisión propia contra la norma, con muestras y un auditor que no hace el trabajo.
• Revisión por la dirección: evaluación periódica del sistema por el dueño, con números y decisiones.
• Simulacro de retiro: prueba de cuánto se tarda en ubicar todo lo relacionado con un lote.
• Punto crítico de control: etapa donde un control evita o elimina un peligro para la inocuidad; en el sistema, una puerta que bloquea el lote si no se cumple el límite crítico.

Referencias

• ISO 9001:2015, Sistemas de gestión de la calidad. Requisitos. Organización Internacional de Normalización.
• ISO 19011:2018, Directrices para la auditoría de los sistemas de gestión. Organización Internacional de Normalización.
• Codex Alimentarius. Principios generales de higiene de los alimentos (CXC 1-1969), revisión de 2020. FAO y OMS.
• Seddon, John. The Case Against ISO 9000. Oak Tree Press, segunda edición, 2000.
• Juran, Joseph M. y Godfrey, A. Blanton (eds.). Juran's Quality Handbook. McGraw-Hill, quinta edición, 1999.

Lo que sigue

El capítulo 18 es logística integrada: entregas con estado, costo de servir y el agente que avisa demoras. Si querés armar la matriz de requisitos de tu empresa con alguien, Alex lo hace con vos.