¿Cómo se gestiona la duración de auditoría de IAF MD 5 en un software de certificación de sistemas?

¿Cómo se gestiona en el software la duración de auditoría de IAF MD 5?

La duración de auditoría de IAF MD 5 se gestiona como un registro de cálculo versionado: parte del número de personal efectivo, se ajusta de forma justificada con factores de riesgo/complejidad y específicos de la organización, se aprueba y se revisa en cada ciclo.

El sistema correcto no muestra al usuario solo el resultado de “¿cuántos auditores/días?”. Conserva en el mismo expediente de cálculo qué versión del documento se usó, los datos de partida, la estructura de emplazamientos y turnos, los factores de aumento o reducción, el paso de redondeo, la distribución entre Fase 1 y Fase 2, la composición del equipo y la aprobación autorizada. Así, cuando cambia el resultado, es trazable no solo el número nuevo, sino también el motivo del cambio.

¿Para qué auditorías se usa IAF MD 5?

IAF MD 5:2023 ofrece disposiciones obligatorias y orientación para la aplicación coherente de los requisitos pertinentes de ISO/IEC 17021-1 en auditorías de sistemas de gestión de calidad, medio ambiente y seguridad y salud en el trabajo.

Al preparar este artículo, el documento oficial vigente es IAF MD 5:2023, Issue 4, Version 3, publicado el 14 de junio de 2023. El documento usa el número de personal efectivo como punto de partida, pero aclara expresamente que no es la única valoración. La certificación inicial es la suma de Fase 1 y Fase 2; el tiempo necesario para vigilancia y recertificación debe determinarse para cada cliente en particular. [1]

La página de solicitud de acreditación de TÜRKAK para certificación de sistemas de gestión también muestra que, junto con los documentos normativos relacionados con ISO/IEC 17021-1, se aplicarán los documentos obligatorios de IAF, y que IAF MD 5 es el documento para la determinación del tiempo de auditoría en sistemas de gestión de calidad, medio ambiente y seguridad y salud. Esta información revela que la regla del software no debe guardarse con el nombre de “cálculo ISO general”: deben seleccionarse explícitamente el programa, el alcance y la versión del documento. [2]

¿En qué orden debe hacerse el cálculo?

El cálculo debe avanzar con los pasos de selección del tipo de sistema aplicable, determinación del personal efectivo, obtención de la duración base, evaluación de factores, redondeo y aprobación justificada.

Saltarse este orden genera dos tipos de riesgo. Mirar solo el tramo de personal pierde la complejidad propia de la organización; escribir primero los días objetivo y luego ajustar los factores a ese resultado invierte la justificación. El sistema debe mostrar la duración base y las correcciones en campos separados y explicar al usuario la diferencia entre el cálculo anterior y el nuevo.

¿Por qué el número de personal efectivo no es igual al total de nómina?

El personal efectivo es una entrada técnica que considera al personal de jornada completa, temporal y parcial que participa en las actividades dentro del alcance de certificación, los turnos y, en su caso, a los contratistas incluidos en el alcance.

IAF MD 5 exige valorar en el cálculo del personal efectivo a los trabajadores permanentes, temporales y parciales; los turnos dentro del alcance, el personal administrativo/oficina y los procesos similares o repetitivos. En el alcance OH&SMS cobran importancia también los trabajadores de contratistas/subcontratistas bajo el control o la influencia de la organización que puedan afectar al desempeño. En actividades estacionales, el tiempo de auditoría debe planificarse en el período en que las actividades puedan representarse. [1]

En el software, la fuente puede venir del sistema de recursos humanos; pero la cifra bruta no debe aceptarse como resultado técnico. La relación de cada grupo de personal con el alcance, la proporción de jornada, el turno, la justificación de procesos similares y la situación de externalización deben ser visibles. La corrección técnica manual realizada tras la integración de RR. HH. también debe registrarse con usuario, fecha y explicación.

• La central y los emplazamientos deben registrarse con distribución de personal separada.
• El turno no debe valorarse solo por el total, sino por la diferencia de procesos que deben auditarse.
• Para el personal estacional debe anotarse el período utilizado y su evidencia.
• La justificación de la reducción por personal fuera del alcance debe ser explícita.
• La valoración de contratistas y subcontratistas debe abordarse por separado en los contextos QMS, EMS y OH&SMS.

¿Cómo se hace la selección de riesgo y complejidad?

Para QMS se evalúa el riesgo de fallo del producto/servicio; para EMS, la complejidad de los aspectos ambientales; para OH&SMS, la naturaleza y severidad de los riesgos de seguridad y salud en el trabajo.

El enfoque de IAF MD 5 no es idéntico para los tres sistemas. En QMS hay ejemplos de riesgo alto, medio y bajo; en EMS, cinco categorías básicas de complejidad para los aspectos ambientales; en OH&SMS, ejemplos de sectores asociados a la complejidad del riesgo. El software no debe seleccionar automáticamente la clase desde el código de sector y bloquear el campo. La actividad real, los procesos, el producto/servicio, las condiciones del entorno y el contexto de riesgo deben verificarlos una persona autorizada.

Por ejemplo, dentro del mismo sector general, una organización puede operar actividades limitadas y de baja complejidad mientras otra puede conlleva procesos químicos, turnos múltiples o una carga normativa intensa. Puede darse una sugerencia por defecto; pero deben conservarse la justificación de la clase elegida y, si existe, la desviación del valor por defecto. Si la actividad cambia en la vigilancia siguiente, la clase antigua no debe usarse silenciosamente: debe abrirse una tarea de reevaluación.

¿Qué factores modifican la duración base?

La complejidad de emplazamiento y logística, el idioma, las grandes extensiones, la alta densidad normativa, los procesos singulares, los emplazamientos temporales y los procesos externalizados son los principales factores que pueden afectar a la duración.

IAF MD 5 indica que situaciones como varios edificios o ubicaciones, idiomas distintos y necesidad de intérprete, un emplazamiento muy grande en relación con el personal, actividades muy reguladas, procesos muy complejos o singulares y visitas a emplazamientos temporales pueden aumentar la duración. Para QMS, EMS y OH&SMS hay además factores específicos del sistema. Si se considera una reducción, deben registrarse explícitamente sus bases, como la madurez del sistema, los procesos repetitivos/de baja complejidad o la limitación del alcance, sin debilitar la eficacia de la auditoría. [1]

Un buen modelo de datos no guarda los factores como simples casillas de “aumenta/reduce”. Se conservan en conjunto el tipo de factor, la información de origen, la magnitud, la explicación, el archivo adjunto, quien lo propone, quien lo aprueba y la fecha de entrada en vigor. Así puede verse si la reducción del ciclo anterior sigue siendo válida para la organización actual.

¿Cómo debe leerse un ejemplo sencillo de QMS?

En la tabla QMS de IAF MD 5, para 26–45 personas efectivas el valor inicial, como suma de Fase 1 y Fase 2 de la primera auditoría, es de 4 auditores/días; no es el valor final de la oferta.

Supongamos que en una organización de ejemplo se verifica un número de personal efectivo de 38. La tabla QMS 1 da un valor inicial de 4 auditores/días. Si la organización opera en dos edificios distintos, el proceso de diseño está en otra ubicación y en la auditoría se usarán dos idiomas, estas condiciones se evalúan aparte. En cambio, que la mayor parte de los procesos sea repetitiva puede suscitar una discusión de reducción. La base de cada aumento y reducción se escribe por separado; el resultado se ajusta a la media jornada más próxima y se somete a aprobación autorizada. [1]

Este ejemplo no es un resultado listo para un cliente concreto. Decir “38 personas equivalen a 4 días” sin conocer la clase de riesgo, el alcance, los turnos, los emplazamientos, la externalización, los sistemas integrados y las reglas del programa es incompleto. El software puede mostrar el ejemplo con fines formativos; en el cálculo real debe reverificar cada entrada.

¿Son lo mismo auditor/día, día de calendario y tamaño del equipo?

No. Auditor/día es el esfuerzo total; la duración de calendario y el tamaño del equipo muestran cómo se reparte ese esfuerzo y deben planificarse también por eficacia.

Según IAF MD 5, un día de auditoría suele ser de ocho horas. Si el resultado del cálculo arroja decimales, se ajusta a la media jornada más próxima; por ejemplo, 5,3 días pasa a 5,5 y 5,2 días a 5. Reducir el número de días de auditoría inicial planificando jornadas más largas no es el enfoque adecuado. El tamaño del equipo tampoco es cuestión de división mecánica: una actividad que dos auditores realizan en media jornada puede no producir en todos los casos el mismo efecto que una jornada completa de un auditor. [1]

El software debe mostrar por separado el total de auditores/días, los días de calendario pasados en el emplazamiento, la actividad remota, los desplazamientos y el tiempo asignado por miembro del equipo. Las sesiones solapadas o que una persona aparezca a la vez en dos emplazamientos deben detectarse en la validación del plan. Si cambia el plan, debe renovarse la versión de la distribución aunque no cambie el resultado del cálculo.

¿Cómo se abordan las auditorías remotas, multisede e integradas?

Estos escenarios añaden reglas sobre el cálculo base; el software debe controlar por separado la adecuación, el muestreo, el límite de actividad remota y el ajuste de duración integrada.

IAF MD 5 exige que, cuando se usan técnicas de auditoría remota, se apliquen los requisitos de IAF MD 4 y que las actividades queden definidas en el plan. Para OH&SMS, las actividades remotas se limitan a la revisión de documentos/registros y a las entrevistas; el control de procesos y el control de riesgos de SST no pueden auditarse con técnica remota. Este límite debe establecerse en el software no solo con la etiqueta “remoto”, sino con el tipo de actividad y su justificación. [3]

En estructuras multisede, cada emplazamiento, función central, persona, actividad y decisión de muestreo se mantienen vinculados. En sistemas integrados se evalúan en conjunto las duraciones aplicables de los distintos sistemas de gestión, el nivel de integración y la competencia del equipo. IAF ID 14:2023 es un documento informativo actualizado que explica los pasos de adecuación, muestreo, personal efectivo, complejidad, corrección y duración total para determinar la duración de auditorías integradas multisede; no sustituye los requisitos obligatorios de IAF MD 5 ni del programa. [4]

¿Cómo se actualizan las duraciones de vigilancia y recertificación?

Las duraciones de vigilancia y recertificación deben revisarse con los datos vigentes del cliente y el desempeño del sistema, en lugar de copiar el número de días antiguo.

IAF MD 5 ofrece un marco en el que el tiempo dedicado a la vigilancia anual en el primer ciclo trienal ronde un tercio de la duración de la certificación inicial, y la duración de la recertificación ronde dos tercios de una certificación inicial actual realizada en esa fecha. El cálculo de recertificación no es los dos tercios directos del tiempo efectivamente dedicado en la auditoría inicial. Deben considerarse los cambios de organización, alcance, personal, emplazamientos, turnos, procesos y madurez del sistema. [1]

Por ello, antes de cada vigilancia el software debe abrir un formulario de actualización del cliente, comparar los datos nuevos con el cálculo anterior y marcar las diferencias que exigen reevaluación. Aunque no haya cambios, deben registrarse la persona revisora y la fecha. Así, la frase “el año pasado también fueron dos días” no se usa en lugar de la justificación técnica.

¿Qué controles debe exigir el motor de cálculo?

El motor de cálculo debe gestionar en conjunto versión, instantánea de entradas, pasos intermedios explicables, aprobación autorizada, bloqueo y disparadores de recálculo.

• Versión de la regla: “IAF MD 5” por sí solo no basta; deben verse el issue, la version, la fecha de publicación/aplicación y la versión de la regla interna.
• Datos de origen: Debe registrarse de quién y en qué fecha se obtuvo la información de personal, emplazamientos y actividades.
• Resultado intermedio: La duración base, cada corrección, el redondeo y la distribución deben poder rastrearse por el usuario.
• Control de roles: Quien prepara el cálculo y quien lo aprueba deben separarse en la matriz de autorizaciones según el procedimiento de la organización.
• Bloqueo: El cálculo vinculado a una oferta o a un plan aprobado no debe cambiar silenciosamente; debe abrirse una nueva revisión.
• Disparador: Un cambio de personal, alcance, emplazamiento, turno o proceso debe generar una tarea de reevaluación.
• Informe: La duración y justificación que se presentarán al cliente y el detalle del cálculo técnico interno deben mostrarse con el nivel de acceso correcto.

Este enfoque respalda el marco de competencia, coherencia e imparcialidad de ISO/IEC 17021-1; pero no sustituye el conjunto completo de requisitos de la norma. La pantalla de cálculo es del expediente de certificación de sistemas desde la solicitud hasta el certificado solo una puerta de control. [5]

¿Cuáles son los errores más frecuentes en el software de IAF MD 5?

Los errores más frecuentes son aceptar directamente la cifra de nómina como personal efectivo, no conservar la justificación de los factores y copiar el cálculo antiguo sin control de cambios.

• Usar la misma selección de riesgo/complejidad para QMS, EMS y OH&SMS.
• Diluir la distribución de turnos y emplazamientos solo dentro del personal total.
• Aplicar el factor de reducción sin evaluar la eficacia de la auditoría.
• Escribir la duración de actividad remota sin mostrar qué proceso se evaluó y cómo.
• Dividir los auditores/días entre días de calendario y no evaluar aparte la eficacia del equipo.
• Copiar automáticamente la cifra del primer año en vigilancia y recertificación.
• Recalcular silenciosamente los expedientes pasados con la regla nueva cuando llega una nueva versión del documento.

¿Cómo puede plantearse el proceso de IAF MD 5 dentro de Vizyon Alia?

En Vizyon Alia el cálculo puede configurarse como un registro ligado a los datos de la solicitud, con la versión de la regla y las justificaciones de los factores visibles, relacionado con los expedientes de oferta, plan y decisión, y con aprobación autorizada.

En la solución Vizyon Alia el cliente, el alcance, los emplazamientos, los auditores y el ciclo del certificado se vinculan al mismo expediente operativo. No es correcto activar una fórmula general sin analizar la hoja de cálculo IAF MD 5 actual de la organización, su flujo de aprobación y las diferencias de programa. Durante el piloto deben recalcularse con el nuevo motor algunos expedientes anónimos ya completados; el equipo técnico debe examinar si las diferencias provienen de la regla, de los datos o de la práctica antigua.

Demo y análisis de proceso preparar un ejemplo QMS, uno EMS/OH&SMS, uno multisede y uno de cambio de alcance permite evaluar el motor de cálculo no solo en el escenario normal sino también en las excepciones.

Preguntas frecuentes