UNIVERSIDAD CONTINENTAL DE CIENCIAS E INGENIERÍA

E.A.P. INGENIERÍA INFORMÁTICA

VII SEMESTE

CURSO: 

CONTROL Y CALIDAD DE SOFTWARE

ISO 27000ISO 9001:2000

Cruz Cóndor Miguel

Saforas Contreras Danny

Velazco Mendoza Luis

Zarate Chamorro Roy

HUANCAYO 

2008

CONTENIDOINTRODUCCIÓN................................................................................................................................5I. QUÉ ES ISO.....................................................................................................................................6II. ¿QUÉ ES SGSI?..............................................................................................................................6III. ESTRUCTURA DE LA ORGANIZACIÓN..................................................................................6IV. ANTECEDENTES.........................................................................................................................7V. PRINCIPALES NORMAS ISO.......................................................................................................7VI. ISO 27000.......................................................................................................................................8

¿Qué es la norma ISO 27000?.........................................................................................................8Familias............................................................................................................................................8

ISO 27001....................................................................................................................................8ISO 27002...................................................................................................................................9ISO 27003...................................................................................................................................9ISO 27004...................................................................................................................................9ISO 27005...................................................................................................................................9ISO 27006...................................................................................................................................9

¿Qué tipo de empresas se están certificando en ISO 27001?.........................................................10Consideraciones clave para el estándar..........................................................................................10Cómo implantar ISO 27001...........................................................................................................10Certificación...................................................................................................................................11Implantación del SGSI...................................................................................................................11Auditoría y certificación................................................................................................................13Organizaciones de certificación.....................................................................................................14Estándares certificables:.................................................................................................................14

ISMS Standards.........................................................................................................................14New ISO series of 27000 standards......................................................................................14ISMS Specifications.............................................................................................................14Auditing Standards...............................................................................................................14Accreditation Standards........................................................................................................15Control Standards.................................................................................................................15

PROCESO DE CERTIFICACIÓN................................................................................................16¿Qué es una entidad de certificación?............................................................................................17El auditor........................................................................................................................................17ISO 27k en el Perú.........................................................................................................................18Breve resumen del estándar............................................................................................................18

VII. ISO 9001:2000............................................................................................................................23SERIE DE NORMAS ISO 9000:2000..........................................................................................23

1. UNE­EN­ISO 9001:2000. ....................................................................................................232. UNE­EN­ISO 9004:2000. ....................................................................................................233. UNE­EN­ISO 9000:2000. ....................................................................................................23

ISO 9001:2000 ­ SISTEMAS DE GESTIÓN DE LA CALIDAD — REQUISITOS...................241. Objeto y campo de aplicación ..............................................................................................24

Generalidades ......................................................................................................................241.1 Aplicación.......................................................................................................................241.2 Aplicación.......................................................................................................................24

2. Referencias normativas ........................................................................................................243. Términos y definiciones........................................................................................................244. Sistema de gestión de la calidad............................................................................................25

4.1 Requisitos generales ......................................................................................................25

4.2 Requisitos de la documentación ....................................................................................254.2.1. Generalidades ........................................................................................................254.2.2. Manual de la calidad .............................................................................................254.2.3. Control de los documentos ...................................................................................264.2.4. Control de los registros .........................................................................................26

5. Responsabilidad de la dirección ...........................................................................................265.1. Compromiso de la dirección .........................................................................................265.2. Enfoque al cliente .........................................................................................................275.3. Política de la calidad .....................................................................................................275.4. Planificación .................................................................................................................27

5.4.1. Objetivos de la calidad ..........................................................................................275.4.2. Planificación del sistema de gestión de la calidad ................................................27

5.5. Responsabilidad, autoridad y comunicación ................................................................275.5.1. Responsabilidad y autoridad .................................................................................275.5.2. Representante de la dirección ...............................................................................275.5.3. Comunicación interna ...........................................................................................28

5.6. Revisión por la dirección ..............................................................................................285.6.1. Generalidades ........................................................................................................285.6.2. Información para la revisión .................................................................................285.6.3. Resultados de la revisión ......................................................................................28

6. Gestión de los recursos .........................................................................................................286.1. Provisión de recursos ....................................................................................................286.2. Recursos humanos ........................................................................................................28

6.2.1. Generalidades ........................................................................................................286.2.2. Competencia, toma de conciencia y formación ....................................................28

6.3. Infraestructura ...................................................................................................................296.3. Infraestructura ..............................................................................................................296.4. Ambiente de trabajo .....................................................................................................29

7. Realización del producto ......................................................................................................297.1. Planificación de la realización del producto .................................................................297.2. Procesos relacionados con el cliente .............................................................................30

7.2.1. Determinación de los requisitos relacionados con el producto .............................307.2.2. Revisión de los requisitos relacionados con el producto .......................................307.2.3. Comunicación con el cliente .................................................................................30

7.3. Diseño y desarrollo .......................................................................................................307.3.1    Planificación del diseño y desarrollo ..................................................................307.3.2. Elementos de entrada para el diseño y desarrollo .................................................317.3.3    Resultados del diseño y desarrollo ......................................................................317.3.4. Revisión del diseño y desarrollo ...........................................................................317.3.5. Verificación del diseño y desarrollo .....................................................................327.3.6. Validación del diseño y desarrollo ........................................................................327.3.7. Control de los cambios del diseño y desarrollo .....................................................32

7.4.  Compras .......................................................................................................................327.4.1. Proceso de compras ...............................................................................................327.4.2. Información de las compras ..................................................................................327.4.3. Verificación de los productos comprados .............................................................33

7.5. Producción y prestación del servicio ............................................................................337.5.1. Control de la producción y de la prestación del servicio .......................................337.5.2. Validación de los procesos de la producción y de la prestación del servicio ........337.5.3. Identificación y trazabilidad .................................................................................33

7.5.4. Propiedad del cliente .............................................................................................347.5.5. Preservación del producto .....................................................................................34

7.6.  Control de los dispositivos de seguimiento y de medición ..........................................34Medición, análisis y mejora .....................................................................................................34

8.1. Generalidades ................................................................................................................358.2. Seguimiento y medición ...............................................................................................35

8.2.1. Satisfacción del cliente ..........................................................................................358.2.2. Auditoría interna ...................................................................................................358.2.3. Seguimiento y medición de los procesos ..............................................................358.2.4. Seguimiento y medición del producto ..................................................................36

8.3. Control del producto no conforme ...............................................................................368.4. Análisis de datos ...........................................................................................................368.5. Mejora ...........................................................................................................................37

8.5.1.  Mejora continua ...................................................................................................378.5.2. Acción correctiva ..................................................................................................378.5.3   Acción preventiva ................................................................................................37

EL PROCESO DE ACREDITACIÓN DE ISO 9001:2000...........................................................38

INTRODUCCIÓN

El presente trabajo es un muy breve resumen de los aspectos más importantes a tener en cuenta para 

la aplicación del Estándar Internacional ISO 27000 e ISO 9001:2000 y sus variantes, y una breve 

guía para cualquier empresa que desee planificar e implementar una política de seguridad orientada 

a una futura certificación dentro de este estándar.

Se resalta la descripción de la variante ISO 27001 por ser prometedor y de uso indirecto en el el 

gobierno peruano mediante la  Norma Técnica Peruana NTP­ISO / IEC 17799:2007.

Por   el   lado   de   ISO   9001:2000,   se   señala   los   requerimientos   indispensables   para   obtener   la 

certificación, como también el proceso adecuado para iniciar el plan de calidad.

I. QUÉ ES ISO

“ISO (International Organization for Standardization) is the world's largest developer and publisher of International Standards.

ISO is  a  network  of   the  national   standards   institutes  of  157 countries,  one  member  per country, with a Central Secretariat in Geneva, Switzerland, that coordinates the system.

ISO is a non­governmental organization that forms a bridge between the public and private sectors.  On   the  one  hand,  many  of   its  member   institutes   are   part  of   the  governmental structure of their countries, or are mandated by their government. On the other hand, other members  have their  roots uniquely in   the private  sector,  having been set up by national partnerships of industry associations.”[ISO]

“ISO (International Organization for Standardization) es una federación internacional con sede en Ginebra (Suiza) de los institutos de normalización de 157 países (uno por cada país). Es   una   organización   no   gubernamental   (sus   miembros   no   son   delegados   de   gobiernos nacionales), puesto que el origen de los institutos de normalización nacionales es diferente en los distintos países (público, privado…).

ISO desarrolla estándares requeridos por el mercado que representen un consenso de sus miembros   (previo   consenso   nacional   entre   industrias,   expertos,   gobierno,   usuarios, consumidores…)   acerca   de   productos,   tecnologías,   métodos   de   gestión,   etc.   Estos estándares, por naturaleza, son de aplicación voluntaria, ya que el carácter no gubernamental de ISO no le da autoridad legal para forzar su implantación. Sólo en aquellos casos en los que un país ha decidido adoptar  un determinado estándar  como parte  de su  legislación, puede convertirse en obligatorio.

ISO garantiza un marco de amplia aceptación mundial a través de los 3000 grupos técnicos y 50.000 expertos que colaboran en el desarrollo de normas.”[ISOES]

II. ¿QUÉ ES SGSI?

“Un SGSI es un Sistema de Gestión de la Seguridad de la Información. Esta gestión debe realizarse   mediante   un   proceso   sistemático,   documentado   y   conocido   por   toda   la organización. Podría considerarse, por analogía con una norma tan conocida como la ISO 9000, como el sistema de calidad para la seguridad de la información.”[ISOES]

III. ESTRUCTURA DE LA ORGANIZACIÓN

La Organización ISO está compuesta por tres tipos de miembros:

• Miembros natos, uno por país, recayendo la representación en el organismo nacional más representativo. 

• Miembros correspondientes, de los organismos de países en vías de desarrollo y que todavía no poseen un comité nacional de normalización. No toman parte activa en el proceso de normalización pero están puntualmente informados acerca de los trabajos que les interesen. 

• Miembros suscritos, países con reducidas economías a los que se les exige el pago 

de tasas menores que a los correspondientes. 

ISO   es   un   órgano   consultivo   de   la   Organización   de   las   Naciones   Unidas.   Coopera estrechamente con la Comisión Electrotécnica Internacional (International Electrotechnical Commission, IEC) que es responsable de la estandarización de equipos eléctricos.

IV. ANTECEDENTES

La  Organización Internacional  para   la  Estandarización  nace  después  de   la  Segunda Guerra   Mundial   (fue   creada   el   23   de   febrero   de   1947),   es   el   organismo  encargado  de promover el desarrollo de normas internacionales de fabricación, comercio y comunicación para todas las ramas industriales a excepción de la eléctrica y la electrónica. Su función principal es la de buscar la estandarización de normas de productos y seguridad para las empresas u organizaciones a nivel internacional.La ISO es una red de los institutos de normas nacionales de 157 países, sobre la base de un miembro por país, con una Secretaría Central en Ginebra, Suiza, que coordina el sistema. La Organización   Internacional   de   Normalización   (ISO),   con   base   en   Ginebra,   Suiza,   está compuesta por delegaciones gubernamentales y no gubernamentales subdivididos en una serie de subcomités encargados de desarrollar las guías que contribuirán al mejoramiento ambiental.Las normas desarrolladas por ISO son voluntarias, comprendiendo que ISO es un organismo no gubernamental y no depende de ningún otro organismo internacional, por lo tanto, no tiene autoridad para imponer sus normas a ningún país.Es una organización internacional no gubernamental, compuesta por representantes de los organismos   de   normalización   (ON)   nacionales,   que   produce   normas   internacionales industriales y comerciales. Dichas normas se conocen como Normas ISO y su finalidad es la coordinación de las normas nacionales, en consonancia con el Acta Final de la Organización Mundial del Comercio, con el propósito de facilitar el comercio, facilitar el intercambio de información y contribuir con unos Estándares comunes para el desarrollo y transferencia de tecnologías.

V. PRINCIPALES NORMAS ISO

Algunos estándares son los siguientes:• ISO 216 — Medidas de papel: p.e. ISO A4 • ISO 639 — Nombres de lenguas • ISO 690:1987 — Regula las citas bibliográficas (corresponde a la norma UNE 

50104:1994) • ISO 690­2:1997 — Regula las citas bibliográficas de documentos electrónicos • ISO 732 — Formato de carrete de 120 • ISO 838 — Estándar para perforadoras de papel • ISO 1007 — Formato de carrete de 135 • ISO/IEC 1539­1 — Lenguaje de programación Fortran • ISO 3029 — Formato carrete de 126 • ISO 3166 — Códigos de países • ISO 4217 — Códigos de divisas • ISO 7811 — Técnica de grabación en tarjetas de identificación • ISO 8601 — Representación del tiempo y la fecha. Adoptado en Internet mediante el 

Date and Time Formats de W3C que utiliza UTC • ISO 8859 — Codificaciones de caracteres que incluye ASCII como un subconjunto 

(Uno de ellos es el ISO 8859­1, que permite codificar las lenguas originales de Europa occidental, como el español) 

• ISO/IEC 8652:1995 — Lenguaje de programación Ada • ISO 9000 — Sistemas de Gestión de la Calidad – Fundamentos y vocabulario • ISO 9001 — Sistemas de Gestión de la Calidad – Requisitos • ISO 9004 — Sistemas de Gestión de la Calidad – Directrices para la mejora del 

desempeño • ISO 9660 — Sistema de archivos de CD­ROM • ISO 9899 — Lenguaje de programación C • ISO 10279 — Lenguaje de programación BASIC • ISO 10646 — Universal Character Set • ISO/IEC 11172 — MPEG­1 • ISO/IEC 12207 — Tecnología de la información / Ciclo de vida del software • ISO 13450 — Formato de carrete de 110 • ISO/IEC 13818 — MPEG­2 • ISO 14000 — Estándares de Gestión Medioambiental en entornos de producción • ISO/IEC 14496 — MPEG­4 • ISO/IEC 15444 — JPEG 2000 • ISO 15693 — Estándar para «tarjetas de vecindad» • ISO 22000 ­ Inocuidad en alimentos. • ISO 26300 — OpenDocument • ISO/IEC 17025 — Requisitos generales relativos a la competencia de los laboratorios 

de ensayo y calibración • ISO/IEC 26300 — OpenDocument Format (.odf) • ISO/IEC 27001 — Sistema de Gestión de Seguridad de la Información • ISO/IEC 20000 — Tecnología de la información. Gestión del servicio • ISO 32000 — Formato de Documento Portátil (.pdf) 

VI. ISO 27000

¿Qué es la norma ISO 27000?

“ISO/IEC 27000 es un conjunto de estándares desarrollados ­o en fase de desarrollo­ por ISO (International Organization for Standardization) e IEC (International Electrotechnical Commission),  que proporcionan un marco de  gestión de   la  seguridad de  la   información utilizable por cualquier tipo de organización, pública o privada, grande o pequeña.”[ISOES]

Familias

ISO 27001

“Es  un  estándar   ISO que  proporciona  un  modelo  para   establecer,   implementar,  utilizar, monitorizar,   revisar,   mantener   y   mejorar   un   Sistema   de   Gestión   de   Seguridad   de   la Información (SGSI). Se basa en un ciclo de vida PDCA (Plan­Do­Check­Act; o ciclo de Deming) de mejora continua, al igual que otras normas de sistemas de gestión (ISO 9001 para calidad, ISO 14001 para medio ambiente, etc.).

Es un estándar certificable, es decir, cualquier organización que tenga implantado un SGSI 

según este modelo puede solicitar una auditoría externa por parte de una entidad acreditada y, tras superar con éxito la misma, recibir la certificación en ISO 27001.”[ISOES]

“The objective of the standard itself is to "provide a model for establishing, implementing, operating,   monitoring,   reviewing,   maintaining,   and   improving   an   Information   Security Management System". Regarding its adoption, this should be a strategic decision. Further, "The design and implementation of an organization's ISMS is influenced by their needs and objectives, security requirements, the process employed and the size and structure of the organization".”[27000,ORG]

ISO 27002

“Su origen está en la norma de BSI (British Standards Institution) BS7799­Parte 2, norma que fue publicada por primera vez en 1998 y ya era un estándar certificable desde entonces. Tras la adaptación pertinente, ISO 27001 fue publicada el 15 de Octubre de 2005.  No es certificable. “[ISOES]

ISO 27003

“The purpose of this proposed development is to provide help and guidance in implementing an   ISMS (Information  Security  Management  System).  This  will   include   focus  upon  the PDCA method,  with   respect   to  establishing,   implementing   reviewing and  improving  the ISMS itself.

ISO  committee  SC27  will   oversee   the  development,   as  with  other   information   security standards.However, this is a longer term project, and publication is not expected until late in 2008 or early in 2009.”[27000,ORG]

ISO 27004

“ISO 27004 is the official number of the emerging standard covering information security management measurement and metrics. Again, however, it is not expected to be published in the immediate term. However, its development is well underway, being at stage 3, working draft level.

It is intended to help an organization establish the effectiveness of its ISMS implementation, embracing benchmarking and performance targeting within the PDCA cycle.”[27000,ORG]

ISO 27005

“ISO 27005 is the name of the prime 27000 series standard covering information security risk   management.   The   standard   provides   guidelines   for   information   security   risk management   (ISRM)   in   an  organization,   specifically   supporting   the   requirements   of   an information security management system defined by ISO 27001.

The ISO 27005 standard comprises 55 pages, and is applicable to all types of organization. It does not provide or recommend a specific methodology. This will depend upon a number of factors, such as the actual scope of the Information Security Management System (ISMS), or perhaps the industry/commercial sector.”[27000,ORG]

ISO 27006

“The   ISO 27001  standard  was  published   in  October  2005,  essentially   replacing   the  old BS7799­2   standard.   It   is   the   specification   for   an   ISMS,   an   Information   Security 

Management System. BS7799  itself  was a   long standing standard,   first  published  in   the nineties as a code of practice. As this matured, a second part emerged to cover management systems.   It   is   this  against  which  certification   is  granted.  Today  in  excess  of  a   thousand certificates are in place, across the world. 

ISO 27001 enhanced the content of BS7799­2 and harmonized it with other standards. A scheme has been introduced by various certification bodies for conversion from BS7799 certification to ISO27001 certification. 

The objective of the standard itself is to "provide a model for establishing, implementing, operating,   monitoring,   reviewing,   maintaining,   and   improving   an   Information   Security Management System". Regarding its adoption, this should be a strategic decision. Further, "The design and implementation of an organization's ISMS is influenced by their needs and objectives, security requirements, the process employed and the size and structure of the organization".”[27000,ORG]

¿Qué tipo de empresas se están certificando en ISO 27001?

“El estándar se puede adoptar por la mayoría de los sectores comerciales, industriales y de servicios   de   pequeñas,   medianas   o   grandes   entidades   y   organizaciones:   finanzas, aseguradoras, telecomunicaciones, servicios públicos, minoristas, sectores de manufactura, industrias de servicios diversos, sector del transporte y gobiernos entre otros.

En la actualidad destaca su presencia en empresas dedicadas a servicios de tecnologías de la información,   como   prueba   del   compromiso   con   la   seguridad   de   los   datos   de   sus clientes.”[ISOES]

Consideraciones clave para el estándar

Según [ANISO] la propuesta de esta norma, no está orientada a despliegues tecnológicos o  de   infraestructura,   sino  a  aspectos  netamente  organizativos,   es  decir,   la   frase  que podría  definir   su  propósito   es  “Organizar   la   seguridad  de   la   información”,   por   ello propone  toda una secuencia de  acciones   tendientes  al  “establecimiento,   implementación, operación,   monitorización,   revisión,   mantenimiento   y   mejora   del   ISMS   (Information Security Management System)” (como podrán apreciar que se recalcará repetidas veces a lo largo del mismo). El ISMS, es el punto fuerte de este estándar.

Los detalles que conforman el cuerpo de esta norma, se podrían agrupar en tres grandes líneas:

● ISMS.

● Valoración de riegos (Risk Assesment)

● Controles

Cómo implantar ISO 27001

Según [ISOES]:

● Comprar las normas ISO 27001 e ISO 27002 en los sitios oficiales; p. ej., ISO (http://www.iso.org),   AENOR   (http://www.aenor.es)   en   España,   DGN 

(http://www.economia.gob.mx/index.jsp?P=85)   en   México,   ICONTEC (http://www.icontec.org.co) en Colombia, INN (http://www3.inn.cl) en Chile, IRAM (http://www.iram.com.ar/) en Argentina, etc. (lista completa en ISO).

● Realizar   un   curso   de   formación,   de   los   muchos   que   hay   en   el   mercado,     de introducción a  la norma, a su implantación y su auditoría. En nuestra sección de Eventos podrá encontrar algunos (http://www.iso27000.es/eventos.html).

●   Hacer un "gap analysis" (análisis  diferencial)   inicial  de su estado actual con los controles de ISO 27002. Aunque no sea un análisis exhaustivo, proporciona una idea aproximada de la distancia que le separa de la conformidad con la norma y el camino que habrá que recorrer.

● En muchos casos,  es necesario  contratar   los servicios de una empresa consultora especializada que le ayude algunas fases del proceso. Sin embargo, recuerde que las decisiones de negocio no deben ser trasladadas a nadie externo a la organización.

● Deberá pasar por todas las tareas propias de implantación de un SGSI: definición de política, determinación del alcance, análisis de riesgos, tratamiento de riesgos, etc

● Paralelamente, formar y concienciar a todo el personal.

● Una vez implantado el sistema y en funcionamiento, deberá recopilar evidencias al menos durante tres meses antes de pasar a la auditoría de certificación. Precisamente, son esas evidencias y registros históricos los que indican al auditor externo que el sistema de gestión funciona de manera adecuada.

● Para certificar su sistema frente a ISO 27001, debe ponerse en contacto con una o varias   entidades  de  certificación  acreditadas  para  pedir   formalmente   la  visita  de auditoría (sus tarifas y oferta de servicios pueden diferir). Ofrecen, adicionalmente, un servicio añadido de “pre­auditoria” muy recomendable para afrontar con garantías una primera certificación en la norma.

Certificación

La norma ISO 27001, al igual que su antecesora BS 7799­2, es certificable. Esto quiere decir que   la  organización que   tenga  implantado  un  SGSI  puede  solicitar  una  auditoría  a  una entidad   certificadora   acreditada   y,   caso   de   superar   la   misma   con   éxito,   obtener   una certificación del sistema según ISO 27001.

Implantación del SGSI

Según [ISOES]

“El paso previo a intentar la certificación es la implantación en la organización del sistema de gestión de seguridad de la información según ISO 27001. Este sistema deberá tener un historial de funcionamiento demostrable de al menos tres meses antes de solicitar el proceso formal de auditoría para su primera certificación”

El ISO 27001 exige que el SGSI contemple los siguientes puntos:

● Implicación de la Dirección.

● Alcance del SGSI y política de seguridad.

● Inventario de todos los activos de información.

● Metodología de evaluación del riesgo.

●  Identificación de amenazas, vulnerabilidades e impactos.

●  Análisis y evaluación de riesgos.

● Selección de controles para el tratamiento de riesgos.

●  Aprobación por parte de la dirección del riesgo residual.

● Declaración de aplicabilidad.

● Plan de tratamiento de riesgos.

● Implementación   de   controles,   documentación   de   políticas,   procedimientos   e instrucciones de trabajo.

● Definición  de  un  método de  medida  de   la  eficacia  de   los  controles  y  puesta  en marcha del mismo.

● Formación y concienciación en lo relativo a seguridad de la información a todo el personal. 

● Monitorización constante y registro de todas las incidencias.

● Realización de auditorías internas. 

● Evaluación de riesgos  periódica,   revisión del  nivel  de riesgo residual,  del  propio SGSI y de su alcance.

● Mejora continua del SGSI.

La documentación del SGSI deberá incluir:

● Política y objetivos de seguridad.

●  Alcance del SGSI.

● Procedimientos y controles que apoyan el SGSI.

● Descripción de la metodología de evaluación del riesgo.

● Informe resultante de la evaluación del riesgo.

● Plan de tratamiento de riesgos.

● Procedimientos de planificación, manejo y control de los procesos de  seguridad de la información y de medición de la eficacia de los controles.

● Registros.

● Declaración de aplicabilidad (SOA ­Statement of Applicability­).

● Procedimiento de gestión de toda la documentación del SGSI.

Hay una serie de controles clave que un auditor va a examinar siempre en profundidad:

● Política de seguridad.

● Asignación de responsabilidades de seguridad.

● Formación y capacitación para la seguridad.

● Registro de incidencias de seguridad.

● Gestión de continuidad del negocio.

● Protección de datos personales.

● Salvaguarda de registros de la organización.

● Derechos de propiedad intelectual.

El SGSI puede estar integrado con otro tipo de sistemas (ISO 9001, ISO 14001…). La propia  norma ISO 27001  incluye  en su anexo C una  tabla  de  correspondencias  de  ISO 27001:2005 con ISO 9001:2000 e ISO 14001:2004 y sus semejanzas en la documentación necesaria, con objeto de facilitar la integración.

Es recomendable integrar los diferentes sistemas, en la medida que sea posible y práctico. En el caso ideal, es posible llegar a un solo sistema de gestión y control de la actividad de la organización, que se puede auditar en cada momento desde la perspectiva de la seguridad de la información, la calidad, el medio ambiente o cualquier otra.

Auditoría y certificación

Una vez implantado el SGSI en la organización, y con un historial demostrable de al menos 3  meses,   se  puede  pasar   a   la   fase  de  auditoría  y  certificación,  que   se  desarrolla  de   la siguiente forma:

● Solicitud de la auditoría por parte del interesado a la entidad de certificación y toma de datos por parte de la misma.

● Respuesta en forma de oferta por parte de la entidad certificadora.

● Compromiso.

● Designación de auditores, determinación de fechas y establecimiento conjunto del plan de auditoría.

● Pre­auditoría:   opcionalmente,   puede   realizarse   una   auditoría   previa   que   aporte información   sobre   la   situación  actual  y  oriente  mejor   sobre   las  posibilidades  de superar la auditoría real.

● Fase 1 de la auditoría: no necesariamente tiene que ser in situ, puesto que se trata del análisis de la documentación por parte del Auditor Jefe y la preparación del informe de   la   documentación   básica   del   SGSI   del   cliente,   destacando   los   posibles incumplimientos de la norma que se verificarán en la Fase 2. Este informe se envía junto al plan de auditoría al cliente. El periodo máximo entre la Fase 1 y Fase 2 es de 6 meses.

● Fase 2 de la auditoría: es la fase de detalle de la auditoría, en la que se revisan in situ las políticas, la implantación de los controles de seguridad y la eficacia del sistema en su conjunto.  Se  inicia con una reunión de apertura donde se  revisa el  objeto, alcance,   el   proceso,   el   personal,   instalaciones   y   recursos   necesarios,   así   como posibles cambios de última hora. Se realiza una revisión de las exclusiones según la Declaración de Aplicabilidad (documento SOA), de los hallazgos de la Fase 1, de la implantación de políticas, procedimientos y controles y de todos aquellos puntos que el  auditor  considere  de   interés.  Finaliza   con una   reunión de  cierre   en   la  que  se presenta el informe de auditoría.

● Certificación: en el caso de que se descubran durante la auditoría no conformidades graves,   la  organización deberá   implantar  acciones  correctivas;  una  vez verificada dicha   implantación   o,   directamente,   en   el   caso   de   no   haberse   presentado   no conformidades,   el   auditor   podrá   emitir   un   informe   favorable   y   el   SGSI   de organización será certificado según ISO 27001.

●  Auditoría de seguimiento: semestral o, al menos, anualmente, debe realizarse una auditoría  de  mantenimiento;  esta  auditoría  se centra,  generalmente,  en partes  del 

sistema, dada su menor duración, y tiene como objetivo comprobar el uso del SGSI y fomentar y verificar la mejora continua.

● Auditoría de re­certificación: cada tres años, es necesario superar una auditoría de certificación formal completa como la descrita.

Organizaciones de certificación

Las organizaciones  certificadas  a  nivel  mundial  en ISO 27001 (o,  anteriormente,  en BS 7799­2) por entidades acreditadas figuran listadas en http://www.iso27001certificates.com. Para aquellas organizaciones que lo han autorizado, también está publicado el alcance de certificación.

Naturalmente, la organización que implanta un SGSI no tiene la obligación de certificarlo. Sin embargo, sí es recomendable ponerse como objetivo la certificación, porque supone la oportunidad de recibir la confirmación por parte de un experto ajeno a la empresa de que se está gestionando correctamente la seguridad de la información, añade un factor de tensión y de concentración en una meta a todos los miembros del proyecto y de la organización en general  y  envía  una  señal  al  mercado de  que  la  empresa  en  cuestión es  confiable  y  es gestionada transparentemente. 

Estándares certificables:

Según y al a fecha 25­set­08 [ISMS]

“

ISMS Standards

New ISO series of 27000 standards

● ISO/IEC 27000 Fundamentals and vocabulary

● ISO/IEC 27001 ISMS ­ Requirements (revised BS 7799 Part 2:2005) ­  Published 15th Oct 2005

● ISO/IEC 27002 Code of practice for information security management as from April 2007 ­ currently ISO/IEC 17799:2005, published 15th June 2005

● ISO/IEC 27003 ISMS implementation guidance (under development)

● ISO/IEC 27004 Information security management measurement (under development)

● ISO/IEC 27005 Information security risk management (based on and incorporating ISO/IEC 13335 MICTS Part 2) (under development)

● ISO/IEC   27006   Requirements   for   bodies   providing   audit   and   certification   of information security management systems ­ Published 15th February 2007

● ISO/IEC 27007 Guidelines for  information security management systems auditing (under development)

ISMS Specifications

● ISO/IEC  27001:2005   ISMS   ­  Requirements   (revised  version   of  BS   7799­2:2002 Information security management systems – specification with guidance for use.)

● ISO 9001:2000 Quality Management Systems – Requirements 

Auditing Standards

● ISO 19011:2002, Guidelines on Quality and/or Environmental Management Systems Auditing 

Accreditation Standards

● ISO/IEC 17021 Conformity Assessment – Requirements for bodies providing audit and certification of management systems

● ISO/IEC   27006   Requirements   for   bodies   providing   audit   and   certification   of information security management systems 

Control Standards

● ISO/IEC 27002:2005 Code of practice for information security management

PROCESO DE CERTIFICACIÓN

¿Qué es una entidad de certificación?

Las entidades de certificación son organismos de evaluación de la conformidad, encargados de evaluar y realizar una declaración objetiva de que los servicios y productos cumplen unos requisitos específicos. En el caso de ISO 27001, certifican,  mediante la auditoría,  que el SGSI de una organización se ha diseñado, implementado, verificado y mejorado conforme a lo detallado en la norma.

Para que las entidades de certificación puedan emitir certificados reconocidos, han de estar acreditadas.   Esto   quiere   decir   que   un   tercero,   llamado   organismo   de   acreditación, comprueba,   mediante   evaluaciones   independientes   e   imparciales,   la   competencia   de   las entidades de certificación  para la actividad objeto de acreditación. En cada país suele haber una sola entidad de acreditación (en algunos, hay más de una), a la que la Administración encarga esa tarea.

Revisando [IAF] (International Acreditation Foro), no se encontró en Perú una entidad de Certificación

El   más   próximo   es   Chile:  Instituto   Nacional   de   Normalizacion   (INN)  y   Brasil   con General Coordination for Accreditation ­  Cgcre,  of National Institute of Metrology, Standardization and Industrial Quality (INMETRO)

En España, es ENAC (Entidad Nacional de Acreditación)

La acreditación de entidades de certificación para ISO 27001 o para BS 7799­2 ­antes de derogarse­ suele hacerse en base al documento EA 7/03  (ANEXO 1)  "Directrices para la acreditación  de  organismos  operando  programas  de  certificación/registro  de  sistemas  de gestión de seguridad en la información". En el futuro, será la norma ISO 27006 la que regule directamente estas cuestiones.

Las   entidades   de   acreditación   establecen   acuerdos   internacionales   para   facilitar   el reconocimiento mutuo de acreditaciones  y el  establecimiento de criterios  comunes.  Para ello,   existen  diversas   asociaciones   como  IAF  (International  Accreditation  Forum)  o  EA (European co­operation for Accreditation).

El auditor

El auditor es la persona que comprueba que el SGSI de una organización se ha diseñado, implementado, verificado y mejorado conforme a lo detallado en la norma. En general, se distinguen tres clases de auditores:

● de primera parte: auditor interno que audita la organización en nombre de sí misma, normalmente, como mantenimiento del sistema de gestión y como preparación a la auditoría de certificación;

● de segunda parte: auditor de cliente, es decir, que audita una organización en nombre de un cliente de la misma; por ejemplo, una empresa que audita a su proveedor de outsourcing;

● de tercera parte: auditor independiente, que audita una organización como tercera parte imparcial; normalmente, porque la organización tiene la intención de lograr la certificación y contrata para ello los servicios de una entidad de certificación.

El   auditor,   sobre   todo   si   actúa   como  de   tercera   parte,   ha  de  disponer   también  de  una certificación personal. Esto quiere decir que, nuevamente un tercero, certifica que posee las competencias profesionales y personales necesarias para desempeñar la labor de auditoría de 

la materia para la que está certificado.

ISO 27k en el Perú

“Según RESOLUCIÓN MINISTERIAL Nº 246­2007­PCM  Aprueban uso obligatorio de la Norma Técnica Peruana “NTP­ISO / IEC 17799:2007 EDI. Tecnología de la Información. Código de buenas prácticas para la gestión de la seguridad de la información. 2a. Edición” en todas las entidades integrantes del Sistema Nacional de Informática.”[ONGEI]

La norma está basada en ISO/IEC 17799:2006, equivalente a ISO/IEC 27002.

Breve resumen del estándar

Según [ANISO]:

0. Introducción:

0.1 General:

Este   estándar   fue   confeccionado   para   proveer   un   modelo   para   el   establecimiento, implementación, operación, monitorización, revisión, mantenimiento y mejora del ISMS, la adopción del ISMS debe ser una decisión estratégica de la organización, pues el mismo está influenciado por las necesidades y objetivos de la misma, los requerimientos de seguridad, los procesos, el tamaño y la estructura de la empresa, la dinámica que implica su aplicación, ocasionará en muchos casos la escalada del mismo, necesitando la misma dinámica para las soluciones.

0.2. Aproximación (o aprovechamiento) del modelo:

Este   estándar   internacional   adopta   un   proceso   para   establecer,   implementar,   operar, monitorizar, revisar, mantener y mejorar el ISMS en una organización. Una organización necesita identificar y administrar cualquier tipo de actividad para funcionar eficientemente. Cualquier  actividad que emplea recursos y es administrada para  transformar entradas en salidas,   puede   ser   considerada   como   un   “proceso”.   A   menudo,   estas   salidas   son aprovechadas nuevamente como entradas, generando una realimentación de los mismos. Este estándar internacional adopta también el modelo “Plan­Do­Check­Act” (PDCA), el cual es aplicado a toda la estructura de procesos de ISMS, y significa lo siguiente:

● Plan   (Establecer   el   ISMS):   Implica,   establecer   a   política   ISMS,   sus   objetivos, procesos, procedimientos relevantes para la administración de riesgos y mejoras para la   seguridad   de   la   información,   entregando   resultados   acordes   a   las   políticas   y objetivos de toda la organización.

● ­ Do (Implementar y operar el ISMS): Representa la forma en que se debe operar e implementar la política, controles, procesos y procedimientos.

● Check (Monitorizar y revisar el ISMS): Analizar y medir donde sea aplicable, los procesos   ejecutados   con   relación   a   la   política   del   ISMS,   evaluar   objetivos, experiencias e informar los resultados a la administración para su revisión.

● Act (Mantener y mejorar el ISMS): Realizar las acciones preventivas y correctivas, basados en las auditorías internas y revisiones del ISMS o cualquier otra información relevante para permitir la continua mejora del ISMS.

1.2. Aplicación:

Los requerimientos de este estándar internacional, son genéricos y aplicables a la totalidad 

de las organizaciones. La exclusión de los requerimientos especificados en las cláusulas 4, 5, 6, 7 y 8, no son aceptables cuando una organización solicite su conformidad con esta norma. Estas cláusulas son:

4. ISMS.

5. Responsabilidades de la Administración

6. Auditoría Interna del ISMS

7. Administración de las revisiones del ISMS

8. Mejoras del ISMS.

(Estas   cláusulas   realmente   conforman   el   cuerpo   principal   de   esta   norma)   Cualquier exclusión a los controles detallados por la norma y denominados como “necesarios” para satisfacer   los  criterios  de  aceptación de  riegos,  debe ser   justificado y se debe  poner  de manifiesto, o evidenciar claramente los criterios por  los cuales este riesgo es asumido y aceptado.  En cualquier caso en el  que un control sea excluido,   la conformidad con este estándar   internacional,   no   será   aceptable,   a   menos   que   dicha   exclusión   no   afecte   a   la capacidad y/o responsabilidad de proveer seguridad a los requerimientos de información que se hayan determinado a través de la evaluación de riesgos, y sea a su vez aplicable a las regulaciones y legislación vigente.

2. Normativas de referencia:

Para la aplicación de este documento, es indispensable tener en cuenta la última versión de:

“ISO/IEC   17799:2005,   Information   technology   —   Security   techniques   —   Code   of practice for information security management”

3. Términos y definiciones:

La siguiente terminología aplica a esta norma:

3.1. Recurso (Asset): Cualquier cosa que tenga valor para la organización.

3.2. Disponibilidad (availability):  Propiedad de ser accesible y usable bajo demanda por una

entidad autorizada.

3.3. Confidencialidad (confidentiality): Propiedad que la información no esté disponible o pueda ser descubierta por usuarios no autorizados, entidades o procesos.

3.4.   Seguridad   de   la   información:  Preservación   de   la   confidencialidad,   integridad   y disponibilidad   de   la   información,   en   adición   también   de   otras   propiedades   como autenticación,  autorización,   registro  de actividad,  no  repudio  y confiabilidad  pueden ser también consideradas.

3.5. Eventos de seguridad de la información: Ocurrencia de un evento identificado sobre un sistema, servicio o red, cuyo estado indica una posible brecha en la política de seguridad de la información o fallo en el almacenamiento de la misma, también cualquier situación previa desconocida que pueda ser relevante desde el punto de vista de la seguridad. 

3.6.   Incidente  de  seguridad:  uno  o  varios  eventos  de  seguridad  de   la   información,  no deseados o inesperados que tienen una cierta probabilidad de comprometer las operaciones de la empresa y amenazan a la seguridad de la información.

3.7. Sistema de administración de la seguridad de la información (ISMS: Information 

Security Management System): Parte de los sistemas de la empresa, basado en el análisis de riesgo de negocio, cuya finalidad es establecer, implementar, operar, monitorizar, revisar, mantener y mejorar la seguridad de la información.

NOTA:  el   ISMS   incluye   las   políticas,   planes,   actividades,   responsabilidades,   prácticas, procedimientos, procesos y recursos.

3.8. Integridad: Propiedad de salvaguardar la precisión y completitud de los recursos.

3.9. Riesgo residual: El riesgo remanente luego de una amenaza a la seguridad.

3.10. Aceptación de riesgo: Decisión de aceptar un riesgo.

3.11. Análisis de riego: Uso sistemático de la información para identificar fuentes y estimar riesgos.

3.12. Valoración de riesgo: Totalidad de los procesos de análisis y evaluación de riesgo.

3.13. Evaluación de riesgo: Proceso de comparar los riesgos estimados contra los criterios de riesgo establecidos o dados, para determinar el grado de significativo del riesgo.

ACLARACIÓN AJENA A LA NORMA: En definitiva la “Evaluación del riesgo”, es el resultado   final   de   esta   actividad,   pero  no  debe   ser   pensada  únicamente   con   relación   a “Análisis  y Valoración”,  sino también a  los criterios de riesgo que la organización haya definido a lo largo de toda su política empresarial.

3.14.   Administración   del   riesgo:  Actividades   coordinadas   para   dirigir   y   controlar   las medidas   necesarias   para   la   observación   del   riesgo   dentro   de   la   organización.   revisará, mantendrá ymejorará un documentado ISMS en el contexto de su propia organización para las actividades globales de su negocio y de cara a los riesgos. Para este propósito esta norma el proceso está basado en el modelo PDCA comentado en el punto 0.2. 

4.3.2. Control de documentos:

Todos   los   documentos   requeridos   por   el   ISMS   serán   protegidos   y   controlados.   Un procedimiento  documentado  deberá   establecer   las   acciones  de  administración  necesarias para:

● Aprobar documentos y prioridades o clasificación de empleo.

● Revisiones, actualizaciones y reaprobaciones de documentos.

● Asegurar que los cambios y las revisiones de documentos sean identificados.

● ! Asegurar que las últimas versiones de los documentos aplicables estén disponibles y listas para ser usadas.

● Asegurar que los documentos permanezcan legibles y fácilmente identificables.

● Asegurar   que   los   documentos   estén   disponibles   para   quien   los   necesite   y   sean transferidos,   guardados   y   finalmente   dispuestos   acorde   a   los   procedimientos aplicables a su clasificación.

● Asegurar que los documentos de origen externo sean identificados.

● Asegurar el control de la distribución de documentos.

● Prevenir   el   empleo   no   deseado   de   documentos   obsoletos   y   aplicar   una   clara identificación para poder acceder a ellos y que queden almacenados para cualquier propósito

5. Responsabilidades de administración:

5.1.  La  administración  proveerá   evidencias  de  sus  compromisos  para  el  establecimiento, implementación, operación, monitorización, mantenimiento y mejora del ISMS a través de:

● Establecimiento de la política del ISMS

● Asegurar el establecimiento de los objetivos y planes del ISMS.

● Establecer roles y responsabilidades para la seguridad de la información.

● Comunicar y concienciar a la organización sobre la importancia y apoyo necesario alos objetivos propuestos por la política de seguridad, sus responsabilidades legales y la necesidad de una continua mejora en este aspecto.

● Proveer   suficientes   recursos   para   establecer,   operar,   implementar,   monitorizar, revisar, mantener y mejorar el ISMS (5.2.1).

● Decidir los criterios de aceptación de riesgos y los niveles del mismo.

● Asegurar que las auditorías internas del ISMS, sean conducidas y a su vez conduzcan a la administración para la revisión del ISMS (ver 7.)

5.2.2. Formación, preparación y competencia:

La organización asegurará que todo el personal a quien sean asignadas responsabilidades definidas en el ISMS sea competente y esté en capacidad de ejecutar las tareas requeridas, para   ello   deberá   proveer   las   herramientas   y   capacitación   necesaria   (Documento: Planificación, guías y programas de formación y preparación).

6. Auditoría interna del ISMS:

La organización realizará auditorías internas al ISMS a intervalos planeados para determinar si los controles, sus objetivos, los procesos y procedimientos continúan de conformidad a esta norma y para analizar y planificar acciones de mejora. Ninguna persona podrá auditar su   propio   trabajo,   ni   cualquier   otro   que   guarde   relación   con   él.   La   responsabilidad   y requerimientos para el  planeamiento y la conducción de las actividades de auditoría,  los informes resultantes y el mantenimiento de los registros será definido en un procedimiento (Ver: Procedimiento de Revisión del ISMS ­ Periódicas y aperiódicas

7. Administración de las revisiones del ISMS:

Las revisiones mencionadas en el punto anterior deberán llevarse a cabo al menos una vez al año   para   asegurar   su   vigencia,   adecuación   y   efectividad.   Estas   revisiones   incluirán valoración de  oportunidades  para  mejorar  o   cambiar   el   ISMS  incluyendo   la  política  de seguridad de la información y sus objetivos. Los resultados de estas revisiones, como se mencionó en el punto anterior serán claramente documentados y los mismos darán origen a esta actividad. Esta actividad está constituida por la revisión de entradas (7.2.) y la de salidas (7.3.)   y   dará   como   resultado   el   documento   correspondiente   (Ver:   Documento   de administración de las revisiones del ISMS).

8. Mejoras al ISMS

La organización deberá mejorar continuamente la eficiencia del ISMS a través del empleo de la política de seguridad de la información, sus objetivos, el resultado de las auditorías, el análisis y monitorización de eventos, las acciones preventivas y correctivas y las revisiones de administración.

8.2. Acciones correctivas:

La   organización   llevará   a   cabo   acciones   para   eliminar   las   causas   que   no   estén   en conformidad con los requerimientos del ISMS con el objetivo de evitar la recurrencia de los mismos. Cada una de estas acciones correctivas deberá ser documentada (Ver: Documento de acciones correctivas)

El anexo A de esta norma propone una detallada tabla de los controles, los cuales quedan  agrupados y numerados de la siguiente forma:

A.5 Política de seguridad

A.6 Organización de la información de seguridad

A.7 Administración de recursos

A.8 Seguridad de los recursos humanos

A.9 Seguridad física y del entorno

A.10 Administración de las comunicaciones y operaciones

A.11 Control de accesos

A.12 Adquisición de sistemas de información, desarrollo y mantenimiento

A.13 Administración de los incidentes de seguridad

A.14 Administración de la continuidad de negocio

A.15 Cumplimiento (legales, de estándares, técnicas y auditorías)

El anexo B, que es informativo, a su vez proporciona una breve guía de los principios de  OECD (guía de administración de riesgos de sistemas de información y redes ­ París, Julio  del 2002, “www.oecd.org”) y su correspondencia con el modelo PDCA.

Por último el Anexo C, también informativo, resume la correspondencia entre esta norma y  los estándares ISO 9001:2000 y el ISO 14001:2004

VII.ISO 9001:2000 [ISO­ES]

La Norma   Internacional,   ISO 9001,   fue  preparada  por   el  Comité  Técnico   ISO/TC 176, Gestión y Aseguramiento de la Calidad, Subcomité SC 2, Sistemas de la Calidad. 

Esta   tercera edición de  la  Norma ISO 9001 anula y  reemplaza la  segunda edición (ISO 9001:1994), así como a las Normas ISO 9002:1994 e ISO 9003:1994. 

Esta edición de la Norma ISO 9001 incorpora un título revisado, en el cual ya no se incluye el término "Aseguramiento de la calidad". De esta forma se destaca el hecho de que los requisitos del sistema de gestión de la calidad establecidos en esta edición de la Norma ISO 9001, además del aseguramiento de la calidad del producto pretenden también aumentar la satisfacción del cliente. 

Las normas ISO 9000 de 1994 estaban principalmente pensadas para organizaciones que realizaban proceso productivo y, por tanto, su implantación en las empresas de servicios era muy dura y por eso se sigue en la creencia de que es un sistema bastante burocrático.Con  la   revisión  de  2000   se  ha  conseguido  una  norma bastante  menos  burocrática  para organizaciones  de   todo   tipo,  y   además   se  puede  aplicar   sin   problemas  en   empresas  de servicios e incluso en la Administración Pública.Para  verificar  que  se  cumple  con  los   requisitos  de   la  norma,  existen  unas  entidades  de certificación que dan sus  propios  certificados  y permiten el   sello.  Estas  entidades  están vigiladas por organismos nacionales que les dan su acreditación.Para   la   implantación,   es  muy  conveniente  que  apoye a   la  organización  una  empresa  de consultoría, que tenga buenas referencias, y el firme compromiso de la Dirección de que quiere implantar el Sistema, ya que es necesario dedicar tiempo del personal de la empresa para implantar el Sistema de gestión de la calidad.

SERIE DE NORMAS ISO 9000:2000 [ISO­ES]

1. UNE­EN­ISO 9001:2000. Sistema de Gestión de la Calidad. Requisitos. Define los elementos mínimos de un Sistema de Gestión de la Calidad necesarios para lograr la satisfacción del cliente. Su propósito es la certificación. 

2. UNE­EN­ISO 9004:2000. Sistema de gestión de la calidad. Directrices para la Mejora del desempeño. Proporciona una guía más allá de los requisitos mínimos para el establecimiento, operación y mejora continua de un sistema de gestión de la calidad. 

3. UNE­EN­ISO 9000:2000. Sistemas de gestión de la calidad. Fundamento y vocabulario.

      ISO 9001:2000 ­ SISTEMAS DE GESTIÓN DE LA CALIDAD — REQUISITOS [REQ]

1. Objeto y campo de aplicación 

1.1 Generalidades 

Esta Norma Internacional especifica los requisitos para un sistema de gestión de la calidad, cuando una organización 

a) Necesita   demostrar   su   capacidad   para   proporcionar   de   forma   coherente productos   que   satisfagan   los   requisitos   del   cliente   y   los   reglamentarios aplicables, y 

b) Aspira a aumentar la satisfacción del cliente a través de la aplicación eficaz del sistema, incluidos los procesos para la mejora continua del sistema y el aseguramiento   de   la   conformidad   con   los   requisitos   del   cliente   y   los reglamentarios aplicables. 

En esta Norma Internacional, el término "producto" se aplica únicamente al producto destinado a un cliente o solicitado por él. 

1.2 Aplicación

Todos los requisitos de esta Norma Internacional son genéricos y se pretende que sean aplicables a todas las organizaciones sin importar su tipo, tamaño y producto suministrado. Cuando uno o varios requisitos de esta Norma Internacional no se puedan aplicar debido a la naturaleza de la organización y de su producto, pueden considerarse para su exclusión. 

2. Referencias normativas 

El documento normativo, contiene disposiciones que, a través de referencias, constituyen disposiciones de esta Norma Internacional. 

No obstante, se recomienda a las partes que basen sus acuerdos en esta Norma Internacional que investiguen la posibilidad de aplicar la edición más reciente del documento normativo. Los miembros de CEI e ISO mantienen el registro de las Normas Internacionales vigentes. 

3. Términos y definiciones

Para el propósito de esta Norma Internacional, son aplicables los términos y definiciones dados en la Norma ISO 9000. A lo largo del texto de la Norma Internacional, cuando se utilice el término "producto", éste 

puede significar también "servicio".

4. Sistema de gestión de la calidad

4.1.Requisitos generales 

La organización debe establecer, documentar, implementar y mantener un sistema de gestión   de   la   calidad   y   mejorar   continuamente   su   eficacia   de   acuerdo   con   los requisitos de esta Norma Internacional. 

La organización debe :a) Identificar los procesos necesarios para el sistema de gestión de la calidad y 

su aplicación. b) Determinar la secuencia e interacción de estos procesos.c) Determinar los criterios y métodos necesarios para asegurarse de que tanto la 

operación como el control de estos procesos sean eficaces.d) Asegurarse de la disponibilidad de recursos e  información necesarios para 

apoyar la operación y el seguimiento de estos procesos.e) Realizar el seguimiento, la medición y el análisis de estos procesos, e f) Implementar las acciones necesarias para alcanzar los resultados planificados 

y la mejora continua de estos procesos. 

4.2. Requisitos de la documentación 

4.2.1. Generalidades La documentación del sistema de gestión de la calidad debe incluir :

a) Declaraciones   documentadas   de   una   política   de   la   calidad   y   de objetivos de la calidad, 

b) Un manual de la calidad, c) Los   procedimientos   documentados   requeridos   en   esta   Norma 

Internacional, d) Los documentos necesitados por la organización para asegurarse de la 

eficaz planificación, operación y control de sus procesos, y e) Los registros requeridos por esta Norma Internacional (véase 4.2.4). 

La extensión de la documentación del sistema de gestión de la calidad puede diferir de una organización a otra :

a) El tamaño de la organización y el tipo de actividades, b) La complejidad de los procesos y sus interacciones, y c) La competencia del personal. 

La documentación puede estar en cualquier formato o tipo de medio. 

4.2.2. Manual de la calidad La organización debe establecer  y  mantener  un  manual  de   la  calidad  que incluya: 

a) El alcance del sistema de gestión de la calidad, incluyendo los detalles y la justificación de cualquier exclusión (véase 1.2).

b) Los   procedimientos   documentados   establecidos   para   el   sistema   de gestión de la calidad, o referencia a los mismos, y 

c) Una descripción de la interacción entre los procesos del sistema de gestión de la calidad. 

4.2.3. Control de los documentos Los documentos  requeridos  por  el  sistema de  gestión de   la  calidad  deben controlarse.   Los   registros   son   un   tipo   especial   de   documento   y   deben controlarse de acuerdo con los requisitos citados en 4.2.4. 

Debe establecerse un procedimiento documentado que defina los controles necesarios para :

a) Aprobar   los   documentos   en   cuanto   a   su   adecuación   antes   de   su emisión, 

b) Revisar y actualizar los documentos cuando sea necesario y aprobarlos nuevamente, 

c) Asegurarse de que se identifican los cambios y el estado de revisión actual de los documentos, 

d) Asegurarse   de   que   las   versiones   pertinentes   de   los   documentos aplicables se encuentran disponibles en los puntos de uso, 

e) Asegurarse de que los documentos permanecen legibles y fácilmente identificables, 

f) Asegurarse de que se identifican los documentos de origen externo y se controla su distribución, y 

g) Prevenir el uso no intencionado de documentos obsoletos, y aplicarles una   identificación   adecuada   en   el   caso   de   que   se   mantengan   por cualquier razón. 

4.2.4. Control de los registros 

Los registros deben establecerse y mantenerse para proporcionar evidencia de la conformidad con los requisitos así como de la operación eficaz del sistema de gestión de la calidad. Los registros deben permanecer legibles, fácilmente identificables   y  recuperables.   Debe   establecerse   un   procedimiento documentado para definir los controles necesarios para la identificación, el almacenamiento, la protección, la recuperación, el tiempo de retención y la disposición de los registros. 

5. Responsabilidad de la dirección 

5.1. Compromiso de la dirección La alta dirección debe proporcionar evidencia de su compromiso con el desarrollo e implementación del sistema de gestión de la calidad, así como con la mejora continua de su eficacia. 

a) Comunicando   a   la   organización   la   importancia   de   satisfacer   tanto   los requisitos del cliente como los legales y reglamentarios, 

b) Estableciendo la política de la calidad, c) Asegurando que se establecen los objetivos de la calidad, 

d) Llevando a cabo las revisiones por la dirección, y e) Asegurando la disponibilidad de recursos. 

5.2. Enfoque al cliente La alta dirección debe asegurarse de que los requisitos del cliente se determinan y se cumplen con el  propósito  de aumentar   la   satisfacción del  cliente  (véanse  7.2.1 y 8.2.1). 

5.3. Política de la calidad La alta dirección debe asegurarse de que la política de la calidad. 

a) Es adecuada al propósito de la organización, b) Incluye   un   compromiso   de   cumplir   con   los   requisitos   y   de   mejorar 

continuamente la eficacia del sistema de gestión de la calidad, c) Proporciona un marco de referencia para establecer y revisar los objetivos de 

la calidad, d) Es comunicada y entendida dentro de la organización, y e) Es revisada para su continua adecuación. 

5.4. Planificación 5.4.1. Objetivos de la calidad La   alta   dirección   debe   asegurarse   de   que   los   objetivos   de   la   calidad, incluyendo aquéllos necesarios para cumplir los requisitos para el producto [véase 7.1 a)], se establecen en las funciones y niveles pertinentes dentro de la organización. Los objetivos de la calidad deben ser medibles y coherentes con la política de la calidad. 

5.4.2. Planificación del sistema de gestión de la calidad La alta dirección debe asegurarse de que :

a) La planificación del sistema de gestión de la calidad se realiza con el fin de cumplir los requisitos citados en 4.1, así como los objetivos de la calidad, y 

b) Se mantiene la integridad del sistema de gestión de la calidad cuando se planifican e implementan cambios en éste. 

5.5. Responsabilidad, autoridad y comunicación 5.5.1. Responsabilidad y autoridad La alta dirección debe asegurarse de que las responsabilidades y autoridades están definidas y son comunicadas dentro de la organización. 

5.5.2. Representante de la dirección La   alta   dirección   debe   designar   un   miembro   de   la   dirección   quien,   con independencia  de  otras   responsabilidades,   debe   tener   la   responsabilidad  y autoridad que incluya: 

a) Asegurarse   de   que   se   establecen,   implementan   y   mantienen   los procesos necesarios para el sistema de gestión de la calidad, 

b) Informar a la alta dirección sobre el desempeño del sistema de gestión de la calidad y de cualquier necesidad de mejora, y 

c) Asegurarse   de   que   se   promueva   la   toma   de   conciencia   de   los requisitos del cliente en todos los niveles de la organización. 

5.5.3. Comunicación interna La   alta   dirección   debe   asegurarse   de   que   se   establecen   los   procesos   de comunicación apropiados dentro de la organización y de que la comunicación se efectúa considerando la eficacia del sistema de gestión de la calidad. 

5.6. Revisión por la dirección 5.6.1. Generalidades La alta dirección debe, a intervalos planificados, revisar el sistema de gestión de   la   calidad   de   la   organización,   para   asegurarse   de   su   conveniencia, adecuación y eficacia continuas. La revisión debe incluir la evaluación de las oportunidades de mejora y la necesidad de efectuar cambios en el sistema de gestión de la calidad, incluyendo la política de la calidad y los objetivos de la calidad. Deben mantenerse registros de las revisiones por la dirección (véase 4.2.4). 

5.6.2. Información para la revisión La información de entrada para la revisión por la dirección debe incluir :

a) Resultados de auditorías, b) Retroalimentación del cliente, c) Desempeño de los procesos y conformidad del producto, d) Estado de las acciones correctivas y preventivas, e) Acciones de seguimiento de revisiones por la dirección previas, f) Cambios que podrían afectar al sistema de gestión de la calidad, y g) Recomendaciones para la mejora. 

5.6.3. Resultados de la revisión Los   resultados   de   la   revisión   por   la   dirección   deben   incluir   todas   las decisiones y acciones relacionadas con :

a) La mejora de la eficacia del sistema de gestión de la calidad y sus procesos.

b) La mejora del producto en relación con los requisitos del cliente, y c) Las necesidades de recursos. 

6. Gestión de los recursos 

6.1. Provisión de recursos La organización debe determinar y proporcionar los recursos necesarios para :

a) Implementar   y   mantener   el   sistema   de   gestión   de   la   calidad   y   mejorar continuamente su eficacia, y 

b) Aumentar   la   satisfacción   del   cliente   mediante   el   cumplimiento   de   sus requisitos. 

6.2. Recursos humanos 6.2.1. Generalidades El personal que realice trabajos que afecten a la calidad del producto debe ser competente con base en la educación, formación, habilidades y experiencia apropiadas. 

6.2.2. Competencia, toma de conciencia y formación 

La organización debe :a) Determinar   la   competencia   necesaria   para   el   personal   que   realiza 

trabajos que afectan a la calidad del producto, b) Proporcionar formación o tomar otras acciones para satisfacer dichas 

necesidades, c) Evaluar la eficacia de las acciones tomadas, d) Asegurarse   de   que   su   personal   es   consciente   de   la   pertinencia   e 

importancia de sus actividades y de cómo contribuyen al logro de los objetivos de la calidad, y 

e) Mantener   los   registros   apropiados   de   la   educación,   formación, habilidades y experiencia (véase 4.2.4). 

6.3. Infraestructura La   organización   debe   determinar,   proporcionar   y   mantener   la   infraestructura necesaria   para   lograr   la   conformidad   con   los   requisitos   del   producto.   La infraestructura incluye, cuando sea aplicable :

a) Edificios, espacio de trabajo y servicios asociados, b) Equipo para los procesos, (tanto hardware como software), y c) Servicios de apoyo tales (como transporte o comunicación).

6.4. Ambiente de trabajo La organización debe determinar y gestionar el ambiente de trabajo necesario para lograr la conformidad con los requisitos del producto. 

7. Realización del producto 

7.1. Planificación de la realización del producto La   organización   debe   planificar   y   desarrollar   los   procesos   necesarios   para   la realización del producto.  La planificación de la realización del producto debe ser coherente con los requisitos de los otros procesos del sistema de gestión de la calidad (véase 4.1). Durante   la   planificación   de   la   realización   del   producto,   la   organización   debe determinar, cuando sea apropiado, lo siguiente: 

a) Los objetivos de la calidad y los requisitos para el producto; b) La necesidad de establecer procesos, documentos y de proporcionar recursos 

específicos para el producto; c) Las   actividades   requeridas   de   verificación,   validación,   seguimiento, 

inspección y ensayo/prueba específicas para el producto así como los criterios para la aceptación del mismo; 

d) Los   registros  que   sean  necesarios  para  proporcionar  evidencia  de  que   los procesos de realización y el producto resultante cumplen los requisitos (véase 4.2.4). 

El   resultado   de   esta   planificación   debe   presentarse   de   forma   adecuada   para   la metodología de operación de la organización. 

Un  documento  que   especifica   los   procesos  del   sistema  de  gestión  de   la   calidad (incluyendo   los   procesos  de   realización  del   producto)   y   los   recursos   que   deben aplicarse a un producto, proyecto o contrato específico, puede denominarse como un 

plan de la calidad. 

7.2. Procesos relacionados con el cliente 7.2.1. Determinación de los requisitos relacionados con el producto La organización debe determinar :

a) Los requisitos especificados por el cliente, incluyendo los requisitos para las actividades de entrega y las posteriores a la misma, 

b) Los requisitos no establecidos por el cliente pero necesarios para el uso especificado o para el uso previsto, cuando sea conocido, 

c) Los requisitos legales y reglamentarios relacionados con el producto, y 

d) Cualquier requisito adicional determinado por la organización. 

7.2.2. Revisión de los requisitos relacionados con el producto La organización debe revisar los requisitos relacionados con el producto. Esta revisión   debe   efectuarse   antes   de   que   la   organización   se   comprometa   a proporcionar un producto al cliente (por ejemplo envío de ofertas, aceptación de contratos o pedidos, aceptación de cambios en los contratos o pedidos) y debe asegurarse de que :

a) Están definidos los requisitos del producto, b) Están   resueltas   las   diferencias   existentes   entre   los   requisitos   del 

contrato o pedido y los expresados previamente, y c) La organización  tiene   la  capacidad  para  cumplir  con   los   requisitos 

definidos. d) Deben mantenerse registros de los resultados de la revisión y de las 

acciones originadas por la misma.Cuando   el   cliente   no   proporcione   una   declaración   documentada   de   los requisitos, la organización debe confirmar los requisitos del cliente antes de la aceptación. Cuando   se   cambien   los   requisitos   del   producto,   la   organización   debe asegurarse de que la documentación pertinente sea modificada y de que el personal correspondiente sea consciente de los requisitos modificados. En algunas situaciones, tales como las ventas por internet, no resulta práctico efectuar una revisión formal de cada pedido. En su lugar, la revisión puede cubrir la información pertinente del producto, como son los catálogos o el material publicitario. 

7.2.3. Comunicación con el cliente La organización debe determinar e implementar disposiciones eficaces para la comunicación con los clientes, relativas a :

a) La información sobre el producto, b) Las   consultas,   contratos   o   atención   de   pedidos,   incluyendo   las 

modificaciones, y c) La retroalimentación del cliente, incluyendo sus quejas. 

7.3. Diseño y desarrollo 7.3.1    Planificación del diseño y desarrollo La   organización   debe   planificar   y   controlar   el   diseño   y   desarrollo   del 

producto. Durante   la   planificación   del   diseño   y   desarrollo   la   organización   debe determinar :

a) Las etapas del diseño y desarrollo, b) La revisión, verificación y validación, apropiadas para cada etapa del 

diseño y desarrollo, y c) Las responsabilidades y autoridades para el diseño y desarrollo. 

La   organización   debe   gestionar   las   interfaces   entre   los   diferentes   grupos involucrados en el diseño y desarrollo para asegurarse de una comunicación eficaz y una clara asignación de responsabilidades. Los resultados de la planificación deben actualizarse, según sea apropiado, a medida que progresa el diseño y desarrollo. 

7.3.2. Elementos de entrada para el diseño y desarrollo Deben determinarse los elementos de entrada relacionados con los requisitos del   producto   y   mantenerse   registros   .   Estos   elementos   de   entrada   deben incluir :

a) Los requisitos funcionales y de desempeño, b) Los requisitos legales y reglamentarios aplicables, c) La información proveniente de diseños previos similares, cuando sea 

aplicable, y d) Cualquier otro requisito esencial para el diseño y desarrollo. 

Estos elementos deben revisarse para verificar su adecuación. Los requisitos deben estar completos, sin ambigüedades y no deben ser contradictorios. 

7.3.3    Resultados del diseño y desarrollo Los resultados del diseño y desarrollo deben proporcionarse de tal manera que  permitan   la   verificación   respecto   a   los   elementos  de   entrada  para   el diseño y desarrollo, y deben aprobarse antes de su liberación. Los resultados del diseño y desarrollo deben :

a) Cumplir los requisitos de los elementos de entrada para el diseño y desarrollo, 

b) Proporcionar información apropiada para la compra, la producción y la prestación del servicio, 

c) Contener o hacer referencia a los criterios de aceptación del producto, y 

d) Especificar las características del producto que son esenciales para el uso seguro y correcto. 

7.3.4. Revisión del diseño y desarrollo En las etapas adecuadas, deben realizarse revisiones sistemáticas del diseño y desarrollo de acuerdo con lo planificado.

a) Evaluar   la  capacidad de   los   resultados  de diseño y desarrollo  para cumplir los requisitos, e 

b) Identificar cualquier problema y proponer las acciones necesarias. 

Los  participantes   en  dichas   revisiones  deben   incluir   representantes  de   las funciones relacionadas con la(s) etapa(s) de diseño y desarrollo que se está(n) revisando. Deben mantenerse registros de los resultados de las revisiones y de cualquier acción necesaria.

7.3.5. Verificación del diseño y desarrollo Se debe realizar la verificación, de acuerdo con lo planificado (véase 7.3.1), para asegurarse de que los resultados del diseño y desarrollo  cumplen los requisitos   de   los   elementos   de   entrada   del   diseño   y   desarrollo.   Deben mantenerse registros de los resultados de la verificación y de cualquier acción que sea necesaria.

7.3.6. Validación del diseño y desarrollo Se  debe   realizar   la   validación  del  diseño  y  desarrollo  de   acuerdo  con   lo planificado   para   asegurarse   de   que   el   producto   resultante   es   capaz   de satisfacer los requisitos para su aplicación especificada o uso previsto, cuando sea conocido Siempre que sea factible, la validación debe completarse antes de la entrega o implementación del producto. Deben mantenerse registros de los resultados de la validación y de cualquier acción que sea necesaria. 

7.3.7. Control de los cambios del diseño y desarrollo Los cambios del diseño y desarrollo deben identificarse y deben mantenerse registros.  Los   cambios  deben   revisarse,   verificarse   y   validarse,   según   sea apropiado,   y   aprobarse   antes   de   su   implementación.   La   revisión   de   los cambios del diseño y desarrollo debe incluir la evaluación del efecto de los cambios en las partes constitutivas y en el producto ya entregado. Deben mantenerse registros de los resultados de la revisión de los cambios y de cualquier acción que sea necesaria. 

7.4.  Compras 7.4.1. Proceso de compras La organización debe asegurarse de que el  producto adquirido cumple  los requisitos de compra especificados. El tipo y alcance del control aplicado al proveedor y al producto adquirido debe depender del impacto del producto adquirido en la posterior realización del producto o sobre el producto final. La organización debe evaluar y seleccionar los proveedores en función de su capacidad  para   suministrar  productos  de   acuerdo  con   los   requisitos  de   la organización. Deben establecerse los criterios para la selección, la evaluación y la re­evaluación. Deben mantenerse los registros de los resultados de las evaluaciones y de cualquier acción necesaria que se derive de las mismas. 

7.4.2. Información de las compras La   información   de   las   compras   debe   describir   el   producto   a   comprar, incluyendo, cuando sea apropiado :

a) Requisitos para la aprobación del producto, procedimientos, procesos y equipos, 

b) Requisitos para la calificación del personal, y c) Requisitos del sistema de gestión de la calidad. 

d) La organización debe asegurarse de la adecuación de los requisitos de compra especificados antes de comunicárselos al proveedor. 

7.4.3. Verificación de los productos comprados La   organización   debe   establecer   e   implementar   la   inspección   u   otras actividades necesarias para asegurarse de que el producto comprado cumple los requisitos de compra especificados. Cuando la organización o su cliente quieran llevar a cabo la verificación en las   instalaciones   del   proveedor,   la   organización   debe   establecer   en   la información de compra las disposiciones para la verificación pretendida y el método para la liberación del producto. 

7.5. Producción y prestación del servicio 7.5.1. Control de la producción y de la prestación del servicio La organización debe planificar y llevar a cabo la producción y la prestación del servicio bajo condiciones controladas. Las condiciones controladas deben incluir, cuando sea aplicable :

a) La disponibilidad de información que describa las características del producto, 

b) La disponibilidad de instrucciones de trabajo, cuando sea necesario, c) El uso del equipo apropiado, d) La disponibilidad y uso de dispositivos de seguimiento y medición, e) La implementación del seguimiento y de la medición, y f) La implementación de actividades de liberación, entrega y posteriores 

a la entrega. 

7.5.2. Validación de los procesos de la producción y de la prestación del servicio La organización debe validar aquellos procesos de producción y de prestación del servicio donde los productos resultantes no puedan verificarse mediante actividades de seguimiento o medición posteriores. Esto incluye a cualquier proceso en el que las deficiencias se hagan aparentes únicamente después de que el producto esté siendo utilizado o se haya prestado el servicio. La validación debe demostrar la capacidad de estos procesos para alcanzar los resultados  planificados.  La  organización  debe   establecer   las   disposiciones para estos procesos, incluyendo, cuando sea aplicable :

a) Los criterios definidos para la revisión y aprobación de los procesos, b) La aprobación de equipos y calificación del personal, c) El uso de métodos y procedimientos específicos, d) Los requisitos de los registros, y e) La revalidación. 

7.5.3. Identificación y trazabilidad Cuando   sea   apropiado,   la   organización   debe   identificar   el   producto   por medios   adecuados,   a   través   de   toda   la   realización   del   producto.   La organización   debe   identificar   el   estado   del   producto   con   respecto   a   los requisitos de seguimiento y medición. 

Cuando   la  trazabilidad  sea  un   requisito,   la  organización  debe   controlar  y registrar la identificación única del producto. 

7.5.4. Propiedad del cliente La organización debe cuidar los bienes que son propiedad del cliente mientras estén   bajo   el   control   de   la   organización   o   estén   siendo   utilizados  por   la misma. La organización debe identificar, verificar, proteger y salvaguardar los bienes   que   son   propiedad   del   cliente   suministrados   para   su   utilización   o incorporación  dentro   del   producto.  Cualquier   bien   que   sea   propiedad   del cliente   que   se   pierda,   deteriore   o   que   de   algún   otro   modo   se   considere inadecuado para su uso debe ser registrado y comunicado al cliente. 

7.5.5. Preservación del producto La   organización   debe   preservar   la   conformidad   del   producto   durante   el proceso interno y la entrega al destino previsto. Esta preservación debe incluir la identificación, manipulación, embalaje, almacenamiento y protección. La preservación debe aplicarse también, a las partes constitutivas de un producto. 

7.6.  Control de los dispositivos de seguimiento y de medición La  organización  debe  determinar   el   seguimiento  y   la  medición   a   realizar,   y   los dispositivos de medición y seguimiento necesarios para proporcionar la evidencia de la conformidad del producto con los requisitos determinados (véase 7.2.1). La organización debe establecer procesos para asegurarse de que el seguimiento y medición pueden realizarse y se realizan de una manera coherente con los requisitos de seguimiento y medición. Cuando   sea   necesario   asegurarse   de   la   validez   de   los   resultados,   el   equipo   de medición debe :

a) Calibrarse o verificarse a intervalos especificados o antes de su utilización, comparado   con   patrones   de   medición   trazables   a   patrones   de   medición nacionales   o   internacionales;   cuando   no   existan   tales   patrones   debe registrarse la base utilizada para la calibración o la verificación; 

b) Ajustarse o reajustarse según sea necesario; c) Identificarse para poder determinar el estado de calibración; d) Protegerse contra ajustes que pudieran invalidar el resultado de la medición; e) Protegerse   contra   los   daños   y   el   deterioro   durante   la   manipulación,   el 

mantenimiento y el almacenamiento. 

Además, la organización debe evaluar y registrar la validez de los resultados de las mediciones anteriores  cuando se detecte  que el  equipo no está  conforme con  los requisitos.  La organización debe tomar las acciones apropiadas sobre el  equipo y sobre cualquier producto afectado. Deben mantenerse registros de los resultados de la calibración y la verificación. Debe   confirmarse   la   capacidad  de   los  programas   informáticos   para   satisfacer   su aplicación  prevista   cuando  éstos   se  utilicen  en   las   actividades  de   seguimiento  y medición de los requisitos especificados. Esto debe llevarse a cabo antes de iniciar su utilización y confirmarse de nuevo cuando sea necesario. 

8. Medición, análisis y mejora 

8.1. Generalidades La   organización   debe   planificar   e   implementar   los   procesos   de   seguimiento, medición, análisis y mejora necesarios para: 

a) Demostrar la conformidad del producto, b) Asegurarse de la conformidad del sistema de gestión de la calidad, y c) Mejorar continuamente la eficacia del sistema de gestión de la calidad. 

Esto debe comprender la determinación de los métodos aplicables, incluyendo las técnicas estadísticas, y el alcance de su utilización. 

8.2. Seguimiento y medición 8.2.1. Satisfacción del cliente Como una de las medidas del desempeño del sistema de gestión de la calidad, la organización debe realizar el seguimiento de la información relativa a la percepción del  cliente  con  respecto al  cumplimiento  de  sus   requisitos  por parte  de   la  organización.  Deben determinarse   los  métodos  para  obtener  y utilizar dicha información. 

8.2.2. Auditoría interna La   organización   debe   llevar   a   cabo   a   intervalos   planificados   auditorías internas para determinar si el sistema de gestión de la calidad :

a) Es conforme con las disposiciones planificadas (véase 7.1), con los requisitos de esta Norma Internacional y con los requisitos del sistema de gestión de la calidad establecidos por la organización, y 

b) Se ha implementado y se mantiene de manera eficaz. 

Se debe planificar un programa de auditorías tomando en consideración el estado y la importancia de los procesos y las áreas a auditar, así como los resultados de auditorías previas. Se deben definir los criterios de auditoría, el alcance   de   la   misma,   su   frecuencia   y   metodología.   La   selección   de   los auditores y la realización de las auditorías deben asegurar la objetividad e imparcialidad  del  proceso de  auditoría.  Los  auditores  no deben auditar  su propio trabajo. Deben definirse, en un procedimiento documentado, las responsabilidades y requisitos para la planificación y la realización de auditorías, para informar de los resultados y para mantener los registros. La dirección responsable del área que esté siendo auditada debe asegurarse de que   se   toman   acciones   sin   demora   injustificada   para   eliminar   las   no conformidades detectadas y sus causas. Las actividades de seguimiento deben incluir la verificación de las acciones tomadas y el informe de los resultados de la verificación.

8.2.3. Seguimiento y medición de los procesos La   organización   debe   aplicar   métodos   apropiados   para   el   seguimiento,   y cuando sea aplicable, la medición de los procesos del sistema de gestión de la calidad. Estos métodos deben demostrar la capacidad de los procesos para 

alcanzar  los resultados planificados.  Cuando no se alcancen los resultados planificados, deben llevarse a cabo correcciones y acciones correctivas, según sea conveniente, para asegurarse de la conformidad del producto. 

8.2.4. Seguimiento y medición del producto La organización debe medir y hacer un seguimiento de las características del producto para verificar que se cumplen los requisitos del mismo. Esto debe realizarse en las etapas apropiadas del proceso de realización del producto de acuerdo con las disposiciones planificadas (véase 7.1). Debe mantenerse evidencia de la conformidad con los criterios de aceptación. Los registros deben indicar la(s) persona(s) que autoriza(n) la liberación del producto. La liberación del producto y la prestación del servicio no deben llevarse a cabo   hasta   que   se   hayan   completado   satisfactoriamente   las   disposiciones planificadas, a menos que sean aprobados de otra manera por una autoridad pertinente y, cuando corresponda, por el cliente.

8.3. Control del producto no conforme La organización debe asegurarse de que el producto que no sea conforme con los requisitos, se identifica y controla para prevenir su uso o entrega no intencional. Los controles,   las   responsabilidades  y autoridades  relacionadas  con el   tratamiento del producto no conforme deben estar definidos en un procedimiento documentado. La organización debe tratar los productos no conformes mediante una o más de las siguientes maneras: 

a) Tomando acciones para eliminar la no conformidad detectada; b) Autorizando su uso, liberación o aceptación bajo concesión por una autoridad 

pertinente y, cuando sea aplicable, por el cliente; c) Tomando acciones para impedir su uso o aplicación originalmente previsto. 

Se deben mantener registros de la naturaleza de las no conformidades y de cualquier acción tomada posteriormente, incluyendo las concesiones que se hayan obtenido. Cuando   se   corrige   un   producto   no   conforme,   debe   someterse   a   una   nueva verificación para demostrar su conformidad con los requisitos. Cuando se detecta  un producto no  conforme después  de  la  entrega o  cuando ha comenzado su uso, la organización debe tomar las acciones apropiadas respecto a los efectos, o efectos potenciales, de la no conformidad. 

8.4. Análisis de datos La  organización   debe   determinar,   recopilar   y   analizar   los   datos   apropiados   para demostrar   la   idoneidad  y  la  eficacia  del   sistema de  gestión de   la  calidad  y  para evaluar  dónde  puede   realizarse   la  mejora   continua  de   la   eficacia  del   sistema de gestión   de   la   calidad.   Esto   debe   incluir   los   datos   generados   del   resultado   del seguimiento y medición y de cualesquiera otras fuentes pertinentes. El análisis de datos debe proporcionar información sobre :

a) La satisfacción del cliente, b) La conformidad con los requisitos del producto, c) Las   características   y   tendencias   de   los   procesos   y   de   los   productos, 

incluyendo las oportunidades para llevar a cabo acciones preventivas, y d) Los proveedores. 

8.5. Mejora 8.5.1.  Mejora continua La   organización   debe   mejorar   continuamente   la   eficacia   del   sistema   de gestión de la calidad mediante el uso de la política de la calidad, los objetivos de la calidad, los resultados de las auditorías, el análisis de datos, las acciones correctivas y preventivas y la revisión por la dirección. 

8.5.2. Acción correctiva La   organización   debe   tomar   acciones   para   eliminar   la   causa   de   no conformidades  con  objeto  de  prevenir  que  vuelva  a   ocurrir.  Las   acciones correctivas   deben   ser   apropiadas   a   los   efectos   de   las   no   conformidades encontradas. Debe establecerse un procedimiento documentado para definir los requisitos para :

a) Revisar las no conformidades (incluyendo las quejas de los clientes), b) Determinar las causas de las no conformidades, c) Evaluar la necesidad de adoptar acciones para asegurarse de que las 

no conformidades no vuelvan a ocurrir, d) Determinar e implementar las acciones necesarias, e) Registrar los resultados de las acciones tomadas , y f) Revisar las acciones correctivas tomadas. 

8.5.3   Acción preventiva La organización  debe  determinar   acciones  para  eliminar   las   causas  de  no conformidades   potenciales   para   prevenir   su   ocurrencia.   Las   acciones preventivas deben ser apropiadas a los efectos de los problemas potenciales. Debe establecerse un procedimiento documentado para definir los requisitos para :

a) Determinar las no conformidades potenciales y sus causas, b) Evaluar   la   necesidad   de   actuar   para   prevenir   la   ocurrencia   de   no 

conformidades, c) Determinar e implementar las acciones necesarias, d) Registrar los resultados de las acciones tomadas, y e) Revisar las acciones preventivas tomadas. 

EL PROCESO DE ACREDITACIÓN DE ISO 9001:2000[URL]

1. PRIMER PASO: Solicitud de acreditación

Para solicitar la acreditación, debe desarrollar el apropiado formulario de solicitud y enviarlo a ENAC aportando toda la documentación que se indica en el mismo. Esta documentación servirá para conocer las características de su organización y el modo en el que se llevan a cabo las actividades para las que solicita la acreditación y para preparar adecuadamente la evaluación. Así mismo debe adjuntar el justificante de pago de la tarifa de apertura de expediente de acuerdo a las Tarifas en vigor. La información recibida por ENAC, tanto en la solicitud como a lo largo de todo el proceso de acreditación será considerada como CONFIDENCIAL.

1.1. Alcance de acreditación

El  alcance  de  Acreditación  es   una  parte   fundamental  de   la   solicitud  de acreditación ya que constituirá finalmente el Anexo Técnico que acompaña al “Certificado de Acreditación”. El solicitante de la acreditación establece el alcance para el  que desea ser  acreditado en función de sus  necesidades y objetivos.

La solicitud de acreditación para un alcance concreto es una declaración por parte  de  la  entidad  de  su competencia  técnica  para  todas  las  actividades incluidas en él y la evaluación de ENAC persigue, por tanto, determinar si la entidad  es  capaz  de  demostrar   su competencia en  la   totalidad del  alcance declarado. 

Para   conocer   en   qué   términos   se   debe   definir   el   alcance   dispone   de instrucciones en cada uno de los formularios de solicitud. 

1.2. Aceptación y revisión de la Solicitud

Una vez recibida la solicitud de acreditación, ENAC revisa la documentación suministrada con objeto de comprobar que la actividad es susceptible de ser acreditada y comunica al solicitante el número de expediente asignado, y el técnico responsable de coordinar su proceso de acreditación. 

El   técnico   responsable   del   expediente   verifica   que   el   alcance   de   las actividades   a   acreditar   está   claramente   definido   y   confirma   que   se   ha aportado   toda   la   información   necesaria   para   preparar   y   realizar adecuadamente   la   evaluación.   Si   la   documentación   no   fuera   completa   o adecuada se pedirá al solicitante que la complete. 

Si todo es correcto, y antes de iniciar la evaluación, ENAC remite al solicitante para su aceptación un presupuesto estimado del coste del proceso.

2. SEGUNDO PASO. Evaluación

2.1. Designación del equipo auditor

ENAC  designa,   de   entre   sus   auditores   y   expertos   calificados,   al   equipo auditor   que   llevará   a   cabo,   el  proceso  de   evaluación  que   contará   con  un auditor jefe,   responsable  final  de  la  auditoría,  y  tantos  expertos técnicos 

como sean necesarios en función de las actividades para las que la entidad solicita la acreditación. 

ENAC  informa al  solicitante  de   los  nombres  de   los  miembros  del  equipo auditor y, en su caso, de la organización a la que pertenecen. Si la entidad entiende que hay motivos que pudieran comprometer su imparcialidad puede recusarlos por escrito, aportando los motivos.

2.2. Estudio documental

Previo a la auditoría “in situ” se realiza un estudio de los documentos técnicos de la entidad. El informe con el resultado del estudio se envía a la entidad para que adopte  las  medidas  que considere oportunas  para  resolver,  en su caso, los problemas identificados. 

2.3. Auditoría y visitas de acompañamiento

Una vez se considera satisfactorio el estudio documental, el auditor jefe se pone en contacto con la entidad para fijar la fecha de la auditoría y le envía un Programa de Auditoría. 

Durante   la   auditoría,   se   evalúa   el   sistema   de   gestión   de   la   entidad,   su funcionamiento,   la   ejecución  de   las   actividades  y   la   implantación   de   los requisitos de acreditación. 

Con   objeto   de   verificar   la   correcta   aplicación   e   interpretación   de   los procedimientos   de   trabajo   y   la   competencia   técnica   del   personal   se seleccionan   actividades   representativas   del   alcance   de   acreditación   para presenciar la actuación del personal técnico.

• En laboratorios  de ensayo se solicita   la   realización de una muestra representativa de los ensayos que son objeto de acreditación. 

• En laboratorios de calibración, se solicita la calibración de un “patrón de transferencia”, previamente calibrado por un laboratorio acreditado, que proporciona el equipo auditor. 

• En entidades de inspección, certificación y verificadores se realizan visitas de acompañamiento en las que los expertos técnicos presencian la actuación de los auditores / inspectores. 

Al final de la auditoría el equipo auditor presentará a los representantes de la entidad un resumen de los resultados de la investigación y las desviaciones detectadas respecto a los criterios de acreditación.

2.4. Informe del equipo auditor

Tras la realización de la auditoría se facilita a la entidad un informe escrito elaborado por el equipo auditor con los resultados de la evaluación realizada. 

2.5. Respuesta del solicitante

La entidad debe analizar las causas de las desviaciones que se han detectado, revisar la repercusión que pueden tener en el resto de actividades relacionadas y remitir a ENAC un plan de acciones correctoras, aportando evidencias que demuestren que han recibido el tratamiento adecuado para su resolución. 

La   entidad   podrá   alegar   aquellos   extremos   del   informe   con   los   que   se encuentre   disconforme,   aportando   todas   las   evidencias   que   considere necesarias.

3. TERCER PASO: Decisión de Acreditación

Las  decisiones  de  acreditación son  tomadas  por  un órgano  técnico   independiente denominado Comisión de Acreditación. 

Para conceder la acreditación, la Comisión de Acreditación debe obtener la confianza adecuada en que se cumplen los requisitos de acreditación y en que las desviaciones detectadas   en   su   caso,   han   sido   convenientemente   tratadas.   Para   ello   analiza   la información generada durante el proceso de evaluación y basándose en ello adopta una de estas decisiones:

• Conceder la acreditación. • Determinar las actividades de evaluación extraordinarias que sean necesarias 

para asegurarse de la subsanación de las desviaciones detectadas. 

En caso de disconformidad con la  decisión,   la  entidad puede dirigirse al  Comité Permanente, formulando cuantas alegaciones tenga por oportunas. 

3.1. Certificado de Acreditación 

En el Certificado de Acreditación se expresan específicamente: 

• Nombre de la entidad y número de la acreditación concedida. • Alcance  de la acreditación, por referencia a un documento llamado 

Anexo Técnico al certificado. • Fecha de entrada en vigor de la acreditación. 

La entidad acreditada tiene derecho a hacer uso de la marca de ENAC o referencia a su condición de acreditado en las condiciones establecidas en el documento CEA­ENAC­01 “Criterios para la utilización de la marca ENAC o referencia a la condición de acreditado”. 

4. MANTENIMIENTO DE LA ACREDITACIÓN

La acreditación no es el resultado de un proceso puntual. ENAC evalúa regularmente a   las   entidades   acreditadas,   comprobando que  mantienen   su  competencia   técnica mediante visitas de seguimiento y auditorías de reevaluación. La frecuencia de las visitas se establece en función de los resultados previos. 

4.1. Seguimientos

La primera visita de seguimiento se realiza en un plazo no superior a un año desde la concesión de la acreditación y los siguientes seguimientos se realizan no más tarde de 18 meses desde la última visita, notificando la fecha a la entidad con antelación. 

4.2. Reevaluaciones

Transcurridos como máximo 4 años desde la fecha inicial de acreditación se 

reevalua la competencia de la entidad, realizando una auditoría equivalente a la inicial. La siguiente auditoría de re­evaluación a la entidad se programará en un plazo no superior a 5 años desde la anterior. 

5. AMPLIACIÓN DEL ALCANCE DE ACREDITACIÓN

Las entidades acreditadas pueden ampliar el  alcance de su acreditación. Para ello deben   solicitar   formalmente   dicha   ampliación,   utilizando   los   formularios   de solicitud.

Para   evaluar   esta   ampliación   se   aplica   el   proceso   de   evaluación   ya   descrito, simplificado según proceda en función del volumen y carácter de dicha ampliación. Los costes del proceso de evaluación pueden reducirse si la ampliación coincide con una visita de seguimiento.

6. COSTE DE LA ACREDITACIÓN

Puede consultar las tarifas aplicables a la acreditación para los distintos esquemas (laboratorios,   inspección,   certificación   de   producto,   certificación   de   sistemas   de gestión,...) en la sección Tarifas.El coste del proceso incluye una tarifa correspondiente a la tramitación y gestión del proceso y el coste correspondiente al número de días de auditor necesarios para llevar a   cabo   la   evaluación   que   está.   en   función   del   alcance   de   acreditación   y   las características de la entidad. Previo a la realización de una evaluación, ENAC remite al solicitante un presupuesto con el coste estimado del proceso para su aceptación.

Las   entidades   acreditadas   pagan   una   tarifa   anual   por   el   mantenimiento   de   la acreditación.

FUENTES:

ISO: International Organization for Standarization, About, , http://www.iso.org/iso/about.htmISOES: , ISO 27000 FAQ, , http://www.iso27000.es/faqs.html27000,ORG: , An Introduction To ISO 27k, , http://www.27000.orgANISO: Alejandro Corletti Estrada, ANÁLISIS DE ISO­27001:2005, Madrid, abril de 2006.ISMS: , Internacional Register of ISMS Certificates, , http://www.iso27001certificates.com/IAF: , Internationa Acreditation Foro, , http://www.compad.com.au/clients/iaf/indexPrev.php?updaterUrlPrev=articles&artId=194ONGEI: , Oficina Nacional de Gobierno Electrónico e Informática, , http://www.ongei.gob.pe/bancos/banco_normas/archivos/P01­PCM­ISO17799­001­V2.pdfISO­ES: ISO9001, http://www.iso9001.com.es/, REQ: http://www.congresoson.gob.mx/ISO/ISO­9001­2000_Requisitos.pdf, ISO 9001 REQUISITOS, URL: ENAC ­ Entidad Nacional de Acreditación, http://www.enac.es/,