Diseño, implementación y mantenimiento de sistemas de gestión basados en estándares ISO, con enfoque de procesos
Analizamos los procesos reales de la empresa, construimos sobre ellos un sistema de gestión bajo un modelo de gobernanza y lo alineamos con las normas ISO que su mercado, sus clientes o su regulador exigen. Después lo mantenemos vivo y gestionamos la certificación ante el organismo acreditado.
Certificarse es la consecuencia. Ordenar la operación es el trabajo
Hay dos formas de llegar a un certificado ISO. Una consiste en redactar manuales que describen una empresa que no existe, aprobar la auditoría y guardar la carpeta hasta el año siguiente. La otra consiste en analizar cómo trabaja la organización de verdad, corregir lo que no funciona y documentar lo que queda. Solo la segunda deja algo cuando el auditor se va.
Nuestro trabajo sigue tres tiempos, en este orden: primero el análisis de procesos, después la implementación bajo un modelo de gobernanza, y por último el alineamiento con la norma o el conjunto de normas que corresponda. La norma nunca es el punto de partida: es el lenguaje con el que se hace verificable lo que ya se ordenó.
Antes de la norma
Tres etapas que sostienen cualquier estándar y que se ejecutan siempre, con independencia de la norma elegida.
ETAPA 01
Análisis de procesos
El enfoque de procesos aplicado antes de escribir una sola página del sistema.
Administrar por procesos significa dejar de mirar departamentos y empezar a mirar cadenas de valor: qué entra, qué sale, quién responde y cómo se mide. Levantamos el mapa completo, identificamos los procesos que sostienen el negocio y los que solo generan trabajo, y dejamos cada uno con dueño, indicador y punto de control.
-
Mapa de procesos: estratégicos, operativos y de apoyo, con sus interacciones.
-
Caracterización: entradas, salidas, responsable, recursos, riesgos y controles.
-
Medición de la línea base: tiempo de ciclo, retrabajo, costo y puntos de error.
-
Análisis de contexto, partes interesadas y requisitos legales aplicables.
-
Brecha entre lo que la empresa hace y lo que el estándar objetivo exige.
Entregable: mapa de procesos caracterizado, línea base medida e informe de brecha con plan de cierre.
ETAPA 02
Implementación bajo un modelo de gobernanza
ISO 37000 como paraguas: el sistema responde al órgano de gobierno, no al consultor.
Un sistema de gestión que no cuelga de la gobernanza de la organización se convierte en un trámite del área de calidad. Por eso implantamos siempre dentro de un modelo de gobernanza basado en ISO 37000: el órgano de gobierno fija el propósito y los principios, delega autoridad con límites explícitos, define el apetito de riesgo y exige rendición de cuentas con evidencia.
-
Estructura de gobernanza: roles, comités, delegaciones y flujos de decisión.
-
Política, objetivos e indicadores conectados a la estrategia del negocio.
-
Gestión de riesgos y oportunidades integrada, no como anexo documental.
-
Documentación proporcional al riesgo: lo necesario para operar y demostrar.
-
Formación del personal y transferencia de capacidad al equipo interno.
-
Auditoría interna, no conformidades, acciones correctivas y revisión por la dirección.
Entregable: sistema operando con evidencia auditable y ciclo de mejora en marcha.
ETAPA 03
Alineamiento con estándares ISO
Un solo sistema integrado, tantas normas como haga falta.
Las normas ISO de sistemas de gestión comparten la misma estructura de alto nivel, el Anexo SL: contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora. Eso permite alinear varias normas sobre un mismo cuerpo documental, con una sola auditoría interna y una sola revisión por la dirección, en lugar de mantener sistemas paralelos que se contradicen entre sí.
-
Selección de normas según mercado, cliente, contrato o exigencia regulatoria.
-
Matriz de correspondencia entre requisitos comunes y requisitos específicos.
-
Sistema integrado de gestión con documentación única y trazable.
-
Auditoría interna combinada y preparación para la auditoría de certificación.
-
Gestión de la certificación ante el organismo acreditado, seguimiento y recertificación.
Entregable: sistema alineado, auditado y certificado, con el calendario de seguimiento definido.
Los estándares que implementamos
Nueve normas agrupadas por lo que resuelven. Cada una se puede implantar sola o integrada con las demás en un único sistema de gestión. Despliegue cada ficha para ver qué exige la norma y qué gana la empresa al adoptarla.
GOBERNANZA
ISO 37000 · Gobernanza de las organizaciones
El paraguas: cómo se dirige y se responde por la organización.
ISO 37000 es la guía internacional para la gobernanza de las organizaciones. No es un sistema de gestión más: es el marco que define cómo el órgano de gobierno establece el propósito de la organización, fija los principios que la rigen, delega autoridad sin renunciar a la responsabilidad, supervisa el desempeño y rinde cuentas ante sus partes interesadas. Cubre estrategia, cultura ética, supervisión, gestión del riesgo, transparencia y responsabilidad social como un conjunto coherente. Qué aporta a la empresa: decisiones trazables y con dueño, en lugar de criterios que cambian con la persona; un lenguaje común entre la propiedad, la gerencia y las áreas; el marco donde encajan sin duplicarse el resto de los sistemas de gestión, incluida la inteligencia artificial; y una posición sólida ante inversionistas, bancos y socios internacionales que hoy evalúan la calidad del gobierno corporativo antes que el balance.
ISO/IEC 42001 · Gestión de inteligencia artificial
El módulo de IA dentro de la gobernanza.
ISO/IEC 42001 es el primer estándar certificable para sistemas de gestión de inteligencia artificial. Exige inventariar los sistemas de IA que la organización usa o desarrolla, clasificarlos por riesgo, evaluar su impacto sobre las personas afectadas, asignar responsables, controlar los datos que alimentan cada sistema, garantizar revisión humana en las decisiones sensibles y registrar evidencia de todo ello. No certifica un modelo: certifica la forma en que la empresa lo gobierna. Qué aporta a la empresa: permite adoptar inteligencia artificial sin abrir un frente de riesgo sin administrar; ordena el uso disperso de herramientas que ya está ocurriendo en las áreas; anticipa las exigencias regulatorias que empiezan a aparecer en contratos y licitaciones internacionales; y da a clientes y auditores una respuesta verificable a la pregunta de qué hace la empresa con sus datos.
ISO 37001 · Gestión antisoborno
Integridad demostrable ante clientes y reguladores.
ISO 37001 establece los requisitos de un sistema de gestión antisoborno: política de tolerancia cero, función de cumplimiento con autoridad e independencia, debida diligencia sobre socios de negocio, agentes y proveedores, controles financieros y comerciales, reglas claras sobre regalos, hospitalidad y donaciones, canal de denuncia protegido y procedimiento de investigación. Aplica al soborno directo y al cometido por terceros en nombre de la organización. Qué aporta a la empresa: habilita la participación en licitaciones públicas y en cadenas de suministro que exigen programas de integridad; reduce la exposición personal de directores y apoderados; permite demostrar diligencia razonable si un incidente ocurre; y facilita la relación con bancos y contrapartes internacionales sujetas a normas anticorrupción extraterritoriales.
CALIDAD Y OPERACIÓN
ISO 9001 · Gestión de la calidad
La base de procesos sobre la que se apoya todo lo demás.
ISO 9001 es la norma de sistemas de gestión más implantada del mundo y la expresión más directa del enfoque de procesos. Exige entender el contexto de la organización y sus partes interesadas, definir procesos con responsables e indicadores, planificar frente a riesgos y oportunidades, controlar proveedores y producto no conforme, medir la satisfacción del cliente y sostener un ciclo de mejora continua verificado por auditoría interna y revisión por la dirección. Qué aporta a la empresa: menos retrabajo, menos dependencia de las personas clave y procesos que sobreviven a la rotación; una condición de acceso a clientes corporativos y licitaciones que la exigen por defecto; una base ordenada sobre la que cualquier automatización o proyecto de inteligencia artificial rinde, en lugar de acelerar el desorden; y datos de desempeño para dirigir con evidencia.
INFORMACIÓN Y CONTINUIDAD
ISO/IEC 27001 · Seguridad de la información
Confidencialidad, integridad y disponibilidad, con controles auditados.
ISO/IEC 27001 define el sistema de gestión de seguridad de la información: identificación de activos de información, evaluación y tratamiento de riesgos, y selección justificada de controles organizacionales, de personas, físicos y tecnológicos, declarados en un documento de aplicabilidad. Incluye gestión de accesos, criptografía, seguridad en proveedores, respuesta a incidentes, continuidad y evidencia de que los controles operan. Qué aporta a la empresa: es hoy el requisito más frecuente en contratos con clientes corporativos y en procesos de debida diligencia tecnológica; reduce la probabilidad y el costo de un incidente; ordena la relación con proveedores de nube y de software; y sostiene la confianza en cualquier proyecto de datos o inteligencia artificial, que sin control de información no debería iniciarse.
ISO/IEC 27001 · Privacidad de la información
Datos personales, con roles y derechos claros.
ISO/IEC 27701 extiende la seguridad de la información al tratamiento de datos personales. Distingue el papel de responsable y de encargado del tratamiento, exige inventariar las actividades de tratamiento y su base legal, aplicar minimización y limitación de finalidad, gestionar el consentimiento, atender los derechos de las personas titulares, controlar transferencias y subencargados, y notificar violaciones de datos. Qué aporta a la empresa: traduce en controles operativos lo que la ley de protección de datos exige en abstracto; ordena la respuesta a solicitudes de titulares, que hoy suele improvisarse; da garantías contractuales a clientes que delegan datos de sus propios usuarios; y es prácticamente indispensable cuando se entrenan o alimentan sistemas de inteligencia artificial con información de personas.
ISO 22301 · Continuidad del negocio
Seguir operando cuando algo falla.
ISO 22301 establece el sistema de gestión de continuidad del negocio. Su núcleo es el análisis de impacto: qué actividades no pueden detenerse, cuánto tiempo resisten interrumpidas y qué recursos mínimos necesitan. A partir de ahí se definen estrategias de continuidad, planes de respuesta y recuperación, estructura de crisis, comunicación con partes interesadas y ejercicios periódicos de prueba que validan que los planes funcionan. Qué aporta a la empresa: convierte la interrupción en un escenario gestionado y no en una crisis improvisada; acorta el tiempo de recuperación, que es el costo real de cualquier evento; mejora condiciones en seguros y en negociaciones con clientes que exigen garantías de servicio; y protege la reputación en el momento en que más se pone a prueba.
PERSONAS Y ENTORNO
ISO 45001 · Seguridad y salud en el trabajo
Prevención con participación real de los colaboradores.
ISO 45001 define el sistema de gestión de la seguridad y salud en el trabajo. Exige identificar peligros y evaluar riesgos de forma continua, aplicar la jerarquía de controles antes de recurrir al equipo de protección personal, cumplir los requisitos legales aplicables, consultar y hacer participar a los colaboradores, preparar la respuesta ante emergencias e investigar incidentes para eliminar causas raíz, no solo para reportarlos. Qué aporta a la empresa: menos accidentes, menos días perdidos y menor rotación en puestos operativos; cumplimiento ordenado de la normativa laboral y de las inspecciones; reducción de contingencias y de costos asociados a siniestralidad; y un argumento sólido ante clientes y contratistas que auditan las condiciones de trabajo de su cadena de suministro.
ISO 14001 · Gestión ambiental
Desempeño ambiental medido, no declarado.
ISO 14001 establece el sistema de gestión ambiental. Parte de identificar los aspectos ambientales de cada proceso y sus impactos —consumo de energía y agua, residuos, emisiones, vertidos— desde una perspectiva de ciclo de vida, evaluar el cumplimiento legal, fijar objetivos medibles de mejora, controlar operaciones y proveedores relevantes, y prepararse para emergencias ambientales, todo verificado con indicadores y auditoría. Qué aporta a la empresa: ahorro verificable en energía, agua y gestión de residuos, que suele pagar buena parte de la implantación; cumplimiento ordenado ante autoridades ambientales y menor riesgo de sanción; acceso a clientes, mercados de exportación y financiamiento que exigen credenciales ambientales; y sustento real para los reportes de sostenibilidad, en lugar de declaraciones sin evidencia.
RESPALDO INTERNACIONAL
Partner de la Red Valturi en Costa Rica
Valturi impulsa proyectos de IoT, gobernanza e inteligencia artificial con una metodología propia basada en estándares ISO. Ayuda a las organizaciones a convertir tecnología, cumplimiento e innovación en soluciones reales, escalables y seguras, acelerando la implantación y reduciendo riesgos.
Como partner de la red en Costa Rica, DFV aplica esa metodología en la implementación de sistemas de gestión y aporta el conocimiento local del entorno tributario, laboral y regulatorio que ya sostiene sus servicios de contabilidad, administración y asesoría legal.
Metodología propia basada en estándares ISO
Proyectos internacionales
Equipo multidisciplinario
Preguntas frecuentes
SIN COSTO
Diagnóstico de gobernanza y procesos
Antes de elegir una norma conviene saber qué distancia hay entre su operación actual y lo que el estándar exige. Esa es la conversación de la primera sesión. Sin costo y sin propuesta comercial.
-
Revisión preliminar de sus procesos y de su documentación actual.
-
Identificación de la norma o combinación de normas que corresponde.
-
Estimación de brecha, esfuerzo y ruta hacia la certificación.