Acciones correctivas: cerrar no conformidades para que no vuelvan
La diferencia entre un sistema maduro y uno formal se ve mejor en cómo la empresa trata las no conformidades. El formal: «corregimos y olvidamos». El maduro: encontró la causa, la eliminó y verificó que el problema no se repite.
Corrección ≠ acción correctiva
Corrección es apagar el fuego: bloquear la cuenta del exempleado que quedó activa. Acción correctiva es eliminar la causa: conectar el proceso de baja de RR. HH. con la revocación automática de accesos, para que esas cuentas dejen de aparecer. El auditor espera ambas.
Causa raíz sin magia
Para la mayoría de los casos bastan los «5 porqués». La cuenta no se bloqueó — ¿por qué? Nadie avisó a TI — ¿por qué? Falta el paso en el offboarding — ¿por qué? El proceso no se revisó tras cambiar de sistema de RR. HH. Esa es la causa real — no el «factor humano» con el que se suelen cerrar los análisis.
Qué registrar
- Descripción de la no conformidad y la fuente (auditoría, incidente, reclamación);
- la corrección (lo inmediato);
- la causa raíz;
- la acción correctiva, el responsable, el plazo;
- la verificación de eficacia — como paso propio, 1–3 meses después: ¿se repite o no?
Errores típicos
Causa «descuido del empleado» (síntoma, no causa); acción «hablamos con la persona» (no cambia el sistema); cierre el día de la creación (imposible verificar eficacia). Encuentro estos registros en la mitad de los informes — junto a las demás no conformidades comunes. Un registro vivo es la principal entrada para la revisión por la dirección.
Lea también
Autor — Kyrylo Proskurnya, Auditor Jefe ISO y experto internacional en sistemas de gestión. Realizo auditorías de certificación y auditorías internas ISO 27001, ISO 9001, ISO 27701 e ISO 42001 para empresas de España, Europa y EE. UU. Sobre mí · Solicitar una consulta