Matriz de requisitos y preparación de auditoría
Vigenta mantiene la matriz que enlaza cada requisito aplicable de tus normas con la evidencia que lo acredita y con la persona que la verificó. Lo que falta se ve como brecha, con su criticidad y su responsable, y lo que sobra también: los requisitos no aplicables quedan justificados. Al llegar la auditoría, el expediente se exporta con su trazabilidad de requisito a evidencia.
El dolor que resuelve
La trazabilidad depende de que alguien recuerde dónde quedó el papel que acredita ese requisito.
Por qué cuesta hoy
Los requisitos legales son el punto donde más sistemas se rompen, porque no dependen de la empresa: cambian en el diario oficial, tienen fechas de entrada en vigor propias y afectan de forma distinta a cada sitio. Una matriz legal en hoja de cálculo envejece en semanas y nadie sabe decir cuándo se revisó por última vez ni quién la revisó.
La cláusula no pide una lista de leyes: pide evaluar periódicamente el cumplimiento y conservar la evidencia de esa evaluación. Eso significa que cada requisito necesita un responsable, una periodicidad declarada, un resultado y un documento que lo respalde. Un requisito sin fecha de próxima evaluación no está bajo control, aunque esté escrito.
Hay un matiz que separa este capítulo del resto: aquí el incumplimiento no lo declara un auditor, lo declara una autoridad, y las consecuencias no son una no conformidad sino una multa, una suspensión o el cierre de una línea. Por eso la evaluación periódica no es un trámite del sistema de gestión: es la única forma de enterarse a tiempo, y su evidencia es lo primero que se pide cuando llega una visita de verificación.
Cómo funciona
-
Se resuelve la aplicabilidad
Norma, jurisdicción, industria y módulo deciden qué requisitos te tocan, y la exclusión de los que no queda justificada por escrito.
-
Cada requisito pide su evidencia
El enlace es del requisito al documento o al registro firmado, no al revés: por eso una evidencia puede acreditar varios requisitos.
-
Las brechas se ordenan
Por criticidad y por capítulo, con responsable y fecha, para que el trabajo pendiente tenga dueño y no sea una lista.
-
Se exporta el expediente
Un paquete con los requisitos, sus evidencias y quién verificó cada una, que es lo que se entrega en la auditoría.
Qué queda registrado
Cada acción deja su rastro, y el rastro es lo que se enseña el día de la auditoría:
- Cada requisito aplicable con su fuente, su fecha de entrada en vigor y el sitio al que aplica.
- La periodicidad de evaluación que declaraste para él, que es la que la norma te exige cumplir.
- El resultado de cada evaluación con su fecha, su responsable y el documento que la respalda.
- Los requisitos que dejaron de aplicar, con el motivo y la fecha en que se retiraron.
- Las acciones abiertas cuando una evaluación sale desfavorable, con su plazo y su cierre.
Qué exige la norma
| Cláusula | Qué exige | Norma |
|---|---|---|
| 6.1 Acciones para abordar riesgos | Determinar los requisitos aplicables y planificar cómo se abordan. | ISO 22000 |
| 9.2 Auditoría interna | Criterios, alcance y evidencia objetiva del cumplimiento de los requisitos. | |
| 7.5 Información documentada | Conservar la información documentada como evidencia de conformidad. |
Cómo se nota que funciona
- Nadie descubre un requisito nuevo el día de la auditoría de tercera parte.
- La pregunta «¿cuándo evaluaste esto por última vez?» tiene respuesta con fecha y firma.
- Un sitio no arrastra requisitos de otra jurisdicción sólo porque la matriz era única.
El cumplimiento legal se apoya en el sitio, que es quien lleva la jurisdicción y la regulación de su mercado, y alimenta a las auditorías internas y a la revisión por la dirección, que tienen que informar de él. Una evaluación desfavorable abre acción correctiva por el mismo camino que un hallazgo, y no por un canal aparte que nadie mira.
Quién la usa
- Responsable legal o de calidad
- Mantiene los requisitos aplicables y firma cada evaluación periódica con su evidencia.
- Jefe de planta
- Ve qué le aplica a su sitio y qué evaluaciones tiene vencidas o próximas a vencer.
- Dirección
- Lee el estado de cumplimiento por sitio antes de que sea un problema con la autoridad.
Con el sitio declarado y su jurisdicción elegida, la regulación que le corresponde se puede asignar de inmediato. Lo que ya tengas en una matriz se carga con su periodicidad y su último resultado, y desde ese momento el sistema calcula las próximas fechas en vez de dejarlas a la memoria de alguien.
Un caso concreto
Una planta con dos líneas, una para mercado nacional y otra para exportación, arrastraba una matriz legal única con ciento veinte requisitos. Al separarla por sitio y jurisdicción quedaron ochenta que aplican de verdad y cuarenta que venían heredados de un modelo genérico. De los ochenta, veintidós no tenían fecha de última evaluación. Poner responsable y periodicidad a esos veintidós fue el trabajo de dos semanas, y a partir de ahí la matriz dejó de envejecer sola: el sistema calcula la próxima evaluación en lugar de esperar a que alguien se acuerde.
Los tropiezos más frecuentes
- Mantener una matriz única para varios sitios y acabar evaluando requisitos que a esa planta no le aplican.
- Guardar el texto de la norma en vez del requisito concreto que se evalúa, con lo que la evaluación no tiene objeto claro.
- Declarar una periodicidad anual para todo, incluidos los requisitos que cambian varias veces al año.
Cómo se mide
Se mide con el porcentaje de requisitos aplicables con evaluación vigente y con el número de evaluaciones vencidas por sitio. Una evaluación vencida no es un incumplimiento legal, pero es exactamente lo que un auditor pide primero.
Tres términos que conviene fijar
- Requisito legal aplicable
- La obligación concreta que le toca a ese sitio por su jurisdicción y su actividad, con su fuente y su fecha de entrada en vigor.
- Evaluación de cumplimiento
- El acto periódico de comprobar si el requisito se cumple, con su resultado, su responsable y el documento que lo respalda.
- Paquete regulatorio
- El conjunto de requisitos y plantillas que una jurisdicción trae consigo y que se asigna a un sitio, nunca a la cuenta entera.
- Entrada en vigor
- La fecha desde la que el requisito obliga. Se guarda junto al requisito porque un cambio publicado hoy con vigencia en seis meses se planifica distinto que uno que obliga mañana.
Lo que no hace
No interpreta la norma en tu lugar: mapea requisitos y evidencia lo que cargas, pero la decisión de si un control es suficiente para tu proceso es tuya y de tu auditor. Y no inventa evidencia: un requisito sin nada cargado se ve vacío, no se ve verde.
Preguntas frecuentes
¿Se puede excluir un requisito que no aplica?
Sí, y hay que justificarlo por escrito. La exclusión sin justificación es uno de los hallazgos más frecuentes en auditoría, así que Vigenta pide el motivo antes de dejar de contar ese requisito.
¿Una misma evidencia puede acreditar dos requisitos?
Sí, y es lo normal cuando conviven varias normas. El enlace es del requisito a la evidencia, así que una sola acta de revisión por la dirección puede acreditar el capítulo 9.3 de las tres normas activas.
¿Qué pasa si cambia la edición de una norma?
El catálogo versiona los requisitos, así que la matriz muestra qué cambió y qué evidencia deja de servir. Lo que ya se acreditó contra la edición anterior conserva su trazabilidad y no se borra.