¿Está la empresa certificada ISO 9001?

ISO 9001 frente a ISO 27001: ¿qué certificado se entiende aquí

La pregunta "¿está la empresa certificada conforme a ISO 9001" se refiere a la gestión de la calidad, no a la seguridad de la información. Esa distinción es para un usuario experimentado a menudo la primera comprobación: algunos portales de clientes copian preguntas sobre certificación de una plantilla y confunden ISO 9001 con ISO 27001, o las formulan una tras otra en la misma lista. La respuesta es por definición un hecho, no una estimación: la empresa tiene un certificado ISO 9001 válido de un organismo de certificación reconocido, o no lo tiene. No hay término medio — "en proceso de certificación" u "operando conforme a la norma sin certificado" no es un "sí".

Si la empresa no está certificada conforme a ISO 9001 pero sí conforme a ISO 27001, esa es una respuesta diferente a una pregunta diferente: esos dos no deben fusionarse en el expediente de la cadena, aunque las preguntas en algunas listas parezcan similares. Si la empresa no tiene ninguno de los dos, entonces "no" es la respuesta correcta — una pregunta de seguimiento sobre procedimientos internos de calidad sin certificado pide algo diferente y merece una fuente propia. La incertidumbre sobre qué quiere saber exactamente un cliente con una pregunta sobre certificación ocurre más a menudo en temas relacionados, como en la pregunta si la empresa tiene un seguro de responsabilidad civil para empresas: también ahí la respuesta es un hecho verificable con un documento justificativo, no una aclaración cualitativa.

Dónde debe constar el documento justificativo

Para un "sí" corresponde en el expediente de la cadena el certificado mismo: nombre del organismo de certificación, fecha de vigencia y número del certificado. Sin ese documento justificativo el sistema no puede presentar un "sí", aunque la empresa lleve años operando conforme a la norma. El documento de referencia facilitado sobre el Anexo A de ISO/IEC 27001 trata sobre medidas de control para la seguridad de la información y por tanto no fundamenta una respuesta ISO 9001 — la separación de esas dos normas es precisamente por qué esta pregunta pide un documento de referencia propio y separado en lugar de reutilizar un certificado existente. Si falta el certificado correcto, la respuesta permanece en "no" hasta que se haya añadido el documento justificativo, de modo similar a cómo también en el domicilio de la empresa solo un documento de referencia, no una suposición, conduce a un "sí".