Integrar diferentes normas ISO gracias al Anexo SL (antes ISO Guide 83)

Resumen: Cada vez con mayor frecuencia las empresas y organizaciones simultanean diferentes NSG (Normas de Sistemas de Gestión). Para facilitar la integración de todas ellas es que se ha creado el Anexo SL. 

Autor del artículo		Colaboración
José Luis Colom Planas
Actualizado	5 de diciembre de 2015

ÍNDICE

0. INTRODUCCIÓN AL ANEXO SL

1. NSG (NORMAS DE SISTEMAS DE GESTIÓN) SIMULTÁNEAS
2. OBJETIVOS DEL ANEXO SL
3. SITUACIÓN DE LAS NORMAS RESPECTO AL ANEXO SL
4. ESTRUCTURA DE LAS NORMAS ISO SEGÚN EL ANEXO SL
5. ANÁLISIS DETALLADO DE ALGUNAS CLÁUSULAS
5.1. Cláusula (4) Contexto de la Organización
5.2. Cláusula (5) Liderazgo
5.3. Cláusula (6) Planificación
5.4. Cláusula (7) Soporte
6. CLÁUSULAS JUNTO AL DETALLE DE SUS TÉRMINOS
7. COMPARATIVA DE NORMAS RIGIÉNDOSE POR EL ANEXO SL
8. NORMAS FUERA DEL CONTROL DE LA ISO
9. BIBLIOGRAFÍA CONSULTADA
10. CONTROL DE CAMBIOS DEL ARTÍCULO
11. DERECHOS DE AUTOR

0. INTRODUCCIÓN

Lo importante no es qué tipo de Sistemas de Gestión se implantan, sino que éstos funcionen con efectividad, eficacia y eficiencia. Pero puestos a elegir, mejor si buscamos una estandarización.

Para eso los estándares internacionales, como pueden ser las normas ISO, nos proporcionarán:

• Una garantía de cubrir como mínimo todos los procesos de gestión “deseables” según los objetivos de Gobierno, en base a un alcance acordado. Todo ello apadrinado mediante el consenso internacional del que se benefician las normas.
• Una uniformidad de Gestión, muy útil cuando ésta debe coordinarse entre diferentes actores, como es el caso de externalizaciones parciales de TI (People Outsourcing, Cloud Computing, etc.).

Este artículo tiene sentido para los que decidan, lo certifiquen o no, adoptar algunos Sistemas de Gestión basados en las normas internacionales ISO.

La publicación del Anexo SL (previamente publicado como la Guía ISO 83) del Suplemento Consolidado de las Directivas ISO/IEC tiene un impacto significativo en las normas ISO de Sistemas de Gestión tanto a nivel de implantación como de auditoría.

 NOTA DEL EDITOR: Desarrollada por el JTCG N316 y con votación final del borrador el 6/9/2011, La ISO Guide 83 (High-level structure, identical core text and common terms and core definitions for use in Management Systems Standards) bajo el nuevo nombre de Anexo SL es de aplicación a todas las normas que vayan apareciendo nuevas y, paulatinamente, a todas las actualizaciones de las existentes.

1. NSG (NORMAS DE SISTEMAS DE GESTIÓN) SIMULTÁNEAS

Con la creciente concienciación por parte de las empresas y organizaciones de estandarizar sus diferentes Sistemas de Gestión, éstas cada vez con más frecuencia deben estar simultáneamente certificadas con diferentes NSG (Normas de Sistemas de Gestión). 

Hasta la unificación mediante el Anexo SL, incluso en los elementos comunes aparecen pequeñas diferencias de contenido o redacción que deben tenerse en cuenta para no incumplir requisitos de cara a la certificación del Sistema de Gestión.

Es frecuente hallar diferentes combinaciones de normas integradas en una misma organización. Hasta ahora, me he encontrado habitualmente con los siguientes Sistemas Integrados de Gestión (SIG):

• ISO 9001 + ISO 14001
• ISO 9001 + ISO 14001 + ISO 22000
• ISO 20000-1 + ISO 27001
• ISO 27001 + ISO 22301
• ISO 20000-1 + ISO 27001 + ISO 22301
• ISO 19600 + ISO 27002 + ISO 22301
• Los Cloud Services Providers  (CSP): ISO 20000-1 + ISO 27001 + ISO22301 + ISO 50001

Surge por tanto la necesidad de compatibilizar el poder combinarlas o integrarlas de forma sencilla, manteniendo:

• La efectividad y la eficiencia que se obtendría aplicándolas por separado.
• Evitando, en la medida de lo posible, duplicidad de esfuerzos habida cuenta de las múltiples partes comunes.

Todas las NSG parecen tener requisitos, términos y definiciones comunes aunque con sus peculiaridades que las harán diferir entre sí en poco o en mucho. Esta situación ha venido provocando algunas veces confusión y otras, lo que es peor, una implementación inconsistente.

2. OBJETIVOS DEL ANEXO SL

El escenario presentado en el párrafo anterior ha llevado al TMB (Technical Management Board), responsable de los trabajos técnicos de la ISO, a emitir el Anexo SL, con el objetivo de desarrollar NSG consistentes y compatibles entre sí. Todos los TC (Comités Técnicos) deben seguir en adelante el Anexo SL, que representa para todas las normas ISO:

• Estar adaptadas a una estructura común de alto nivel.
• El disponer de idéntico texto básico.
• La existencia de términos comunes y de definiciones básicas.

El Anexo SL describe el marco para un sistema de gestión genérico, aunque será necesario agregarle los requisitos relacionados con la disciplina específica de cada norma, para poder así desarrollar Sistemas de Gestión completos.

Entre los aspectos que se han tenido en cuenta, destacan los siguientes:

• El contexto de la organización.
• Los recursos financieros de la empresa.
• El liderazgo
• La Gestión de Riesgos y oportunidades.
• La acción preventiva.
• La capacidad de la empresa para gestionar los cambios.
• Mejorar la coherencia entre los requisitos, el producto/servicio y la entrega.
• Las buenas prácticas de gestión.
• Las acciones de soporte.

Desde aproximadamente finales del año 2011, todas las NSG tienen el mismo formato gracias al Anexo SL:

• Las NSG que aparezcan nuevas adoptarán el modelo.
• Las NSG existentes deberán migrar a este modelo en su próxima revisión.

Por tanto, ya existen NSG nuevas que aplicaron esta nueva estructura en su primera edición, y normas existentes que han migrado al Anexo SL de forma exitosa. 

3. SITUACIÓN DE LAS NORMAS RESPECTO AL ANEXO SL

Hasta la fecha [referido al año 2015] se han publicado las siguientes normas en base al Anexo SL:

Normas ISO publicadas bajo el Anexo SL
ISO 30301:2011	Información y documentación - Sistemas de gestión de documentos – Requisitos.
ISO 22301:2012	La seguridad societaria - Los sistemas de gestión de continuidad de negocio – Requisitos.
ISO 20121:2012	Sistemas de gestión de la sostenibilidad de eventos - Requisitos con orientación para su uso.
ISO 39001:2012	Road-traffic safety (RTS) management systems – Requirements with guidance for use.
ISO/IEC 27001:2013	Sistemas de gestión de la seguridad de la información.
ISO 19600:2014	Sistemas de gestión del cumplimiento
ISO 55001:2014	Asset management – Requirements.
ISO 9001:2015	Sistemas de gestión de la calidad. Requisitos.
ISO 14001:2015	Sistemas de gestión ambiental. Requisitos con orientación para su uso.

Todavía no se ha adoptado una decisión de revisión, para las siguientes normas:

Normas ISO todavía sin decisión de revisión
ISO 22000:2005	Food safety management systems – Requirements for any organization in the food chain
ISO 28000:2007	Specification for security management systems for the supply chain
ISO 30000:2009	Ships and marine technology – Ship recycling management systems – Specifications for management systems for safe and environmentally sound ship recycling facilities.
ISO/IEC 20000-1:2011	Information technology – Service management – Part 1 : Service management system requirements.
ISO 50001:2011	Energy management systems – Requirements with guidance for use.

A los comités que se encarguen de redactar NSG nuevas o revisar las existentes, el Anexo SL les proporciona un marco general, un formato tipo para desarrollar su trabajo.

Eso implica que podrán centrarse en los requisitos específicos relacionados con la disciplina de su NSG, que estarán concentrados sobretodo en la cláusula (8) Operaciones.    Se evitan así entre los diferentes NSG:

• Conflictos
• Duplicidades
• Confusión y malos entendidos

En el futuro, todas las NSG deberían ser:

• Consistentes
• Compatibles

Esto facilitará la labor a los auditores de los Sistemas de Gestión al haber un conjunto mínimo de elementos generales a ser auditados, independientemente de la disciplina.

4. ESTRUCTURA DE LAS NORMAS ISO SEGÚN EL ANEXO SL

Los títulos y números del primer nivel de cláusulas de todas las NSG según el Anexo SL serán idénticos, constando de los 10 puntos que a continuación se recogen:

• (1) Alcance (Scope)
• (2) Referencias Normativas (Normative references)
• (3) Términos y Definiciones (Terms and definitions)
• (4) Contexto de la Organización (Context of the organization)
• (5) Liderazgo (Leadership)
• (6) Planificación (Planning)
• (7) Soporte (Support)
• (8) Operación (Operation)
• (9) Evaluación del Desempeño (Performance evaluation)
• (10) Mejora (Improvement)

Sustancialmente se han reorganizado los requisitos sobre los Sistemas de Gestión en una nueva estructura que cada vez nos será más familiar.

El Anexo SL tiene 45 “debe (shall)” que implican un total de 84 requisitos base. Además cada disciplina le añadirá los suyos propios haciendo que una nueva norma tenga varios más.

El Anexo SL en la Cláusula 3 de su Apéndice, contiene 22 términos y definiciones que pueden estar en una norma separada pero que deben ser utilizados:

• No pueden ser eliminados.
• No pueden ser cambiados.
• Pueden agregarse o modificarse las Notas a estas definiciones comunes.

Lo que sí que se permite es agregar términos y definiciones adicionales a cada norma, caso de ser necesario.

5. ANÁLISIS DETALLADO DE ALGUNAS CLÁUSULAS

5.1. Cláusula (4) Contexto de la Organización (Context of the organization)

Esta cláusula introduce los requerimientos necesarios para poder establecer:

• El contexto del Sistema de Gestión tal como debe aplicar a los requerimientos y necesidades de la organización dentro de un alcance determinado.
• La determinación del apetito al riesgo de la organización, así como los aspectos legales y regulatorios que le sean de aplicación.

La organización tiene la exigencia de comunicar a los Stakeholders (partes interesadas), tanto las internas como las externas, el alcance del Sistema de Gestión.

5.2. Cláusula (5) Liderazgo (Leadership)

Esta cláusula hace un buen resumen de las exigencias a la Alta Dirección de la empresa, en relación a su rol en el Sistema de Gestión. Hay nuevos requerimientos para la Alta Dirección, tales como:

• Asegurarse que el Sistema de Gestión es compatible con la dirección estratégica de la organización.
• Integración de los requerimientos del Sistema de Gestión en los procesos de negocio.
• Comunicar la importancia, de un eficaz Sistema de Gestión específico, dentro del negocio.

5.3. Cláusula (6) Planificación (Planning)

Esta cláusula requiere que la organización:

• Defina claramente los objetivos específicos en base a los que implementará el Sistema de Gestión.
• Desarrolle proyectos para alcanzarlos.

Estos objetivos deben estar relacionados con las políticas de gobierno pertinentes y deben ser medibles.

5.4. Cláusula (7) Soporte (Support)

Detalla el soporte requerido para establecer, implementar y mantener un eficaz Sistema de Gestión.

Esto cubre los recursos requeridos, las competencias humanas, toma de conciencia y comunicaciones con partes interesadas, así como requerimientos para la gestión documentaria.

Esta sección, al cubrir la toma de conciencia, es bastante específica ya que exige que todas las personas bajo el control de la organización estén conscientes de las políticas asociadas con el Sistema de Gestión, y entiendan:

• Su contribución al logro de la eficacia del Sistema de Gestión específico.
• Las implicaciones de mantener no-conformidades con sus requerimientos.
• Su rol en todo momento.

La principal novedad es el tema de comunicaciones. Este es un punto importantísimo para poder gestionar cualquier alteración en la organización.

6. CLÁUSULAS JUNTO AL DETALLE DE SUS TÉRMINOS

Éstas es la relación de las 10 cláusulas del Anexo SL, junto al detalle de sus términos:

1. Alcance (Scope)

2. Referencias normativas (Normative references)

3. Términos y definiciones (Terms and definitions)

3.01 Organización (Organization)

3.02 Partes interesadas (Stakeholders / Interested party)

3.03 Requisitos (Requeriment)

3.04 Sistema de Gestión (Management System)

3.05 Alta Dirección (Top management)

3.06 Eficacia (Effectiveness)

3.07 Política (Policy)

3.08 Objetivo (Objetive)

3.09 Riesgo (Risk)

3.10 Competencia (Competence)

3.11 Información documentada (Documented information)

3.12 Proceso (Process)

3.13 Rendimiento (Performance)

3.14 Externalización (Outsource)

3.15 Monitoreo (Monitoring)

3.16 Proceso de medición (Measurement process)

3.17 Auditoria (Audit)

3.18 Conformidades (Conformity)

3.19 No-conformidades (Nonconformity)

3.20 Corrección (Correction)

3.21 Acciones correctivas (Corrective action)

3.22 Mejora continua (Continual improvement)

4. Contexto de la organización (Context of the organization)

4.1 Entendiendo a la organización y su context (Understanding the organization and its context)

4.2 Entendiendo las necesidades y expectativas de las partes interesadas (Understanding the needs and expectations of interested parties)

4.3 Determinando el alcance del Sistema de gestión SGXX (Determining the scope of the XXMS management system)

4.4 Sistema de Gestión SGXX (XXMS management system)

5. Liderazgo (Leadership)

5.1 Liderazgo y compromise (Leadership and commitment)

5.2 Politicas (Policy)

5.3 Roles organizacionales, responsabilidades y autoridad (Organizational roles, responsibilities and authorities)

6. Planificación (Planning)

6.1 Acciones para hacer frente a los riesgos y oportunidades (Actions to address risks and opportunities)

6.2 Objetivos del SGXX y planificación para alcanzarlos (XXMS objectives and planning to achieve them)

7. Soporte (Support)

7.1 Recursos (Resources)

7.2 Competencia (Competence)

7.3 Concienciación (Awareness)

7.4 Comunicación (Communication)

7.5 Información documentada (Documented information)

7.5.1 General (General)

7.5.2 Creación y actualización (Creating and updating)

7.5.3 Control de la información documentada (Control of documented Information)

8. Operación (Operation)

8.1 Planificación y control operative (Operational planning and control)

9. Evaluación del desempeño (Performance Evaluation)

9.1. Monitorización, medición, análisis y evaluación (Monitoring, measurement, analysis and evaluation)

9.2 Auditoria interna (Internal Audit)

9.3 Revisión de la gestión (Management review)

10. Mejora (Improvement)

10.1 No-conformidades y acciones correctivas (Nonconformity and corrective action)

10.2 Mejora continua (Continual improvement)

7. COMPARATIVA DE NORMAS RIGIÉNDOSE POR EL ANEXO SL

Compararemos la norma ISO 30301:2011 (Sistema de Gestión de Documentos) con la norma  ISO 9001:2015 (Sistema de Gestión de la Calidad).

8. NORMAS FUERA DEL CONTROL DE LA ISO

Habrá que ver cómo estos cambios afectarán a normas que están fuera del control de la ISO, tal como la OHSAS 18001.  Se espera que estas normas sigan también el mismo camino, asegurando el lograr y mantener la consistencia.

También se espera que la PAS 99 sea revisada para reflejar la nueva estructura como un facilitador para las organizaciones que tengan diferentes sistemas de gestión integrados.  Podrán así migrar con facilidad a las nuevas actualizaciones de las normas y a aquellas otras que deseen incorporar en un futuro.

9. BIBLIOGRAFÍA CONSULTADA

- ISO JTCG N 316. “ISO Guide 83 - High level structure, identical core text and common terms and core definitions for use in Management Systems Standards”. December 2011.

- IRCA (The International Register of Certificated Auditors). “Annex SL (previously ISO Guide 83)”. Página web.

Annex SL

- BSI. “Sistemas Integrados PAS 99:2012”. Página web.

Pass 99

10. CONTROL DE CAMBIOS DEL ARTÍCULO

Siguiendo voluntariamente las disposiciones de la cláusula 7.5.3 del “Anexo SL” en las normas ISO, se incorpora el control de cambios a los artículos de este Blog permitiendo  conocer la trazabilidad de los mismos una vez han sido publicados por primera vez. Todo ello en concordancia con el último párrafo de la cláusula general de exclusión de responsabilidad del Blog.

Fecha	Cambio	Responsable
20/06/2013	Redacción inicial del artículo.	Autor
22/03/2015	Se actualizan con referencia a la norma ISO 19600:2014, Sistemas de Gestión del Cumplimiento.	Autor
05/12/2015	Se añade al apartado “3. SITUACIÓN DE LAS NORMAS RESPECTO AL ANEXO SL”, conformado por dos tablas: La primera de normas adaptadas al Anexo SL y la segunda relacionando las que todavía no disponen de fecha para su actualización.	Autor

11. DERECHOS DE AUTOR

 

Imágenes bajo licencia de 123rf internacional.

La presente obra y su título están protegidos por el derecho de autor. Las denominadas obras derivadas, es decir, aquellas que son el resultado de la transformación de ésta para generar otras basadas en ella, también se ven afectadas por dicho derecho.

Sobre el autor:

José Luis Colom Planas Posee un doble perfil, jurídico y técnico, que le facilita el desempeño profesional en el ámbito de los diferentes marcos normativos, especialmente del Derecho de las nuevas tecnologías y las normas ISO de adscripción voluntaria.

A nivel de especialización jurídica, ha realizado el postgrado de Especialista Universitario en Protección de Datos y Privacidad en la Facultad de Derecho de la Universidad de Murcia, disponiendo de la certificación  CDPP (Certified Data Privacy Professional) del ISMS Fórum Spain. También ha cursado el programa superior de Compliance Officer (Controller jurídico) en la Escuela Legal WKE y se ha especializado respecto a los delitos de blanqueo de capitales en la UOC, en colaboración con el Ilustre Colegio de Abogados de Barcelona (ICAB). Es experto externo en prevención de blanqueo de capitales, certificado por INBLAC.

A nivel de especialización técnica, ha cursado Ingeniería técnica de Telecomunicaciones en “la Salle BCN” estando adscrito a la AEGITT (Asociación Española de Graduados e Ingenieros Técnicos de Telecomunicación). Es Auditor e Implantador de SGSI (Gestión de la Seguridad de la Información) por AENOR (Asociación Española de Certificación y Normalización). Leader Auditor & Implanter ISO 27001 e ISO 22301 by BSI (British Standards Institution). Auditor del esquema de certificación STAR para prestadores de servicios de Cloud Computing (BSI + Cloud Security Alliance). Ha obtenido la certificación internacional CISA (Certified Information Systems Auditor) by ISACA (Information Systems Audit and Control Association). Dispone de las certificaciones ISO 20000 PMI (Process Management Improvement) e ITIL Service Management by EXIN (Examination Institute for Information Science).

Desempeña su labor profesional en GOVERTIS Advisory Services cómo Compliance, Management & IT Advisor, incidiendo en Compliance Penal, PBCyFT, asesoramiento respecto a cumplimiento normativo, privacidad  y gestión de la seguridad de la información.  Ha participado como lead implementer y lead auditor de diferentes sistemas de gestión basados en Normas ISO, individuales o integrados, y en la optimización de sus procesos. Ha realizado diferentes niveles de auditorías de cumplimiento legal ya sea para organizaciones sujetas a Derecho público o privado.

También colabora con BSI como auditor jefe de certificación e impartiendo formación para la obtención de la certificación de lead auditor, en diferentes marcos normativos. A partir de su dilatada experiencia, edita el Blog temático “Aspectos Profesionales”.

Convencido del valor que aportan las organizaciones profesionales, es asociado sénior de la APEP (Asociación Profesional Española de Privacidad), miembro de ISACA (Information Systems Audit and Control Association), miembro de ISMS Forum Spain (Asociación Española para el Fomento de la Seguridad de la Información), miembro de itSMF (IT Service Management Forum), ATI (Asociación de Técnicos de Informática), ENATIC (Asociación de expertos nacionales de la abogacía TIC), CUMPLEN (Asociación de Profesionales de Cumplimiento Normativo) y   asociado de INBLAC (Instituto de expertos en prevención del Blanqueo de Capitales),  habiendo sido ponente o colaborado en casi todas las referidas organizaciones. También lo es de la iniciativa del Observatorio Iberoamericano de Protección de Datos (OIPRODAT) habiendo obtenido, junto a algunos colaboradores del mismo, un premio compartido otorgado por la AEPD.

  

Twittear