El control de registros ISO 9001 es la parte del sistema de gestión de calidad que casi nadie disfruta y que ningún auditor deja pasar. No se trata de guardar papeles: se trata de poder demostrar, en el momento en que te lo piden, que algo pasó como dices que pasó.
La mayoría de las empresas que llegan a esto ya tienen los registros. El problema es otro: están repartidos entre una carpeta compartida, el correo de tres personas y un par de archivos de Excel que solo entiende quien los hizo. Cuando el auditor pide el registro de la calibración de agosto del año pasado, empieza la búsqueda. Y la búsqueda, en auditoría, ya es media respuesta.
En esta guía vas a ver qué exige exactamente la cláusula 7.5.3, cómo se arma la tabla de retención que sostiene todo el procedimiento, y las cuatro preguntas con las que un auditor comprueba en cinco minutos si tu control de registros es real o es una carpeta con buen nombre.
Tabla de Contenido
Registro y documento no son lo mismo (y esa confusión cuesta un hallazgo)
ISO 9001:2015 los agrupó bajo el término información documentada, y desde entonces mucha gente los trata igual. No lo son, y el procedimiento cambia según cuál sea.
Un documento dice cómo debe hacerse algo: un procedimiento, un instructivo, un formato en blanco, una política. Vive hacia adelante, se revisa, se aprueba y se actualiza. Tiene versiones.
Un registro es la evidencia de que algo ya se hizo: el formato lleno, el reporte de la auditoría, el acta de la revisión por la dirección, el certificado de calibración. Vive hacia atrás y no se actualiza. Corregir un registro para que “quede bonito” no es una mejora: es alterar evidencia.
La consecuencia práctica es simple. Los documentos necesitan control de versiones y aprobación antes de usarse. Los registros necesitan identificación, protección, tiempo de conservación y una regla clara de qué pasa cuando ese tiempo se cumple. Si aplicas el control de documentos a los registros, terminas versionando evidencia, que es justo lo que no debe pasar.
Qué pide realmente ISO 9001 en la cláusula 7.5.3
Sin transcribir la norma, la cláusula 7.5.3 se resume en dos exigencias.
La primera: la información documentada tiene que estar disponible y ser adecuada para el uso, donde y cuando se necesite. Traducido: si el registro existe pero está en la computadora de alguien que hoy no vino, no está disponible.
La segunda: tiene que estar protegida contra pérdida de integridad, uso indebido o pérdida de confidencialidad. Y para lograrlo, la norma pide que trates cinco cosas: distribución y acceso, almacenamiento y preservación, control de cambios, conservación, y disposición final.
Ahí está la trampa que nadie ve venir: las dos últimas —cuánto tiempo se conserva y qué se hace después— son las que casi ningún sistema documenta, y son las más fáciles de auditar. Un auditor no necesita revisar mil registros para encontrar el hueco. Le basta con preguntar cuánto tiempo conservas los registros de capacitación y ver la cara del responsable.
La tabla de retención: el artefacto que te va a pedir el auditor
Todo el procedimiento de control de registros se sostiene sobre un solo entregable: una tabla que diga, por tipo de registro, qué se hace con él. Si tienes esa tabla y se cumple, el procedimiento es real. Si no la tienes, tienes un texto bonito.
Estas son las columnas que debe llevar:
- Tipo de registro — el nombre con el que la gente lo llama de verdad, no el nombre del formato.
- Proceso al que pertenece — compras, producción, recursos humanos, auditoría.
- Responsable — un rol, no una persona. Las personas se van; los roles se quedan.
- Dónde se guarda — la ubicación real y única. Si hay dos ubicaciones, hay cero.
- Tiempo de conservación — con su razón: requisito legal, requisito del cliente, o decisión propia.
- Quién puede consultarlo y quién puede modificarlo — son dos permisos distintos.
- Qué pasa al cumplirse el plazo — se destruye, se archiva, se anonimiza.
Así se ve llena. Cópiala a tu hoja de cálculo y ajusta cada fila a tu caso: los plazos de abajo son ejemplos, no una referencia normativa.
| Tipo de registro | Proceso | Responsable (rol) | Dónde se guarda | Conservación | Consulta / Modificación | Al vencer el plazo |
|---|---|---|---|---|---|---|
| Certificado de calibración | Mantenimiento y metrología | Jefe de mantenimiento | Expediente del equipo | Vida útil del equipo + 1 ciclo de certificación | Calidad y producción / Nadie | Se archiva con la baja del equipo |
| Registro de capacitación | Recursos humanos | Responsable de RR. HH. | Expediente del colaborador | Relación laboral + el plazo que fije tu regulación | RR. HH. y jefes de área / RR. HH. | Se anonimiza |
| Reporte de auditoría interna | Auditoría interna | Responsable de Calidad | Sistema de gestión | 3 ciclos de certificación | Dirección y calidad / Nadie | Se archiva |
| Queja de cliente | Servicio al cliente | Responsable de Servicio | Sistema de gestión | Lo que fije el contrato con el cliente | Calidad y ventas / Nadie | Se destruye, con constancia |
Dos advertencias sobre los plazos. Primero, no copies los tiempos de otra empresa: dependen de tu regulación, de tus contratos y del ciclo de vida de tu producto. Segundo, cuando no haya un requisito legal ni contractual, la respuesta correcta no es “para siempre”. Guardar todo indefinidamente es tan poco defendible como no guardar nada, y multiplica el riesgo de tener información que ya no deberías tener.
Los 6 pasos para montar el procedimiento
1. Inventaría lo que ya generas. Antes de diseñar nada, recorre los procesos y lista los registros que la operación ya produce. Casi siempre son más de los que el SGC tiene declarados, y varios están duplicados en dos lugares distintos.
2. Depura y consolida. Elimina los formatos que nadie llena y unifica los que capturan lo mismo con otro nombre. Un procedimiento de control de registros sobre un inventario inflado se cae solo a los tres meses.
3. Llena la tabla de retención. Fila por fila, con las columnas de arriba. Este es el paso que toma tiempo y es el único que no se puede saltar.
4. Define permisos por rol. Quién consulta, quién carga, quién puede dar de baja. La regla que funciona: lectura amplia, escritura acotada, borrado prácticamente nulo.
5. Define la disposición final. Qué pasa cuando se cumple el plazo, quién lo autoriza y dónde queda constancia de que se hizo. La destrucción de un registro también deja registro.
6. Capacita y suelta. Un procedimiento que solo entiende el responsable de calidad no es un procedimiento: es una dependencia. La prueba de que quedó bien es que alguien de otra área pueda encontrar un registro sin preguntarte.
Protección y acceso: quién ve, quién edita, quién borra
Proteger un registro no es esconderlo. Es garantizar que siga siendo el mismo dentro de tres años, que la gente que lo necesita lo encuentre, y que la gente que no debería tocarlo no pueda.
Con carpetas compartidas esto se vuelve difícil por una razón concreta: el permiso de edición y el de eliminación suelen ser el mismo. Quien puede subir un archivo puede sobrescribirlo, y no queda rastro de qué había antes ni de quién lo cambió. Cuando un auditor pregunta cómo garantizas la integridad de un registro y la respuesta es “confiamos en el equipo”, el hallazgo ya está escrito.
Lo mínimo que debe existir, sea cual sea la herramienta: identificación única de cada registro, un solo lugar donde vive, permisos separados de lectura y escritura, y trazabilidad de quién hizo qué y cuándo. Los tres primeros se pueden improvisar. El cuarto, no.
Cómo se prueba en auditoría: las 4 preguntas de siempre
Un auditor con oficio no revisa tus registros uno por uno. Hace cuatro preguntas y con eso sabe si el sistema está vivo:
- “Muéstrame este registro específico de hace ocho meses.” Mide disponibilidad real. Si tardas más de un par de minutos, la respuesta ya la tuvo.
- “¿Cuánto tiempo conservan este tipo de registro y por qué?” Mide si la tabla de retención existe y si alguien la conoce.
- “¿Quién puede modificar esto?” Mide protección e integridad. La respuesta correcta casi siempre es “nadie”.
- “¿Qué hicieron con los registros que ya vencieron?” Mide disposición final. Es la que más hallazgos genera, porque casi nunca se documentó.
Si las cuatro tienen respuesta y evidencia, el control de registros está resuelto. Da igual si está en un software o en un archivero, aunque el archivero hace las cuatro mucho más lentas.
Errores comunes que cuestan hallazgos
- Versionar registros. Si un registro tiene “versión 2”, o es un documento disfrazado o se alteró evidencia. Ninguna de las dos es buena noticia.
- Tabla de retención copiada. Plazos que no corresponden a tu regulación ni a tus contratos. El auditor pregunta el porqué de un número y no hay porqué.
- Responsables por nombre y no por rol. La persona se va, el registro queda huérfano y nadie sabe quién responde.
- Dos ubicaciones oficiales. “Está en el servidor y también en Drive” significa que hay dos verdades y ninguna es confiable.
- Conservar todo para siempre. Cómodo hoy, indefendible cuando alguien pregunta por qué sigues teniendo datos de un cliente de hace una década.
- Procedimiento escrito para la auditoría, no para la operación. Se detecta en treinta segundos: nadie fuera de calidad sabe que existe.
De la carpeta compartida a un sistema real
Llega un punto en el que el problema deja de ser el procedimiento y pasa a ser la herramienta. Se nota en señales concretas: alguien tiene que recordar manualmente cuándo vence un plazo de conservación, nadie sabe con certeza quién modificó el último registro, y preparar la evidencia de una auditoría se convierte en una semana de trabajo de una persona.
QualityWeb 360 existe para eso. No es un consultor ni te dice cómo debe ser tu SGC: es el lugar ordenado donde tu sistema vive, con cada registro en una sola ubicación, permisos por rol, trazabilidad de quién hizo qué, y los plazos de conservación controlados por el sistema y no por la memoria de alguien.
Preguntas frecuentes sobre el control de registros ISO 9001
¿Cuál es la diferencia entre control de documentos y control de registros?
El control de documentos gestiona lo que indica cómo hacer las cosas (procedimientos, formatos en
blanco) y necesita versiones y aprobación. El control de registros gestiona la evidencia de lo que
ya se hizo, que no se versiona: se identifica, se protege, se conserva un tiempo definido y se
dispone al final.
¿ISO 9001:2015 exige un procedimiento documentado de control de registros?
No exige el documento en sí, como hacía la versión 2008. Exige que el control ocurra y que puedas
demostrarlo. En la práctica, tener el procedimiento escrito es la forma más simple de demostrarlo, y
la tabla de retención es su parte imprescindible.
¿Cuánto tiempo hay que conservar los registros de calidad?
La norma no fija plazos. Los define tu regulación aplicable, tus contratos con clientes y el ciclo
de vida de tu producto o servicio. Lo que sí exige la norma es que el plazo esté definido, tenga una
razón y se cumpla.
¿Los registros electrónicos son válidos para ISO 9001?
Sí, y en la práctica facilitan el cumplimiento: resuelven identificación, acceso por rol y
trazabilidad de cambios mejor que el papel. Lo que la norma pide es protección e integridad, no un
soporte específico.
¿Se puede corregir un registro que tiene un error?
No se sobrescribe. Se documenta la corrección de forma que el dato original siga siendo visible y
quede claro quién la hizo y cuándo. Borrar el valor anterior es alterar evidencia.
¿Qué registros pide siempre un auditor?
Varía por industria, pero hay un núcleo que aparece casi siempre: auditorías internas, revisión por
la dirección, acciones correctivas, capacitación y competencia del personal, evaluación de
proveedores, y calibración o verificación de equipos de medición.
