Una de las preguntas más frecuentes de quienes inician un proyecto es cuánto dura la certificación ISO. La respuesta corta es que un certificado acreditado de sistema de gestión tiene un ciclo de tres años. La respuesta completa es más importante: durante esos tres años el organismo de certificación debe auditarte al menos una vez por año calendario, y si una vigilancia se retrasa, si no cierras a tiempo una no conformidad mayor o si dejas vencer la recertificación, el certificado puede suspenderse o retirarse antes de su fecha de vencimiento.
Esta guía está dirigida a gerentes de calidad, coordinadores de sistemas de gestión y directores que necesitan administrar el ciclo de certificación sin sobresaltos. Explica cómo se calcula la vigencia, qué evalúan las auditorías de vigilancia y de recertificación, qué plazos marca ISO/IEC 17021-1, qué causa una suspensión y cómo organizar tu calendario para no perder el certificado.
El ciclo de certificación de tres años
ISO/IEC 17021-1:2015 establece que el programa de auditoría de un ciclo de certificación cubre tres años y comprende: la auditoría inicial en dos etapas (etapa 1 y etapa 2), auditorías de vigilancia en el primer y segundo año y una auditoría de recertificación en el tercer año, antes del vencimiento del certificado. Aplica a las certificaciones acreditadas de ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001, ISO 50001, ISO 37001 y, en general, a las normas de sistemas de gestión certificables.
| Momento | Auditoría | Objetivo | Tiempo de referencia (IAF MD 5) |
|---|---|---|---|
| Año 0 | Etapa 1 + etapa 2 | Confirmar preparación y evaluar implementación y eficacia en todo el alcance | Tiempo inicial calculado |
| Año 1 | Vigilancia 1 | Verificar que el sistema se mantiene y mejora; muestreo de procesos | Aproximadamente un tercio del inicial |
| Año 2 | Vigilancia 2 | Completar la cobertura del alcance en el ciclo; seguimiento de hallazgos | Aproximadamente un tercio del inicial |
| Año 3 | Recertificación | Evaluar la eficacia del sistema en su conjunto durante el ciclo y renovar | Aproximadamente dos tercios del inicial |
¿Desde cuándo se cuentan los tres años?
El ciclo comienza con la decisión de certificación, no con la fecha de la etapa 2 ni con la fecha en que recibes el certificado físico. Después de la etapa 2 presentas las correcciones y acciones correctivas de las no conformidades, el organismo las revisa y personal que no participó en la auditoría toma la decisión (ISO/IEC 17021-1 §9.5). Esa fecha es la que debes registrar en tu calendario, porque de ella dependen los plazos de la primera vigilancia y del vencimiento.
Requisito normativo: plazo de la primera vigilancia
ISO/IEC 17021-1:2015 §9.1.3 establece que las auditorías de vigilancia se realicen al menos una vez por año calendario, excepto en los años de recertificación, y que la primera vigilancia posterior a la certificación inicial no se realice más allá de 12 meses desde la fecha de la decisión de certificación. Muchas organizaciones calculan desde la etapa 2 y se arriesgan a una suspensión.
Auditorías de vigilancia: qué evalúan y cómo prepararlas
Las vigilancias no repiten la etapa 2 completa. Son auditorías en sitio, más cortas, que verifican procesos representativos y temas obligatorios. ISO/IEC 17021-1 §9.6.2 indica que deben incluir, entre otros:
- Auditorías internas y revisión por la dirección.
- Revisión de las acciones tomadas sobre las no conformidades de la auditoría anterior.
- Tratamiento de quejas.
- Eficacia del sistema respecto al logro de los objetivos y resultados previstos.
- Avance de las actividades planificadas para la mejora continua.
- Control operacional continuo.
- Revisión de cualquier cambio.
- Uso de las marcas y cualquier otra referencia a la certificación.
A lo largo de las dos vigilancias, el organismo distribuye el muestreo para que, junto con la recertificación, el ciclo cubra todo el alcance. Que en la primera vigilancia no te revisaran un proceso no significa que no lo harán en la segunda.
Requisitos de ISO que más revisa una vigilancia
| Requisito (ISO 9001:2015) | Qué verifica el auditor | Evidencia esperada |
|---|---|---|
| §6.2 Objetivos de la calidad | Que los objetivos se miden y se actúa ante desviaciones | Fichas de indicador, tendencias del periodo, acciones ante incumplimientos |
| §6.3 Planificación de los cambios | Cambios de procesos, personal clave, sitios o productos gestionados de forma controlada | Registro de cambios, análisis de riesgos y aprobaciones |
| §9.1.2 Satisfacción del cliente | Seguimiento de la percepción del cliente y uso de la información | Encuestas, quejas, reuniones de servicio y acciones |
| §9.2 Auditoría interna | Programa ejecutado, auditores competentes e imparciales, hallazgos tratados | Programa anual, informes, competencia de auditores |
| §9.3 Revisión por la dirección | Revisión realizada con todas las entradas y salidas | Acta o minuta con decisiones, recursos y acciones |
| §10.2 No conformidad y acción correctiva | Acciones de la auditoría anterior implementadas y eficaces | Análisis de causa, evidencia de implementación y verificación de eficacia |
| §10.3 Mejora continua | Proyectos de mejora con resultados | Plan de mejora y resultados medibles |
Consejo práctico: la vigilancia se prepara todo el año
Programa tu auditoría interna y tu revisión por la dirección con al menos dos meses de anticipación a la vigilancia. Así tendrás tiempo de tratar los hallazgos internos y de llegar con acciones implementadas, no solo planificadas. Si la revisión por la dirección se hace a la carrera una semana antes, el auditor lo notará en la falta de decisiones y seguimiento.
Recertificación: cómo renovar sin perder la continuidad
La auditoría de recertificación evalúa el cumplimiento continuo de todos los requisitos de la norma y la eficacia del sistema durante todo el ciclo, considerando los informes de las vigilancias. Según ISO/IEC 17021-1 §9.6.3, debe planificarse y realizarse con la anticipación suficiente para que la renovación se decida antes del vencimiento del certificado.
- Si en la recertificación se levantan no conformidades mayores, el organismo debe definir plazos para corrección y acción correctiva, y estas deben implementarse y verificarse antes del vencimiento del certificado.
- Si la recertificación y la decisión se completan antes del vencimiento, la fecha de vencimiento del nuevo certificado puede basarse en la del ciclo anterior, de modo que no pierdes continuidad.
- Si el certificado vence sin haberse completado la recertificación, ISO/IEC 17021-1 permite restaurarlo dentro de los seis meses siguientes, siempre que se completen las actividades pendientes; de lo contrario, debe realizarse como mínimo una etapa 2. Durante el periodo entre el vencimiento y la restauración no tienes certificado vigente.
Un certificado vencido no es un trámite administrativo
Entre el vencimiento y la restauración, tu organización no puede declararse certificada. Si en ese periodo presentas una propuesta en una licitación o respondes una evaluación de proveedor, el certificado no será válido. Programa la recertificación con al menos tres meses de holgura respecto al vencimiento.
Suspensión, retiro y reducción del alcance
Un certificado puede perder validez antes de su vencimiento. ISO/IEC 17021-1 §9.6.5 obliga al organismo a tener una política para suspender, retirar o reducir el alcance de la certificación, y a aplicarla en situaciones como estas:
- El sistema de gestión ha fallado de forma persistente o grave en cumplir los requisitos, incluida la eficacia.
- La organización no permite que las auditorías de vigilancia o recertificación se realicen con la frecuencia requerida.
- La organización solicita voluntariamente la suspensión.
Durante la suspensión, el certificado queda temporalmente inválido y la organización debe abstenerse de promocionarse como certificada. Si la situación no se resuelve en el plazo que fije el organismo (que suele estar limitado, comúnmente hasta seis meses según sus reglas), procede el retiro o la reducción del alcance. Un retiro significa empezar de nuevo con una certificación inicial.
Auditorías especiales
Además de las auditorías programadas, el organismo puede realizar auditorías especiales (ISO/IEC 17021-1 §9.6.4): para ampliar el alcance de la certificación, por ejemplo con un nuevo sitio o un nuevo servicio, o con aviso a corto plazo para investigar quejas, cambios relevantes o el seguimiento de clientes suspendidos. Por eso es una obligación contractual notificar al organismo los cambios significativos de alcance, ubicación, estructura o propiedad.
Ejemplo resuelto: calendario del ciclo de una empresa certificada
Ejemplo aplicado — Distribuidora de insumos médicos en Monterrey
Contexto: "Suministros Médicos del Norte" (empresa ficticia), 85 personas en un almacén y oficinas, obtuvo ISO 9001. La etapa 2 se realizó del 3 al 5 de diciembre de 2025; se levantaron dos no conformidades menores. El organismo recibió las acciones correctivas y tomó la decisión de certificación el 20 de enero de 2026.
| Hito | Fecha límite o planificada | Base |
|---|---|---|
| Decisión de certificación (inicio del ciclo) | 20-01-2026 | ISO/IEC 17021-1 §9.5 |
| Auditoría interna completa | Octubre de 2026 | ISO 9001 §9.2 |
| Revisión por la dirección | Noviembre de 2026 | ISO 9001 §9.3 |
| Vigilancia 1 | A más tardar 20-01-2027; planificada en diciembre de 2026 | 12 meses desde la decisión |
| Vigilancia 2 | Durante 2027, cerca de diciembre | Al menos una vez por año calendario |
| Recertificación | Octubre a noviembre de 2028 | Antes del vencimiento, con holgura para cerrar hallazgos |
| Vencimiento del certificado | 19-01-2029 | Ciclo de tres años |
Error detectado y corregido: el coordinador de calidad había programado la vigilancia 1 para "diciembre de 2026 o enero de 2027", contando 12 meses desde la etapa 2. Al recalcular desde la decisión de certificación, confirmó que enero de 2027 era el límite máximo y fijó la auditoría a principios de diciembre de 2026 para tener margen ante cualquier reprogramación del organismo.
Gestión del cambio: en 2027 la empresa abre un segundo almacén en Saltillo. Lo notifica al organismo con anticipación y acuerdan ampliar el alcance en la vigilancia 2, evitando una auditoría especial adicional.
Hallazgos y situaciones que ponen en riesgo la vigencia
| Situación de riesgo | Requisito | Cómo evitarla |
|---|---|---|
| Primera vigilancia fuera del plazo de 12 meses | ISO/IEC 17021-1 §9.1.3 | Calcular desde la decisión de certificación y agendar con margen |
| No conformidades de la auditoría anterior sin acción eficaz | ISO 9001 §10.2; ISO/IEC 17021-1 §9.6.2 | Verificar eficacia antes de la vigilancia y documentar la evidencia |
| Auditoría interna incompleta o sin cobertura de todos los procesos | ISO 9001 §9.2 | Programa anual basado en riesgos con seguimiento de cumplimiento |
| Revisión por la dirección sin entradas obligatorias | ISO 9001 §9.3.2 | Formato con todas las entradas y salidas, y decisiones registradas |
| Cambios importantes no notificados al organismo | Contrato de certificación; ISO 9001 §6.3 | Procedimiento de gestión de cambios que incluya notificación al organismo |
| Uso indebido de la marca de certificación | ISO/IEC 17021-1 §8.3 | Revisar materiales comerciales contra el reglamento de marcas |
| Recertificación programada demasiado cerca del vencimiento | ISO/IEC 17021-1 §9.6.3 | Programarla con al menos tres meses de holgura |
Para redactar respuestas a hallazgos que el organismo acepte, consulta cómo gestionar no conformidades ISO 9001, y para preparar la reunión anual, revisión por la dirección ISO.
Casos especiales: esquemas sectoriales y nuevas ediciones de normas
Esquemas con reglas propias
Algunos esquemas tienen reglas de ciclo adicionales a ISO/IEC 17021-1. IATF 16949, por ejemplo, se rige por las reglas de la IATF, que definen ventanas de auditoría y frecuencias de vigilancia propias; FSSC 22000 incluye requisitos del esquema como auditorías no anunciadas. Si tu certificación pertenece a un esquema de este tipo, tu calendario debe seguir esas reglas, que suelen ser más estrictas.
Transición a nuevas ediciones
Cuando se publica una nueva edición de una norma, el IAF y los organismos de acreditación establecen un periodo de transición. Al terminar ese periodo, los certificados de la edición anterior pierden validez aunque su fecha de vencimiento sea posterior. En calidad, el sitio informa que ISO 9001:2026 se publicó en septiembre de 2026; te conviene planificar el análisis de brechas y acordar con tu organismo en qué auditoría se hará la transición. Revisa el detalle en ISO 9001:2026.
Paso a paso para administrar el ciclo sin sobresaltos
- Registra la fecha de decisión de certificación. Pídela por escrito al organismo y anótala junto con la fecha de vencimiento.
- Construye el calendario de tres años. Vigilancias, recertificación, auditorías internas, revisiones por la dirección y fechas de transición de normas.
- Acuerda las fechas con el organismo con anticipación. Confirma auditor y agenda con varias semanas de margen.
- Da seguimiento mensual a acciones correctivas. Verifica la eficacia antes de la siguiente auditoría.
- Gestiona los cambios. Evalúa cada cambio relevante y notifícalo al organismo cuando afecte el alcance.
- Revisa el uso de marcas. Antes de cada campaña comercial o actualización del sitio web.
- Prepara la recertificación como una auditoría completa. Haz una auditoría interna de todo el sistema y una revisión del desempeño del ciclo.
Checklist para mantener vigente tu certificación ISO
- Tengo registrada la fecha de decisión de certificación y la de vencimiento.
- La primera vigilancia está agendada antes de 12 meses desde la decisión.
- Existe un calendario de tres años con auditorías internas y revisiones por la dirección.
- Las no conformidades de la última auditoría tienen eficacia verificada.
- La auditoría interna del año cubrió todos los procesos del alcance.
- La revisión por la dirección incluyó todas las entradas y generó decisiones.
- Los cambios relevantes del año se notificaron al organismo.
- El uso de la marca de certificación cumple el reglamento del organismo.
- La recertificación está programada con al menos tres meses de holgura.
- Conozco el periodo de transición de cualquier nueva edición de mi norma.
- Si aplico un esquema sectorial (IATF, FSSC), sigo sus reglas de frecuencia.
Cómo lo abordamos en Quality College
Quality College no certifica: la certificación y su mantenimiento dependen de un organismo acreditado e independiente. Nuestro trabajo es que tu sistema llegue a cada vigilancia y recertificación en condiciones de demostrar eficacia. Acompañamos la implementación inicial, formamos auditores internos, realizamos auditorías internas con criterios de tercera parte antes de cada auditoría externa, apoyamos la revisión por la dirección y el cierre de hallazgos, y planificamos contigo las transiciones de nuevas ediciones. Hemos acompañado a más de 150 organizaciones en 8 años y ofrecemos garantía contractual de certificación.
ISO Track® concentra el calendario del ciclo, las auditorías, los hallazgos y las acciones correctivas con alertas de vencimiento, y Qualitix Bot® ayuda a mantener actualizada la información documentada. Si apenas inicias, revisa certificación ISO 9001 en México y la página de ISO 9001.