Alcance epistémico.

Un certificado ISO no certifica que una empresa hace bien las cosas. Certifica que tiene un sistema documentado, implementado y revisable que cumple los requisitos de la norma. La distinción no es semántica. Es la línea entre lo que el papel cubre y lo que no.

1. Lo que un certificado sí dice

Que existe un sistema de gestión. Que el sistema fue evaluado en una muestra de procesos durante una ventana de tiempo. Que en esa muestra, durante esa ventana, no aparecieron no conformidades mayores. Que existe un mecanismo formal de mejora continua. Eso es lo que dice. Es lo que la firma del certificador cubre técnicamente.

2. Lo que un certificado no puede decir

No dice que el sistema funcione bien fuera de la muestra. No dice que el sistema vaya a sostener un incidente real. No dice nada sobre los procesos que el alcance declarado no incluye. No dice nada sobre la cultura de la organización, sobre el incentivo económico de quienes operan el sistema, sobre la presión del cliente principal. Y, crítico, no dice nada sobre lo que la organización decide no documentar.

3. Por qué un board lo confunde

Porque el lenguaje de marketing de la certificadora promete cobertura, y el lenguaje técnico del certificado promete solo lo que la norma cubre. El board lee el primero y firma el segundo. Cuando hay incidente, el board descubre que la garantía que creía tener no estaba en el papel.

4. El alcance es el documento que importa

El alcance de la certificación — las dos o tres líneas que describen qué se evaluó — es el único documento que el board tiene que leer. No el certificado. El alcance. Si dice "diseño y producción de", está cubierto eso. Si no dice "comercialización", la comercialización no está. Si no dice "operaciones en Brasil", Brasil no está. Lo que no está nombrado en el alcance, no está certificado. Aunque ocupe el 60% de la operación.

Lo que se puede auditar, se audita. Lo que no, se declara fuera de alcance. Lo único que un board no puede hacer es leer un certificado como si cubriera lo que no nombra.

5. La consecuencia operativa

Cuando alguien me pregunta cómo evaluar técnicamente un certificado ajeno, mi respuesta es la misma: dame el alcance, no el certificado. Si el alcance es ambiguo o aspiracional, el certificado tampoco va a cubrir lo que el board cree. La firma de la certificadora cubre lo que el alcance declara, ni un milímetro más.