La nueva edición de ISO 9001 ya está en la conversación. Y más útil que cualquier resumen de cambios es una pregunta simple: ¿tu empresa ya sabe que la norma se actualiza?
La revisión se describe como evolutiva, no revolucionaria. El enfoque a procesos y el pensamiento basado en riesgos siguen siendo el centro. Pero hay dos movimientos que no conviene leer a la ligera: los riesgos y las oportunidades se tratan por separado, y la cultura de calidad y el comportamiento ético aparecen de forma explícita, sobre todo en el liderazgo.
Se espera un periodo de transición de tres años, sujeto a lo que confirmen el IAF y tu organismo certificador. Tres años suenan a mucho, hasta que recuerdas cuánto tarda una organización en cambiar cómo gestiona riesgos y cómo decide.
Y es normal tener dudas. Casi nadie tiene claro qué significa en la práctica "cultura de calidad" ni cómo se audita.
Mi reflexión es que el cambio de fondo no es de documentos, es de dónde vive la calidad. Si el riesgo y la ética se vuelven requisitos visibles, ya no alcanza con que la alta dirección firme una política y delegue el resto. La norma pide un involucramiento genuino: líderes que pregunten por los riesgos reales, que sostengan decisiones incómodas y que den el ejemplo cuando hacer lo correcto cuesta tiempo o dinero.
Lo he visto en auditorías: los sistemas de gestión que funcionan no son los que tienen más procedimientos, son los que tienen una dirección que de verdad los usa para decidir.
En este tema
Ver todo el temaRespuesta rápidaDetail
¿Qué cambia en la nueva edición de ISO 9001 y qué implica para la alta dirección?
La revisión se describe como evolutiva: el enfoque a procesos y el pensamiento basado en riesgos siguen siendo el centro. Los dos movimientos que importan son que los riesgos y las oportunidades se tratan por separado, y que la cultura de calidad y el comportamiento ético aparecen de forma explícita, sobre todo en el liderazgo. En la práctica eso significa que ya no alcanza con firmar una política y delegar: la norma pide líderes que pregunten por los riesgos reales y que sostengan decisiones incómodas. Se espera un periodo de transición de tres años, sujeto a lo que confirmen el IAF y tu organismo certificador.
Escrito y revisado por Rogelio Barajas González — Auditor Líder certificado ISO 27001:2022 e ISO 9001:2015, con experiencia directa en SOC 1 Tipo 2 y SOC 2 Tipo 2. Fundador de Barajas Advisory.
Los nombres de empresas, personas y algunos detalles identificativos menores han sido generalizados para proteger la confidencialidad de las organizaciones involucradas. Los hechos, cifras y aprendizajes narrados se mantienen fieles a lo ocurrido.
Verifica sus credenciales en LinkedIn:linkedin.com/in/rogelio-barajas-gonzalezÚltima actualización: septiembre 2026
Este es uno de nueve casos reales
Cicatrices de Nube — ¿quieres el resto de las historias?
Los nueve casos documentados —FinOps, Release Management, Service Delivery, Compliance y gobernanza de IA— con un checklist de autodiagnóstico por capítulo y un scorecard general al cierre.
Descarga el playbook gratis