Elegir un organismo de certificación se trata habitualmente como un ejercicio de compras: recopilar tres presupuestos, comparar precios y elegir uno. Ese enfoque funciona para los productos estándar. Falla en la certificación, porque el valor de un certificado lo determina por completo quién lo emite.
Este brochure es una lista de verificación breve con las siete preguntas que realmente importan al evaluar un organismo de certificación para ISO 42001. La mayoría de los proveedores no ofrecerán las respuestas de forma espontánea. Todos deberían ser capaces de responderlas si se les pregunta directamente.
La creencia habitual
El supuesto más extendido es que los organismos de certificación son intercambiables porque todos son auditados frente a la misma norma. El precio y la disponibilidad de fechas se convierten en los factores decisivos.
En la práctica, los organismos de certificación difieren sustancialmente en el alcance de la acreditación, la competencia técnica, la metodología y la credibilidad que su certificado tiene en mercados específicos. Estas diferencias son invisibles hasta que importan, lo que suele ser demasiado tarde.
Las siete preguntas que debes hacer
1. ¿Están acreditados específicamente para ISO 42001?
La acreditación es granular. Un organismo de certificación acreditado para ISO 27001 no está automáticamente acreditado para ISO 42001. Solicita el certificado de acreditación y comprueba el alcance específico en el registro público del organismo de acreditación (ANAB en EE. UU., UKAS en el Reino Unido, ENAC en España, DAkkS en Alemania). Si el alcance no incluye ISO 42001, el certificado que emitan no estará acreditado para 42001, independientemente de lo que diga el material de marketing.
2. ¿Bajo qué norma de esquema operan?
ISO/IEC 42006 es la norma de esquema que regula cómo los organismos de certificación auditan los sistemas de gestión de IA. Define la competencia de los auditores, las reglas de duración de las auditorías y los requisitos de imparcialidad específicos para la certificación de IA. Un certificador que no sea capaz de nombrar su esquema, o cuyos procesos no reflejen los requisitos de la norma 42006, está operando fuera del marco internacional.
3. ¿Cuál es la composición de su equipo de auditoría?
Las auditorías ISO 42001 requieren auditores con competencia específica en sistemas de IA, no solo en sistemas de gestión en general. Pregunta cuántos auditores de IA certificados tiene el organismo, cuál es su formación técnica (ciencia de datos, ingeniería de aprendizaje automático, gobernanza de IA) y qué formación específica en IA ha completado el auditor jefe. Un auditor de 27001 que se recicla en 42001 no es lo mismo que un auditor con experiencia práctica en IA.
4. ¿Cómo gestionan la imparcialidad?
Un organismo de certificación acreditado no puede al mismo tiempo prestar servicios de consultoría a sus clientes. Esa separación no es una preferencia comercial; es un requisito de ISO/IEC 17021. Pregunta cómo separa el organismo la actividad de certificación de cualquier servicio de asesoramiento o formación que ofrezca él mismo o sus empresas afiliadas. Un proveedor que tanto implementa como certifica no puede emitir un certificado acreditado.
5. ¿Dónde está reconocido su certificado?
El reconocimiento de la certificación está vinculado a los acuerdos de los organismos de acreditación. Los certificados de ANAB están reconocidos en todos los signatarios del IAF. Los certificados de UKAS y ENAC tienen un peso específico en sus respectivas regiones. Si tus clientes, inversores o reguladores están en la UE, un certificado respaldado por ENAC, UKAS o DAkkS tiene un peso diferente al de un certificado emitido por un organismo fuera de la red IAF MLA.
6. ¿Cuál es su metodología más allá de la norma?
ISO 42001 define qué auditar, no cómo. La metodología es donde los organismos de certificación se diferencian: recopilación de evidencias digitales, capacidad de auditoría remota, integración con plataformas GRC, enfoques de aseguramiento continuo. Solicita una explicación detallada de cómo se llevan a cabo las auditorías en la práctica. Un organismo que se basa íntegramente en carpetas de documentos y visitas presenciales no está operando con los estándares de práctica actuales.
7. ¿Qué referencias pueden aportar en mi sector?
La certificación ISO 42001 tiene un aspecto diferente en fintech que en sanidad, que en HR tech o en IA industrial. Solicita referencias de organizaciones de tu sector que hayan completado la certificación o la vigilancia. Pregunta específicamente en qué se centró la auditoría y dónde se señalaron hallazgos. Un organismo sin experiencia específica en el sector tratará tu auditoría como un ejercicio de aprendizaje a tu costa.
Un organismo de certificación no es un proveedor que vende un documento. Es una contraparte cuya reputación y cadena de acreditación pasan a ser inseparables de tu certificado.
La pregunta que suele hacer el departamento de compras es «¿Cuál es el organismo de certificación más barato y rápido?». La pregunta que debería hacer el responsable ejecutivo es «¿Cuál es el organismo de certificación que emitirá el certificado que mejor nos abrirá las puertas que queremos abrir?».
Las respuestas rara vez señalan al mismo proveedor. Lo rápido y barato suele ser lo opuesto a lo estratégico, porque lo rápido y barato es lo que los mercados terminan por depreciar.
El cambio estructural
Durante la mayor parte de la historia de la certificación, los organismos competían por geografía y reconocimiento de marca. Los clientes elegían según el alcance geográfico, local o global, y optaban por nombres consolidados por aversión al riesgo.
La certificación de IA está cambiando esto. La especialización requerida (competencia técnica en IA, conocimiento del Reglamento de IA de la UE, metodología AIMS) ha devuelto la diferenciación hacia el contenido. Un gran organismo generalista sin capacidad de auditoría de IA dedicada ya no es una opción más segura que un especialista más pequeño, sencillamente porque la pregunta sobre la mesa ahora es «¿entiende realmente la gobernanza de IA?», y la capacidad generalista no responde automáticamente que sí.
Qué significa esto para tu organización
Elabora una lista corta de tres, no de uno. Formula las siete preguntas a los tres. Las respuestas revelan la calidad de cada organismo tanto como las preguntas revelan la calidad de tu evaluación.
Prioriza la acreditación y la competencia sobre el precio. La diferencia de precio entre el mejor y el más barato organismo de certificación suele ser del 20–40 %. La diferencia de valor en el certificado resultante es mucho mayor y, a diferencia del precio, solo se hace evidente en los momentos comerciales que importan.
Trata la decisión de selección como un compromiso de tres años. Estás comprando la auditoría inicial, dos auditorías de vigilancia y una recertificación. Cambiar de organismo de certificación a mitad de ciclo es costoso y genera señales de inestabilidad en el mercado.
El certificado más barato es el que más cuesta sustituir cuando tu inversor, cliente o regulador no lo reconoce.
¿Listo para pasar de la documentación a la certificación?
📩 [email protected] · 🌐 zertia.ai