SGI Trinorma — cobertura y auditoría interna

Esto está en construcción. El motor y el corpus de las tres normas están escritos y testeados, y hay una demostración que corre. Lo que falta —cargar evidencia propia, generar el informe redactado— está descrito más abajo como lo que es: pendiente.

El problema que vi

Un sistema de gestión integrado se cae siempre por el mismo lado, y no es por donde uno esperaría. No se cae porque falten procedimientos: se cae porque los procedimientos existen y nadie puede demostrar que se ejecutaron.

La escena se repite. Llega la auditoría, alguien abre la carpeta, y ahí está el procedimiento de capacitación, prolijo, firmado, versionado. El auditor no lo mira más de tres segundos. Pregunta otra cosa: ¿cuándo fue la última capacitación y quién la evaluó? Y ahí aparece una planilla de hace diecinueve meses.

Esa distancia —entre el documento que dice cómo se hace y el registro que prueba que se hizo— es todo el problema. Y es un problema de datos: qué evidencia tenés, a qué requisito sirve, y desde cuándo dejó de servir.

Por qué no alcanza con una plantilla

Hay cien juegos de plantillas ISO dando vueltas y no resuelven nada, por una razón sencilla: el certificador no audita tus documentos, audita tu sistema. Un procedimiento perfecto para una empresa que no lo cumple no es un ahorro, es un hallazgo mayor servido en bandeja. Documentación genérica que no describe lo que la organización hace realmente es peor que no tenerla, porque además demuestra que se copió.

Por eso este proyecto no genera plantillas. Lo que hace es más aburrido y más útil: lleva la cuenta de la evidencia.

Cómo funciona

Tres decisiones sostienen todo lo demás.

El motor no usa IA

Decidir si un requisito está cubierto es una cuenta, no una opinión. La función que lo hace recibe un requisito, la evidencia cargada y una fecha, y devuelve el estado junto con el motivo y las evidencias que lo sostienen. Es pura: mismos argumentos, mismo resultado, siempre. Está testeada con el runner de Node, sin dependencias.

Esto no es purismo técnico. Es que cuando el auditor pregunte ¿por qué dice 68%?, la respuesta tiene que ser una lista de evidencias con fecha. Un sistema que contesta “lo calculó un modelo” no sirve para esto.

La IA entra después y en su lugar: redactar el informe sobre un resultado ya calculado. Redacta, no decide.

Vencido no es lo mismo que sin cubrir

El motor distingue cuatro estados, y dos de ellos suelen mezclarse:

Estado	Qué significa
Cubierto	Toda la evidencia que el requisito pide existe y está vigente.
Parcial	Falta parte. Está el procedimiento pero no el registro, o al revés.
Vencido	Hay evidencia cargada, pero ninguna prueba ya nada por antigüedad.
Sin cubrir	No hay nada.

Separar vencido de sin cubrir es deliberado. Que nunca hayas tenido un procedimiento es una cosa. Que lo hayas tenido, lo hayas dejado morir y nadie se haya dado cuenta habla del sistema entero — y el auditor lo lee exactamente así. Son dos hallazgos distintos y merecen dos tratamientos distintos.

Documento y registro son cosas distintas

Un documento dice cómo se hace algo: política, procedimiento, matriz. Se revisa cada tanto pero no caduca por uso. Un registro prueba que algo se hizo: acta, planilla firmada, informe. Tiene fecha y caduca.

El modelo los trata como tipos distintos y no acepta que uno reemplace al otro. Tener el procedimiento de capacitación escrito no prueba que se haya capacitado a nadie. Hay un test que garantiza justamente eso, porque es el error que este sistema existe para evitar.

Las tres normas de una, sin morir en el intento

Arrancar con la trinorma completa es el alcance que más proyectos mata. Acá se sostiene por una razón concreta: las tres normas comparten la estructura de alto nivel — capítulos 4 a 10, con los mismos títulos y la misma lógica. ISO las armó así justamente para que se puedan integrar.

Ese tronco común se modela una sola vez:

• 21 requisitos de tronco, que cubren las tres normas a la vez.
• 24 requisitos propios: diseño y proveedores en calidad, aspectos ambientales y matriz legal en ambiente, peligros y participación de los trabajadores en seguridad.

Total: 45 requisitos auditables en lugar de los ~88 que costaría escribirlos tres veces. Y no es sólo volumen: con tres corpus paralelos, a la tercera corrección de redacción uno de los tres se queda atrás y nadie se entera.

Lo que este repositorio no tiene

No hay una sola línea del texto de las normas. El texto de ISO 9001, 14001 y 45001 es propiedad de ISO y se compra. Un repositorio público con la 9001 copiada adentro se baja con un pedido de retiro, y con razón.

Lo que sí se usa es numeración y título de cláusula, que son referencia factual y están publicados en todos lados. Todo lo demás —las 98 preguntas de auditoría, las 88 descripciones de evidencia— está escrito desde el oficio.

Esto terminó jugando a favor. El valor de la herramienta nunca estuvo en el texto de la norma, que cualquiera compra por cien dólares. Está en saber qué preguntar y qué papel pedir, y eso no viene en la norma.

La máquina del tiempo

Si hay una sola cosa para mirar en la demo, es la barra que adelanta meses.

Un sistema de gestión no se rompe de golpe: se vence. Nadie hace nada mal — simplemente pasa el tiempo y los registros dejan de probar el presente. La barra hace visible eso en tres segundos:

Al día de hoy	+6 meses	+12 meses
78 / 69 / 68 %	58 / 58 / 58 %	40 / 40 / 37 %

Nadie tocó nada. Ninguna evidencia se borró. Sólo corrió el calendario.

Ese es el argumento entero del proyecto, y es la razón por la que una auditoría interna anual llega siempre tarde: mide una vez por año un sistema que se degrada todos los días.

De ahí sale la única alerta que un sistema puede dar y una auditoría tradicional no: lo que está cubierto hoy y se cae en menos de tres meses. Tres no es un número redondo elegido al azar — es lo que tarda en armarse de verdad una capacitación con evaluación de eficacia, una calibración externa o una revisión por la dirección con las áreas sentadas. Avisar con menos es avisar cuando ya no se puede hacer nada.

El motor corre en tu navegador

En la demo también se puede apagar evidencia a mano. Destildás Política integrada y la cláusula 5.2 pasa de cubierta a parcial y el avance baja al instante.

Eso no es una animación preparada: es el mismo evaluar() corriendo en el navegador. Se pudo mandar al cliente justamente por estar escrito como función pura — no consulta nada, no guarda nada, no necesita servidor. El motor completo, con el corpus de las tres normas y las plantillas, pesa 12 KB comprimido.

Y como las plantillas de HTML son las mismas que usa el build, la página sin JavaScript y la interactiva no pueden decir cosas distintas. Si estuvieran escritas dos veces se irían separando de a poco, y nadie se daría cuenta porque casi nunca se miran las dos juntas.

Cómo se nombra el hallazgo

El sistema propone clasificar cada hallazgo como NC mayor, NC menor u observación. Es una propuesta, no un veredicto: la norma no trae esa tabla, la decide el auditor mirando impacto y alcance. Lo que hace el sistema es que el auditor arranque de algo y lo corrija, en vez de arrancar de una hoja en blanco.

La observación quedó reservada para lo que todavía no falló — lo cubierto que está por vencer — que es lo único de los tres que se puede detectar solo.

La demostración

La demo evalúa el corpus contra Metalúrgica del Suquía S.A., una PyME cordobesa de 48 personas que no existe.

Está inventada por dos razones. La primera es que los datos de un SGI real —una matriz de riesgos, un registro de incidentes— son del cliente o del empleador, no míos, y no van a un repositorio público. La segunda es que una demo con todo en verde no demuestra nada.

El estado está armado para que se vea lo que el motor distingue. Calidad va adelante porque la empresa ya venía con 9001; ambiente va atrás; seguridad es la más floja. Es el orden en que pasa en la vida real, y produce los hallazgos que aparecen en cualquier PyME que integra tarde:

• La participación de los trabajadores (45001, 5.4) sin cubrir. Es la cláusula más simulada de la norma, porque es la única que no se resuelve con un documento.
• La revisión por la dirección vencida, no ausente: se hizo una vez y pasaron dieciséis meses.
• Las matrices legales cargadas pero sin evaluación de cumplimiento. Confundir una cosa con la otra es el error más frecuente en ambiente y en seguridad, y son dos requisitos separados.

La página arranca resuelta en tiempo de compilación —sin JavaScript se ve la foto de hoy, entera y usable— y cuando el script carga, el mismo motor toma el control y la vuelve interactiva. No hay servidor y no hay clave de ningún modelo en el navegador.

El porcentaje que no hay que malinterpretar

La demo muestra 78%, 69% y 68%. Ese número es avance de implementación, no cumplimiento.

Para el certificador no existe el 78%. Un requisito no conforme es un hallazgo, y alcanza uno mayor para no certificar. El porcentaje sirve para saber cuánto falta y para ordenar el trabajo — no para tranquilizar a nadie, y mucho menos para mostrárselo a un cliente como si fuera una nota.

Un requisito se cuenta cubierto sólo si toda la evidencia que pide tiene un aporte vigente. No se promedia dentro del requisito: nueve papeles de diez no es cumplir en un 90%, es no cumplir.

La jornada de auditoría

Un auditor no recorre cláusulas, recorre áreas: se sienta con Compras una mañana y con Producción a la tarde. Un listado ordenado por número de cláusula lo obliga a saltar de área en área, que es exactamente lo que nadie hace.

Así que cada proceso abre su plan del día: qué cláusulas le tocan —en orden de riesgo, no de numeración—, las preguntas para hacer, la evidencia para pedir, quién la tiene y qué falta.

Está armada como documento de trabajo y no como panel. Las preguntas van desplegadas porque se leen mientras se habla, cada requisito tiene su casilla para tildar, y la hoja imprime sin navegación y con renglones para escribir a mano. La mitad de las auditorías internas se siguen haciendo con una carpeta en la mano.

Para eso el corpus necesitó un dato más: qué área responde por cada requisito. Va en una tabla aparte y no dentro de cada entrada, porque el corpus normativo es el mismo para cualquier organización y el organigrama no — el día que esto se use en una empresa de verdad, se cambia ese mapa y nada más.

Por qué vive en su propio repositorio

Arrancó adentro de este portfolio y ahí estaba mal. Compartía la barra de navegación, el fondo animado y la composición de una página que se lee de arriba a abajo, cuando esto es una herramienta que se usa: barra fija, navegación al costado, densidad más alta y nada que se mueva sin motivo.

Ahora tiene su repositorio y su deploy, con los tests corriendo antes de publicar. Este caso cuenta por qué existe; la aplicación se usa allá.

Qué falta

Lo escribo como pendiente y no como característica, que es lo que es:

• Cargar evidencia propia. Hoy se puede apagar y prender la evidencia de la empresa de demostración, pero no cargar la tuya: eso necesita un backend y autenticación, y eso ya no es un portfolio.
• El informe redactado. El plan de auditoría sale del motor; falta la capa que lo convierta en el documento que se firma y se entrega.
• No conformidades y acciones correctivas. Hoy el sistema detecta el hallazgo. Falta el ciclo completo: causa raíz, acción, verificación de eficacia.
• Requisitos legales por jurisdicción. Las matrices legales de ambiente y seguridad dependen de la provincia y del municipio. Eso no se resuelve con un corpus general.

Por qué lo estoy haciendo

Me formé como auditor interno trinorma y lo que me quedó no fueron las cláusulas: fue ver cuánto trabajo real se pierde en sostener el papeleo de un sistema que igual no se puede demostrar. Gente competente, haciendo bien su trabajo, sin forma de probarlo cuando llega el que pregunta.

Eso es un problema de trazabilidad de datos, no de redacción. Y es el mismo problema que vengo resolviendo desde el otro lado — el de los datos — en todo lo demás que hay en este portfolio.