Derivación de un caso a no conformidad

1. Objetivo

Establecer cuándo un caso deja de tratarse como incidente aislado y pasa a tratarse como no conformidad, y qué exige ese tratamiento: causa raíz, acción correctiva con responsable y plazo, y verificación de que la acción sirvió.

2. Alcance

Cubre la decisión de derivar, la apertura de la no conformidad, el análisis de causa raíz, la definición y el seguimiento de la acción correctiva, y el cierre por verificación de eficacia.

No cubre:

• la apertura del ticket → CAL-002;
• la investigación del caso individual → CAL-004, que es el paso previo y aporta el insumo;
• la respuesta a la persona y el cierre del ticket → CAL-005, que corre en paralelo y no espera al cierre de la no conformidad;
• la revisión agregada de incidentes y la detección de patrones → CAL-007, que es una vía de entrada a este protocolo;
• las no conformidades de origen normativo detectadas en auditoría externa, que siguen su propio procedimiento.

3. Definiciones

• No conformidad: incumplimiento de un requisito propio, de la persona socia o de una norma aplicable. No es sinónimo de queja: una queja puede ser infundada, y una no conformidad puede existir sin que nadie se haya quejado.
• Causa raíz: la condición del proceso cuya corrección evita que el hecho vuelva a ocurrir. No es la descripción del hecho ni la identificación de quién lo ejecutó.
• Corrección: lo que se hace para resolver el caso concreto. No cierra la no conformidad.
• Acción correctiva: lo que se hace sobre la causa raíz para evitar la repetición.
• Verificación de eficacia: comprobación posterior, con evidencia, de que la acción correctiva produjo el efecto buscado. Sin ella, la no conformidad no se cierra.
• Reincidencia: aparición de un caso nuevo atribuible a una causa raíz ya tratada.

4. Roles y responsables

Rol	Responsabilidad
Calidad	Es dueña del protocolo. Decide la derivación, abre la no conformidad y conduce el análisis.
Soporte	Propone la derivación desde la investigación del caso (CAL-004).
Responsable de la acción	Persona designada para ejecutar una acción correctiva en un plazo.
Dirección	Aprueba acciones que requieren recursos, cambian un proceso o afectan a terceros.
Comité de calidad	Revisa las no conformidades abiertas y verifica la eficacia. Es un órgano humano.

5. Disparador de inicio

Cualquiera de estos cinco:

1. La investigación de un caso (CAL-004) concluye que la falla es del proceso y no del episodio.
2. Se repiten casos con el mismo patrón, aunque cada uno por separado sea menor.
3. La revisión agregada de incidentes (CAL-007) detecta una tendencia.
4. Una revisión interna o externa levanta un hallazgo.
5. Un incidente de severidad alta, aun siendo único, por su sola gravedad.

El quinto disparador es deliberado: la gravedad basta. No se espera la repetición para tratar como no conformidad un hecho que pudo dañar a una persona.

6. Requisitos previos

• El caso de origen está registrado y con sus antecedentes disponibles.
• Existe un responsable de Calidad con acceso activo.
• Existe una numeración correlativa de no conformidades sin saltos ni reutilización.
• Está definido el criterio de severidad que obliga a derivar.

7. Entradas

• El caso o los casos de origen, con su folio y su investigación.
• La evidencia recogida: registros, mensajes, antecedentes aportados.
• El requisito incumplido: interno, de la persona socia o normativo.
• La severidad estimada y el alcance: cuántas personas y qué procesos afecta.

8. Procedimiento paso a paso

1. Calidad recibe la propuesta de derivación con el caso de origen y su investigación, o detecta el patrón por su cuenta.
2. Calidad decide si corresponde derivar, aplicando los criterios del §10. La decisión se registra tanto si deriva como si no: una derivación descartada sin constancia es indistinguible de una que nadie evaluó.
3. Si corresponde, Calidad abre la no conformidad con número correlativo, título, descripción, fecha de detección, requisito incumplido, severidad y referencia al caso o casos de origen.
4. Calidad aplica la corrección inmediata que el caso requiera, si la hay, y la registra como tal. La corrección no cierra la no conformidad.
5. Calidad conduce el análisis de causa raíz y lo documenta. El análisis apunta a la condición del proceso, nunca a la responsabilidad individual de una persona.
6. Calidad define una o más acciones correctivas sobre la causa raíz. Cada una lleva descripción, responsable nombrado y plazo comprometido.
7. Si la acción requiere recursos, cambia un proceso o afecta a terceros, Dirección la aprueba antes de iniciarla.
8. El responsable ejecuta la acción y deja constancia de su ejecución con la evidencia que corresponda.
9. Vencido el plazo, Calidad verifica que la acción se ejecutó. Si no se ejecutó, la escala según el §11.
10. Transcurrido el período de observación definido al abrir la no conformidad, el comité de calidad verifica la eficacia: comprueba con evidencia que el problema no volvió a presentarse.
11. Si la eficacia se verifica, Calidad cierra la no conformidad dejando constancia de la verificación y de su fecha. Si no se verifica, se reabre el análisis desde el paso 5, porque la causa raíz identificada era incorrecta o incompleta.
12. Calidad registra el cierre y actualiza los indicadores del §13.

Los pasos 1, 2, 5, 6, 7, 9, 10, 11 y 12 se ejecutan fuera del sistema. Ver §17.

9. Puntos de control

#	Control	Momento	Naturaleza
C1	La decisión de derivar queda registrada, derive o no	Paso 2	Humano
C2	Número correlativo único, sin reutilización	Paso 3	Humano
C3	La no conformidad referencia el caso o casos de origen	Paso 3	Humano
C4	La corrección inmediata no cierra la no conformidad	Paso 4	Humano
C5	Causa raíz documentada antes de definir acciones	Paso 5	Humano
C6	Cada acción tiene responsable nombrado y plazo	Paso 6	Humano
C7	Aprobación de Dirección cuando corresponde	Paso 7	Humano
C8	Verificación de ejecución al vencer el plazo	Paso 9	Humano
C9	Verificación de eficacia antes del cierre	Paso 10	Humano
C10	Reapertura del análisis si la eficacia no se verifica	Paso 11	Humano

Los diez controles son hoy humanos. Ninguno está respaldado por una restricción de base de datos ni por una guarda de la aplicación. Es la característica más importante de este protocolo y la razón de la §17.

C9 es el control que da sentido al resto: sin verificación de eficacia, el ciclo se convierte en un registro de intenciones.

10. Criterios de decisión

Se deriva a no conformidad cuando se cumple al menos uno:

Criterio	Deriva
El caso revela un incumplimiento de un requisito propio, de la persona socia o normativo	Sí
Se repite un patrón, aunque cada caso sea menor	Sí
La severidad es alta o crítica, aunque el caso sea único	Sí
Afecta o pudo afectar a más de una persona	Sí
Compromete la trazabilidad, la custodia o la integridad de un registro	Sí
El caso se explica enteramente por circunstancias del episodio y no revela falla del proceso	No
La queja resultó infundada tras la investigación	No

Una no conformidad no se cierra por ninguna de estas vías: que el caso de origen se haya cerrado; que la corrección inmediata haya resuelto el episodio; que haya vencido el plazo de la acción; ni que no hayan aparecido casos nuevos sin haberlo verificado con evidencia.

11. Excepciones y escalamiento

• Acción vencida sin ejecutar. Calidad la escala a Dirección. La no conformidad permanece abierta; no se cierra por vencimiento.
• Causa raíz que excede a la organización. Cuando depende de un tercero —un proveedor, una contraparte— se documenta como tal, se define la acción de mitigación que sí está al alcance, y se deja constancia explícita del límite.
• No conformidad que afecta a una persona identificable. Se informa a esa persona por la vía de CAL-005, sin esperar el cierre de la no conformidad.
• No conformidad sobre una persona del equipo. La conduce alguien sin relación con el caso. La persona involucrada no participa del análisis ni de la verificación.
• Reincidencia sobre una causa ya cerrada. Se abre una no conformidad nueva que referencia la anterior, y la verificación de eficacia previa se revisa: si el problema volvió, esa verificación falló o la causa raíz estaba mal identificada.
• Severidad crítica. Se convoca al comité sin esperar la revisión periódica.

12. Registros generados

• Ficha de no conformidad: número, origen, fecha de detección, requisito incumplido, severidad, estado.
• Registro de la decisión de derivar, incluidas las derivaciones descartadas y su motivo.
• Análisis de causa raíz.
• Acciones correctivas con responsable, plazo, constancia de ejecución y evidencia.
• Acta de verificación de eficacia, con fecha y evidencia considerada.
• Constancia de cierre.

Todos estos registros son hoy documentales y externos al sistema. Ver §17.

13. Indicadores

Indicador	Fórmula	Meta	Fuente
No conformidades abiertas	Conteo por período y por origen	Seguimiento de tendencia	Registro documental
Con causa raíz documentada	Con análisis ÷ total abiertas	100 %	Registro documental
Acciones cerradas en plazo	Cerradas dentro de plazo ÷ total vencidas	≥ 90 %	Registro documental
Con eficacia verificada	Cerradas con verificación ÷ total cerradas	100 %	Registro documental
Reincidencia	Casos nuevos por causa ya tratada ÷ causas tratadas	≤ 5 %	Registro documental
Derivaciones descartadas	Descartadas ÷ propuestas	Seguimiento; si es 0, sospechar derivación automática sin criterio	Registro documental

El cuarto indicador debe valer 100 % por definición del §10: si baja, hay no conformidades cerradas sin verificar, que es la forma habitual de que el riesgo principal se materialice sin que nadie lo note. El quinto es el que mide si el protocolo sirve para algo: una reincidencia alta con indicadores de proceso en verde significa que se está documentando un ciclo que no corrige nada.

14. Riesgos y controles

Riesgo	Control	Tipo
Casos cerrados uno a uno sin tocar la causa	Criterios del §10 y disparador 2 del §5	Preventivo
Cierre sin verificar eficacia	C9, y el indicador correspondiente	Preventivo
Causa raíz confundida con responsabilidad individual	Regla del paso 5	Preventivo
Acción sin responsable ni plazo	C6	Preventivo
Acción vencida que nadie advierte	C8, revisión al vencer el plazo. Sin alerta automática: ver brecha 3	Detectivo
Derivación descartada sin dejar rastro	C1	Detectivo
Reincidencia no detectada	Indicador de reincidencia y CAL-007	Detectivo
Pérdida del registro completo del ciclo	Ver brechas 1 y 2 de la §17	—
Conflicto de interés en el análisis	Regla del §11	Preventivo

15. Normativa y referencias

Norma	Cláusula	Qué paso la cubre
ISO 9001:2015	§8.7, control de las salidas no conformes	Paso 4, corrección inmediata
ISO 9001:2015	§10.2, no conformidad y acción correctiva	Pasos 3 a 11, el ciclo completo
ISO 9001:2015	§10.3, mejora continua	Pasos 10 a 12 e indicador de reincidencia
ISO 26000:2010	Materia 6.7, resolución de reclamos	Paso 3 cuando el origen es una queja, y regla del §11

Precisiones que acotan estas citas:

• ISO 26000 no es certificable. Es una guía de responsabilidad social; ninguna entidad certifica su cumplimiento.
• Cobertura no es cumplimiento. Que un paso mapee a §10.2 no significa que la organización cumpla §10.2 ni que esté certificada. Con los controles de este protocolo íntegramente humanos y sin respaldo en el sistema, la afirmación de cumplimiento requiere la evidencia documental externa, no este documento.
• Nada de este protocolo constituye asesoría legal ni certificación de una autoridad.

Protocolos relacionados: [[wiki/entities/dispensai/protocolos/CAL-002]], [[wiki/entities/dispensai/protocolos/CAL-004]], [[wiki/entities/dispensai/protocolos/CAL-005]], [[wiki/entities/dispensai/protocolos/CAL-007]].

16. Anexos y formularios vinculados

• Ficha de no conformidad.
• Guía de análisis de causa raíz.
• Formato de plan de acción correctiva.
• Acta de verificación de eficacia.
• Criterio de severidad y umbral de derivación obligatoria.

17. Implementación en el sistema

Este protocolo no está implementado en el sistema. Se ejecuta íntegramente sobre registros documentales que la organización mantiene fuera de DispensAI. Lo que el sistema aporta hoy es únicamente el insumo de origen: el caso registrado como ticket.

Elemento del protocolo	Dónde vive
Caso de origen (paso 1)	Tickets y su mensajería, en la base de datos de la organización, con panel propio
Vínculo caso ↔ evaluación que lo originó	Clave foránea desde el ticket a la evaluación (CAL-001)
Severidad y prioridad del caso	Restricción de valores permitidos sobre la prioridad del ticket
Pasos 2 a 12	Fuera del sistema. Registro documental de la organización
Panel de gestión de calidad	Muestra alertas de indicadores, hallazgos y matriz de riesgo desde un servicio externo, no las no conformidades de este protocolo

Brechas conocidas:

1. No existe almacén de no conformidades ni de acciones correctivas en ninguna parte de la arquitectura actual. Las tablas que sostenían este ciclo —no conformidades, comentarios, historial de estados, acciones correctivas y preventivas— fueron eliminadas por la migración de puesta en espera del módulo ISO. Se verificó contra la base de datos de un tenant el 2026-08-29: ninguna de ellas existe, y ninguna migración posterior las recrea. El servicio externo que reemplazó al módulo ISO tampoco tiene tabla de no conformidades ni de acciones correctivas: sólo guarda hallazgos, y el campo con que un hallazgo apuntaría a su no conformidad no referencia ninguna tabla. Consecuencia: el ciclo de causa raíz, acción correctiva y verificación de eficacia no tiene dónde registrarse dentro del sistema. Es la brecha mayor del protocolo y la razón por la que sus diez puntos de control son humanos.

2. La única vía de creación automática de hallazgos está inactiva. El diseño del servicio externo contempla crear hallazgos automáticamente a partir de los eventos del sistema, con una tabla de severidad que marca cuáles deben escalar —una valoración baja y una queja derivada de evaluación están ambas marcadas para escalar—. Pero esa cadena parte de la emisión de eventos, y la emisión está gobernada por una bandera de configuración que se verificó apagada en los seis tenants con configuración local. Con la bandera apagada el registro de eventos es un no-op silencioso, por diseño documentado. Y la creación manual de no conformidades fue retirada al migrar: los componentes que la ofrecían están marcados como obsoletos y rotos, porque consultan tablas que ya no existen. Resultado neto: hoy no hay ninguna vía operativa, ni automática ni manual, para levantar una no conformidad dentro del sistema.

3. No hay alerta por acción correctiva vencida. El control C8 depende de que alguien revise los plazos. No existe proceso programado que avise. Una acción comprometida puede vencer sin que nadie se entere hasta la siguiente reunión del comité.

4. El vínculo entre el caso de origen y la no conformidad no existe como dato. Un ticket no tiene campo que apunte a la no conformidad que originó. El control C3 se sostiene sólo en el registro documental, de modo que la trazabilidad entre queja y no conformidad depende de que alguien la transcriba correctamente y no es verificable desde el sistema.

5. El vocabulario de eventos existe, pero sin emisor ni destino. Los tipos de evento de apertura, cierre y acción correctiva están declarados en el código y admitidos por la restricción histórica de la tabla. Ningún punto del código los emite: el archivo de acciones de calidad importa la utilidad de registro de auditoría y nunca la invoca, y no llama en absoluto al registro de eventos. Un vocabulario declarado sin emisor puede leerse, en una revisión superficial, como evidencia de que el control existe. No lo es.

Lo que esto significa en la práctica. El protocolo describe cómo la organización debe conducir el ciclo de no conformidad, y esa conducción es legítima aunque sea documental: un ciclo ISO 9001 §10.2 llevado en registros externos, con firmas y actas, es un ciclo válido. Lo que no puede afirmarse es que el sistema lo ejecute, lo controle o lo evidencie. Mientras las brechas 1 y 2 sigan abiertas, DispensAI no es evidencia de este protocolo, y cualquier revisión externa debe dirigirse al registro documental de la organización.

Brecha observada en auditoría 2026-08-31

• 📡 Eventos nc_created, corrective_action_created, nc_closed declarados en el vocabulario pero sin emisor operativo — verificado por ausencia de call-sites en lib/ y app/ de dispensai/. Los tres eventos están declarados en el frontmatter del protocolo con la anotación “declarado en el vocabulario; sin almacén ni emisor operativo — ver §17”. Esta auditoría confirma que la brecha persiste desde la redacción inicial. Acción correctora: emitir los tres eventos en las server actions de calidad (app/actions/quality.ts o equivalente), o ajustar el frontmatter para reflejar la realidad.

18. Historial de versiones

Versión	Fecha	Cambio	Autor
1.0	2026-08-29	Versión inicial, levantada con el harness de protocolos sobre el sistema real	Calidad
1.0+audit-2026-08-31	2026-08-31	Confirmada la persistencia de la brecha “vocabulario sin emisor” para los eventos nc_created, corrective_action_created, nc_closed. Sin call-sites en código.	Auditoría automática