Normas ISO: o que são, para que servem e as principais para empresas

Uma fábrica de estruturas metálicas mantinha a certificação ISO 9001 havia seis anos. Todas as auditorias foram aprovadas, os 148 procedimentos estavam documentados e assinados, e o manual da qualidade era atualizado no prazo. No mesmo período, o índice de retrabalho na solda oscilou entre 5,8% e 7,1%, com média de 6,4% — em 12.000 soldas por mês, cerca de 768 peças voltando para correção. Vinte e quatro meses de dados, nenhuma mudança de patamar.

A consequência não apareceu na auditoria. Apareceu no terceiro ano, quando o maior cliente encerrou o contrato citando reclamações recorrentes de acabamento. A empresa estava em conformidade com a norma e fora de conformidade com a realidade do próprio processo — e não havia nada no sistema de gestão que a obrigasse a perceber a diferença.

Esse desencontro é o assunto real deste artigo. As normas ISO são um instrumento sério e útil, e vale saber o que cada uma cobre. Mas elas resolvem um problema específico — e não o problema que a maioria das empresas acha que está comprando quando busca o selo.

O que são as normas ISO

Uma norma ISO é um acordo escrito sobre o que uma organização precisa ter para que outra organização, em outro país, possa confiar no que ela produz sem ir até lá verificar. É essa a função que a define: substituir a confiança pessoal por um critério comum e auditável.

Elas são publicadas pela International Organization for Standardization, fundada em 1947 e composta por mais de 160 organismos nacionais de normalização — no Brasil, a ABNT. O catálogo passa de 20 mil documentos, dos quais só uma fração diz respeito a sistemas de gestão; a maioria é de especificação técnica de produto, ensaio e terminologia. A história da entidade, como as normas são redigidas e quem participa disso é assunto de o que é a ISO.

Uma distinção importa desde já: nem toda norma ISO é certificável. Algumas descrevem requisitos que uma empresa pode ser auditada para cumprir — e essas geram selo. Outras são documentos de diretriz: orientam, mas não existe certificado correspondente. Confundir as duas é a origem de boa parte das promessas comerciais equivocadas no mercado de consultoria.

Principais normas ISO para empresas

As normas de sistema de gestão se organizam em famílias, cada uma dedicada ao que a organização precisa administrar. A tabela abaixo é o mapa; os blocos seguintes detalham cada uma e apontam para onde o assunto está desenvolvido.

ISO 9000 e ISO 9001

A família ISO 9000 trata de gestão da qualidade e é a mais conhecida do catálogo. A ISO 9000 propriamente dita traz os fundamentos e o vocabulário; quem carrega os requisitos auditáveis é a ISO 9001, publicada pela primeira vez em 1987 e revisada em 1994, 2000, 2008 e 2015.

A revisão de 2015 é a que mais mudou a lógica: trouxe o pensamento baseado em risco, a exigência de contexto organizacional e o foco explícito em resultado para o cliente, em vez da conformidade documental que caracterizava as versões anteriores. A leitura de como ela se relaciona com o método Six Sigma está em ISO 9000 e Six Sigma.

ISO 14001

Norma certificável da família ISO 14000, dedicada ao sistema de gestão ambiental. Ela estrutura como a organização identifica seus aspectos ambientais, define controles e acompanha o desempenho — sem estabelecer limites de emissão, que são atribuição da legislação de cada país. O detalhamento do sistema está em Sistema de Gestão Ambiental.

ISO/IEC 27001

Dentro da família ISO/IEC 27000, dedicada à segurança da informação, a 27001 é a única norma certificável. As demais são complementares: a 27002 traz o código de prática para os controles, a 27005 orienta a gestão de risco específica do tema, e a 27004 trata de medição e avaliação. É a família que mais cresceu em procura desde a generalização das exigências contratuais de segurança entre empresas.

ISO 31000

Diretriz de gestão de riscos, não certificável — e essa característica é frequentemente distorcida por quem oferece “certificação ISO 31000”. Ela organiza a gestão de riscos em torno de princípios como integração à tomada de decisão, uso da melhor informação disponível e consideração de fatores humanos e culturais. O detalhamento está em ISO 31000.

ISO/IEC 20000

Trata do sistema de gestão de serviços de tecnologia da informação, com foco em como um provedor planeja, entrega e melhora serviços contratados. É a norma que dialoga mais diretamente com práticas de gerenciamento de serviços já difundidas em TI. Mais detalhes em ISO 20000.

ISO 13485, ISO 22000, ISO 45001 e ISO 50001

São normas setoriais ou temáticas, todas certificáveis. A ISO 13485 cobre gestão da qualidade para dispositivos médicos, com exigências de rastreabilidade mais rígidas que a 9001. A ISO 22000 estrutura o sistema de segurança de alimentos. A ISO 45001 trata de saúde e segurança ocupacional, tema em que o Brasil ocupa posição desfavorável entre as economias do G20 em mortalidade no trabalho. A ISO 50001 organiza a gestão de energia, com apelo direto de custo.

ISO 13053

A ISO 13053 é a menos conhecida desta lista e a mais interessante para quem trabalha com melhoria: ela descreve os métodos quantitativos usados em processos de melhoria segundo a estrutura DMAIC — definir, medir, analisar, melhorar e controlar — e as ferramentas associadas a cada fase.

Ela não é certificável, e isso não é um detalhe burocrático: o que ela descreve é um método de aprendizado, e método não se audita por evidência documental. Ou a organização o pratica, ou não pratica — e a diferença aparece nos indicadores, não no arquivo.

O que são as certificações ISO

A certificação é a auditoria de terceira parte que atesta que a organização cumpre os requisitos de uma norma certificável. Um organismo acreditado avalia evidências, aponta não conformidades e emite o certificado, normalmente com validade de três anos e auditorias de manutenção pelo caminho.

O que a certificação atesta é exatamente isto: que existe um sistema descrito e que há evidência de que ele foi seguido. Ela não atesta que o produto é bom, que o cliente está satisfeito ou que o processo melhorou. São coisas diferentes, e a norma nunca prometeu as três últimas.

Onde a norma termina e o método começa

O erro caro não é adotar a ISO. É supor que o sistema documentado e o processo praticado são a mesma coisa. Foi o que aconteceu com a fábrica da abertura: 148 procedimentos aprovados, e o retrabalho parado em 6,4% por dois anos.

O padrão se repete de forma quase idêntica em serviços. Uma operadora certificada registrou 220 não conformidades em doze meses e fechou 214 delas — 97% — com a ação “orientação ao colaborador”. Nenhuma investigação de causa foi conduzida. Três não conformidades respondiam sozinhas por 118 dos 220 registros, mais da metade, e voltaram mês após mês porque a ação tomada nunca tocou o processo que as gerava. O sistema de registro de não conformidade funcionava perfeitamente. O que ele registrava é que nada estava sendo aprendido.

Documentar um procedimento e fazer com que ele seja praticado são projetos distintos, com dificuldades distintas. O primeiro termina quando o documento é aprovado; o segundo só termina quando a prática se sustenta sem alguém empurrando — o que é o assunto de padronização e da instrução de trabalho que chega a quem executa.

A fábrica da abertura só saiu do lugar quando tratou o retrabalho como processo, e não como item de auditoria: mediu, separou os dados por origem e descobriu que 469 das 768 peças mensais — 61% — vinham de dois tipos específicos de junta. A correção foi no gabarito de posicionamento dessas duas. O retrabalho foi de 6,4% para 3,9%, cerca de 300 peças a menos por mês. Nada disso exigia mudar a norma, e nada disso teria sido descoberto por ela.

Como consultar as normas ISO

No Brasil, as normas internacionais são adotadas pela ABNT, e as versões em português com o prefixo ABNT NBR ISO estão disponíveis no catálogo da associação, com busca por número e por assunto. As versões originais podem ser adquiridas diretamente no site da ISO. Em ambos os casos, o acesso ao texto integral é pago — resumos gratuitos e escopos de cada norma costumam estar disponíveis sem custo, e já bastam para decidir se aquela norma é a que interessa.

O que muda quando a norma vira sistema

A ISO organiza a empresa em torno de uma pergunta legítima: existe um jeito combinado de fazer isto e há evidência de que ele foi seguido? Uma organização que não sabe responder a isso está mesmo em desvantagem, e o selo tem valor real de mercado — sobretudo em exportação e em cadeia de fornecimento.

O que a norma não faz é responder à pergunta seguinte: o jeito combinado está produzindo o resultado que se queria? Essa segunda pergunta exige indicadores lidos ao longo do tempo, mudanças testadas uma de cada vez e a disciplina de registrar o que se espera antes de testar. É o terreno do Lean Six Sigma e da certificação Lean Six Sigma, e é exatamente por isso que a ISO 13053 não tem selo: método não se comprova por documento.

Empresas que juntam as duas coisas param de viver o ciclo de arrumar a casa às vésperas da auditoria. O sistema documentado passa a descrever o que de fato se faz, porque o que se faz mudou por evidência — e a auditoria vira consequência, não evento. Essa competência de conduzir a segunda pergunta é o que a formação Green Belt desenvolve, e quem quiser verificar a lógica antes de qualquer investimento pode começar pelo White Belt gratuito da EDTI, que apresenta esse raciocínio em poucas horas.

Conteúdo revisado pelo Master Black Belt Marcelo Petenate, estatístico, formado pela Unicamp, mestre pela USP e especialista em Lean Six Sigma e melhoria contínua. Nesta revisão, o foco foi a fronteira entre o que uma norma de sistema de gestão comprova e o que só o método de melhoria consegue demonstrar.

Perguntas frequentes

Quantas normas ISO existem?

O catálogo da ISO passa de 20 mil documentos publicados, mas a maior parte é de especificação técnica de produto, método de ensaio e terminologia. As normas de sistema de gestão, que são as que interessam à administração de uma empresa, somam poucas dezenas.

Toda norma ISO dá direito a certificado?

Não. Só as normas que estabelecem requisitos auditáveis são certificáveis, como a ISO 9001 e a ISO 14001. Normas de diretriz, como a ISO 31000 e a ISO 13053, orientam a prática mas não geram certificado — e ofertas de “certificação” nessas normas devem ser olhadas com atenção.

Quanto tempo leva para certificar uma empresa?

O prazo típico vai de seis meses a um ano e meio, dependendo do tamanho da organização e de quanto do sistema já existia antes. O que mais alonga o processo não é a auditoria em si, e sim o tempo até que a prática documentada seja de fato a prática executada.

Qual a diferença entre ISO 9000 e ISO 9001?

A ISO 9000 traz os fundamentos e o vocabulário da gestão da qualidade; a ISO 9001 traz os requisitos que a empresa precisa cumprir e é a norma pela qual ela é auditada. Na prática, quando alguém diz “somos certificados ISO 9000”, está se referindo à ISO 9001.

Certificação ISO garante que o produto tem qualidade?

Não. A certificação atesta que existe um sistema de gestão descrito e evidência de que ele foi seguido, o que é diferente de atestar o desempenho do produto ou a satisfação do cliente. Uma empresa pode manter a certificação por anos com um indicador de retrabalho parado no mesmo patamar.

A ISO substitui um programa de melhoria contínua?

Não substitui, e as duas coisas resolvem problemas diferentes. A norma responde se há um jeito combinado de fazer e evidência de que foi seguido; o programa de melhoria responde se esse jeito está produzindo o resultado desejado, o que exige indicadores no tempo e mudanças testadas uma por vez.

Onde as normas ISO entram na formação Lean Six Sigma?

Elas entram como contexto do sistema de gestão em que o projeto de melhoria acontece — e a ISO 13053, em particular, descreve o próprio roteiro DMAIC. Na formação da Escola EDTI, a norma aparece como a moldura, e o trabalho é aprender o método que preenche essa moldura com resultado verificado.