Quality Management Systems (ISO 9001, IATF 16949, GMP) · D03 Manufacturing & Operations · SCRA

01What it isQué es

A QMS is the documented operating system for quality — the policies, procedures, work instructions, records, and review mechanisms that together govern how the operation makes consistent, conforming product. ISO 9001, IATF 16949 (automotive), GMP (life sciences), and AS9100 (aerospace) are the dominant frameworks. The framework certifies the documentation; what determines outcomes is whether the system lives on the floor or in a folder.

Un QMS es el sistema operativo documentado para la calidad — las políticas, procedimientos, instrucciones de trabajo, registros y mecanismos de revisión que en conjunto gobiernan cómo la operación produce producto consistente y conforme. ISO 9001, IATF 16949 (automotriz), GMP (ciencias de la vida) y AS9100 (aeroespacial) son los marcos dominantes. El marco certifica la documentación; lo que determina los resultados es si el sistema vive en el piso o en una carpeta.

02Why it mattersPor qué importa

The QMS exists at the intersection of two worlds — the auditor's world, where documentation is the evidence of conformance, and the operator's world, where the procedure is either the way the work gets done or a paper artifact disconnected from reality. The most expensive QMS failure mode is the system that passes audits while operations runs on tribal knowledge — because the audit pass is mistaken for system health when in fact it is theater. The foundational discussion of the difference is in (Juran, 1992 — Juran on Quality by Design, peer-reviewed): a procedure not used by the operator is a procedure that does not exist. The economic case is stark — typical plants run with documentation-to-execution gaps of 30–60% on critical procedures, meaning the system the auditor sees is not the system the floor runs. The certification protects the contract; the gap protects the rework loop.

El QMS existe en la intersección de dos mundos — el mundo del auditor, donde la documentación es la evidencia de la conformidad, y el mundo del operador, donde el procedimiento es o la forma como el trabajo se hace o un artefacto de papel desconectado de la realidad. El modo de falla más caro del QMS es el sistema que pasa auditorías mientras operaciones corre con conocimiento tribal — porque el pase de auditoría se confunde con salud del sistema cuando en realidad es teatro. La discusión fundacional de la diferencia está en (Juran, 1992 — Juran on Quality by Design, peer-reviewed): un procedimiento no usado por el operador es un procedimiento que no existe. El caso económico es contundente — las plantas típicas operan con brechas de documentación-a-ejecución de 30 a 60% en procedimientos críticos, lo que significa que el sistema que ve el auditor no es el sistema que opera el piso. La certificación protege el contrato; la brecha protege el ciclo de retrabajo.

03How it is doneCómo se hace

Inventory every procedure and segment by usage frequency, not by certification scope. A typical QMS contains 800–1,500 controlled procedures, of which 100–200 are used daily by the floor, 300–500 are used quarterly by support functions, and the remainder exist only because some auditor asked for them in 2009. The classification is the first honest conversation: which procedures are operating system, which are reference, which are auditor-bait.

Embed daily-use procedures into the MES, not in a document repository. A work instruction stored as a PDF in SharePoint is a work instruction not used at the moment of work. The high-frequency procedures must live where the work happens — as electronic work instructions inside the MES, called up by the work order context. Document repositories serve auditors; the MES serves operators.

Use risk-based controls, not blanket controls — IATF 16949 and ISO 9001:2015 explicitly require this. The instinct after an audit finding is to add controls everywhere; the discipline is to add controls only where the risk justifies them. Risk assessment (FMEA-driven) determines which characteristics get SPC, which get 100% inspection, which get sampling, which get visual confirmation. Blanket controls produce procedure fatigue without commensurate quality gain (IATF 16949:2016 + ISO 9001:2015 — international standards).

Manage change control with rigor — the post-change defect is the most common audit finding. Every process change (equipment, material, supplier, parameter) must trigger a documented review of the affected procedures, FMEAs, control plans, and validation status. Plants that skip this step generate the "we changed something three months ago" defects that haunt CAPA logs. PCN (Process Change Notification) discipline is non-negotiable in regulated industries and quietly essential everywhere else.

Conduct management review with operational data, not with conformance summaries. The quarterly management review required by ISO 9001:2015 §9.3 is the system's heartbeat — and the place where it most reliably degrades into ritual. The review must surface trend data on customer complaints, internal failures, audit findings, and supplier performance, and produce decisions with assigned owners and dates. A management review without decisions is paperwork.

Train operators to the procedure, then audit whether they perform the procedure, then close the gap. Training records prove training happened; gemba audits prove the procedure is followed. The closing of the gap (where observation differs from procedure) is the work — either the procedure changes to reflect reality, or the operator's practice changes to reflect the procedure, but the gap cannot persist. Living procedures or dead procedures; there is no third option.

Worked example — illustrativeA Tier 1 automotive supplier with IATF 16949 certification across 2 plants and 1,400 active controlled procedures faces escalating audit findings (47 in the 2023 surveillance audit, up from 28 in 2022) despite no major quality escapes. Root-cause analysis reveals the pattern: 312 critical procedures used daily on the floor have a documentation-to-execution gap averaging 41% — operators do the work, but not the version in the document. The implementation: a 6-month sprint converts the 312 critical procedures to electronic work instructions inside the MES, called by work-order context; a small "shop floor documentation" team (3 FTEs) walks every procedure with operators monthly to reconcile observed practice with documented procedure. Results at audit 2024: findings drop from 47 to 8, operator search time for procedure drops from 3.4 minutes to 12 seconds, change-control compliance rises from 71% to 97%, and customer PPAP rejections fall 62%. The QMS is no longer an audit artifact — it is the operating system.

Inventaría cada procedimiento y segméntalo por frecuencia de uso, no por alcance de certificación. Un QMS típico contiene 800–1,500 procedimientos controlados, de los cuales 100–200 son usados diariamente por el piso, 300–500 son usados trimestralmente por funciones de soporte, y el resto existe solamente porque algún auditor lo pidió en 2009. La clasificación es la primera conversación honesta: cuáles procedimientos son sistema operativo, cuáles son referencia, cuáles son carnada para el auditor.

Embebe los procedimientos de uso diario en el MES, no en un repositorio de documentos. Una instrucción de trabajo almacenada como PDF en SharePoint es una instrucción de trabajo no usada en el momento del trabajo. Los procedimientos de alta frecuencia deben vivir donde sucede el trabajo — como instrucciones electrónicas dentro del MES, llamadas por el contexto de la orden de trabajo. Los repositorios de documentos sirven a los auditores; el MES sirve a los operadores.

Usa controles basados en riesgo, no controles generalizados — IATF 16949 e ISO 9001:2015 lo requieren explícitamente. El instinto después de un hallazgo de auditoría es añadir controles en todos lados; la disciplina es añadir controles solamente donde el riesgo lo justifica. La evaluación de riesgo (impulsada por FMEA) determina cuáles características obtienen SPC, cuáles obtienen inspección al 100%, cuáles obtienen muestreo, cuáles obtienen confirmación visual. Los controles generalizados producen fatiga de procedimiento sin ganancia de calidad proporcional (IATF 16949:2016 + ISO 9001:2015 — estándares internacionales).

Gestiona el control de cambios con rigor — el defecto post-cambio es el hallazgo de auditoría más común. Cada cambio de proceso (equipo, material, proveedor, parámetro) debe disparar una revisión documentada de los procedimientos afectados, FMEAs, planes de control y estatus de validación. Las plantas que se saltan este paso generan los defectos de "cambiamos algo hace tres meses" que pueblan los logs de CAPA. La disciplina de PCN (Process Change Notification) es no negociable en industrias reguladas y silenciosamente esencial en todas las demás.

Conduce la revisión por la dirección con datos operativos, no con resúmenes de conformidad. La revisión trimestral por la dirección requerida por ISO 9001:2015 §9.3 es el latido del sistema — y el lugar donde más confiablemente se degrada en ritual. La revisión debe sacar a la superficie datos de tendencia de quejas de cliente, fallas internas, hallazgos de auditoría y desempeño de proveedores, y producir decisiones con dueños asignados y fechas. Una revisión por la dirección sin decisiones es papeleo.

Entrena a los operadores en el procedimiento, luego audita si lo ejecutan, luego cierra la brecha. Los registros de capacitación prueban que el entrenamiento ocurrió; las auditorías de gemba prueban que el procedimiento se sigue. El cierre de la brecha (donde la observación difiere del procedimiento) es el trabajo — o el procedimiento cambia para reflejar la realidad, o la práctica del operador cambia para reflejar el procedimiento, pero la brecha no puede persistir. Procedimientos vivos o procedimientos muertos; no hay una tercera opción.

Ejemplo trabajado — ilustrativoUn proveedor Tier 1 automotriz con certificación IATF 16949 en 2 plantas y 1,400 procedimientos controlados activos enfrenta hallazgos de auditoría crecientes (47 en la auditoría de vigilancia 2023, contra 28 en 2022) a pesar de no tener escapes mayores de calidad. El análisis de causa raíz revela el patrón: 312 procedimientos críticos usados diariamente en el piso tienen una brecha documentación-a-ejecución promediando 41% — los operadores hacen el trabajo, pero no la versión que está en el documento. La implementación: un sprint de 6 meses convierte los 312 procedimientos críticos en instrucciones electrónicas dentro del MES, llamadas por el contexto de orden de trabajo; un pequeño equipo de "documentación de piso" (3 FTEs) camina cada procedimiento con los operadores mensualmente para reconciliar la práctica observada con el procedimiento documentado. Resultados en la auditoría 2024: los hallazgos caen de 47 a 8, el tiempo de búsqueda de procedimiento del operador baja de 3.4 minutos a 12 segundos, el cumplimiento de control de cambios sube de 71% a 97%, y los rechazos de PPAP de cliente caen 62%. El QMS ya no es un artefacto de auditoría — es el sistema operativo.

04In practiceEn la práctica

🎯Procedure ownership is operational, not QA's›

The supervisor of the work cell owns the procedure for that cell, with QE providing methodology. When operations leadership treats audit findings as operational signals rather than QA's problem, documentation stays close to the floor (Juran, 1992 — peer-reviewed).

📐Embed daily-use procedures in the MES, not in a document repository›

Procedures live where the work happens — MES screens, work-cell terminals, mobile devices in the operator's hand. Procedures only accessible to QE and the auditor are evidence of a parallel system, not a real one.

🔍Audit operator practice against procedure with the goal of closing gaps›

Typical plants run documentation-to-execution gaps of 30–60% on critical procedures. The audit that asks "is the document signed?" produces zero useful findings; the audit that asks "is the operator doing what it says?" produces an improvement backlog.

⚠️Apply risk-based controls, not blanket controls›

ISO 9001:2015 explicitly requires risk-based thinking. A QMS that controls everything the same way controls nothing well — and burns engineering hours on procedures that don't affect outcomes, leaving the procedures that do under-supported.

🎯La titularidad del procedimiento es operativa, no de QA›

El supervisor de la celda de trabajo es dueño del procedimiento de esa celda, con ingeniería de calidad proveyendo metodología. Cuando el liderazgo de operaciones trata los hallazgos de auditoría como señales operativas en lugar de problema de QA, la documentación se mantiene cerca del piso (Juran, 1992 — peer-reviewed).

📐Embebe los procedimientos de uso diario en el MES, no en un repositorio de documentos›

Los procedimientos viven donde sucede el trabajo — pantallas del MES, terminales en celda, dispositivos móviles en la mano del operador. Procedimientos accesibles solo para QE y el auditor son evidencia de un sistema paralelo, no de un sistema real.

🔍Audita la práctica del operador contra el procedimiento con el objetivo de cerrar la brecha›

Las plantas típicas operan con brechas documentación-a-ejecución de 30–60% en procedimientos críticos. La auditoría que pregunta "¿el documento está firmado?" produce cero hallazgos útiles; la auditoría que pregunta "¿el operador hace lo que dice el documento?" produce un backlog de mejora.

⚠️Aplica controles basados en riesgo, no controles uniformes›

ISO 9001:2015 requiere explícitamente pensamiento basado en riesgo. Un QMS que controla todo de la misma forma no controla nada bien — y quema horas-ingeniería en procedimientos que no afectan resultados, dejando los procedimientos que sí afectan sin soporte suficiente.

05What you would useQué se usa

📌 QMS PLATFORMS

🟦Veeva Vault QualityDocs / MasterControl›

The dominant platforms for regulated industries (pharma, medical device, biotech), with deep GMP/GxP compliance, validated change control, and electronic signature workflows aligned to 21 CFR Part 11 (Veeva — vendor; MasterControl — vendor).

🟩ETQ Reliance / Sparta TrackWise / Intelex›

Broad enterprise QMS platforms that span automotive (IATF 16949), aerospace (AS9100), and general manufacturing (ISO 9001), with strong CAPA, audit, and document management modules (ETQ — vendor; Sparta Systems — vendor).

🟥Qualio / Greenlight Guru / Arena (PTC)›

Cloud-native QMS platforms designed for small-to-mid life-sciences and medical-device operations, with faster deployment and lower total cost than the enterprise tier; the right fit when the operation is growing into regulation (Qualio — vendor; Greenlight Guru — vendor).

⬜SharePoint + Power Automate + a disciplined librarian›

For plants without budget for a dedicated QMS platform — a structured document repository with version control, approval workflow, and a single accountable owner. Works under ISO 9001 if the discipline holds; fails the moment the librarian leaves.

📌 PLATAFORMAS QMS

🟦Veeva Vault QualityDocs / MasterControl›

Las plataformas dominantes para industrias reguladas (farma, dispositivos médicos, biotech), con cumplimiento profundo GMP/GxP, control de cambios validado y flujos de firma electrónica alineados a 21 CFR Part 11 (Veeva — vendor; MasterControl — vendor).

🟩ETQ Reliance / Sparta TrackWise / Intelex›

Plataformas QMS empresariales amplias que abarcan automotriz (IATF 16949), aeroespacial (AS9100) y manufactura general (ISO 9001), con módulos robustos de CAPA, auditoría y gestión de documentos (ETQ — vendor; Sparta Systems — vendor).

🟥Qualio / Greenlight Guru / Arena (PTC)›

Plataformas QMS cloud-native diseñadas para operaciones de ciencias de la vida y dispositivos médicos pequeñas-medianas, con despliegue más rápido y costo total más bajo que el nivel empresarial; el fit correcto cuando la operación está creciendo hacia la regulación (Qualio — vendor; Greenlight Guru — vendor).

⬜SharePoint + Power Automate + un bibliotecario disciplinado›

Para plantas sin presupuesto para una plataforma QMS dedicada — un repositorio estructurado de documentos con control de versiones, flujo de aprobación y un único dueño responsable. Funciona bajo ISO 9001 si la disciplina se mantiene; falla en el momento en que el bibliotecario se va.

The bottom lineEn corto

The QMS that lives in SharePoint is not a system — it is a costume for the auditor. Inventory and segment procedures by frequency of use, embed daily-use procedures in the MES, apply risk-based controls not blanket controls, manage change control with rigor, conduct management review with operational data not conformance summaries, and audit operator practice against procedure with the explicit goal of closing the gap. The framework certifies the documentation; what determines outcomes is whether the documentation is the operating system or a parallel universe accessible only to QA and the auditor.

El QMS que vive en SharePoint no es un sistema — es un disfraz para el auditor. Inventaría y segmenta procedimientos por frecuencia de uso, embebe los procedimientos de uso diario en el MES, aplica controles basados en riesgo no controles generalizados, gestiona el control de cambios con rigor, conduce la revisión por la dirección con datos operativos no resúmenes de conformidad, y audita la práctica del operador contra el procedimiento con el objetivo explícito de cerrar la brecha. El marco certifica la documentación; lo que determina los resultados es si la documentación es el sistema operativo o un universo paralelo accesible solamente a QA y al auditor.

← PreviousAnteriorStatistical Process Control (SPC) implementationImplementación de Control Estadístico de Proceso (SPC)NextSiguiente →CAPA — Corrective & Preventive ActionCAPA — Acción Correctiva y Preventiva

All D03 componentsTodos los componentes de D03 D03 artifactsArtifacts de D03 SCRA