NORMA TÉCNICA NTC-ISO COLOMBIANA 30302 2016-12-07 INFORMACIÓN Y DOCUMENTACIÓN. SISTEMAS DE GESTIÓN DE REGISTROS. DIRECTRICES PARA LA IMPLEMENTACIÓN E: INFORMATION AND DOCUMENTATION. MANAGEMENT SYSTEMS FOR RECORDS. GUIDELINES FOR IMPLEMENTATION CORRESPONDENCIA: esta norma es una adopción idéntica (IDT), respecto al documento de referencia, la norma ISO 30302:2014. DESCRIPTORES: información y documentación; sistemas de registros; directrices; implementación. I.C.S.: 01.140.20 Editada por el Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC) Apartado 14237 Bogotá, D.C. - Tel. (571) 6078888 - Fax (571) 2221435 Prohibida su reproducción Editada 2016-12-16
PRÓLOGO El Instituto Colombiano de Normas Técnicas y Certificación, ICONTEC, es el organismo nacional de normalización, según el Decreto 1595 de 2015. ICONTEC es una entidad de carácter privado, sin ánimo de lucro, cuya Misión es fundamental para brindar soporte y desarrollo al productor y protección al consumidor. Colabora con el sector gubernamental y apoya al sector privado del país, para lograr ventajas competitivas en los mercados interno y externo. La representación de todos los sectores involucrados en el proceso de Normalización Técnica está garantizada por los Comités Técnicos y el período de Consulta Pública, este último caracterizado por la participación del público en general. La NTC-ISO 30302 fue ratificada por el Consejo Directivo de 2016-12-07. Esta norma está sujeta a ser actualizada permanentemente con el objeto de que responda en todo momento a las necesidades y exigencias actuales. A continuación se relacionan las empresas que colaboraron en el estudio de esta norma a través de su participación en el Comité Técnico 189 Archivo. Gestión de Documentos de la STN del Archivo General de la Nación. ALCALDÍA MAYOR DE BOGOTÁ ARCHIVO DE BOGOTÁ ARCHIVO GENERAL DE LA NACIÓN BANCO DE LA REPÚBLICA BIBLIOTECA NACIONAL DE COLOMBIA ESTRATEGIAS DOCUMENTALES INSTITUTO GEOGRÁFICO AGUSTÍN CODAZZI MINISTERIO DE HACIENDA Y CRÉDITO PÚBLICO MINISTERIO DE TECNOLOGÍAS DE LA INFORMACIÓN Y LAS COMUNICACIONES P&Z SERVICIOS LTDA. PROFESIONAL INDEPENDIENTE - DAGOBERTO MENDOZA SECRETARIA DISTRITAL DE PLANEACIÓN DISTRITAL SERVICIO NACIONAL DE APRENDIZAJE - SENA- TECNODOCUMENTAL S.A.S. UNIVERSIDAD DE LA SALLE UNIVERSIDAD DE LOS ANDES Además de las anteriores, en Consulta Pública el Proyecto se puso a consideración de las siguientes empresas: AMERITEC BP DOCUMENT S.A.S. CERTICÁMARA S.A. ECOPETROL FINDETER INDEPENDIENTE - MARTHA VARGAS INDEPENDIENTE - NELLY POVEDA INDEPENDIENTE - OSCAR ALMANZAR INDEPENDIENTE - WILSON SANCHEZ INVERSIONES AJOVECO S.A. IO INNOVATION PLACE PROCURADURÍA GENERAL DE LA NACIÓN REGIÓN CENTRAL - REGIÓN ADMINISTRATIVA Y DE PLANEACIÓN ESPECIAL SECRETARÍA DE EDUCACIÓN DEL DISTRITO SUPERINTENDENCIA NACIONAL DE SALUD
UNINPAHU UNIVERSIDAD COOPERATIVA DE COLOMBIA UNIVERSIDAD NACIONAL DE COLOMBIA ICONTEC cuenta con un Centro de Información que pone a disposición de los interesados normas internacionales, regionales y nacionales y otros documentos relacionados. DIRECCIÓN DE NORMALIZACIÓN
CONTENIDO Página INTRODUCCIÓN... i 1. OBJETO Y CAMPO DE APLICACIÓN... 1 2. REFERENCIAS NORMATIVAS... 1 3. TÉRMINOS Y DEFINICIONES... 1 4. CONTEXTO DE LA ORGANIZACIÓN... 1 4.1 COMPRENSIÓN DE LA ORGANIZACIÓN Y SU CONTEXTO... 1 4.2 REQUISITOS DEL NEGOCIO, LEGALES Y OTROS... 3 4.3 DEFINICIÓN DEL ALCANCE DEL SGR... 4 5. LIDERAZGO... 5 5.1 COMPROMISO DE LA DIRECCIÓN... 5 5.2 POLÍTICA... 5 5.3 FUNCIONES, RESPONSABILIDADES Y AUTORIDADES ORGANIZACIONALES... 6 6. PLANIFICACIÓN... 9 6.1 ACCIONES PARA TRATAR LOS RIESGOS Y LAS OPORTUNIDADES... 9 6.2 OBJETIVOS DE LOS REGISTROS Y PLANES PARA ALCANZARLOS... 11 7. SOPORTE... 13 7.1 RECURSOS... 13
Página 7.2 COMPETENCIA... 14 7.3 TOMA DE CONCIENCIA Y FORMACIÓN... 15 7.4 COMUNICACIÓN... 16 7.5 DOCUMENTACIÓN... 18 8. OPERACIÓN... 20 8.1 PLANIFICACIÓN Y CONTROL OPERACIONAL... 20 8.2 DISEÑO DE LOS PROCESOS DE REGISTROS... 21 8.3 IMPLEMENTACIÓN DE LOS SISTEMAS DE REGISTROS... 25 9. EVALUACIÓN DEL DESEMPEÑO... 27 9.1 MONITOREO, MEDICIÓN, ANÁLISIS Y EVALUACIÓN... 27 9.2 AUDITORÍA INTERNA DEL SISTEMA... 30 9.3 REVISIÓN POR LA DIRECCIÓN... 31 10. MEJORA... 32 10.1 CONTROL DE NO CONFORMIDADES Y ACCIONES CORRECTIVAS... 32 10.2 MEJORA CONTINUA... 34 BIBLIOGRAFÍA... 38 DOCUMENTO DE REFERENCIA... 39 ANEXO A (Informativo) EJEMPLOS DE FUENTES DE INFORMACIÓN Y REQUISITOS QUE SUSTENTAN EL ANÁLISIS DEL CONTEXTO ORGANIZACIONAL... 35 Tabla 1. Requisitos de documentación... 19
INTRODUCCIÓN Esta norma pertenece a una serie de normas bajo el título general de Información y documentación. Sistemas de gestión de registros: - NTC-ISO 30300, Información y documentación. Sistemas de gestión de registros. Fundamentos y vocabulario. - NTC-ISO 30301, Información y documentación. Sistemas de gestión de registros. Requisitos. - ISO 30302, Information and Documentation. Management Systems for Records. Guidelines for Implementation. La norma NTC-ISO 30300 especifica la terminología para toda la serie de normas de sistemas de gestión de registros (SGR), y los objetivos y los beneficios de un SGR; La norma NTC-ISO 30301 especifica los requisitos para un SGR cuando una organización necesita demostrar su capacidad para crear y controlar los registros de sus actividades de negocio durante el tiempo que sea requerido; esta norma proporciona orientación para la implementación de un SGR. El propósito de esta norma es suministrar orientación práctica sobre cómo implementar un sistema de gestión de registros (SGR) en una organización, de acuerdo con la norma NTC-ISO 30301. Esta norma abarca lo necesario para establecer y mantener un SGR. La implementación de un SGR se realiza generalmente como un proyecto. Un SGR se puede implementar en organizaciones que ya tienen sistemas o programas de gestión de registros y quieren revisar y mejorar la gestión de dichos sistemas o programas, o en organizaciones que planifican por primera vez implementar un enfoque sistemático y verificable para la creación y el control de sus registros. Las orientaciones descritas en esta norma se pueden usar en ambas situaciones. Se supone que las organizaciones que deciden implementar un SGR han llevado a cabo una evaluación preliminar de sus registros existentes y de sus sistemas de registros y han identificado los riesgos que se van a abordar y las oportunidades para las mejoras más importantes. Por ejemplo, la decisión de implementar un SGR se puede tomar como una medida de reducción del riesgo cuando se emprende un cambio sustancial en la plataforma tecnológica o cuando se establece una contratación externa para un proceso de negocio identificado como de alto riesgo. Alternativamente, el SGR también puede proporcionar un marco de gestión normalizado para mejoras importantes, tales como la integración de los procesos de registros a procesos de negocio específicos, o la mejora del control y la gestión de los registros de las transacciones en línea, o el uso de los medios sociales del negocio. El uso de esta guía es necesariamente flexible. Depende del tamaño, la naturaleza y la complejidad de la organización y del nivel de madurez del SGR, si es que ya hay uno establecido. El contexto y complejidad de cada organización son únicos, y sus requisitos contextuales específicos conducirán a la implementación de su SGR. Las organizaciones más pequeñas encontrarán que las actividades descritas en esta norma se pueden simplificar. Las i
organizaciones más grandes y complejas podrían encontrar que se necesita un sistema de gestión por niveles para implementar y gestionar efectivamente las actividades de esta norma. El contenido de orientación de esta norma sigue la misma estructura que la norma NTC-ISO 30301, describe las actividades por emprender y cómo documentarlas para cumplir con los requisitos de la norma NTC-ISO 30301. El numeral 4 trata acerca de cómo llevar a cabo el análisis que se necesita para implementar el SGR. A partir de este análisis se define el alcance del SGR y se identifican otros sistemas de gestión. El numeral 5 explica cómo obtener el compromiso de la alta dirección. El compromiso se expresa en una política de registros, en la asignación de responsabilidades, en la planificación de la implementación del SGR y en la adopción de los objetivos de los registros. El numeral 6 trata acerca de la planificación, para la cual se utiliza el análisis de riesgos de alto nivel, el análisis contextual (véase el numeral 4) y los recursos disponibles (véase el numeral 7). El numeral 7 describe el soporte que necesita el SGR, tal como los recursos, la competencia, la formación y comunicación, y la documentación. El numeral 8 trata sobre la definición o revisión y la planificación de los procesos de registros que se van a implementar. Hace uso de los requisitos contextuales y del alcance (véase el numeral 4), y se basa en la política de registros (véase el numeral 5.2), el análisis de riesgos (véase el numeral 6.1) y los recursos necesarios (véase el numeral 7.1) para cumplir con los objetivos de los registros (véase el numeral 6.2) en la implementación planificada. El numeral 8 explica qué procesos y sistemas de registros se necesitan para implementar un SGR. Los numerales 9 y 10 tratan sobre la evaluación y la mejora del desempeño, frente a la planificación, los objetivos y los requisitos definidos en la norma NTC-ISO 30301. Para cada numeral, del 4 al 10, de la norma NTC-ISO 30301:2011, la presente norma proporciona: a) Las actividades necesarias para cumplir los requisitos de la norma NTC-ISO 30301. Las actividades se pueden realizar secuencialmente, aunque será necesario llevar a cabo algunas simultáneamente usando el mismo análisis contextual; b) Las entradas necesarias para las actividades. Estos son los puntos de partida y pueden ser las salidas de actividades previas; c) Las salidas de las actividades. Estos son los resultados o entregables al finalizar las actividades. La presente norma está prevista para uso por los responsables de liderar la implementación y mantenimiento del SGR. También puede ayudar a la alta dirección a tomar decisiones acerca del establecimiento, el alcance y la implementación de sistemas de gestión en su organización. Es para uso por parte de las personas responsables de liderar la implementación y mantenimiento del SGR. Los conceptos de cómo diseñar los procesos de registros operacionales se basan en los principios establecidos por la norma ISO 15489-1. Otras normas internacionales e informes técnicos desarrollados por el ISO/TC 46/SC11 son las herramientas principales para el diseño, implementación, monitoreo y mejora de procesos, controles y sistemas de registros y se pueden usar junto con esta norma para implementar los elementos operacionales detallados del SGR. ii
Las organizaciones que ya han implementado la norma ISO 15489-1 pueden utilizar esta norma para desarrollar una infraestructura organizacional para gestionar los registros bajo el enfoque sistemático y verificable de un SGR. iii
INFORMACIÓN Y DOCUMENTACIÓN. SISTEMAS DE GESTIÓN DE REGISTROS. DIRECTRICES PARA LA IMPLEMENTACIÓN 1. OBJETO Y CAMPO DE APLICACIÓN La presente norma proporciona orientación para la implementación de un Sistema de Gestión de Registros (SGR) de acuerdo con la norma NTC-ISO 30301. Esta norma está destinada para uso conjuntamente con las normas NTC-ISO 30300 e NTC-ISO 30301; no modifica ni reduce los requisitos de la norma NTC-ISO 30301, describe las actividades por llevar a cabo cuando se diseña e implementa un SGR. Esta norma está prevista para uso por cualquier organización que implemente un SGR. Es aplicable a todo tipo de organizaciones (por ejemplo, empresas comerciales, agencias gubernamentales, organizaciones sin ánimo de lucro) de cualquier tamaño. 2. REFERENCIAS NORMATIVAS Los siguientes documentos, en su totalidad o en parte, se referencian normativamente en este documento y son indispensables para su aplicación. Para las referencias fechadas, se aplica únicamente la edición citada. Para referencias no fechadas se aplica la última edición del documento referenciado (incluyendo cualquier modificación). NTC-ISO 30300:2013, Información y documentación. Sistemas de gestión para registros. Fundamentos y vocabulario. NTC-ISO 30301:2013, Información y documentación. Sistemas de gestión de registros. Requisitos. 3. TÉRMINOS Y DEFINICIONES Para los propósitos de este documento se aplican los términos y definiciones incluidos en la norma NTC-ISO 30300. BIBLIOGRAFÍA [1] NTC-ISO 9000, Sistemas de gestión de la calidad. Fundamentos y vocabulario. 4
[2] NTC-ISO 13008, Información y documentación. Procesos de conversión y migración de registros digitales. [3] NTC 5985, Información y documentación. Directrices de implementación para digitalización de documentos. [4] NTC-ISO 14001, Sistemas de gestión ambiental. Requisitos con orientación para su uso. [5] ISO 15489-1, Information and Documentation. Records Management. Part 1: General. [6] GTC-ISO/TR 15489-2, Información y documentación. Gestión de documentos. Parte: 2. Guía. [7] NTC-ISO 16175-1, Información y documentación. Principios y requisitos funcionales para los registros en entornos electrónicos de oficina. Parte 1: Información general y declaración de principios. [8] NTC-ISO 16175-2, Información y documentación. Principios y requisitos funcionales para los registros en entornos electrónicos de oficina. Parte 2: Directrices y requisitos funcionales para sistemas de gestión de registros digitales. [9] NTC-ISO 16175-3, Information and Documentation. Principles and Functional Requirements for Records in Electronic Office Environments. Part 3: Guidelines and Functional Requirements for Records in Business Systems. [10] NTC-ISO/TR 18128, Información y documentación. Evaluación del riesgo para procesos y sistemas de registros. [11] NTC-ISO 19011, Directrices para la auditoria de los sistemas de gestión. [12] NTC-ISO 23081-1, Información y documentación. Procesos para la gestión de registros. Metadatos para los registros. Parte 1: Principios. [13] NTC-ISO 23081-2, Información y documentación. Procesos para la gestión de registros. Metadatos para los registros. Parte 2. Aspectos conceptuales y de implementación. [14] GTC-ISO/TR 26122, Información y documentación. Análisis de procesos de trabajo para registros. [15] NTC-ISO 28000, Sistemas de gestión de la seguridad para la cadena de suministro. [16] NTC-ISO/IEC 27001, Tecnología de la información. Técnicas de seguridad. Sistemas de gestión de la seguridad de la información. Requisitos. [17] NTC-IEC-ISO 31010, Gestión de riesgos. Técnicas de valoración del riesgo. 5
IMPORTANTE Este resumen no contiene toda la información necesaria para la aplicación del documento normativo original al que se refiere la portada. ICONTEC lo creo para orientar a su cliente sobre el alcance de cada uno de sus documentos y facilitar su consulta. Este resumen es de libre distribución y su uso es de total responsabilidad del usuario final. El documento completo al que se refiere este resumen puede consultarse en los centros de información de ICONTEC en Bogotá, Medellín, Barranquilla, Cali o Bucaramanga, también puede adquirirse a través de nuestra página web o en nuestra red de oficinas (véase www.icontec.org). El logo de ICONTEC y el documento normativo al que hace referencia este resumen están cubiertos por las leyes de derechos reservados de autor. Información de servicios aplicables al documento aquí referenciado la encuentra en: www.icontec.org o por medio del contacto cliente@icontec.org ICONTEC INTERNACIONAL 6