Competencia y fundamento en materia de reclamaciones
Una queja se refiere al servicio, la conducta, la accesibilidad, la confidencialidad, la imparcialidad, la integridad de las normas, un objeto certificado u otro asunto dentro de la jurisdicción de la queja publicada. Una apelación es diferente: impugna una certificación elegible o una decisión procesal a través del proceso de apelación designado. Se puede presentar un informe de sospecha de uso indebido de certificado o marca a través de la ruta de informe de uso indebido.
Una presentación debe identificar el asunto, la organización o registro relevante, los hechos materiales, las fechas, la información de respaldo, cualquier riesgo urgente, la confidencialidad solicitada y el resultado buscado. La información anónima puede considerarse cuando es suficientemente específica y creíble, pero el anonimato puede limitar la verificación, la equidad procesal y la capacidad de comunicar un resultado.
Presentar una queja no establece un incumplimiento. ICEQC evalúa la jurisdicción y el riesgo, nombra personal con la independencia adecuada, obtiene y prueba información relevante, permite a una parte materialmente afectada una oportunidad justa para responder cuando corresponda, registra la conclusión e implementa acciones proporcionadas. La participación de buena fe está protegida contra represalias por parte de ICEQC.
ICEQC-GOV-001 · Cláusula 34
Libertad para plantear inquietudes sobre integridad
Un participante, empleado, contratista, solicitante, cliente certificado, alumno u otra persona afectada deberá poder plantear una inquietud de buena fe sobre la integridad de las normas, identidad de certificación engañosa, conflicto de intereses, falla procesal o abuso de autoridad a través de una ruta publicada accesible.
La ruta permitirá a la persona explicar el tema y la información de respaldo sin tener que caracterizarlo correctamente como una queja, apelación, divulgación o comentario técnico antes de que ICEQC determine la jurisdicción apropiada.
Se puede proporcionar confidencialidad en la medida en que sea legal y compatible con una determinación justa, pero no se prometerá anonimato cuando la divulgación sea necesaria para proteger a una persona, responder a una acusación o cumplir con la ley.
Una inquietud no deberá rechazarse únicamente porque sea crítica, inconveniente, presentada en un lenguaje no técnico o planteada por una persona sin membresía o relación comercial.
La existencia de la ruta no valida todas las acusaciones, y cualquier acción institucional o de certificación adversa resultante deberá ser realizada únicamente por la autoridad competente bajo el debido proceso aplicable.
ICEQC-GOV-001 · Cláusula 35
Protección contra represalias
Ninguna persona sufrirá represalias por parte de ICEQC por hacer un comentario, objeción, queja, apelación, divulgación de integridad o solicitud de corrección sobre normas de buena fe, o por negarse a apoyar un consenso propuesto.
Las represalias incluyen exclusión inadecuada, amenaza, tratamiento de certificación desfavorable, divulgación destinada a causar daño, retirada de una oportunidad no relacionada o presión para abandonar una preocupación legítima.
Esta protección no impide una actuación proporcionada en relación con una conducta abusiva, una falsedad deliberada, una divulgación ilícita, un acoso o un conflicto que afecte genuinamente a la participación, siempre que la actuación se base en la conducta y no en el desacuerdo protegido.
Una persona que alega represalias tendrá acceso a una revisión independiente de la función en cuestión.
Cuando las represalias estén fundamentadas, la acción correctiva abordará tanto el efecto individual como cualquier condición sistémica capaz de desalentar la participación futura, mientras que la publicación se limitará a la información necesaria para la responsabilidad y la protección legal.
ICEQC-GOV-001 · Cláusula 50
No conformidad de gobernanza y acción correctiva
Un incumplimiento comprobado por parte de ICEQC de seguir un requisito de gobernanza publicado se tratará como una no conformidad de gobernanza y no se ocultará reclasificando el acto afectado como informal o administrativo.
ICEQC determinará la naturaleza, alcance, causa y efecto público de la falla; contener cualquier riesgo continuo; corregir los registros o acciones afectados cuando sea posible; y abordar la causa en proporción a la recurrencia y el impacto.
El remedio puede incluir revisión renovada, oportunidad de participación restaurada, nueva consulta, publicación corregida, retiro, supervisión independiente o confirmación de que la falla no afectó la validez normativa, con los motivos.
La acción correctiva de gobernanza será independiente del hallazgo de certificación del solicitante y no se asignará a un cliente certificado.
La divulgación pública será suficiente para proteger la confianza y explicar cualquier cambio de estado respetando al mismo tiempo la confidencialidad legal y la equidad de los procedimientos en curso.
ICEQC-GOV-001 · Cláusula 51
Quejas sobre el sistema de normas.
Cualquier persona puede presentar una queja sobre accesibilidad, conducta, gestión de conflictos, comunicación engañosa, falta de consideración de un comentario, uso indebido de identidad u otro aspecto del sistema de normas.
ICEQC hará que la ruta, el alcance, las etapas esperadas, el enfoque de confidencialidad y los posibles resultados sean públicamente comprensibles y dirigirá una presentación mal clasificada al proceso apropiado cuando sea razonablemente posible.
El manejo de quejas será imparcial y deberá brindar a una persona cuya conducta sea materialmente criticada una oportunidad justa de responder antes de una conclusión adversa, sujeto a medidas de protección cuando el riesgo lo requiera.
El resultado deberá indicar el problema, la regla aplicable, la información considerada, la conclusión, los motivos y cualquier acción correctiva o de referencia.
Una queja no suspende automáticamente una norma o certificación, pero la autoridad competente puede imponer una protección provisional proporcionada cuando la confianza continuada podría causar daños materiales.
ICEQC-CER-001 · Cláusula 103
Acceso a procesos de queja y apelación
ICEQC mantendrá procesos accesibles, documentados e imparciales para quejas y apelaciones.
Los procesos estarán disponibles sin discriminación y no requerirán que una persona renuncie a un derecho legítimo como condición de acceso.
La información sobre cómo presentar una queja o apelación, la información requerida y los principales controles de tiempo estarán disponibles públicamente.
Una persona puede solicitar asistencia de comunicación razonable cuando sea necesaria para comprender o utilizar el proceso.
El uso de un proceso de queja o apelación no dará lugar a represalias, trato discriminatorio o una desventaja de certificación inadecuada.
ICEQC-CER-001 · Cláusula 104
Quejas relativas a un cliente u objeto certificado
ICEQC puede recibir una queja relacionada con un cliente certificado, un objeto certificado, un reclamo de certificación o un asunto razonablemente relacionado con la conformidad continua.
ICEQC determinará si la queja:
ICEQC no actuará como el departamento de quejas ordinario de un cliente certificado ni decidirá disputas privadas fuera del alcance de la certificación.
ICEQC puede exigir que el cliente certificado proporcione:
Una sola queja puede justificar una acción de certificación cuando su naturaleza o evidencia indique un riesgo grave, una falla de integridad o una posible no conformidad sistémica.
La ausencia de múltiples quejas no establecerá por sí sola la conformidad.
- se refiere a un asunto dentro del alcance certificado o de las obligaciones de certificación
- contiene información suficiente para una revisión significativa
- presenta un posible riesgo urgente
- requiere el uso previo del propio proceso de queja del cliente certificado, a menos que ese proceso no esté disponible, sea inapropiado o pueda perjudicar la protección o la evidencia; y
- requiere vigilancia, revisión especial u otra acción de certificación
- el expediente de queja correspondiente
- la respuesta y acción correctiva
- evidencias de investigación y comunicación
- información relacionada con incidentes, tendencias o gobernanza; y
- evidencia de que las personas afectadas fueron tratadas justamente y protegidas de represalias
ICEQC-CER-001 · Cláusula 105
Quejas relativas a las actividades del ICEQC
Una persona puede quejarse sobre un servicio, conducta, retraso, comunicación, evaluador, revisor, proceso de decisión, asunto de confidencialidad, inquietud de conflicto o registro público de ICEQC.
Una queja será tramitada por una persona que no fue objeto de la queja y que sea suficientemente independiente de la actividad de que se trate.
Cuando una queja se refiere a una decisión de certificación y busca una decisión diferente, ICEQC informará al reclamante que el asunto puede constituir una apelación y aplicará el proceso apropiado.
Una queja de servicio no suspende una decisión de certificación o un límite de tiempo a menos que ICEQC determine expresamente lo contrario.
ICEQC identificará y corregirá cualquier falla confirmada del proceso y considerará si la misma falla puede afectar otro caso.
ICEQC-CER-001 · Cláusula 106
Manejo de quejas
ICEQC acusará recibo de una queja dentro de los cinco días hábiles.
ICEQC realizará una revisión inicial normalmente dentro de los 10 días hábiles para determinar la jurisdicción, la urgencia, la información requerida, el manejador responsable y la próxima acción.
Se informará al denunciante cuando:
El encargado de la queja deberá recopilar y verificar información proporcional a la naturaleza y las posibles consecuencias del asunto.
ICEQC deberá emitir el resultado de una queja dentro de los 45 días calendario posteriores a la recepción de información suficiente. Cuando esto no sea razonablemente posible, ICEQC explicará el retraso y proporcionará una fecha revisada.
El resultado deberá indicar, según corresponda:
El cliente certificado y el denunciante serán informados del resultado en la medida permitida por los requisitos de confidencialidad, privacidad, seguridad y equidad procesal.
- se requiere más información
- el asunto está fuera del rol del ICEQC
- el asunto es remitido a otro proceso ICEQC
- se toman medidas protectoras urgentes; o
- el tiempo de finalización esperado cambia materialmente
- el asunto considerado
- la conclusión
- acción tomada o requerida
- cualquier limitación sobre la información que puede divulgarse; y
- cualquier revisión disponible o ruta de escalada
ICEQC-CER-001 · Cláusula 110
Confidencialidad y protección en quejas y recursos
Sólo podrán acceder a la información de quejas y apelaciones las personas que la requieran para su manejo, revisión, acción o supervisión autorizada.
ICEQC protegerá la identidad de un denunciante cuando sea razonablemente posible y solicitado, pero no prometerá anonimato cuando la divulgación sea necesaria para la equidad, la verificación, la seguridad o un requisito legal.
Se puede considerar una queja confidencial o anónima cuando esté disponible suficiente información verificable.
ICEQC no divulgará más información de la necesaria para obtener una respuesta, resolver el asunto, proteger a las personas afectadas o mantener la integridad de la certificación.
Una persona no estará en desventaja por presentar una queja, brindar evidencia o utilizar un proceso de apelación de buena fe.
La información deliberadamente falsa o maliciosa puede abordarse como una cuestión de integridad, pero una queja sin fundamento no es, sin más, una queja maliciosa.
ICEQC-CER-001 · Cláusula 111
Registros y aprendizaje de quejas y apelaciones
ICEQC mantendrá registros controlados de quejas y apelaciones, incluyendo:
ICEQC analizará periódicamente la información de quejas y apelaciones para detectar problemas recurrentes, inconsistencias, demoras, riesgos de conflictos y oportunidades para mejorar la operación del esquema.
La corrección sistémica se asignará, monitoreará y verificará para determinar su efectividad.
El análisis preservará la confidencialidad y no convertirá el volumen de quejas en una clasificación de clientes certificados.
La información de quejas y apelaciones puede informar la vigilancia y la revisión del esquema cuando se establezca su confiabilidad y relevancia.
- recibo y acuse de recibo
- jurisdicción y clasificación de riesgos
- personal asignado y controles de independencia
- pruebas y comunicaciones
- análisis y resultado
- acción, corrección y verificación; y
- rendimiento del tiempo
ICEQC-CER-001 · Cláusula 124
Control de calidad operativa
ICEQC mantendrá controles operativos suficientes para garantizar que las actividades de certificación se planifiquen, realicen, revisen, decidan, registren y comuniquen de acuerdo con este documento.
Los controles abordarán:
ICEQC realizará una evaluación interna planificada de sus operaciones de certificación y tomará medidas correctivas cuando no se cumplan sus propias reglas.
Un registro de certificación afectado por una falla del proceso interno se revisará para determinar si el hallazgo, la decisión, el alcance, el estado o la información pública siguen siendo confiables.
Cuando la confiabilidad se vea afectada, ICEQC corregirá el registro y tomará cualquier medida necesaria de protección al cliente o al público.
- control de documentos y ediciones
- solicitud y caso completo
- autorización de competencia y asignación
- evidencia y trazabilidad de muestras
- revisión técnica y separación de decisiones
- exactitud del certificado y registro
- controles de tiempo y acción vencida
- protección de la información
- quejas, recursos, incidencias y disconformes de trabajo interno
- integridad de datos y acceso al sistema; y
- acción correctiva y supervisión de la gestión
ICEQC-CER-001 · Cláusula 125
Obligación de confidencialidad
La información obtenida o creada durante la actividad de certificación se tratará como confidencial a menos que sea pública, obtenida legalmente sin obligación de confidencialidad, autorizada para su divulgación o que deba ser divulgada según la cláusula 126.
ICEQC informará al personal y a los proveedores de servicios controlados sobre sus obligaciones continuas de confidencialidad.
La confidencialidad se aplica a la información oral, escrita, visual, electrónica e inferida, incluyendo:
La información no se utilizará para ventaja personal, investigación no relacionada, marketing, actividad competitiva o cualquier propósito fuera de la actividad de certificación autorizada.
Las obligaciones de confidencialidad continúan después de que termina el rol de una persona, el contrato o la certificación del cliente.
- información del alumno y del personal
- registros y sistemas internos
- información comercial, técnica y de seguridad
- evidencia de evaluación y contenido de la entrevista
- quejas, incidencias y asuntos legales
- conclusiones antes de la notificación controlada; y
- decisiones y revisiones pendientes
ICEQC-CER-001 · Cláusula 126
Divulgación permitida y requerida
ICEQC puede revelar información cuando:
Cuando sea legal y practicable, ICEQC notificará al cliente afectado antes de la divulgación obligatoria e identificará la información que se divulgará.
La divulgación se limitará a la información necesaria para el propósito autorizado.
El estado de una certificación pública, el alcance aprobado, el número de certificado y otra información de registro no son confidenciales en la medida requerida para la verificación pública.
ICEQC registrará una divulgación material no rutinaria, su autoridad, alcance y destinatario.
- la persona con derecho a controlar la información ha dado una autorización válida
- la divulgación es necesaria para operar el registro público o identificar el estado de certificación
- la divulgación es requerida por ley o un proceso legal vinculante
- la divulgación es necesaria para abordar un riesgo grave e inminente para una persona
- la divulgación es necesaria para investigar fraude, uso indebido u otro asunto de integridad material; o
- la divulgación se realiza a una persona autorizada bajo confidencialidad exigible y para un propósito de certificación necesario
ICEQC-CER-001 · Cláusula 127
Privacidad y minimización de datos
ICEQC recopilará y utilizará información personal sólo en la medida razonablemente necesaria para la certificación, verificación, protección, administración, obligación legal o integridad del sistema.
La planificación de la evaluación preferirá evidencia que demuestre el control requerido y al mismo tiempo minimice los datos personales innecesarios.
Cuando sea posible y fiable:
La desidentificación no se utilizará cuando la identidad sea importante para verificar la autenticidad, elegibilidad, salvaguardia, autorización o trazabilidad.
ICEQC no requerirá un acceso amplio al sistema cuando una vista controlada, una exportación seleccionada, una pantalla compartida u otro método limitado proporcione evidencia suficiente.
Un cliente deberá informar a ICEQC sobre las restricciones materiales en la recopilación o divulgación con suficiente antelación para planificar una ruta de evidencia adecuada.
- las muestras serán anonimizadas o enmascaradas
- Se eliminarán los identificadores directos no relacionados con el requisito.
- el acceso se limitará en lugar de conservar copias
- se agregará la información del alumno; y
- El contenido sensible no se registrará en el informe de evaluación.
ICEQC-CER-001 · Cláusula 128
Seguridad de la información
ICEQC protegerá la información de certificación contra el acceso no autorizado, uso, divulgación, alteración, pérdida, destrucción e indisponibilidad.
Los controles serán proporcionales a la sensibilidad de la información e incluirán, según corresponda:
La información de certificación se almacenará únicamente en sistemas aprobados o ubicaciones controladas.
La descarga a un dispositivo local, medio portátil o cuenta personal está prohibida a menos que esté expresamente autorizada y protegida.
El acceso se eliminará de inmediato cuando ya no sea necesario.
- identidad de usuario verificada y acceso basado en roles
- autenticación fuerte
- transferencia y almacenamiento seguros
- control de dispositivo y sesión
- registro de acceso y revisión periódica
- copia de seguridad y recuperación
- eliminación segura
- detección y respuesta a incidentes
- confidencialidad del personal y conciencia de seguridad; y
- obligaciones de seguridad del proveedor de servicios
ICEQC-CER-001 · Cláusula 130
Gestión de incidentes de información
ICEQC mantendrá un proceso controlado para casos de pérdida, divulgación, alteración, acceso no autorizado o falta de disponibilidad real o sospechada de información de certificación.
Un incidente se evaluará con prontitud para:
Cuando un incidente pueda haber alterado, destruido o expuesto evidencia de evaluación, ICEQC determinará si se requiere reemplazo de evidencia, reevaluación o revisión de la decisión.
Los incidentes y acciones materiales se registrarán, investigarán y revisarán para detectar su recurrencia.
Un cliente certificado deberá notificar a ICEQC de un incidente de información donde afecte materialmente el objeto certificado, los registros requeridos, la evidencia de certificación o la confianza pública.
- información y personas afectadas
- sensibilidad y volumen
- exposición continua
- efecto sobre la confiabilidad de la evidencia o el estado de certificación
- necesidades de contención y recuperación
- obligaciones de notificación; y
- acción correctiva
ICEQC-CER-001 · Cláusula 131
Registros de certificación
ICEQC creará y mantendrá registros suficientes para demostrar que cada actividad y decisión de certificación se realizó bajo las reglas aplicables.
Los registros mínimos controlados se especifican en el Anexo 10.
Un registro de certificación deberá ser:
Una alteración de un registro controlado deberá preservar el contenido original o un historial de cambios auditable, el motivo, la fecha y la persona que autoriza.
Las notas informales que contengan evidencia material o justificación se transferirán al expediente del caso controlado o se conservarán como parte de ese expediente.
- identificable al caso, objeto, alcance y actividad
- fechado y atribuible a su creador o aprobador
- protegido contra alteraciones no autorizadas
- recuperable durante todo su período de retención
- vinculado a la edición del documento aplicable; y
- suficiente para que una persona autorizada reconstruya la base material de la conclusión
ICEQC-CER-001 · Cláusula 132
Retención y eliminación de registros
A menos que un esquema, acuerdo u obligación legal aplicable requiera un período más largo, ICEQC conservará el registro de certificación completo para el ciclo de certificación actual y el ciclo inmediatamente anterior, y en todos los casos durante no menos de siete años después de la actividad final a la que se relaciona el registro.
Los registros de quejas, apelaciones, integridad y cumplimiento se conservarán durante no menos de siete años después del cierre o durante el tiempo que sea necesario para respaldar una restricción activa o un estado público histórico.
Los registros de autorización y competencia del personal se conservarán durante la autorización y durante al menos siete años después de que finalice la autorización.
Los registros sujetos a un aviso de conservación, disputa, investigación o acción pendiente no se destruirán hasta que se libere formalmente la retención.
Al final de la retención, la información se eliminará, destruirá o anonimizará irreversiblemente de forma segura según su medio y sensibilidad.
La eliminación se documentará cuando la información sea confidencial o la categoría de registro sea importante para la integridad de la certificación.
ICEQC-CER-001 · Cláusula 152
Preocupaciones de integridad interna
El personal de ICEQC y los proveedores de servicios controlados deberán informar sospechas de mala conducta interna, conflicto, divulgación no autorizada, manipulación de resultados, alteración de registros u otra falla de integridad.
Un informe deberá estar protegido contra represalias y manejado fuera de la autoridad de una persona implicada en la preocupación.
ICEQC determinará si los casos de certificación, decisiones, documentos, registros públicos o clientes afectados requieren revisión o corrección.
La mala conducta interna confirmada dará lugar a una acción correctiva, de autorización, contractual o de otro tipo proporcionada al asunto.
ICEQC deberá conservar registros suficientes para demostrar que se evaluó la integridad de los resultados de certificación afectados.