Javier Garzás

Esta entrada pretende ser la primera de una serie, en la que hablar, de vez en cuando, sobre quién (qué organización) certifica la calidad software (en CMMI, ISO 15504, el producto software, etc.).

La pregunta es tan típica como poco conocida es su respuesta, y se escucha sobre todo en los proyectos CMMI (en los proyectos ISO parece estar algo más claro), muchas veces al comienzo del proyecto, y casi siempre al final, cuando superado un nivel de madurez la organización evaluada se pregunta… “cuándo me enviarán el certificado”. Asunto nada claro, por sorprendente que parezca.

Antes de seguir, es importante aclarar que en calidad, general y ampliamente, por “certificación” se entiende (tomo como referencia y parafraseo de la norma ISO 17000) la acción por la que una entidad reconocida e independiente (por ejemplo, una entidad de certificación, AENOR, un laboratorio, un verificador, etc.) expresa y reconoce que una organización, proceso, persona, servicio o producto es conforme a los requisitos que define una norma, modelo o especificación técnica. Existe otro termino relacionado, que muchas veces se confunde con el anterior, y que es la “acreditación”, o la acción por la que un organismo autorizado (que, por ejemplo, en España es ENAC) reconoce formalmente que cierta organización es competente para certificar (y hay normas, como por ejemplo la serie ISO 17000 que tienen el objetivo de definir los requisitos que un organismo de certificación debe cumplir). Si alguien precisa de una definición más rigurosa y formal, la citada ISO 17000 es en mi opinión la mejor fuente.

Entonces, en el caso de CMMI, y según lo anterior… ¿Quién certifica que cierta organización es conforme a cierto nivel de madurez o capacidad? Seguro que a los que conozcan un poco CMMI lo primero que se les habrá venido a la cabeza es que es el SEI (el Software Engineering Institute, organismo que regula y del que es propiedad el modelo CMMI) el que emite un certificado de que cierta organización ha sido evaluada positivamente frente al modelo. Pero no es así, no hay tal certificación. El SEI no emite un certificado a las organizaciones evaluadas positivamente (ver, por ejemplo, aquí), sólo acredita a los auditores (los llamados “lead appraisers” en terminología CMMI). En ocasiones, voluntariamente, estos auditores elaboran algo “similar” a una certificación (un diploma), en el que se muestran los datos y resultados de la auditoría, pero que no es un documento oficial. El único documento oficial con los resultados de la evaluación es el que llaman “Appraisal Disclosure Statement”, que se rellena al final de la auditoría, contiene los datos (participantes, fechas, etc.), que elabora el auditor, que firma, principalmente, el responsable de la organización evaluada, y que se envía al SEI (se envía al SEI, no nos lo envía el SEI a nosotros) para que en su Web aparezca la organización evaluada (la cual estará presente en dicha Web durante tres años).

1. ISO/IEC 15504 parte 7: La opción ISO para evaluar la calidad por niveles de madurez
2. Una certificación de la calidad de los procesos no siempre asegura un producto de calidad
3. CMMI en España
4. CMMI en España (marzo 2009)
5. Otros modelos de calidad software: Modelos para pruebas