INTERNA · CLÁUSULA 9.2
La de casa
El requisito anual del SGSI, con independencia real y rigor de tercera parte. Es el ensayo general: lo que salga aquí se corrige antes de que lo encuentre el organismo — o un atacante.
EXPEDIENTE /05 — EVIDENCIA
El ensayo general,con rigor de estreno.
Auditorías internas, previas a certificación y de segunda parte a proveedores — con el método del organismo certificador: alcance dirigido por riesgo, muestreo de evidencia real y hallazgos que se pueden ejecutar, no solo leer. Para que la auditoría que sí cuenta no traiga sorpresas.
- ISO 19011
- ISO/IEC 27001 · CL. 9.2
- ISO/IEC 17021-1
EL CICLO
Cinco estaciones, del programa al cierre verificado.
Una auditoría útil no es un evento: es un ciclo que empieza meses antes de la primera entrevista y termina cuando la evidencia demuestra que la causa raíz desapareció.
PROGRAMA DE AUDITORÍA · ISO 19011
Programa
- LA PIEZA
- El mapa anual
- ENTREGA CLAVE
- Programa aprobado por la dirección
La auditoría empieza meses antes de la primera entrevista: qué se audita, cada cuánto y con qué profundidad — dirigido por riesgo, no por calendario ciego. Las áreas críticas se visitan más seguido; la independencia del auditor se resuelve aquí.
QUÉ SE TRABAJA
- Alcance dirigido por riesgo: lo crítico se audita más
- Calendario anual con ventanas acordadas
- Competencia e independencia del equipo auditor
- Criterios de auditoría: norma, políticas propias, contratos
PLAN · LISTA DE VERIFICACIÓN
Plan y preparación
- LA PIEZA
- El guion del muestreo
- ENTREGA CLAVE
- Plan + listas de verificación a medida
La revisión documental previa decide dónde vale la pena excavar. El plan baja a agenda por proceso, y las listas de verificación se arman sobre tu operación — no se imprimen de una plantilla.
QUÉ SE TRABAJA
- Revisión documental previa del SGSI
- Plan de auditoría por proceso, con agenda y auditados
- Listas de verificación construidas sobre tu alcance
- Muestreo definido: qué registros, de qué periodo, cuántos
EVIDENCIA · ENTREVISTAS · MUESTREO
Ejecución
- LA PIEZA
- Los días en sitio
- ENTREGA CLAVE
- Hallazgos con evidencia citada
Entrevistas que no inducen la respuesta, muestreo de registros reales y verificación en los sistemas — no en las carpetas. Cada hallazgo se redacta como lo redactaría el organismo certificador: requisito citado, evidencia, efecto.
QUÉ SE TRABAJA
- Entrevistas por proceso, sin inducir la respuesta
- Muestreo de registros y verificación en sistemas
- Hallazgos documentados en el momento, con su evidencia
- Reunión de cierre sin sorpresas: nada aparece por primera vez en el informe
INFORME · NO CONFORMIDADES
Informe y cierre
- LA PIEZA
- El documento que se ejecuta
- ENTREGA CLAVE
- Informe + plan de acciones con dueños
No conformidades clasificadas, observaciones y oportunidades — cada una con el requisito que incumple y la evidencia que lo prueba. El informe se lee con tu equipo, y de la lectura sale el plan de acciones con dueño y fecha.
QUÉ SE TRABAJA
- No conformidades mayores y menores, con requisito y evidencia
- Observaciones y oportunidades de mejora separadas con claridad
- Sesión de lectura del informe con el equipo auditado
- Plan de acciones correctivas con dueño, fecha y causa raíz
VERIFICACIÓN DE EFICACIA
Seguimiento
- LA PIEZA
- El cierre real
- ENTREGA CLAVE
- Cierre verificado, no declarado
Una acción correctiva no se cierra porque alguien diga que ya — se cierra cuando la evidencia demuestra que la causa raíz desapareció. Si la acción no resolvió, el hallazgo se reabre; entre ciclos, las tendencias dicen si el SGSI madura o da vueltas.
QUÉ SE TRABAJA
- Verificación de eficacia: la causa raíz, no solo la tarea
- Reapertura de hallazgos cuya acción no resolvió
- Tendencias entre ciclos: qué se repite y por qué
- Insumo directo para la revisión por la dirección
TIPOS
Tres lentes, un mismo método.
PREVIA A CERTIFICACIÓN
El simulacro de estreno
Semanas antes de la etapa 2, una auditoría completa con el mismo método del organismo certificador. Sales a la auditoría real sabiendo exactamente qué van a encontrar — porque ya lo encontramos nosotros.
SEGUNDA PARTE
A tus proveedores
Auditar a quien te da servicio: los controles pactados en contrato, los SLAs de seguridad y el manejo de tus datos en manos de terceros. Tu SGSI es tan fuerte como el proveedor más débil con acceso.
CRITERIO
Lo que separa una auditoría útil de un trámite.
CRITERIO 01
Hallazgo que no se puede discutir
Requisito citado, evidencia muestreada, efecto concreto. Si una no conformidad se puede debatir, está mal redactada — y el tiempo se va en la discusión en vez de en la corrección.
CRITERIO 02
Del síntoma a la causa
Corregir el hallazgo cierra el reporte; corregir la causa raíz evita el siguiente. El seguimiento verifica lo segundo, no lo primero.
CRITERIO 03
El auditado sale sabiendo más
Una auditoría que solo asusta no mejora nada. Cada sesión de cierre explica el porqué de cada hallazgo — el equipo auditado termina entendiendo su propio sistema mejor que antes.
QUÉ TE LLEVAS
Hallazgos que se ejecutan, no solo se leen.
- Programa de auditoría dirigido por riesgo, aprobado por dirección
- Plan de auditoría y listas de verificación a la medida
- Informe con hallazgos clasificados, requisito citado y evidencia
- Matriz de no conformidades con dueño, fecha y causa raíz
- Verificación de eficacia del cierre — no solo de ejecución
- Tendencias entre ciclos como insumo de la revisión por dirección
REGLAS DE LA CASA
El rigor empieza por nosotros.
- Independencia primero: no auditamos un SGSI que nosotros implementamos. Para eso interviene otro equipo o te recomendamos un tercero — auditarse el propio trabajo no es rigor, es teatro.
- El informe dice lo que encontramos, no lo que conviene escuchar. Un informe cómodo hoy es una no conformidad mayor mañana.
- Los hallazgos se conversan durante la auditoría — nada aparece por primera vez en el informe final.
- La evidencia muestreada y todo lo visto queda bajo confidencialidad.
¿Cuándo fue tu últimaauditoría interna?
Si la respuesta es “antes de la certificación pasada”, la cláusula 9.2 tiene pendientes. Empecemos por el programa.