Registros duplicados
Dos auditorías internas, dos revisiones por la dirección y dos matrices de riesgo que no coinciden entre sí.
Pre-auditoría · Sistema integrado ISO 9001 + ISO/IEC 27001
Sistema integrado ISO 9001 + ISO/IEC 27001: una evidencia, dos normas.
Reviso si tu sistema integrado demuestra con una misma evidencia los requisitos comunes de calidad y seguridad de la información, y dónde cada norma exige algo propio. Recibís por escrito qué se sostiene, qué es débil y qué conviene corregir primero.
Este WhatsApp lo recibe el equipo de G-CERTI. Pedí coordinar una reunión con Fernando Arrieta; enviar el mensaje no confirma una cita ni solicita certificación.
- Primera reunión para definir alcance
- Sin enviar documentos al inicio
- Conclusiones por escrito
Lo que está en juego
Dónde suele fallar un sistema integrado.
Requisitos propios olvidados
Partes comunes bien resueltas, pero sin la Declaración de Aplicabilidad o los controles específicos de seguridad.
Alcances que no coinciden
Procesos o sedes incluidos en una norma y no en la otra sin una justificación documentada.
05 / La decisión
¿Tu sistema integrado demuestra, o solo duplica papeles?
Integrar dos normas no es juntar dos manuales. Es que una misma revisión por la dirección, una misma auditoría interna y un mismo tratamiento de riesgos sostengan ambos requisitos.
Auditoría combinada
Organizaciones que pasarán una auditoría conjunta de calidad y seguridad de la información.
Incorporar una segunda norma
Sistemas certificados en ISO 9001 que suman ISO/IEC 27001, o a la inversa.
Simplificar el sistema
Equipos que quieren reducir documentación duplicada sin perder evidencia.
Qué reviso
Lo declarado, frente a lo demostrable.
Requisitos comunes
Contexto, liderazgo, riesgos, auditoría interna y revisión por la dirección resueltos una sola vez.
Requisitos específicos
Lo que cada norma exige por separado, como la Declaración de Aplicabilidad o el control operacional de calidad.
Coherencia de alcances
Si procesos, sedes y exclusiones son consistentes entre ambas normas.
ISO 9001:2015, ISO/IEC 27001:2022 y la guía ISO 19011:2018, según el alcance que acordemos.
Datos de la norma
Lo que conviene saber de la integración.
Estructura común
ISO 9001 e ISO/IEC 27001 comparten la estructura armonizada de los sistemas de gestión ISO, con cláusulas equivalentes de contexto, liderazgo, planificación, apoyo, operación, evaluación y mejora.
Guía de auditoría
ISO 19011:2018 orienta la auditoría de sistemas de gestión, incluida la auditoría combinada de dos o más disciplinas.
Ediciones vigentes
ISO 9001:2015 con su enmienda 2024 e ISO/IEC 27001:2022.
Qué recibís
Conclusiones que podés examinar. Por escrito.
Qué se sostiene, qué es débil y qué corregir primero. Los límites y la evidencia disponible quedan explícitos.
- 01 / Caso
Exponés la decisión
Revisamos si el encargo corresponde. Acordamos alcance y confidencialidad antes de recibir documentos.
- 02 / Evidencia
Leo lo que respalda el caso
Contrasto registros y afirmaciones con los criterios acordados. Lo que no se puede comprobar se declara.
- 03 / Dictamen
Recibís una lectura firmada
Una conclusión técnica con hallazgos, fundamentos y límites para decidir prioridades dentro del alcance acordado.
Trabajo en auditoría de sistemas de gestión, seguridad de la información, inteligencia artificial y calidad. Podés conocer mi trayectoria profesional, mis ámbitos de trabajo y los análisis que publico antes de consultar un encargo.
Ver trayectoria →Antes de escribir
¿Tiene sentido un dictamen ahora?
Respondé cuatro preguntas y recibí una orientación preliminar: qué miraría primero un tercero y cuál sería un primer paso. Es automática, tarda unos segundos y no se guarda.
Independencia y límites
El alcance no se presume.
La pre-auditoría es una evaluación técnica previa. No reemplaza la auditoría del organismo de certificación, no garantiza su resultado ni emite certificados.
La aceptación de cada encargo queda sujeta a revisar relaciones institucionales, participación previa, sistema y alcance. En la primera conversación se debe declarar cualquier auditoría, consultoría, implementación o formación previa relevante. Un conflicto incompatible con el alcance impide aceptar el encargo en esos términos; la lectura de evidencia no se presenta como certificación ni como implementación del sistema.
El dictamen aporta una evaluación técnica. Cuando el requisito exige una certificación, su emisión corresponde al organismo certificador dentro del proceso aplicable.
Antes de avanzar
Preguntas de alcance.
¿Qué es una auditoría integrada?
Una auditoría que examina en una misma visita dos o más sistemas de gestión, aprovechando los requisitos comunes y revisando los propios de cada norma.
¿La pre-auditoría cubre ambas normas?
Sí, cuando ese es el alcance acordado. En la reunión inicial definimos qué procesos y requisitos se revisan.
¿Me asegura aprobar la auditoría?
No. Te da una lectura técnica previa. El resultado depende del organismo de certificación y de tu sistema.
¿Qué envío en la primera consulta?
Solo una descripción general de la decisión, el plazo y cómo contactarte. No envíes credenciales, datos sensibles ni documentación interna. Si corresponde, acordamos confidencialidad antes de compartir evidencia.
Criterio y fuentes
Leé el fundamento.
Otras decisiones de alta exigencia
Otros escenarios del Dictamen técnico.
Próximo paso
Revisemos tu sistema integrado.
Escribí por WhatsApp qué normas integra tu sistema y cuándo es la auditoría. El equipo de G-CERTI recibe el pedido para coordinar una reunión con Fernando Arrieta.
Este WhatsApp lo recibe el equipo de G-CERTI. Pedí coordinar una reunión con Fernando Arrieta; enviar el mensaje no confirma una cita ni solicita certificación.
Pedí tu reunión de alcance
Describí la situación, la decisión que tienen que tomar y para cuándo. Primero reviso si el encargo corresponde; después acordamos alcance y confidencialidad antes de recibir documentación.
- 1Leo tu mensaje personalmente.
- 2Te digo con franqueza si un dictamen corresponde o si conviene otra vía.
- 3Si corresponde, acordamos alcance y confidencialidad antes de recibir documentos.
Reserva profesional y acuerdo de confidencialidad
Toda consulta se trata bajo secreto profesional. Si tu organización requiere un acuerdo de confidencialidad, indicalo en el mensaje: se firma antes de compartir cualquier documentación interna.
¿Preferís no usar el formulario? Escribí directo a contact@fernandoarrieta.org.