Cuestionarios sin verificación
Respuestas aceptadas sin pedir registros ni muestras que las respalden.
Auditoría de segunda parte · Proveedores
Auditoría de proveedores: evaluá a quien sostiene tu operación.
Reviso cómo evaluar a un proveedor crítico con criterios de seguridad de la información y calidad, y qué evidencia pedirle. Recibís por escrito qué se sostiene, qué es débil y qué conviene exigir.
Este WhatsApp lo recibe el equipo de G-CERTI. Pedí coordinar una reunión con Fernando Arrieta; enviar el mensaje no confirma una cita ni solicita certificación.
- Primera reunión para definir alcance
- Sin enviar documentos al inicio
- Conclusiones por escrito
Lo que está en juego
Dónde suele fallar la gestión de proveedores.
Contratos sin requisitos
Acuerdos que no fijan obligaciones de seguridad, calidad, notificación de incidentes o derecho a auditar.
Sin seguimiento
Proveedores evaluados al ingresar y nunca más revisados, aunque cambie el servicio.
09 / La decisión
¿Sabés qué evidencia respalda a tus proveedores críticos?
Un cuestionario respondido no demuestra un control. La evaluación de un proveedor se apoya en criterios acordados, en el contrato y en evidencia verificable.
Servicios en la nube y software
Organizaciones que dependen de proveedores tecnológicos para operar.
Exigencia de una norma
Sistemas ISO 9001 o ISO/IEC 27001 que deben demostrar el control de proveedores externos.
Proveedor crítico nuevo
Equipos que necesitan evaluar a un proveedor antes de contratarlo.
Qué reviso
Lo declarado, frente a lo demostrable.
Criterios y alcance
Qué se evalúa del proveedor y con qué criterios, según el riesgo del servicio.
Requisitos contractuales
Obligaciones de seguridad, calidad, confidencialidad y notificación pactadas.
Evidencia del proveedor
Registros, certificaciones vigentes y muestras que respaldan sus respuestas.
ISO 19011 como guía de auditoría e ISO 9001 o ISO/IEC 27001, según el alcance que acordemos.
Datos de la norma
Lo que conviene saber de las normas.
Guía de auditoría
ISO 19011 ofrece directrices para auditar sistemas de gestión, también aplicables a auditorías de segunda parte.
Seguridad en proveedores
El Anexo A de ISO/IEC 27001:2022 incluye controles sobre la relación con proveedores y la seguridad en la cadena de suministro TIC.
Calidad en proveedores
ISO 9001 pide controlar los procesos, productos y servicios suministrados externamente.
Qué recibís
Conclusiones que podés examinar. Por escrito.
Qué se sostiene, qué es débil y qué corregir primero. Los límites y la evidencia disponible quedan explícitos.
- 01 / Caso
Exponés la decisión
Revisamos si el encargo corresponde. Acordamos alcance y confidencialidad antes de recibir documentos.
- 02 / Evidencia
Leo lo que respalda el caso
Contrasto registros y afirmaciones con los criterios acordados. Lo que no se puede comprobar se declara.
- 03 / Dictamen
Recibís una lectura firmada
Una conclusión técnica con hallazgos, fundamentos y límites para decidir prioridades dentro del alcance acordado.
Trabajo en auditoría de sistemas de gestión, seguridad de la información, inteligencia artificial y calidad. Podés conocer mi trayectoria profesional, mis ámbitos de trabajo y los análisis que publico antes de consultar un encargo.
Ver trayectoria →Antes de escribir
¿Tiene sentido un dictamen ahora?
Respondé cuatro preguntas y recibí una orientación preliminar: qué miraría primero un tercero y cuál sería un primer paso. Es automática, tarda unos segundos y no se guarda.
Independencia y límites
El alcance no se presume.
La pre-auditoría es una evaluación técnica previa. No reemplaza la auditoría del organismo de certificación, no garantiza su resultado ni emite certificados.
La aceptación de cada encargo queda sujeta a revisar relaciones institucionales, participación previa, sistema y alcance. En la primera conversación se debe declarar cualquier auditoría, consultoría, implementación o formación previa relevante. Un conflicto incompatible con el alcance impide aceptar el encargo en esos términos; la lectura de evidencia no se presenta como certificación ni como implementación del sistema.
El dictamen aporta una evaluación técnica. Cuando el requisito exige una certificación, su emisión corresponde al organismo certificador dentro del proceso aplicable.
Antes de avanzar
Preguntas de alcance.
¿Qué es una auditoría de segunda parte?
Es la que una organización realiza, o encarga, sobre un proveedor con el que tiene o tendrá una relación.
¿Reemplaza la certificación del proveedor?
No. Una certificación vigente es un dato útil, pero conviene verificar si su alcance cubre el servicio contratado.
¿Tengo que enviar documentación sensible?
No al inicio. Primero conversamos el alcance; qué documentación se revisa y cómo se resguarda se acuerda después.
¿Qué envío en la primera consulta?
Solo una descripción general de la decisión, el plazo y cómo contactarte. No envíes credenciales, datos sensibles ni documentación interna. Si corresponde, acordamos confidencialidad antes de compartir evidencia.
Criterio y fuentes
Leé el fundamento.
Otras decisiones de alta exigencia
Otros escenarios del Dictamen técnico.
Próximo paso
Revisemos a tus proveedores críticos.
Escribí por WhatsApp qué proveedor o servicio querés evaluar. El equipo de G-CERTI recibe el pedido para coordinar una reunión con Fernando Arrieta.
Este WhatsApp lo recibe el equipo de G-CERTI. Pedí coordinar una reunión con Fernando Arrieta; enviar el mensaje no confirma una cita ni solicita certificación.
Pedí tu reunión de alcance
Describí la situación, la decisión que tienen que tomar y para cuándo. Primero reviso si el encargo corresponde; después acordamos alcance y confidencialidad antes de recibir documentación.
- 1Leo tu mensaje personalmente.
- 2Te digo con franqueza si un dictamen corresponde o si conviene otra vía.
- 3Si corresponde, acordamos alcance y confidencialidad antes de recibir documentos.
Reserva profesional y acuerdo de confidencialidad
Toda consulta se trata bajo secreto profesional. Si tu organización requiere un acuerdo de confidencialidad, indicalo en el mensaje: se firma antes de compartir cualquier documentación interna.
¿Preferís no usar el formulario? Escribí directo a contact@fernandoarrieta.org.