La auditoría interna ISO 27001 es un requisito de la norma: la organización verifica, a intervalos planificados, si su sistema cumple los requisitos propios y los de la norma, y si se mantiene eficaz. Debe hacerla alguien objetivo e imparcial respecto de lo que audita, y sus resultados alimentan la revisión por la dirección.
- 01HallazgoEvidencia de un incumplimiento o una debilidad.
- 02CausaPor qué ocurrió, no solo qué ocurrió.
- 03AcciónCorrección y acción correctiva con responsable.
- 04VerificaciónComprobar que la acción funcionó.
Qué pide la norma
El requisito de auditoría interna pide un programa con frecuencia, métodos, responsabilidades y criterios; que cada auditoría tenga alcance definido; que los auditores sean objetivos; y que los resultados se informen a la dirección y queden registrados.
La guía de referencia para hacerla bien es la ISO 19011, que describe cómo planificar, ejecutar y documentar auditorías de sistemas de gestión.
Cómo planificarla
- Cubrir las cláusulas 4 a 10 y los controles del Anexo A declarados en la Declaración de Aplicabilidad.
- Priorizar los procesos y activos con mayor riesgo.
- Muestrear registros técnicos reales: accesos, cambios, copias, incidentes.
- Asignar auditores que no auditen su propio trabajo.
Qué hacer con los resultados
Cada hallazgo debe tener análisis de causa, acción correctiva y verificación de eficacia. La revisión por la dirección tiene que mostrar que esos resultados se leyeron y se usaron para decidir.
El error que más se repite
Hacer la auditoría interna con una lista genérica, una semana antes de la externa, y cerrar todo sin hallazgos. El auditor externo lo nota: un programa sin hallazgos y sin seguimiento no demuestra que el sistema se vigile a sí mismo.
Preguntas frecuentes
¿Puede hacerla alguien externo?
Sí. La norma pide objetividad e imparcialidad, no que sea personal propio. Muchas organizaciones la encargan a un auditor externo para ganar independencia.
¿Cada cuánto se hace?
A intervalos planificados, según la importancia de los procesos y los resultados de auditorías anteriores. Lo habitual es cubrir todo el alcance al menos una vez por ciclo.
¿La auditoría interna reemplaza a la de certificación?
No. Es de primera parte; la certificación exige una auditoría de tercera parte hecha por un organismo independiente.
Para seguir leyendo
La misma pregunta, en otras normas