Para certificar ISO 27001, la organización implementa el sistema, lo opera con registros, realiza su auditoría interna y su revisión por la dirección, y luego un organismo de certificación independiente hace una auditoría en dos etapas. Si el resultado es favorable, emite el certificado y lo mantiene con auditorías periódicas.
- 01ImplementarOperar el sistema y generar registros.
- 02Auditoría internaY revisión por la dirección.
- 03Etapa 1El organismo revisa documentación y preparación.
- 04Etapa 2Se verifica la operación real.
- 05Ciclo de tres añosSeguimientos periódicos y renovación.
Los pasos, en orden
- Implementación: la organización define alcance, analiza riesgos, documenta lo necesario y opera el sistema durante un tiempo suficiente para generar registros.
- Auditoría interna y revisión por la dirección: son requisitos de la norma; sin ellas el sistema no está completo.
- Auditoría de etapa 1: el organismo revisa documentación, alcance y preparación.
- Auditoría de etapa 2: se verifica en la operación que el sistema se cumple y es eficaz.
- Decisión y ciclo: el organismo decide la certificación, que se mantiene con auditorías de seguimiento y se renueva en ciclos de tres años.
Quién certifica
La certificación la otorga un organismo de certificación. Conviene verificar que esté acreditado por un organismo de acreditación reconocido y que el alcance de esa acreditación cubra la norma y el sector.
Un certificado se puede comprobar: tiene número, alcance, fecha y emisor, y debería poder consultarse en un registro público del organismo.
Implementar, auditar y certificar no son lo mismo
Quien ayuda a implementar el sistema no debería auditarlo para certificar. La separación entre consultoría y certificación protege la imparcialidad y es lo que da valor al certificado ante terceros.
Antes de pedir la auditoría
Comprobar que el alcance incluya los procesos que el cliente o el regulador realmente quieren ver, que la evaluación de riesgos esté vigente y que los controles del Anexo A declarados tengan registros de operación.
Preguntas frecuentes
¿Cuánto tarda certificar ISO 27001?
Depende del tamaño, del alcance y del punto de partida. La norma no fija un plazo; lo decisivo es que el sistema tenga registros de operación reales antes de la auditoría.
¿Qué pasa si aparecen no conformidades?
Las no conformidades mayores deben cerrarse con evidencia antes de la decisión de certificar; las menores se tratan con un plan de acción que se verifica después.
¿Cómo verifico un certificado?
Con el número de certificado, consultando el registro del organismo que lo emitió y comprobando su acreditación y su alcance.
Para seguir leyendo
- ISO/IEC 17021-1 · Glosario
- El certificado verificable
- La separación entre auditor e implementador
- Revisión independiente ISO 27001
La misma pregunta, en otras normas