Una auditoría ISO/IEC 27001 suele caerse por falta de evidencia: evaluación de riesgos desactualizada, Declaración de Aplicabilidad que no coincide con la operación, controles sin registros, alcance mal definido o una dirección que no revisa el sistema.
- Se sostieneRegistros que muestran que el sistema opera y una dirección que decide con ellos.
- Es débilRiesgos congelados: evaluación hecha una vez y nunca revisada tras cambios.
- Corregir primeroDeclaración de Aplicabilidad de plantilla: controles marcados sin justificación ni registro.
Los errores que más se repiten
- Riesgos congelados: evaluación hecha una vez y nunca revisada tras cambios.
- Declaración de Aplicabilidad de plantilla: controles marcados sin justificación ni registro.
- Accesos sin revisión: usuarios que dejaron la organización y siguen activos.
- Copias sin prueba: respaldos que nunca se restauraron.
- Proveedores fuera del radar: terceros con acceso a información sin evaluación.
- Dirección ausente: revisión por la dirección sin decisiones registradas.
Mayor o menor: qué cambia
No conformidad mayor
Un requisito no se cumple o el sistema no logra su resultado. Impide certificar hasta cerrarla con evidencia.
No conformidad menor
Un incumplimiento puntual que no compromete el sistema. Se trata con un plan de acción verificable.
Cómo detectarlos antes
Revisar el sistema con la pregunta del auditor: ¿dónde está la evidencia de que esto ocurre? Elegir registros al azar, entrevistar a quienes operan y comparar lo escrito con lo que se hace.
Una mirada externa a tiempo
Una lectura independiente antes de la auditoría de certificación permite ver lo que el equipo ya no ve: qué se sostiene, qué es débil y qué conviene corregir primero.
Preguntas frecuentes
¿Se puede certificar con no conformidades?
Con menores, sí, si hay un plan de acción aceptado. Las mayores deben cerrarse y verificarse antes de la decisión de certificación.
¿Qué hago si la auditoría salió mal?
Analizar la causa de cada hallazgo, corregir con evidencia y acordar con el organismo cómo se verifica el cierre.
¿Un consultor garantiza aprobar?
No. Nadie puede garantizar el resultado de una auditoría de tercera parte; si alguien lo promete, conviene desconfiar.
Para seguir leyendo
La misma pregunta, en otras normas