Una auditoría ISO/IEC 27701 suele caerse por falta de evidencia: registro de tratamientos incompleto, roles de responsable y encargado confusos, contratos sin cláusulas de datos, derechos sin circuito o incidentes no registrados.
- Se sostieneRegistros que muestran que el sistema opera y una dirección que decide con ellos.
- Es débilRegistro incompleto: tratamientos reales que no figuran.
- Corregir primeroRoles confusos: no se distingue cuándo se es responsable y cuándo encargado.
Los errores que más se repiten
- Registro incompleto: tratamientos reales que no figuran.
- Roles confusos: no se distingue cuándo se es responsable y cuándo encargado.
- Encargados sin contrato: proveedores que tratan datos sin cláusulas.
- Derechos sin circuito: nadie sabe quién responde una solicitud.
- Conservación indefinida: datos guardados sin plazo ni criterio.
- Impacto omitido: tratamientos de alto riesgo sin evaluación previa.
Mayor o menor: qué cambia
No conformidad mayor
Un requisito no se cumple o el sistema no logra su resultado. Impide certificar hasta cerrarla con evidencia.
No conformidad menor
Un incumplimiento puntual que no compromete el sistema. Se trata con un plan de acción verificable.
Cómo detectarlos antes
Revisar el sistema con la pregunta del auditor: ¿dónde está la evidencia de que esto ocurre? Elegir registros al azar, entrevistar a quienes operan y comparar lo escrito con lo que se hace.
Una mirada externa a tiempo
Una lectura independiente antes de la auditoría de certificación permite ver lo que el equipo ya no ve: qué se sostiene, qué es débil y qué conviene corregir primero.
Preguntas frecuentes
¿Se puede certificar con no conformidades?
Con menores, sí, si hay un plan de acción aceptado. Las mayores deben cerrarse y verificarse antes de la decisión de certificación.
¿Qué hago si la auditoría salió mal?
Analizar la causa de cada hallazgo, corregir con evidencia y acordar con el organismo cómo se verifica el cierre.
¿Un consultor garantiza aprobar?
No. Nadie puede garantizar el resultado de una auditoría de tercera parte; si alguien lo promete, conviene desconfiar.
Para seguir leyendo
La misma pregunta, en otras normas