Una auditoría ISO 37001 suele caerse por falta de evidencia: evaluación de riesgo genérica, terceros sin diligencia debida, función de cumplimiento sin independencia, controles financieros que no se aplican o un canal de denuncias que nadie usa ni prueba.
- Se sostieneRegistros que muestran que el sistema opera y una dirección que decide con ellos.
- Es débilRiesgo genérico: evaluación que no distingue procesos ni países.
- Corregir primeroTerceros sin legajo: intermediarios contratados sin diligencia debida.
Los errores que más se repiten
- Riesgo genérico: evaluación que no distingue procesos ni países.
- Terceros sin legajo: intermediarios contratados sin diligencia debida.
- Cumplimiento sin autoridad: función subordinada al área que controla.
- Regalos sin registro: hospitalidades que no figuran en ningún lado.
- Canal mudo: denuncias sin investigación ni respuesta.
- Órgano de gobierno ausente: no hay evidencia de que supervise el sistema.
Mayor o menor: qué cambia
No conformidad mayor
Un requisito no se cumple o el sistema no logra su resultado. Impide certificar hasta cerrarla con evidencia.
No conformidad menor
Un incumplimiento puntual que no compromete el sistema. Se trata con un plan de acción verificable.
Cómo detectarlos antes
Revisar el sistema con la pregunta del auditor: ¿dónde está la evidencia de que esto ocurre? Elegir registros al azar, entrevistar a quienes operan y comparar lo escrito con lo que se hace.
Una mirada externa a tiempo
Una lectura independiente antes de la auditoría de certificación permite ver lo que el equipo ya no ve: qué se sostiene, qué es débil y qué conviene corregir primero.
Preguntas frecuentes
¿Se puede certificar con no conformidades?
Con menores, sí, si hay un plan de acción aceptado. Las mayores deben cerrarse y verificarse antes de la decisión de certificación.
¿Qué hago si la auditoría salió mal?
Analizar la causa de cada hallazgo, corregir con evidencia y acordar con el organismo cómo se verifica el cierre.
¿Un consultor garantiza aprobar?
No. Nadie puede garantizar el resultado de una auditoría de tercera parte; si alguien lo promete, conviene desconfiar.
Para seguir leyendo
La misma pregunta, en otras normas