Auditoría interna ISO 27001: checklist y cómo prepararla
Por el equipo de QuantumSec
Antes de que un auditor externo revise tu SGSI, la propia norma te obliga a auditarlo tú mismo. La auditoría interna de ISO 27001 no es un trámite burocrático: es el filtro que debería detectar las desviaciones antes de que las encuentre la entidad de certificación, cuando corregirlas ya cuesta tiempo y credibilidad.
Qué exige la cláusula 9.2 de ISO 27001
La norma exige realizar auditorías internas "a intervalos planificados" —en la práctica, anualmente— para comprobar que el SGSI cumple los requisitos propios de la organización y los de la norma, y que está implementado y mantenido de forma eficaz. El resultado debe documentarse y alimentar la revisión por la dirección (cláusula 9.3) y el proceso de no conformidades y acciones correctivas (cláusula 10.2).
¿Quién puede hacer la auditoría interna? El requisito de independencia
La norma exige que el auditor sea objetivo e imparcial: no puede auditar su propio trabajo. Esto no significa que tenga que ser externo obligatoriamente —una empresa mediana puede formar a un empleado de otro departamento como auditor interno certificado (por ejemplo, con un curso de auditor líder ISO 27001)— pero en la práctica, muchas pymes sin equipo suficiente para garantizar esa independencia optan por subcontratar la auditoría interna a un consultor externo, que además aporta experiencia frente a auditores de certificación reales.
Qué revisa una auditoría interna completa
Cobertura de los 93 controles del Anexo A frente a la Declaración de Aplicabilidad; evidencias de que las políticas y procedimientos documentados se aplican de verdad, no solo existen en papel; registros de incidentes, cambios y accesos; estado del análisis de riesgos y si sigue reflejando la realidad actual; seguimiento de acciones correctivas de auditorías anteriores; y entrevistas con responsables de proceso para verificar que conocen y aplican los procedimientos que les afectan.
Checklist antes de la auditoría externa
1) La Declaración de Aplicabilidad está actualizada y coincide con los controles realmente implementados. 2) Todas las no conformidades de la auditoría interna anterior tienen acción correctiva cerrada o en plazo. 3) Existe acta de la revisión por la dirección del último ciclo. 4) Los registros obligatorios (incidentes, accesos, formación, cambios) están completos y con fecha reciente. 5) El personal clave puede explicar, sin guion, cómo aplica los procedimientos que le afectan. Si alguno de estos cinco puntos falla, es más barato corregirlo antes de la auditoría externa que después.
FAQ
¿Con qué frecuencia hay que hacer la auditoría interna?
Al menos una vez al año, y siempre antes de cada auditoría de certificación o de seguimiento externa. Muchas organizaciones auditan por bloques a lo largo del año (por ejemplo, controles técnicos en un trimestre, procesos organizativos en otro) en vez de hacerlo todo de una vez.
¿La auditoría interna sustituye a la auditoría de certificación?
No. Son complementarias y obligatorias ambas: la interna es un requisito de la norma que debes cumplir tú mismo; la de certificación la ejecuta una entidad acreditada externa y es la que emite (o mantiene) el certificado.
¿Qué pasa si la auditoría interna encuentra una no conformidad grave?
Se documenta, se abre una acción correctiva con plazo y responsable, y se hace seguimiento hasta cerrarla. Encontrar y corregir una no conformidad en la auditoría interna es exactamente lo que se espera del sistema: es peor si la encuentra primero el auditor de certificación.