Auditorías y certificaciones

ISO 19011 define la auditoría como un proceso sistemático, independiente y documentado en el que las evidencias de auditoría se evalúan de manera objetiva frente a los criterios de auditoría; la guía se publicó en mayo de 2026 en su cuarta edición (ISO 19011:2026, una revisión técnica de la versión de 2018, con, entre otras cosas, orientaciones ampliadas sobre auditorías remotas). Se distinguen tres constelaciones: las auditorías de primera parte (auditorías internas) las realiza la propia organización o se realizan por encargo suyo, por ejemplo para verificar el cumplimiento de la norma o preparar una certificación. Las auditorías de segunda parte las llevan a cabo partes interesadas como los clientes, típicamente como auditoría de proveedores en el marco de la gestión de riesgos de terceros (third-party risk management). Las auditorías de tercera parte las realizan organismos independientes, en particular organismos de certificación y autoridades; a estas auditorías de certificación no se les aplica ISO 19011, sino ISO/IEC 17021-1.

Según ISO/IEC 17021-1, la auditoría de certificación inicial se desarrolla en dos fases: la fase 1 comprueba la madurez para la certificación (documentación, alcance, condiciones del emplazamiento y si las auditorías internas y la revisión por la dirección ya se han planificado y realizado). La fase 2 evalúa a continuación, in situ, la implantación y la eficacia del sistema de gestión, incluidos los controles de la declaración de aplicabilidad (SoA). Con la decisión positiva de certificación comienza el ciclo de certificación de tres años: las auditorías de seguimiento tienen lugar al menos una vez por año natural (excepto en los años con auditoría de recertificación, la primera a más tardar doce meses después de la decisión de certificación) y examinan por muestreo áreas seleccionadas; en el tercer año, la auditoría de recertificación vuelve a evaluar todo el sistema antes de que expire el certificado. Los cambios de versión de la norma siguen sus propias reglas de transición: según IAF MD 26, el plazo para la transición a ISO/IEC 27001:2022 terminó el 31 de octubre de 2025, y los certificados antiguos según la versión de 2013 son desde entonces inválidos.

Para que un certificado tenga valor probatorio, el propio organismo de certificación emisor debe estar supervisado. En Alemania, esa función corresponde a la DAkkS como único organismo nacional de acreditación, sobre la base del Reglamento (CE) n.º 765/2008 y de la ley alemana del organismo de acreditación (AkkStelleG); la propia DAkkS trabaja conforme a ISO/IEC 17011. Los organismos de certificación de sistemas de gestión se acreditan según ISO/IEC 17021-1; para las certificaciones de SGSI se aplican además los requisitos de ISO/IEC 27006-1:2024 (entre otros, sobre la competencia de los auditores y el esfuerzo mínimo de auditoría), cuyo periodo de transición para los organismos de certificación terminó el 31 de marzo de 2026. Para los clientes esto significa: en el certificado debería ser visible el símbolo de acreditación; un certificado no acreditado tiene un valor probatorio considerablemente menor.

En el capítulo 9.2, ISO/IEC 27001:2022 exige auditorías internas a intervalos planificados: deben mostrar si el SGSI cumple los requisitos propios de la organización y los requisitos de la norma, y si se implementa y mantiene de forma eficaz (9.2.1). El capítulo 9.2.2 exige para ello un programa de auditoría con frecuencia, métodos, responsabilidades y vías de reporte, que tenga en cuenta la importancia de los procesos afectados y los resultados de auditorías anteriores. La norma no prescribe una frecuencia fija; los auditores deben seleccionarse de modo que se preserven la objetividad y la imparcialidad, por lo que las auditorías internas también pueden ser realizadas por terceros externos por encargo de la organización. Los resultados deben comunicarse al nivel de dirección pertinente y conservarse como información documentada; los auditores externos examinan precisamente este proceso en la fase 1 y de nuevo en cada auditoría de seguimiento.

Una preparación sólida comienza con un alcance bien delimitado y un análisis de brechas frente a los requisitos de la norma y el catálogo de controles. A continuación siguen la implantación de las medidas pendientes y la creación de evidencias auditables: evaluación de riesgos y plan de tratamiento de riesgos, declaración de aplicabilidad y registros operativos, por ejemplo sobre revisiones de permisos, formaciones e incidentes de seguridad. Antes de la fase 2 deberían estar concluidos al menos un ciclo completo de auditoría interna y una revisión por la dirección, porque es precisamente esa madurez la que el auditor ya evalúa en la fase 1; las «Areas of Concern» señaladas allí pueden clasificarse como no conformidades en la fase 2. Ha demostrado su eficacia generar las evidencias allí donde se trabaja: la documentación recopilada a posteriori poco antes de la auditoría suele detectarse en la fase 2.

Los auditores de certificación clasifican los hallazgos como no conformidad mayor (cuando está en cuestión la capacidad del sistema de gestión para alcanzar los resultados previstos) o como no conformidad menor; además existen observaciones y oportunidades de mejora. Ámbitos de hallazgos recurrentes en auditorías de SGSI son las brechas entre los procesos documentados y la práctica real, una evaluación de riesgos sin conexión trazable con la declaración de aplicabilidad, auditorías internas que no cubren todo el alcance, revisiones por la dirección incompletas y acciones correctivas sin seguimiento. Las no conformidades mayores deben estar demostrablemente cerradas antes de la decisión de certificación; si el organismo de certificación no puede verificar las correcciones en un plazo de seis meses desde la conclusión de la fase 2, ISO/IEC 17021-1 exige una nueva auditoría de fase 2. Lo decisivo es un tratamiento sistemático: análisis de causas raíz, acción correctiva y verificación de la eficacia en lugar de remedios puntuales de los síntomas.