01Tipología de auditorías: primera, segunda y tercera parte
ISO 19011 define la auditoría como un proceso sistemático, independiente y documentado en el que las evidencias de auditoría se evalúan de manera objetiva frente a los criterios de auditoría; la guía se publicó en mayo de 2026 en su cuarta edición (ISO 19011:2026, una revisión técnica de la versión de 2018, con, entre otras cosas, orientaciones ampliadas sobre auditorías remotas). Se distinguen tres constelaciones: las auditorías de primera parte (auditorías internas) las realiza la propia organización o se realizan por encargo suyo, por ejemplo para verificar el cumplimiento de la norma o preparar una certificación. Las auditorías de segunda parte las llevan a cabo partes interesadas como los clientes, típicamente como auditoría de proveedores en el marco de la gestión de riesgos de terceros (third-party risk management). Las auditorías de tercera parte las realizan organismos independientes, en particular organismos de certificación y autoridades; a estas auditorías de certificación no se les aplica ISO 19011, sino ISO/IEC 17021-1.
02Proceso de certificación: fase 1, fase 2 y el ciclo de 3 años
Según ISO/IEC 17021-1, la auditoría de certificación inicial se desarrolla en dos fases: la fase 1 comprueba la madurez para la certificación (documentación, alcance, condiciones del emplazamiento y si las auditorías internas y la revisión por la dirección ya se han planificado y realizado). La fase 2 evalúa a continuación, in situ, la implantación y la eficacia del sistema de gestión, incluidos los controles de la declaración de aplicabilidad (SoA). Con la decisión positiva de certificación comienza el ciclo de certificación de tres años: las auditorías de seguimiento tienen lugar al menos una vez por año natural (excepto en los años con auditoría de recertificación, la primera a más tardar doce meses después de la decisión de certificación) y examinan por muestreo áreas seleccionadas; en el tercer año, la auditoría de recertificación vuelve a evaluar todo el sistema antes de que expire el certificado. Los cambios de versión de la norma siguen sus propias reglas de transición: según IAF MD 26, el plazo para la transición a ISO/IEC 27001:2022 terminó el 31 de octubre de 2025, y los certificados antiguos según la versión de 2013 son desde entonces inválidos.
03La cadena de acreditación: ¿quién audita a los auditores?
Para que un certificado tenga valor probatorio, el propio organismo de certificación emisor debe estar supervisado. En Alemania, esa función corresponde a la DAkkS como único organismo nacional de acreditación, sobre la base del Reglamento (CE) n.º 765/2008 y de la ley alemana del organismo de acreditación (AkkStelleG); la propia DAkkS trabaja conforme a ISO/IEC 17011. Los organismos de certificación de sistemas de gestión se acreditan según ISO/IEC 17021-1; para las certificaciones de SGSI se aplican además los requisitos de ISO/IEC 27006-1:2024 (entre otros, sobre la competencia de los auditores y el esfuerzo mínimo de auditoría), cuyo periodo de transición para los organismos de certificación terminó el 31 de marzo de 2026. Para los clientes esto significa: en el certificado debería ser visible el símbolo de acreditación; un certificado no acreditado tiene un valor probatorio considerablemente menor.
04Auditorías internas: obligación normativa según el capítulo 9.2
En el capítulo 9.2, ISO/IEC 27001:2022 exige auditorías internas a intervalos planificados: deben mostrar si el SGSI cumple los requisitos propios de la organización y los requisitos de la norma, y si se implementa y mantiene de forma eficaz (9.2.1). El capítulo 9.2.2 exige para ello un programa de auditoría con frecuencia, métodos, responsabilidades y vías de reporte, que tenga en cuenta la importancia de los procesos afectados y los resultados de auditorías anteriores. La norma no prescribe una frecuencia fija; los auditores deben seleccionarse de modo que se preserven la objetividad y la imparcialidad, por lo que las auditorías internas también pueden ser realizadas por terceros externos por encargo de la organización. Los resultados deben comunicarse al nivel de dirección pertinente y conservarse como información documentada; los auditores externos examinan precisamente este proceso en la fase 1 y de nuevo en cada auditoría de seguimiento.
05Preparación de la auditoría: del gap assessment al paquete de evidencias
Una preparación sólida comienza con un alcance bien delimitado y un análisis de brechas frente a los requisitos de la norma y el catálogo de controles. A continuación siguen la implantación de las medidas pendientes y la creación de evidencias auditables: evaluación de riesgos y plan de tratamiento de riesgos, declaración de aplicabilidad y registros operativos, por ejemplo sobre revisiones de permisos, formaciones e incidentes de seguridad. Antes de la fase 2 deberían estar concluidos al menos un ciclo completo de auditoría interna y una revisión por la dirección, porque es precisamente esa madurez la que el auditor ya evalúa en la fase 1; las «Areas of Concern» señaladas allí pueden clasificarse como no conformidades en la fase 2. Ha demostrado su eficacia generar las evidencias allí donde se trabaja: la documentación recopilada a posteriori poco antes de la auditoría suele detectarse en la fase 2.
06No conformidades frecuentes y cómo gestionarlas
Los auditores de certificación clasifican los hallazgos como no conformidad mayor (cuando está en cuestión la capacidad del sistema de gestión para alcanzar los resultados previstos) o como no conformidad menor; además existen observaciones y oportunidades de mejora. Ámbitos de hallazgos recurrentes en auditorías de SGSI son las brechas entre los procesos documentados y la práctica real, una evaluación de riesgos sin conexión trazable con la declaración de aplicabilidad, auditorías internas que no cubren todo el alcance, revisiones por la dirección incompletas y acciones correctivas sin seguimiento. Las no conformidades mayores deben estar demostrablemente cerradas antes de la decisión de certificación; si el organismo de certificación no puede verificar las correcciones en un plazo de seis meses desde la conclusión de la fase 2, ISO/IEC 17021-1 exige una nueva auditoría de fase 2. Lo decisivo es un tratamiento sistemático: análisis de causas raíz, acción correctiva y verificación de la eficacia en lugar de remedios puntuales de los síntomas.
