Auditar continuidad no es rellenar checklists.
Es recopilar evidencia, evaluarla y emitir un juicio defendible.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 1 | Integridad. Ser honesto, responsable y ético. Resistir influencias sobre el juicio. La base del profesionalismo. |
| 2 | Presentación justa. Informar de manera veraz, precisa y completa. Reportar obstáculos y opiniones divergentes. |
| 3 | Diligencia profesional. Aplicar el criterio y la atención necesaria según la importancia de la tarea. No concluir sin evidencia suficiente. |
| 4 | Confidencialidad. Proteger la información obtenida durante la auditoría. No usarla indebidamente. |
| 5 | Independencia. Ser imparcial y estar libre de prejuicios o conflictos de interés. No auditar el propio trabajo. |
| 6 | Enfoque basado en la evidencia. Las conclusiones deben basarse en evidencias verificables, no en opiniones. Triangulación. |
| 7 | Enfoque basado en riesgos. Considerar los riesgos y oportunidades que afectan al logro de los objetivos de la auditoría. Priorizar muestreo. |
| 📋 | Qué verificar · ¿El programa cubre todos los procesos críticos del BCMS? ¿La frecuencia es adecuada al riesgo? ¿Hay recursos asignados? |
| 🔄 | Priorización: Procesos con RTO más críticos deben auditarse con mayor frecuencia. Cambios recientes (nuevos sistemas, reestructuraciones) también disparan auditoría. |
| 🎯 | Objetivos · ¿Qué se quiere lograr? Ejemplo: "Evaluar la conformidad del BIA y los RTO definidos." |
| 📏 | Alcance: ¿Qué procesos, ubicaciones y período se auditan? ¿Las exclusiones están justificadas? |
| 📋 | Criterios · ¿Contra qué se audita? (ISO 22301, política de continuidad, procedimientos internos, requisitos legales). |
| 🔍 | Métodos: ¿Documentos, entrevistas, observación de simulacros? ¿Auditoría presencial, remota o mixta? |
| 🎯 | Criterios de priorización · Procesos con RTO más cortos, sistemas críticos, proveedores estratégicos, cambios recientes, incidentes previos, resultados de simulacros fallidos. |
| 📊 | Tamaño de muestra: Debe ser suficiente para detectar fallos significativos. Si el riesgo es alto, la muestra debe ser mayor. Si se detectan fallos, se amplía. |
| 📄 | Evidencia documental · BIA, evaluaciones de riesgos, estrategias, planes de continuidad, programas de ejercicios, informes de simulacros. |
| 💬 | Evidencia testimonial: Entrevistas. Deben triangularse con documentos o registros. Una entrevista sola es débil. |
| 🔧 | Evidencia operacional · Registros de activación de planes, tiempos de respuesta reales, logs de comunicación en crisis, actas de equipos de respuesta. |
| 1️⃣ | Documento · El procedimiento dice que se realiza un simulacro anual. |
| 2️⃣ | Entrevista: El responsable confirma que se realizó. |
| 3️⃣ | Registro · Se revisa el informe del simulacro y se confirma la ejecución y los resultados. |
| 📢 | Apertura · Confirmar plan, presentar equipo, explicar métodos, confirmar confidencialidad, acordar canales de comunicación. |
| 📝 | Cierre: Presentar hallazgos (conformidades, NC, OM), explicar conclusiones, acordar plazos para acciones correctivas, aclarar que la auditoría se basa en una muestra. |
| 📋 | Contenido mínimo · Objetivos, alcance, criterios, equipo auditor, fechas, hallazgos (con evidencia), conclusiones, declaración de muestreo. |
| 📤 | Distribución: Al cliente de auditoría, al auditado y a otras partes interesadas según lo acordado. Confidencialidad garantizada. |
| 🔁 | Qué verificar · ¿El auditado implementó las acciones en el plazo acordado? ¿Hay evidencia? ¿La acción correctiva elimina la causa raíz? |
| ✅ | Verificación de eficacia: Nueva medición, nuevo muestreo o auditoría de seguimiento. Sin eficacia verificada, la NC no se cierra. |
| 1 | Los 7 principios de auditoría (ISO 19011) aplican al BCMS: integridad, independencia, evidencia, riesgos, etc. |
| 2 | El programa de auditoría debe priorizar por riesgo: procesos con RTO más críticos, cambios recientes, incidentes previos. |
| 3 | El plan de auditoría define objetivos, alcance, criterios, métodos y muestreo. Sin plan claro, la auditoría es improvisación. |
| 4 | La evidencia debe ser suficiente, apropiada y triangulada (documento + entrevista + registro). |
| 5 | El informe debe ser completo, preciso y claro. El seguimiento verifica eficacia de acciones correctivas. |
Este módulo debe utilizarse dentro de auditoría de continuidad de negocio, BIA, estrategias, planes, ejercicios y mejora. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Auditoría del BCMS», comienza delimitando criterio, evidencia, muestreo, independencia y comunicación de conclusiones. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Continuidad, Tecnología, Operaciones, Comunicación y propietarios de procesos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un servicio crítico declara un RTO de cuatro horas, pero su recuperación depende de infraestructura y proveedores no probados. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta criterio, evidencia, muestreo, independencia y comunicación de conclusiones.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
Una prueba restaura la base de datos, pero no valida consistencia funcional ni acceso de usuarios.
Backup, base de datos, aplicación, identidades y pruebas.
¿Qué diferencia restauración de recuperación?
Respuesta orientativa: La recuperación demuestra el servicio completo y utilizable.
se cumple RTO pero se pierden seis horas de datos?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Distingue diseño, implantación y operación. Una explicación consistente orienta la muestra, pero no siempre cierra la conclusión.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Los 7 principios de auditoría
El programa de auditoría del BCMS
El plan de auditoría: de la intención a la ejecución