GRCreal // expediente: academia curso: ISO 27001 Lead Auditor
ISO 27001 · AUDITORÍA · ISO 19011
Módulo 1

Introducción a la Auditoría

Auditar no es buscar errores.
Es verificar que el SGSI funciona como debe.

MÓDULO 01 / 10ISO 27001 · Lead Auditor
FOCOIntroducción a la Auditoría

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Definición
Qué es una auditoría
Una auditoría es un proceso sistemático, independiente y documentado para obtener evidencias objetivas y evaluarlas de manera imparcial, con el fin de determinar el grado de cumplimiento de los criterios de auditoría.
“Auditar no es fiscalizar. Es verificar, evaluar y aportar valor.”
ISO 19011:2018
El propósito de una auditoría no es encontrar no conformidades por encontrar. Es proporcionar a la dirección información objetiva sobre el estado real del SGSI, para que pueda tomar decisiones informadas.
Clasificación
Tipos de auditoría
1ª ParteAuditoría interna. Realizada por o en nombre de la propia organización. Evalúa el SGSI contra sus propios requisitos y los de ISO 27001.
2ª ParteAuditoría externa de proveedores. Realizada por clientes o interesados sobre sus proveedores. Evalúa la capacidad de cumplir con requisitos contractuales.
3ª ParteAuditoría de certificación. Realizada por organismos independientes (ej: AENOR, BSI, DNV). Evalúa la conformidad con ISO 27001 para obtener o mantener la certificación.
Marco normativo
ISO 19011: Directrices para la auditoría
ISO 19011:2018 es la norma que proporciona directrices para auditar sistemas de gestión. No es certificable, pero es la referencia obligada para cualquier auditor, independientemente de la norma que audite.
1Principios de auditoría. Integridad, presentación justa, diligencia profesional, confidencialidad, independencia, enfoque basado en evidencia, enfoque basado en riesgos.
2Gestión del programa de auditoría. Cómo planificar, implementar, monitorear y mejorar el programa de auditorías.
3Realización de la auditoría. Desde la reunión de apertura hasta el informe de cierre.
4Competencia y evaluación de auditores. Qué habilidades y conocimientos debe tener un auditor, y cómo evaluarlas.
Perfiles
Diferencias clave: Auditor vs Implementador
ImplementadorConstruye el SGSI. Diseña procesos, define controles, documenta. Su enfoque es crear y mantener.
AuditorVerifica el SGSI. Evalúa si lo que se ha construido funciona y cumple. Su enfoque es evaluar y reportar.
Un buen auditor no necesita ser un experto en implementación, pero debe entender cómo funciona un SGSI para poder evaluarlo. Por eso este curso parte de los fundamentos de ISO 27001.
Error típico
Auditar buscando culpables
“El auditor ha encontrado tres no conformidades. Ahora tenemos que buscar a quién echarle la culpa.”
Mentalidad incorrecta en una organización auditada.
El error más frecuente en auditoría es confundir el propósito: no se audita para castigar, se audita para mejorar. Una auditoría bien hecha: - Identifica desviaciones (no conformidades) para que se corrijan. - Detecta buenas prácticas para que se compartan. - Aporta información objetiva a la dirección para la toma de decisiones. El auditor no es un policía. Es un evaluador imparcial que aporta valor a la organización.
Resumen del módulo
Lo que debes llevarte de aquí
1Una auditoría es un proceso sistemático, independiente y documentado para obtener y evaluar evidencias.
2Hay tres tipos: 1ª parte (interna), 2ª parte (proveedores), 3ª parte (certificación).
3ISO 19011 es la norma de referencia para auditar cualquier sistema de gestión.
4El auditor no busca culpables. Verifica, evalúa y aporta valor a la organización.
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de planificación, ejecución y comunicación de auditorías de sistemas de gestión de seguridad. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Introducción a la Auditoría», comienza delimitando criterio, evidencia, muestreo, independencia y comunicación de conclusiones. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Equipo auditor, auditado, Dirección, Seguridad, Riesgos, Operaciones y propietarios de controles. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • criterios, alcance y plan de auditoría
  • población, periodo y muestra seleccionada
  • entrevistas, observaciones y documentos corroborados
  • hallazgos vinculados a requisitos
  • conclusiones, informe y seguimiento
CASO DE REVISIÓN

Aplicación de «Introducción a la Auditoría»

Escenario: un SGSI declara un control implantado, pero la evidencia disponible cubre solo una parte de la población y del periodo auditado. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta criterio, evidencia, muestreo, independencia y comunicación de conclusiones.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • convertir opiniones en hallazgos
  • confundir una observación con una no conformidad
  • aceptar capturas sin validar población y periodo
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Introducción a la Auditoría»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Introducción a la Auditoría

Una empresa de software va a someterse a su primera auditoría interna. El responsable de Seguridad propone revisar únicamente políticas y procedimientos porque “la parte técnica ya la controla Operaciones”.

CONTEXTO TÉCNICO

SGSI con alcance sobre desarrollo SaaS, AWS, GitHub, M365 y soporte remoto.

DECISIÓN

  • Definir una auditoría que combine entrevistas, revisión documental, observación y muestreo técnico.
  • Asignar un responsable y una fecha de revisión.
  • Definir cómo se comprobará la eficacia.

EVIDENCIA

  • Alcance, criterios, riesgos, SoA, tickets, configuraciones, registros y evidencias de operación.
  • Corroborar con una fuente independiente.
  • Conservar población, periodo y responsable.

ERROR A EVITAR

  • Reducir la auditoría a comprobar documentos.
  • Aceptar afirmaciones sin prueba suficiente.
  • Cerrar acciones sin verificación posterior.
MINI EJERCICIO RESUELTO

¿Por qué revisar solo políticas no permite concluir sobre la eficacia del SGSI?

Respuesta orientativa: Porque una política demuestra intención y diseño, pero no implantación, operación ni eficacia.

¿QUÉ CAMBIARÍA SI…?

la organización dispone de una certificación externa vigente?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Tienes una política aprobada y tres entrevistas coherentes. ¿Tienes evidencia suficiente para concluir que el control opera?

Distingue diseño, implantación y operación. Una explicación consistente orienta la muestra, pero no siempre cierra la conclusión.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Qué es una auditoría

  2. 02

    Tipos de auditoría

  3. 03

    ISO 19011: Directrices para la auditoría

El siguiente paso es entender
los principios de la auditoría
Siguiente módulo: ISO 19011 · Principios de Auditoría
← Anterior Continuar →