GRCreal // expediente: academia curso: ISO 27001 Lead Auditor
ISO 19011 · PRINCIPIOS · AUDITORÍA
Módulo 2

Principios de Auditoría

Los principios no son opcionales.
Son la base de toda auditoría creíble.

MÓDULO 02 / 10ISO 27001 · Lead Auditor
FOCOPrincipios de Auditoría

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

ISO 19011:2018
Los 7 principios de la auditoría
ISO 19011 establece siete principios que todo auditor debe aplicar. No son sugerencias. Son requisitos de comportamiento y método que garantizan la calidad y credibilidad de la auditoría.
1Integridad. Ser honesto, responsable y ético en todo momento. Es la base del profesionalismo.
2Presentación justa. Informar de manera veraz, precisa y completa. Reportar obstáculos y opiniones divergentes.
3Diligencia profesional. Aplicar el criterio y la atención necesaria según la importancia de la tarea.
4Confidencialidad. Proteger la información obtenida durante la auditoría. No usarla indebidamente.
5Independencia. Ser imparcial y estar libre de prejuicios o conflictos de interés.
6Enfoque basado en la evidencia. Las conclusiones deben basarse en evidencias verificables, no en opiniones.
7Enfoque basado en riesgos. Considerar los riesgos y oportunidades que afectan al logro de los objetivos de la auditoría.
Principios 1 y 2
Integridad y presentación justa
Integridad: El auditor debe conducir su trabajo de manera ética, honesta y responsable. Solo debe auditar si es competente. Debe ser sensible a cualquier influencia que pueda afectar su juicio.
“La integridad no es negociable. Un auditor sin integridad no es un auditor.”
ISO 19011:2018
Presentación justa: Los hallazgos, conclusiones e informes deben reflejar de manera veraz y precisa las actividades de auditoría. Los obstáculos significativos y las opiniones divergentes no resueltas deben ser reportados.
Principios 3 y 4
Diligencia profesional y confidencialidad
Diligencia profesional: El auditor debe aplicar el debido cuidado según la importancia de la tarea y la confianza depositada por el cliente de la auditoría. Incluye la capacidad de emitir juicios razonados.
Confidencialidad: El auditor debe ejercer discreción y protección en el uso de la información obtenida. La información de la auditoría no debe ser utilizada para beneficio personal ni de forma que perjudique los intereses legítimos de la organización auditada.
Principio 5
Independencia: la base de la imparcialidad
El auditor debe ser independiente de la actividad auditada en la mayor medida posible y, en todo caso, debe actuar de manera libre de prejuicios o conflictos de interés.
📌Para auditorías internas, los auditores deben ser independientes de la función que auditan, si es posible.
📌En organizaciones pequeñas, los auditores internos pueden no ser completamente independientes, pero deben hacer todo lo posible por eliminar sesgos y fomentar la objetividad.
Principios 6 y 7
Enfoque basado en evidencia y en riesgos
Enfoque basado en evidencia: La evidencia de auditoría debe ser verificable. Se basa en muestras de información disponible porque la auditoría se realiza en un período finito con recursos limitados.
“No es no conformidad porque yo lo diga. Es no conformidad porque la evidencia lo demuestra.”
Regla básica del auditor
Enfoque basado en riesgos: Debe influir sustancialmente en la planificación, ejecución y presentación de informes para garantizar que las auditorías se centren en los aspectos importantes para el cliente de la auditoría.
Error típico
Confundir independencia con distancia
“Soy independiente, por eso no hablo con nadie ni comparto mis hallazgos hasta el informe final.”
Interpretación errónea de la independencia
Ser independiente no significa ser distante o no comunicativo. Un auditor independiente: - Es imparcial y objetivo - No tiene conflictos de interés - Pero sí comunica hallazgos durante la auditoría - Sí interactúa con el auditado - Sí explica lo que está viendo La independencia es sobre juicio, no sobre actitud.
Resumen del módulo
Lo que debes llevarte de aquí
1Los 7 principios son: integridad, presentación justa, diligencia, confidencialidad, independencia, evidencia y riesgos.
2La independencia es sobre el juicio, no sobre la actitud. El auditor comunica, pero sin sesgos.
3La evidencia debe ser verificable. Las opiniones sin evidencia no valen.
4Un auditor sin integridad no es un auditor. Los principios no son opcionales.
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de planificación, ejecución y comunicación de auditorías de sistemas de gestión de seguridad. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Principios de Auditoría», comienza delimitando criterio, evidencia, muestreo, independencia y comunicación de conclusiones. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Equipo auditor, auditado, Dirección, Seguridad, Riesgos, Operaciones y propietarios de controles. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • criterios, alcance y plan de auditoría
  • población, periodo y muestra seleccionada
  • entrevistas, observaciones y documentos corroborados
  • hallazgos vinculados a requisitos
  • conclusiones, informe y seguimiento
CASO DE REVISIÓN

Aplicación de «Principios de Auditoría»

Escenario: un SGSI declara un control implantado, pero la evidencia disponible cubre solo una parte de la población y del periodo auditado. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta criterio, evidencia, muestreo, independencia y comunicación de conclusiones.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • convertir opiniones en hallazgos
  • confundir una observación con una no conformidad
  • aceptar capturas sin validar población y periodo
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Principios de Auditoría»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Principios de Auditoría

Durante una auditoría, el director de TI pide retirar un hallazgo porque afectaría a su evaluación anual. Uno de los auditores trabajó en ese mismo equipo hasta hace tres meses.

CONTEXTO TÉCNICO

Equipo auditor interno, dirección de TI, comité de riesgos y función de cumplimiento.

DECISIÓN

  • Gestionar la amenaza a la independencia, reasignar la revisión y mantener conclusiones basadas en evidencia.
  • Asignar un responsable y una fecha de revisión.
  • Definir cómo se comprobará la eficacia.

EVIDENCIA

  • Declaraciones de conflicto, asignación del equipo, criterios de competencia, notas y aprobación del informe.
  • Corroborar con una fuente independiente.
  • Conservar población, periodo y responsable.

ERROR A EVITAR

  • Confundir conocimiento del área con independencia suficiente.
  • Aceptar afirmaciones sin prueba suficiente.
  • Cerrar acciones sin verificación posterior.
MINI EJERCICIO RESUELTO

¿Qué principio está más comprometido?

Respuesta orientativa: La independencia y la presentación imparcial de las conclusiones.

¿QUÉ CAMBIARÍA SI…?

el auditor solo participa como especialista técnico y no decide el hallazgo?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Tienes una política aprobada y tres entrevistas coherentes. ¿Tienes evidencia suficiente para concluir que el control opera?

Distingue diseño, implantación y operación. Una explicación consistente orienta la muestra, pero no siempre cierra la conclusión.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Los 7 principios de la auditoría

  2. 02

    Integridad y presentación justa

  3. 03

    Diligencia profesional y confidencialidad

El siguiente paso es entender
el proceso de auditoría
Siguiente módulo: El Proceso de Auditoría
← Anterior Continuar →