Una auditoría no es un evento.
Es un proceso con fases claras y secuenciales.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 1️⃣ | Inicio de la auditoría. Contacto inicial con el auditado, confirmación de viabilidad, revisión de documentación.} |
| 2️⃣ | Planificación. Elaboración del plan de auditoría, asignación de roles, preparación de documentos de trabajo.} |
| 3️⃣ | Ejecución. Reunión de apertura, recolección de evidencias, entrevistas, revisión de registros.} |
| 4️⃣ | Informe. Elaboración del informe de auditoría, reunión de cierre, distribución del informe.} |
| 5️⃣ | Seguimiento. Verificación de la eficacia de las acciones correctivas, cierre de la auditoría. |
| 📞 | Confirmar los canales de comunicación con los representantes del auditado.} |
| ✅ | Confirmar su autoridad para realizar la auditoría.} |
| 📋 | Proporcionar información relevante sobre objetivos, alcance, criterios y métodos.} |
| 🔒 | Acordar el alcance de la divulgación y el tratamiento de la información confidencial.} |
| ⚠️ | Determinar cualquier área de interés, preocupación o riesgo para el auditado en relación con la auditoría específica. |
| 📄 | Disponibilidad de información suficiente y adecuada para planificar y realizar la auditoría.} |
| 🤝 | Cooperación adecuada con el auditado.} |
| ⏰ | Tiempo y recursos suficientes para realizar la auditoría. |
| 🔍 | Recopilar información para comprender la operación del auditado y preparar las actividades de auditoría.} |
| 📋 | Establecer una visión general del alcance de la información documentada para determinar la posible conformidad con los criterios de auditoría y detectar áreas de preocupación. |
| 🎯 | Objetivos de la auditoría.} |
| 📏 | Alcance de la auditoría (identificación de la organización, funciones y procesos a auditar).} |
| 📋 | Criterios de auditoría y cualquier información documentada de referencia.} |
| 📍 | Ubicaciones físicas y virtuales, fechas, hora prevista y duración.} |
| 👥 | Miembros del equipo auditor, guías y observadores.} |
| 📊 | Asignación de recursos apropiados (considerando riesgos y oportunidades).} |
| 🗣️ | Idioma de trabajo y del informe, si es diferente. |
| 1 | El proceso de auditoría tiene fases claras: inicio, planificación, ejecución, informe y seguimiento.} |
| 2 | La viabilidad debe comprobarse antes de continuar. No todas las auditorías son viables.} |
| 3 | El plan de auditoría es el documento que guía toda la auditoría. Debe ser aprobado.} |
| 4 | La revisión documental inicial es clave para identificar áreas de preocupación antes de la visita. |
Este módulo debe utilizarse dentro de planificación, ejecución y comunicación de auditorías de sistemas de gestión de seguridad. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «El Proceso de Auditoría», comienza delimitando criterio, evidencia, muestreo, independencia y comunicación de conclusiones. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Equipo auditor, auditado, Dirección, Seguridad, Riesgos, Operaciones y propietarios de controles. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un SGSI declara un control implantado, pero la evidencia disponible cubre solo una parte de la población y del periodo auditado. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta criterio, evidencia, muestreo, independencia y comunicación de conclusiones.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
Una entidad financiera inicia una auditoría sin reunión de apertura ni plan detallado. Cada auditor solicita evidencias diferentes y dos áreas reciben preguntas duplicadas.
Auditoría multisede sobre IAM, gestión de cambios, backup y proveedores.
¿Qué documento habría evitado la duplicidad de solicitudes?
Respuesta orientativa: Un plan de auditoría con agenda, responsables, procesos y criterios asignados.
aparece un riesgo crítico no contemplado en el plan?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Distingue diseño, implantación y operación. Una explicación consistente orienta la muestra, pero no siempre cierra la conclusión.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Las fases del proceso de auditoría
Inicio de la auditoría
Determinación de la viabilidad de la auditoría