En una auditoría, cada persona tiene un rol.
Saber quién hace qué es clave para el éxito.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 📋 | Asignar tareas a cada miembro del equipo auditor. |
| 📝 | Elaborar y presentar el plan de auditoría. |
| 🤝 | Gestionar la comunicación con el auditado y el cliente. |
| 📊 | Revisar los hallazgos y preparar las conclusiones. |
| 📄 | Elaborar y presentar el informe final de auditoría. |
| 👤 | Auditor. Persona que realiza la auditoría. Debe ser competente e independiente.} |
| 📚 | Auditor en formación. Acompaña al equipo para adquirir experiencia. No actúa de forma independiente.} |
| 🔧 | Experto técnico. Proporciona conocimientos específicos (ej: cifrado, redes, legal). No actúa como auditor.} |
| 👁️ | Observador. Persona que acompaña al equipo pero no actúa como auditor. Debe ser aprobado por el auditado. |
| 🏢 | Auditado. Organización que es auditada. Designa un representante y, si es necesario, guías para acompañar al equipo auditor.} |
| 📞 | Cliente de la auditoría. Organización o persona que solicita la auditoría. En auditorías internas puede ser el propio auditado o quien gestiona el programa. |
| 🧭 | Ayudar a los auditores a identificar personas para entrevistar y confirmar horarios.} |
| 🔑 | Gestionar el acceso a ubicaciones específicas del auditado.} |
| ⚠️ | Garantizar que los miembros del equipo auditor y observadores conozcan y respeten las normas de seguridad y confidencialidad.} |
| 📝 | Proporcionar aclaraciones o ayudar a recopilar información cuando sea necesario. |
| 🧠 | Cualidades personales: diplomacia, sinceridad, percepción, persistencia, adaptabilidad, decisión, integridad.} |
| 📚 | Conocimientos genéricos: principios de auditoría, planificación, organización, códigos legales aplicables.} |
| 🎓 | Formación y experiencia: educación adecuada, experiencia laboral, formación como auditor, experiencia en auditorías.} |
| 🔄 | Mantener y mejorar continuamente sus habilidades y competencias. |
| 1 | El auditor líder gestiona la auditoría y garantiza que se alcancen los objetivos.} |
| 2 | El equipo auditor puede incluir auditores, auditores en formación y expertos técnicos.} |
| 3 | El guía facilita el acceso pero no proporciona evidencias. El auditor verifica.} |
| 4 | Un auditor debe tener cualidades personales, conocimientos y experiencia. La competencia se evalúa y mantiene. |
Este módulo debe utilizarse dentro de planificación, ejecución y comunicación de auditorías de sistemas de gestión de seguridad. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Roles y Responsabilidades», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Equipo auditor, auditado, Dirección, Seguridad, Riesgos, Operaciones y propietarios de controles. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un SGSI declara un control implantado, pero la evidencia disponible cubre solo una parte de la población y del periodo auditado. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
El auditor jefe delega la redacción de hallazgos en un especialista externo, pero nadie revisa si están vinculados al criterio de auditoría.
Equipo mixto con auditor jefe, auditores internos y especialista cloud.
¿Quién responde finalmente de la coherencia del informe?
Respuesta orientativa: El auditor jefe, aunque utilice especialistas.
el especialista detecta una exposición crítica fuera de su ámbito asignado?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Sigue una decisión real: excepción, aceptación, escalado o priorización.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
El auditor líder
El equipo auditor y sus miembros
Auditado y cliente de la auditoría