Una auditoría aislada no mejora nada.
Un programa de auditoría, bien gestionado, sí.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| a | Necesidades y expectativas de las partes interesadas pertinentes.} |
| b | Características y requisitos de procesos, productos, servicios y proyectos.} |
| c | Requisitos del sistema de gestión.} |
| d | Evaluación de necesidades de proveedores externos.} |
| e | Nivel de desempeño y madurez del sistema de gestión del auditado.} |
| f | Resultados de auditorías anteriores. |
| 📋 | Planificación: No determinar objetivos relevantes, alcance, duración, ubicación.} |
| 💰 | Recursos: Tiempo insuficiente, recursos inadecuados.} |
| 👥 | Selección del equipo: Competencia global insuficiente.} |
| 📢 | Comunicación: Canales de comunicación ineficientes.} |
| 🤝 | Cooperación del auditado. Disponibilidad de evidencias. |
| 💰 | Recursos financieros y tiempo necesario.} |
| 👥 | Disponibilidad de auditores y expertos técnicos con las competencias requeridas.} |
| ✈️ | Tiempo y coste de viajes, alojamiento.} |
| 💻 | Disponibilidad de tecnologías para auditoría remota.} |
| 🔧 | Herramientas, equipos y documentación requerida. |
| 📢 | Informar a las partes pertinentes sobre el programa.} |
| 🎯 | Definir objetivos, alcance y criterios para cada auditoría individual.} |
| 🔍 | Seleccionar los métodos de auditoría.} |
| 📅 | Coordinar y programar auditorías.} |
| ✅ | Garantizar que los equipos auditores tengan la competencia requerida. |
| 📊 | Resultados del seguimiento y tendencias.} |
| 📋 | Conformidad con los procesos del programa.} |
| 👥 | Evolución de las necesidades y expectativas de las partes interesadas.} |
| 🆕 | Métodos de auditoría alternativos o nuevos. |
| 1 | Un programa de auditoría es un conjunto de auditorías planificadas para un período determinado.} |
| 2 | Los objetivos del programa deben alinearse con la estrategia de la organización.} |
| 3 | Hay riesgos asociados al programa que deben identificarse y gestionarse.} |
| 4 | El programa debe revisarse periódicamente para identificar oportunidades de mejora. |
Este módulo debe utilizarse dentro de planificación, ejecución y comunicación de auditorías de sistemas de gestión de seguridad. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Gestión del Programa de Auditoría», comienza delimitando criterio, evidencia, muestreo, independencia y comunicación de conclusiones. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Equipo auditor, auditado, Dirección, Seguridad, Riesgos, Operaciones y propietarios de controles. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un SGSI declara un control implantado, pero la evidencia disponible cubre solo una parte de la población y del periodo auditado. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta criterio, evidencia, muestreo, independencia y comunicación de conclusiones.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
La organización audita cada año los mismos controles porque son los más fáciles de revisar. Gestión de proveedores y desarrollo seguro llevan tres años sin incluirse.
Programa anual sobre cinco sedes y procesos con riesgos distintos.
¿Qué justifica aumentar la frecuencia de un proceso?
Respuesta orientativa: Mayor riesgo, cambios relevantes, incidentes o hallazgos recurrentes.
el área excluida acaba de cambiar de proveedor crítico?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Distingue diseño, implantación y operación. Una explicación consistente orienta la muestra, pero no siempre cierra la conclusión.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Qué es un programa de auditoría
Establecer los objetivos del programa
Riesgos y oportunidades del programa