Una auditoría mal planificada es una auditoría condenada al fracaso.
La planificación es el 80% del éxito.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 📞 | Confirmar los canales de comunicación con los representantes del auditado. |
| ✅ | Confirmar su autoridad para realizar la auditoría. |
| 📋 | Proporcionar información relevante sobre objetivos, alcance, criterios, métodos y composición del equipo. |
| 🔒 | Acordar el alcance de la divulgación y tratamiento de información confidencial. |
| 📅 | Planificar la auditoría, incluyendo el calendario. |
| ⚠️ | Determinar cualquier área de interés, preocupación o riesgo para el auditado. |
| 📄 | Disponibilidad de información suficiente y adecuada para planificar y realizar la auditoría. |
| 🤝 | Cooperación adecuada con el auditado. |
| ⏰ | Tiempo y recursos suficientes para realizar la auditoría. |
| 🔍 | Recopilar información para comprender la operación del auditado y preparar las actividades de auditoría. |
| 📋 | Establecer una visión general del alcance de la información documentada para determinar la posible conformidad con los criterios de auditoría y detectar áreas de preocupación. |
| 1️⃣ | Objetivos de la auditoría. |
| 2️⃣ | Alcance de la auditoría (identificación de la organización, funciones y procesos). |
| 3️⃣ | Criterios de auditoría y cualquier información documentada de referencia. |
| 4️⃣ | Ubicaciones físicas y virtuales, fechas, hora prevista y duración. |
| 5️⃣ | Funciones y responsabilidades de los miembros del equipo auditor, guías y observadores. |
| 6️⃣ | Asignación de recursos apropiados basada en riesgos y oportunidades. |
| 7️⃣ | Idioma de trabajo y del informe (si es diferente al del auditor o auditado). |
| ✅ | Ventajas: Garantiza que no se omita algo importante, ayuda a dar continuidad a la auditoría, ayuda a planificar, identifica aspectos críticos, registra hallazgos. |
| ⚠️ | Precauciones: Los checklists preparados previamente pueden inhibir al auditor. El auditor puede omitir cuestiones importantes no incluidas en el checklist. |
| 1 | El contacto inicial define las reglas de la auditoría. |
| 2 | La viabilidad debe verificarse antes de continuar. |
| 3 | La revisión documental identifica áreas de preocupación antes de la visita. |
| 4 | El plan de auditoría es el documento que guía toda la auditoría. |
| 5 | El checklist es una ayuda, no una restricción. Úsalo con flexibilidad. |
Este módulo debe utilizarse dentro de planificación, ejecución y comunicación de auditorías de sistemas de gestión de seguridad. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Planificación de la Auditoría», comienza delimitando criterio, evidencia, muestreo, independencia y comunicación de conclusiones. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Equipo auditor, auditado, Dirección, Seguridad, Riesgos, Operaciones y propietarios de controles. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un SGSI declara un control implantado, pero la evidencia disponible cubre solo una parte de la población y del periodo auditado. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta criterio, evidencia, muestreo, independencia y comunicación de conclusiones.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
Se planifica una auditoría de una filial internacional en una jornada remota, aunque el alcance incluye CPD, personal local y un tercero de soporte.
Filial con red propia, infraestructura física, proveedor local y conexión corporativa.
¿Qué indicio muestra que una jornada es insuficiente?
Respuesta orientativa: La combinación de sedes, infraestructura, terceros y procesos distintos.
la filial aporta una auditoría reciente del proveedor local?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Distingue diseño, implantación y operación. Una explicación consistente orienta la muestra, pero no siempre cierra la conclusión.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Contacto inicial con el auditado
Determinación de la viabilidad
Revisión de la información documentada