El plan es importante.
La ejecución es lo que determina si la auditoría aporta valor.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 🎯 | Confirmar el acuerdo de todos los participantes con el plan de auditoría. |
| 👥 | Presentar el equipo auditor y sus roles. |
| 📋 | Presentar los objetivos, alcance, criterios y métodos de auditoría. |
| 📢 | Confirmar los canales de comunicación formales. |
| 🔒 | Informar sobre confidencialidad, seguridad y acceso. |
| 💬 | Entrevistas. Con personas de niveles apropiados, en horario normal y en su lugar de trabajo. |
| 👀 | Observación de actividades. Ver cómo se hacen realmente las cosas, no solo leer procedimientos. |
| 📄 | Revisión de documentos y registros. Políticas, procedimientos, registros de formación, logs, etc. |
| 📊 | Análisis de datos. Indicadores, tendencias, informes de incidentes, resultados de mediciones. |
| 😊 | Ser amable y hacer sentir cómoda a la persona entrevistada. |
| 📖 | Explicar el motivo de la entrevista y por qué se toman notas. |
| 🗣️ | Comenzar con una descripción general de las actividades. |
| ❓ | Evitar preguntas inductivas (que se respondan con sí/no). Usar preguntas abiertas. |
| 🙏 | Agradecer a la persona entrevistada su participación y cooperación. |
| 📋 | ¿Se han realizado auditorías internas? (Si no, ¿por qué?) |
| 📜 | ¿Existe una política del sistema de gestión? ¿Dónde? |
| 📢 | ¿Se ha comunicado el sistema de gestión? ¿Cómo? |
| 🔍 | ¿El proceso se ejecuta como está documentado? ¿Puede mostrármelo? |
| 📝 | ¿Dónde se registra esta información? ¿Qué procedimiento se sigue? |
| ⚖️ | ¿Cumple la organización con los requisitos legales aplicables? ¿Cómo lo demuestra? |
| 🎯 | Realizar primero las actividades más complejas o difíciles. |
| 👥 | Delegar tareas a otros auditores. |
| ⚡ | Adquirir el hábito de hacer las cosas inmediatamente. |
| 😴 | Conocer la curva de fatiga del auditado y del auditor. |
| ⌛ | Establecer límites de tiempo y cumplirlos. |
| 🚫 | El responsable no acude a la reunión. Registrar la ausencia y comunicar al líder del programa. |
| 📋 | El auditado se desvía de la pregunta. Reformular la pregunta con amabilidad. |
| 📉 | El auditado proporciona poca información. Solicitar ejemplos concretos o registros. |
| 🔁 | El auditado reformula la pregunta del auditor. Aclarar que la pregunta es sobre X, no sobre Y. |
| 🤔 | El auditado pregunta al auditor: "lo que usted pregunta no tiene sentido". Mantener la calma, explicar el propósito y, si procede, replantear. |
| 1 | La reunión de apertura alinea expectativas y reduce tensiones. |
| 2 | Las evidencias se obtienen mediante entrevistas, observación y revisión documental. |
| 3 | Las entrevistas deben ser amables, abiertas y con preguntas no inductivas. |
| 4 | Gestionar el tiempo y las situaciones difíciles es parte del trabajo del auditor. |
| 5 | La comunicación continua con el auditado es clave para el éxito de la auditoría. |
Este módulo debe utilizarse dentro de planificación, ejecución y comunicación de auditorías de sistemas de gestión de seguridad. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Ejecución de la Auditoría», comienza delimitando criterio, evidencia, muestreo, independencia y comunicación de conclusiones. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Equipo auditor, auditado, Dirección, Seguridad, Riesgos, Operaciones y propietarios de controles. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un SGSI declara un control implantado, pero la evidencia disponible cubre solo una parte de la población y del periodo auditado. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta criterio, evidencia, muestreo, independencia y comunicación de conclusiones.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
En la ejecución, el auditado enseña un dashboard de parches al 98 %. La muestra independiente revela que 14 servidores críticos no reportan a la consola.
CMDB, SCCM, scanner externo, servidores Windows y Linux.
¿Cuál es el problema principal del 98 %?
Respuesta orientativa: Puede ser correcto sobre una población incompleta y por tanto inducir a una conclusión falsa.
los 14 servidores están segmentados y gestionados manualmente?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Distingue diseño, implantación y operación. Una explicación consistente orienta la muestra, pero no siempre cierra la conclusión.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
La reunión de apertura
Métodos para recolectar evidencias
Cómo realizar entrevistas efectivas