Un hallazgo no es un reproche.
Es una oportunidad para mejorar.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| ✅ | Hallazgo de conformidad. Se cumple con el requisito. La implementación corresponde a la intención y es eficiente.} |
| ❌ | Hallazgo de no conformidad. No se cumple con el requisito. Hay una desviación entre lo que se requiere y lo que se hace. |
| 📈 | Oportunidad de mejora. No es una no conformidad, pero la organización podría mejorar su desempeño si lo aborda.} |
| 🔴Mayor | Afecta a la capacidad del SGSI para lograr los resultados previstos. Ausencia total o fallo grave de un requisito. Puede suspender la certificación.} |
| 🟡Menor | Fallo puntual o aislado. No afecta de forma significativa a la eficacia del SGSI. Puede corregirse sin afectar la certificación.} |
| 📋De oportunidad | Situación que no es una no conformidad pero que, si no se aborda, podría convertirse en una en el futuro. |
| 📄 | Documentación no encontrada o no disponible.} |
| 🎓 | Competencias del personal no evaluadas.} |
| 🔧 | Controles implementados de forma inadecuada.} |
| 🔁 | No conformidades de auditorías internas sin cierre eficaz.} |
| ⚠️ | Acciones correctivas sin revisión por la dirección.} |
| 📊 | Metodología de análisis de riesgos deficiente.} |
| 📋 | Incumplimiento de procedimientos documentados. |
| 1️⃣Evidencia | Lista de hallazgos respaldados con evidencia objetiva o presenciados por el auditado. Debe ser específica.} |
| 2️⃣Referencia | El requisito de la norma y/o del documento del auditado. Un requisito por vez, el más aplicable.} |
| 3️⃣Conclusión | Declaración clara, breve, precisa y aceptada por el auditado. |
| 👁️Observación | Situación que potencialmente podría generar una no conformidad si no se trata. Es una alerta temprana.} |
| 💡Oportunidad de mejora | Situación que no es una no conformidad pero que la organización puede revisar para mejorar la eficacia o eficiencia del proceso. |
| 🏆Buena práctica | Práctica destacable que el auditor puede recomendar para compartir en otras áreas. Aporta valor más allá de la conformidad.} |
| 1 | Un hallazgo puede ser conformidad, no conformidad, oportunidad de mejora o buena práctica.} |
| 2 | Las no conformidades se clasifican en mayores, menores o de oportunidad.} |
| 3 | Una no conformidad debe contener: evidencia + referencia + conclusión.} |
| 4 | Las observaciones y oportunidades de mejora aportan valor más allá de la simple conformidad. |
Este módulo debe utilizarse dentro de planificación, ejecución y comunicación de auditorías de sistemas de gestión de seguridad. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Hallazgos y No Conformidades», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Equipo auditor, auditado, Dirección, Seguridad, Riesgos, Operaciones y propietarios de controles. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un SGSI declara un control implantado, pero la evidencia disponible cubre solo una parte de la población y del periodo auditado. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
Tres equipos incumplen el mismo procedimiento de bajas. Cada caso aislado parece menor, pero todos dependen de un flujo manual sin control de cierre.
RR. HH., ServiceNow, Active Directory y aplicaciones SaaS.
¿Cuándo conviene agrupar los casos?
Respuesta orientativa: Cuando comparten requisito, causa o debilidad sistémica.
una de las cuentas activas pertenece a un administrador privilegiado?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Confirma criterio, condición y suficiencia de la muestra. Una sospecha útil todavía no es una conclusión defendible.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Qué es un hallazgo de auditoría
Tipos de no conformidades
No conformidades más frecuentes en SGSI