La certificación no es la meta.
Es el comienzo de un ciclo sin fin.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 1️⃣ | Decidir si la acción correctiva es necesaria según los criterios establecidos |
| 2️⃣ | Revisar la no conformidad considerando si se han registrado no conformidades similares |
| 3️⃣ | Realizar un análisis exhaustivo de la causa de la no conformidad |
| 4️⃣ | Analizar las consecuencias potenciales en el SGSI |
| 5️⃣ | Determinar las acciones necesarias para corregir la causa |
| 6️⃣ | Planificar las acciones correctivas priorizando según riesgo |
| 7️⃣ | Implementar las acciones correctivas según el plan |
| 8️⃣ | Evaluar las acciones correctivas para determinar si han abordado la causa y prevenido la recurrencia |
| 📋 | Políticas aprobadas pero no comunicadas ni seguidas |
| 📊 | Análisis de riesgos desactualizado (más de un año sin revisión) |
| 🔧 | Controles documentados pero no implementados |
| 👔 | Falta de evidencia de revisión por la dirección |
| 🎓 | Personal sin la competencia requerida para su rol |
| 📝 | Registros de auditoría interna incompletos o inexistentes |
| 🌍 | Las cuestiones externas e internas identificadas (cláusula 4.1) |
| 🤝 | Los requisitos de las partes interesadas (cláusula 4.2) |
| 📊 | Los resultados de la evaluación del desempeño (cláusula 9) |
| 🔄 | Los hallazgos de la gestión de no conformidades y acciones correctivas |
| 📋 | Planificar (Plan). Establecer el SGSI, los objetivos, los procesos y los recursos necesarios. Identificar riesgos y controles. |
| ⚙️ | Hacer (Do). Implementar y operar los procesos planificados. Ejecutar los controles. |
| 🔍 | Verificar (Check). Monitorear, medir y evaluar el desempeño contra la política y los objetivos. |
| 🔄 | Actuar (Act). Tomar acciones para mejorar continuamente el desempeño del SGSI. |
| 1 | Una no conformidad es una oportunidad de mejora, no un fracaso |
| 2 | Las acciones correctivas deben identificar y eliminar la causa raíz, no solo el síntoma |
| 3 | La mejora continua debe basarse en evidencias y métricas |
| 4 | El ciclo PHVA es el motor del SGSI |
| 5 | El SGSI no termina con la certificación. Solo empieza. |
Este módulo debe utilizarse dentro de diseño, implantación, operación y mejora de un SGSI basado en riesgos. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Mejora: nunca termina», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Seguridad, Riesgos, Tecnología, Legal, Personas y propietarios de activos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: una organización quiere implantar ISO 27001 y comienza por redactar políticas sin haber definido alcance, contexto ni riesgos. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
Las auditorías repiten el mismo hallazgo sobre accesos privilegiados. Cada año se actualiza el procedimiento, pero no cambia el proceso técnico.
PAM, AD, cuentas de emergencia, revisiones y tickets.
¿Qué evidencia permitiría cerrar definitivamente el hallazgo?
Respuesta orientativa: Una muestra posterior que demuestre operación correcta y sostenida.
la solución definitiva requiere un proyecto de doce meses?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Busca propietario, frecuencia, ejecución, desviaciones y evidencia producida por el proceso normal.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
No conformidad y acción correctiva
Pasos para la acción correctiva
No conformidades típicas en un SGSI