Auditar no es rellenar checklists.
Es recopilar evidencia, evaluarla y emitir un juicio defendible.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 1 | Integridad. Ser honesto, responsable y ético. Resistir influencias sobre el juicio. La base del profesionalismo.} |
| 2 | Presentación justa. Informar de manera veraz, precisa y completa. Reportar obstáculos y opiniones divergentes. |
| 3 | Diligencia profesional. Aplicar el criterio y la atención necesaria según la importancia de la tarea. No concluir sin evidencia suficiente.} |
| 4 | Confidencialidad. Proteger la información obtenida durante la auditoría. No usarla indebidamente. |
| 5 | Independencia. Ser imparcial y estar libre de prejuicios o conflictos de interés. No auditar el propio trabajo.} |
| 6 | Enfoque basado en la evidencia. Las conclusiones deben basarse en evidencias verificables, no en opiniones. Triangulación. |
| 7 | Enfoque basado en riesgos. Considerar los riesgos y oportunidades que afectan al logro de los objetivos de la auditoría. Priorizar muestreo.} |
| 📋 | Qué verificar · ¿El programa cubre todos los procesos críticos del SGIA? ¿La frecuencia es adecuada al riesgo? ¿Hay recursos asignados?} |
| 🔄 | Priorización: Sistemas IA de alto impacto (crédito, selección, diagnóstico) deben auditarse con mayor frecuencia. Cambios recientes (modelos, proveedores) también disparan auditoría. |
| 🎯 | Objetivos · ¿Qué se quiere lograr? Ejemplo: "Evaluar la conformidad de la evaluación de riesgos de IA con Cláusula 6.1."} |
| 📏 | Alcance: ¿Qué procesos, sistemas IA, ubicaciones y período se auditan? ¿Las exclusiones están justificadas? |
| 📋 | Criterios · ¿Contra qué se audita? (ISO 42001, política de IA, procedimientos internos, requisitos legales).} |
| 🔍 | Métodos: ¿Documentos, entrevistas, observación? ¿Auditoría presencial, remota o mixta? |
| 🎯 | Criterios de priorización · Sistemas IA de alto impacto, controles críticos (supervisión humana, monitoreo de sesgo), cambios recientes, incidentes previos, quejas de partes interesadas.} |
| 📊 | Tamaño de muestra: Debe ser suficiente para detectar fallos significativos. Si el riesgo es alto, la muestra debe ser mayor. Si se detectan fallos, se amplía. |
| 📄 | Evidencia documental · Políticas, procedimientos, SoA, matrices de riesgos, informes de evaluación de impacto, actas.} |
| 💬 | Evidencia testimonial: Entrevistas. Deben triangularse con documentos o registros. Una entrevista sola es débil. |
| 🔧 | Evidencia operacional · Logs, métricas (precisión, sesgo, deriva), tickets de incidentes, registros de cambios, capturas de sistema.} |
| 1️⃣ | Documento · El procedimiento dice que se monitorea el sesgo mensualmente.} |
| 2️⃣ | Entrevista: El responsable confirma que se hace. |
| 3️⃣ | Registro · Se revisan los informes de los últimos 6 meses y se confirma la ejecución.} |
| 📋 | Ejemplo de registro completo · "Informe de monitoreo de sesgo, enero 2025, elaborado por Data Team, versión 1.2. Se revisó el PDF en carpeta compartida. Se detectó que el umbral de sesgo se superó en subgrupo de edad >50 sin acción documentada."} |
| ❌ | Registro débil: "El sesgo no se mide bien." (Sin fuente, fecha, ni evidencia específica). |
| 📢 | Apertura · Confirmar plan, presentar equipo, explicar métodos, confirmar confidencialidad, acordar canales de comunicación.} |
| 📝 | Cierre: Presentar hallazgos (conformidades, NC, OM), explicar conclusiones, acordar plazos para acciones correctivas, aclarar que la auditoría se basa en una muestra. |
| 📋 | Contenido mínimo · Objetivos, alcance, criterios, equipo auditor, fechas, hallazgos (con evidencia), conclusiones, declaración de muestreo.} |
| 📤 | Distribución: Al cliente de auditoría, al auditado y a otras partes interesadas según lo acordado. Confidencialidad garantizada. |
| 🔁 | Qué verificar · ¿El auditado implementó las acciones en el plazo acordado? ¿Hay evidencia? ¿La acción correctiva elimina la causa raíz?} |
| ✅ | Verificación de eficacia: Nueva medición, nuevo muestreo o auditoría de seguimiento. Sin eficacia verificada, la NC no se cierra. |
| 1 | Los 7 principios de auditoría (ISO 19011) aplican al SGIA: integridad, independencia, evidencia, riesgos, etc.} |
| 2 | El programa de auditoría debe priorizar por riesgo: sistemas IA de alto impacto, controles críticos, cambios recientes. |
| 3 | El plan de auditoría define objetivos, alcance, criterios, métodos y muestreo. Sin plan claro, la auditoría es improvisación.} |
| 4 | La evidencia debe ser suficiente, apropiada y triangulada (documento + entrevista + registro). |
| 5 | El informe debe ser completo, preciso y claro. El seguimiento verifica eficacia de acciones correctivas.} |
Este módulo debe utilizarse dentro de auditoría del sistema de gestión de IA, riesgos, impactos, ciclo de vida y supervisión. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Auditoría del SGIA», comienza delimitando criterio, evidencia, muestreo, independencia y comunicación de conclusiones. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Equipo auditor, Dirección, responsables de IA, Datos, Producto, Riesgos, Legal y Seguridad. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un sistema de IA cambia de modelo y datos, pero la organización mantiene la evaluación y documentación de la versión anterior. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta criterio, evidencia, muestreo, independencia y comunicación de conclusiones.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
El AIMS tiene documentación completa, pero los cambios de modelo no están trazados de extremo a extremo.
AIMS, MLOps, repositorios y despliegue.
¿Qué demuestra trazabilidad real?
Respuesta orientativa: La conexión entre versión, pruebas, aprobación y operación.
el cambio solo afecta a un parámetro de inferencia?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Distingue diseño, implantación y operación. Una explicación consistente orienta la muestra, pero no siempre cierra la conclusión.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Los 7 principios de auditoría
El programa de auditoría del SGIA
El plan de auditoría: de la intención a la ejecución