GRCreal // expediente: academia curso: ISO 42001 Lead Auditor
CLÁUSULA 7 · RECURSOS · COMPETENCIA · COMUNICACIÓN
Módulo 5

Soporte del SGIA

El mejor SGIA del mundo no sirve de nada
si las personas no son competentes ni están concienciadas.

MÓDULO 05 / 10ISO 42001 · Lead Auditor IA
FOCOSoporte del SGIA

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Cláusula 7.1
Recursos para el SGIA
La organización debe determinar y proporcionar los recursos necesarios para el establecimiento, implementación, mantenimiento y mejora continua del SGIA.
“Un SGIA sin recursos es un documento, no un sistema de gestión.”
Principio auditor
💰Recursos financieros · Presupuesto asignado a actividades del SGIA: herramientas de monitoreo, personal dedicado, formación, consultoría.
👥Recursos humanos: Personal con dedicación adecuada para gestionar riesgos de IA, operar controles, realizar auditorías internas, atender incidentes.
🛠️Recursos técnicos · Herramientas para monitoreo de deriva, detección de sesgo, logging de decisiones, plataformas de gestión de riesgos.
Cláusula 7.2
Competencia: el control preventivo más importante
La competencia no es un requisito administrativo. Es un control preventivo. En un SGIA, las personas que toman decisiones sobre datos, modelos y supervisión deben tener conocimiento demostrable.
“Un modelo técnicamente perfecto puede generar riesgo sistémico si quienes lo gestionan no entienden sus implicaciones.”
ISO 42001 - Enfoque en competencia
📋Qué verificar · ¿Se ha determinado la competencia necesaria para cada rol? ¿Las personas son competentes (educación, formación, experiencia)? ¿Hay evidencia documentada?
🎓Competencias específicas IA: Comprensión de riesgos de IA (sesgo, deriva, explicabilidad), conocimiento del ciclo de vida de sistemas IA, capacidad para interpretar métricas de modelos, conciencia ética.
Evidencia no es solo certificados: El auditor debe buscar evidencia de aplicación práctica: decisiones tomadas, incidentes gestionados, evaluaciones de impacto realizadas.
Cláusula 7.3
Concienciación: que todo el mundo sepa lo que importa
Las personas que realizan trabajos bajo el control de la organización deben ser conscientes de la política de IA, su contribución a la eficacia del SGIA y las implicaciones de no cumplir los requisitos.
🧠Niveles de concienciación · Alta dirección: estrategia y riesgos; Equipo técnico: controles y métricas; Usuarios de IA: limitaciones y sesgos; Proveedores: requisitos contractuales.
📋Evidencias: Plan de concienciación, registros de formación, entrevistas para verificar comprensión real (no solo asistencia), comunicación interna sobre política de IA.
Cláusula 7.4
Comunicación interna y externa
La organización debe determinar las comunicaciones internas y externas relevantes para el SGIA: qué comunicar, cuándo, con quién y cómo.
“Una falla comunicacional puede amplificar el impacto de un riesgo de IA ya materializado.”
Lección de auditoría
📢Comunicación externa crítica · Notificación a usuarios cuando una decisión es automatizada, explicación de decisiones denegatorias, reporte de incidentes a reguladores si aplica.
📋Evidencias: Política de comunicación, registros de notificaciones, protocolo de comunicación de incidentes, evidencia de simulaciones del protocolo.
Cláusula 7.5
Información documentada: la memoria del SGIA
La información documentada debe incluir la requerida por ISO 42001 y la que la organización determina como necesaria para la eficacia del SGIA. Debe ser controlada, actualizada y accesible.
📄Documentos obligatorios mínimos · Alcance del SGIA, política de IA, objetivos de IA, criterios de riesgo de IA, proceso de evaluación de riesgos, SoA, plan de tratamiento de riesgos.
🔒Control de documentos: El auditor verifica identificación (título, fecha, versión, autor), aprobación, acceso controlado, cambios trazables, retención y disposición.
Error típico: Documentación desactualizada. Una SoA que no refleja los controles reales invalida la trazabilidad riesgo-control.
Caso auditor
Fallas en soporte que debilitan el SGIA
Escenario: Una organización ha implementado un SGIA, pero en auditoría se detectan múltiples debilidades de soporte. Hallazgos: - El equipo de desarrollo de IA no tiene formación en riesgos éticos de IA (competencia deficiente). - Los empleados desconocen la política de IA y no saben cómo reportar un incidente de sesgo (concienciación nula). - No existe protocolo de comunicación con usuarios afectados por decisiones automatizadas. - La SoA está desactualizada (versión de hace 18 meses) y no refleja nuevos controles implementados.
“El SGIA existe en documentos, pero no vive en la organización. Las personas no lo conocen ni lo aplican.”
Conclusión del auditor
Clasificación: No Conformidad Mayor por falla sistémica en soporte. El SGIA no está integrado en la cultura operativa. Cláusulas afectadas: 7.2 (Competencia), 7.3 (Concienciación), 7.4 (Comunicación), 7.5 (Información documentada).
Resumen del módulo
Lo que debes llevarte de aquí
1La organización debe proporcionar recursos (financieros, humanos, técnicos) para el SGIA.
2La competencia (7.2) es un control preventivo. El auditor busca evidencia de aplicación práctica, no solo certificados.
3La concienciación (7.3) se verifica con entrevistas, no solo con registros de formación.
4La comunicación (7.4) debe incluir canales externos para usuarios afectados por decisiones automatizadas.
5La información documentada (7.5) debe estar controlada, actualizada y accesible. Una SoA desactualizada es una debilidad crítica.
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de auditoría del sistema de gestión de IA, riesgos, impactos, ciclo de vida y supervisión. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Soporte del SGIA», comienza delimitando finalidad, origen de datos, versión, pruebas, supervisión y cambio. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Equipo auditor, Dirección, responsables de IA, Datos, Producto, Riesgos, Legal y Seguridad. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • alcance del AIMS e inventario de sistemas de IA
  • riesgos e impactos evaluados
  • roles, responsabilidades y criterios de uso
  • documentación del ciclo de vida, pruebas y cambios
  • monitorización, incidentes, revisión y mejora
CASO DE REVISIÓN

Aplicación de «Soporte del SGIA»

Escenario: un sistema de IA cambia de modelo y datos, pero la organización mantiene la evaluación y documentación de la versión anterior. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta finalidad, origen de datos, versión, pruebas, supervisión y cambio.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • auditar solo el modelo y olvidar el sistema completo
  • tratar la evaluación de impacto como documento único
  • ignorar cambios de versión, datos o finalidad
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Soporte del SGIA»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Soporte del SGIA

Los usuarios reciben una decisión asistida por IA sin saber qué papel ha tenido el sistema.

CONTEXTO TÉCNICO

Interfaz, aviso, explicación y revisión humana.

DECISIÓN

  • Evaluar transparencia adecuada al contexto.
  • Asignar responsable y fecha de revisión.
  • Definir prueba de eficacia.

EVIDENCIA

  • Mensajes, instrucciones, registros y reclamaciones.
  • Corroborar con una segunda fuente.
  • Conservar periodo, población y propietario.

ERROR A EVITAR

  • Usar un aviso genérico.
  • Aceptar afirmaciones sin prueba.
  • Cerrar acciones sin verificación.
MINI EJERCICIO RESUELTO

¿Qué debe comprender el usuario?

Respuesta orientativa: Que interviene IA y cómo puede solicitar revisión.

¿QUÉ CAMBIARÍA SI…?

la decisión no produce efectos adversos?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Estás auditando «Soporte del SGIA» y todo parece razonable. ¿Qué evidencia te faltaría para defender la conclusión ante otro auditor?

Piensa en criterio, población, muestra y corroboración. La pregunta no es si te convence, sino si puede reconstruirse.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Recursos para el SGIA

  2. 02

    Competencia: el control preventivo más importante

  3. 03

    Concienciación: que todo el mundo sepa lo que importa

El siguiente paso es entrar en
la operación del SGIA
Siguiente módulo: Operación y Controles del Anexo A (Cláusula 8)
← Anterior Continuar →