Después de leerlo, podrá planificar un programa de auditoría, realizar una auditoría de principio a fin y dar seguimiento a lo que encuentra.
Definición
La ISO 19011 define la auditoría como un proceso sistemático, independiente y documentado para obtener evidencias y evaluarlas de forma objetiva, con el fin de determinar en qué medida se cumplen los criterios. La cláusula 9.2 de la ISO/IEC 27001 exige auditorías internas a intervalos planificados.
Las Normas Globales de Auditoría Interna del IIA rigen la propia profesión, que llega más lejos en la gobernanza y la gestión de riesgos.
Por qué importa
Encuentra los problemas mientras aún le corresponde a usted corregirlos, antes de que lo haga un organismo de certificación, una autoridad o un incidente.
También da a la dirección una visión que no procede de las personas que llevan el proceso.
Cómo funciona
Construya primero el programa: qué áreas, con qué frecuencia y por qué. Dé prioridad a lo que conlleva más riesgo o ha cambiado hace poco, y elija auditores que no vayan a revisar su propio trabajo.
Para cada auditoría, fije los objetivos, el alcance y los criterios. Lea los documentos, luego entreviste a las personas, observe el trabajo y muestree los registros.
Informe de los hallazgos con sus evidencias y celebre una reunión de cierre. Después siga las acciones correctivas hasta el final y compruebe que funcionaron.
Un caso práctico
Una empresa de 150 personas audita la gestión de accesos según la ISO/IEC 27001, con un auditor de su equipo financiero. El plan abarca tres sistemas en dos días.
De 25 bajas muestreadas, 2 conservaron sus accesos más de un mes. El hallazgo expone el criterio, la evidencia y el efecto. El responsable de informática se compromete a una acción correctiva para el 30 de abril, y el auditor la verifica en junio.
Buenas prácticas
- Comunique de antemano el alcance y las fechas al equipo auditado. Una auditoría no es una emboscada.
- Registre la muestra y cómo la eligió, para que otra persona pudiera repetirla.
- Informe de las buenas prácticas además de las carencias. La gente colabora más con un auditor que se fija en lo que funciona.
- Espere un periodo de funcionamiento antes de comprobar una acción correctiva.
Errores frecuentes
- Dejar que las personas auditen su propio trabajo, por pequeño que sea el equipo.
- Apoyarse en entrevistas sin registros que las respalden.
- Informar de opiniones sin un criterio asociado, lo que convierte la reunión de cierre en un debate.
- Cerrar una acción porque alguien dice que está hecha.
Preguntas
- ¿Con qué frecuencia debe hacerse una auditoría interna?
- A intervalos planificados que usted fija. La ISO/IEC 27001 no establece un número, aunque es habitual un programa anual que cubra todo el sistema dentro del ciclo de certificación.
- ¿Puede una empresa pequeña auditarse a sí misma?
- Sí, si el auditor es objetivo e imparcial. Sirven tanto personal de otro departamento como un auditor externo.
- ¿Qué diferencia hay entre auditoría interna y externa?
- La primera la encarga la empresa para sí misma. La segunda la realiza un cliente, una autoridad o un organismo de certificación.
- ¿Qué es el modelo de las tres líneas?
- Un modelo del IIA en el que la dirección es dueña de los riesgos, las funciones de segunda línea los apoyan y supervisan, y la auditoría interna aporta un aseguramiento independiente.
- ¿Qué extensión debe tener un informe de auditoría?
- Tan breve como lo permita la claridad: alcance, criterios, conclusión, hallazgos con sus evidencias y acciones acordadas.