Después de leerlo, podrá redactar una lista que guíe la auditoría sin limitarla y que deje evidencias utilizables.
Definición
La ISO 19011 trata las listas de verificación como documentos de trabajo que ayudan al auditor a no perder el hilo, y advierte que no deben restringir la auditoría. Lo que surja por el camino sigue mereciendo seguimiento.
Por qué importa
Garantiza que se cubre el alcance y, después, muestra qué se comprobó y qué no.
Un auditor con menos experiencia gana además una estructura que mantiene su trabajo coherente.
Cómo funciona
Tome los criterios del alcance. Para cada uno, escriba lo que espera ver en la práctica, los documentos y registros que pedirá y las personas con quienes se reunirá.
Decida las muestras de antemano: cuántas, de qué periodo y cómo se elegirán.
Durante la auditoría, registre las evidencias con precisión, con el nombre del documento, la versión, la fecha y los números de los registros vistos. Cierre cada línea con un resultado.
Un caso práctico
Criterio: control 5.18 de la ISO/IEC 27001, derechos de acceso. El auditor espera una revisión anual firmada por los propietarios de los sistemas, y pide la última revisión del sistema financiero y la lista de las 15 personas que se incorporaron o cambiaron de función este año.
La evidencia es una revisión del 14 de febrero firmada por el director financiero, y 15 de 15 cambios de acceso aprobados. Resultado: conforme.
Buenas prácticas
- Describa la práctica que espera ver. Copiar el texto de la norma no aporta nada.
- Deje espacio en cada línea para registrar la evidencia.
- Prepare una versión nueva para cada auditoría, a partir de lo que encontró la anterior.
- Siga lo que descubra, aunque no esté en la lista.
Errores frecuentes
- Reutilizar la lista del año pasado sin mirar qué ha cambiado.
- Hacer preguntas cerradas y aceptar un sí. La gente tiende a responder lo que parece que usted quiere oír.
- Convertir la auditoría en rellenar un formulario, de modo que el auditor ya no levanta la vista de la hoja.
- Escribir «comprobado» sin referencia, lo que no deja nada en que apoyarse después.
Preguntas
- ¿Es obligatoria una lista de verificación de auditoría?
- No. La ISO 19011 la incluye entre los documentos de trabajo que un auditor puede preparar.
- ¿Debe compartirse la lista de antemano?
- El plan de auditoría se comparte. Enviar la lista de registros que hay que preparar ahorra tiempo, siempre que el auditor siga eligiendo las muestras sobre el terreno.
- ¿Cuántas líneas necesita una lista de verificación de auditoría?
- Tantas como el alcance y el tiempo permitan comprobar bien, que suelen ser muchas menos que el texto completo de la norma.
- ¿Qué tamaño de muestra es adecuado en una auditoría?
- Ninguna cifra única sirve. Depende de la población, del riesgo y de la frecuencia del control. Deje por escrito cómo eligió.
- ¿Pueden los resultados ser algo más que conforme o no conforme?
- Sí: conforme, no conforme, oportunidad de mejora y no auditado son todos resultados útiles.