La auditoría interna es el ensayo general de la certificación, pero también mucho más: es el mecanismo que tiene el SGSI para detectar sus propias fallas antes de que lo haga un auditor externo, un cliente o un incidente. Esta guía explica qué pide la norma, quién puede hacerla, cuánto cuesta en Latinoamérica y cómo llevarla adelante en 7 pasos.
Resumen rápido
- Es obligatoria: la exige la cláusula 9.2, y sin al menos una auditoría interna completa no se puede pasar la auditoría de certificación.
- Frecuencia: la norma no fija una; pide hacerla a intervalos planificados. Muchas empresas chicas hacen una completa por año.
- Quién la hace: alguien competente que no haya implementado lo que audita. Puede ser una persona del equipo, un auditor externo o alguien formado para eso.
- Cuánto dura: la norma no fija horas mínimas. En una empresa chica, como estimación, entre 16 y 40 horas de trabajo del auditor.
- Qué deja: un informe con hallazgos que se presenta a la dirección y alimenta las acciones correctivas.
Qué es la auditoría interna y en qué se diferencia de la externa
La auditoría interna es la revisión que la propia organización hace de su SGSI, con personal propio o un auditor contratado, para detectar desvíos y oportunidades de mejora antes de la auditoría externa. La de certificación, en cambio, la realiza un organismo acreditado y decide si se otorga o mantiene el certificado. Las diferencias principales:
| Auditoría interna | Auditoría de certificación | |
|---|---|---|
| Quién la hace | La organización, con personal propio o un auditor contratado | Un organismo certificador acreditado |
| Para qué | Detectar desvíos y oportunidades de mejora | Decidir si se otorga o mantiene el certificado |
| Resultado | Un informe para la dirección | Un informe de auditoría y la decisión de certificación |
| Cuándo | A intervalos que define la organización | Certificación inicial, seguimiento anual y recertificación |
Un auditor interno puede ser más exigente que uno externo, y conviene que lo sea: todo lo que encuentre y se corrija antes ya no aparece como no conformidad en la auditoría de certificación.
Qué exige ISO 27001 sobre la auditoría interna
La cláusula 9.2 de ISO 27001 exige un programa de auditoría interna con frecuencia, métodos y responsables definidos, auditores objetivos que no revisen su propio trabajo, resultados informados a la dirección y registros que lo demuestren. La norma no fija la frecuencia: la organización la define a intervalos planificados. En pocas palabras, pide:
- Un programa de auditoría que defina con qué frecuencia, con qué métodos y quién audita cada parte del SGSI, teniendo en cuenta la importancia de cada proceso y los resultados de auditorías anteriores.
- Criterios y alcance definidos para cada auditoría.
- Auditores objetivos e imparciales, que no auditen su propio trabajo.
- Resultados informados a la dirección que corresponda.
- Registros conservados del programa y de los resultados, como evidencia.
Descripción resumida con palabras propias. El texto oficial de la norma se adquiere a ISO o al organismo de normalización de cada país.
La auditoría interna se conecta con otras dos cláusulas: sus resultados son una entrada de la revisión por la dirección (cláusula 9.3), y sus hallazgos se resuelven con acciones correctivas (cláusula 10.2). Para hacerla, ISO publica dos guías no certificables: ISO 19011, para auditar sistemas de gestión en general, e ISO/IEC 27007, específica para el SGSI.
Con qué frecuencia hay que hacerla
La norma no fija una frecuencia. Pide que se haga a intervalos planificados, que define cada organización en su programa de auditoría. Lo que sí conviene asegurar, como recomienda ISO/IEC 27007, es que a lo largo del ciclo de certificación el programa cubra todas las cláusulas y todos los controles del Anexo A que aplican.
En la práctica, estos son los esquemas más habituales:
- Una auditoría completa por año
Lo más común en empresas chicas: se revisa todo el SGSI de una vez, antes de la revisión por la dirección.
- Auditorías por partes
En organizaciones más grandes, se auditan distintos procesos a lo largo del año, priorizando los más críticos.
- Antes de la certificación
El organismo certificador espera ver al menos una auditoría interna completa, con sus hallazgos tratados.
- Ante cambios importantes
Un producto nuevo, una sede o un incidente grave pueden justificar una auditoría adicional.
Quién puede hacer la auditoría interna
La condición clave es la independencia: quien audita no puede revisar controles que implementó o que opera. Además, tiene que conocer la norma y saber auditar. Hay tres caminos:
- Una persona del equipo
Funciona en organizaciones medianas, donde alguien de otra área puede auditar sin conflicto de intereses. En empresas chicas suele ser difícil, porque quienes conocen la norma son los mismos que la implementaron.
- Un auditor externo contratado
Es la opción más habitual en empresas chicas. Aporta independencia y experiencia, y su informe suele tener más peso ante la dirección.
- Formar a un auditor interno
Un curso de auditor interno de ISO 27001 dura entre 16 y 24 horas y en Chile cuesta menos de CLP 350.000 por persona, unos USD 370 (FideliNorm). Sirve si esa persona no participó en la implementación de lo que va a auditar.
Cuánto cuesta en Latinoamérica
| País | Referencia | En dólares |
|---|---|---|
| Chile | CLP 1,5 a 4 millones por ciclo, con consultor externo | USD 1.600 a 4.200 |
| México | MXN 10.000 a 20.000 al año | USD 600 a 1.200 |
| Argentina | 16 a 40 horas a unos USD 42,5 por hora | USD 680 a 1.700 |
Fuentes: FideliNorm (Chile), Capacitación de personal Mx (México) y propuesta de implementación en Argentina (2026). Valores sin impuestos. El detalle del resto de los costos está en la guía de costos.
Cómo hacer la auditoría interna en 7 pasos
1. Armar el programa de auditoría
Definir qué se va a auditar durante el año, cuándo y quién. Para una primera certificación, lo habitual es una auditoría que cubra todo el SGSI entre uno y dos meses antes de la Etapa 1, para tener margen de corregir lo que aparezca.
2. Planificar cada auditoría
El plan indica el alcance, los criterios (la norma, las políticas propias, los requisitos de clientes), las fechas, a quién se va a entrevistar y qué evidencia se va a pedir. Se comparte con las áreas involucradas con anticipación.
3. Revisar la documentación
El auditor lee el alcance, la política de seguridad, la evaluación de riesgos, el plan de tratamiento, la Declaración de Aplicabilidad y los procedimientos, para entender cómo debería funcionar el sistema antes de verificar cómo funciona.
4. Recolectar evidencia
Es el trabajo de campo: entrevistas con responsables y personal, revisión de registros y muestras (por ejemplo, altas y bajas de usuarios de los últimos meses, pruebas de restauración de copias de seguridad, registros de capacitación, incidentes gestionados).
5. Clasificar los hallazgos
Cada hallazgo se clasifica con el mismo criterio que usa la auditoría de certificación:
| Hallazgo | Qué significa |
|---|---|
| No conformidad mayor | Un requisito no se cumple o el sistema no logra su objetivo en un área |
| No conformidad menor | Un incumplimiento puntual que no compromete al sistema |
| Observación | Algo que podría convertirse en una no conformidad si no se atiende |
| Oportunidad de mejora | Algo que cumple, pero podría hacerse mejor |
6. Escribir el informe y presentarlo a la dirección
El informe resume el alcance, los criterios, el método, los hallazgos con su evidencia y las conclusiones. Se presenta a la dirección, que lo usa como entrada de la revisión por la dirección y decide los recursos para corregir.
7. Corregir y hacer seguimiento
Para cada no conformidad, se corrige el problema inmediato, se analiza la causa y se define una acción correctiva con responsable y plazo (cláusula 10.2). El auditor, o el responsable del SGSI, verifica después que las acciones se hayan aplicado y que funcionen.
Qué evidencia suele revisar el auditor interno
- Alcance del SGSI, política de seguridad y objetivos.
- Metodología, registro y plan de tratamiento de riesgos.
- Declaración de Aplicabilidad y estado de cada control.
- Registros de capacitación y concientización.
- Revisiones de accesos, altas y bajas de usuarios.
- Pruebas de copias de seguridad y de continuidad.
- Gestión de incidentes y de proveedores.
- Acciones correctivas de auditorías anteriores y actas de revisión por la dirección.
Errores frecuentes
- Auditar el propio trabajo
Rompe la independencia y es una no conformidad en sí misma.
- Hacerla una semana antes de la Etapa 1
No deja tiempo para corregir lo que aparece.
- Revisar solo documentos
Sin entrevistas ni muestras, la auditoría no comprueba que los controles funcionen.
- Un informe sin evidencia
Cada hallazgo debe indicar qué se vio, dónde y por qué incumple.
- Hallazgos que quedan abiertos
El auditor externo va a revisar qué se hizo con ellos.
- Juntar la evidencia a mano
Consume días del equipo y suele dejar huecos en los registros.
Cómo ayuda Certenza a preparar la auditoría interna
Buena parte del tiempo de una auditoría interna se va en pedir y esperar evidencia. Cuando la información del SGSI ya está ordenada, el auditor puede dedicar sus horas a lo que importa: verificar que los controles funcionan. Certenza ayuda a llegar a ese punto:
- Un punto de partida claro para el auditor
El estado de cada control, con su responsable, muestra de antemano qué está implementado y dónde conviene poner el foco.
- Registros reunidos de forma continua
La evidencia que se recolecta desde las herramientas conectadas cubre todo el período, no solo las semanas previas a la auditoría.
- Políticas y documentos en un solo lugar
Las políticas redactadas con ayuda de IA y los documentos del SGSI quedan disponibles para que el auditor los revise sin buscarlos en distintas carpetas.
La auditoría interna la sigue haciendo una persona competente e independiente, y la de certificación, un organismo acreditado que se contrata por separado.
¿Querés llegar a la auditoría con todo listo?
Te mostramos cómo organizar la evidencia del SGSI en Certenza.