Obtener el certificado es solo la primera auditoría. Durante los años siguientes, el organismo certificador vuelve a revisar el sistema para confirmar que sigue funcionando. Esta guía explica qué tipos de auditoría hay, cómo transcurren los días de auditoría, qué mira el auditor en cada caso y cómo preparar al equipo para que la experiencia sea lo más previsible posible.

Resumen rápido

Auditoría de certificación: Etapa 1 (documentación) y Etapa 2 (funcionamiento real). Al aprobarla se emite el certificado.
Auditorías de seguimiento: al menos una por año calendario en los años 1 y 2, más cortas, sobre una parte del sistema y los cambios.
Recertificación: revisión completa antes de que venza el certificado, que inicia un nuevo ciclo de 3 años.
Quién decide: el auditor recomienda, pero la decisión de certificar la toma el organismo, con personas distintas de las que auditaron.
Lo que más ayuda: evidencia ordenada por control, un coordinador interno y un equipo que sabe explicar lo que hace.

Las auditorías del ciclo de 3 años

Auditoría	Quién la hace	Cuándo	Duración relativa
Interna	La organización, con personal independiente o un auditor contratado	A intervalos planificados; al menos una antes de certificar	La define la organización
Certificación (Etapas 1 y 2)	Organismo certificador acreditado	Año 0	100% (base de la tabla de ISO/IEC 27006)
Seguimiento	Organismo certificador	Años 1 y 2; la primera, dentro de los 12 meses de la certificación	Alrededor de un tercio de la inicial
Recertificación	Organismo certificador	Año 3, antes del vencimiento	Alrededor de dos tercios de la inicial

Duraciones de referencia. El organismo certificador las ajusta según el alcance y la complejidad de la organización.

Además, el organismo puede hacer auditorías especiales fuera del calendario: para ampliar el alcance, ante un cambio significativo en la organización o para investigar una queja. En algunos casos se avisan con poca anticipación.

La auditoría interna tiene su propia guía: auditoría interna de ISO 27001. Esta se concentra en las auditorías externas.

Cómo es un día de auditoría

Más allá del tipo de auditoría, la dinámica suele repetirse:

Plan de auditoría. Días antes, el organismo envía el plan con fechas, horarios, auditores, áreas a revisar y personas a entrevistar.
Reunión de apertura. El auditor presenta el alcance, el método y la agenda, y confirma los contactos de la organización.
Entrevistas y revisión de evidencia. Recorre los procesos con sus responsables, pide registros y toma muestras: por ejemplo, algunas bajas de usuarios del último trimestre o un incidente reciente.
Avances parciales. En auditorías de varios días, suele adelantar al final de cada jornada lo que encontró.
Reunión de cierre. Presenta los hallazgos, su clasificación y los próximos pasos, y la organización puede aclarar dudas.
Informe. Llega por escrito después, con los hallazgos y la recomendación del auditor.

La auditoría de certificación

Es la más exigente porque revisa el sistema por primera vez. En la Etapa 1, el auditor confirma que la documentación está completa y que la organización está lista; en la Etapa 2, verifica que lo documentado se cumple. El paso a paso completo está en la guía del proceso de certificación.

Qué suele preguntar el auditor en las entrevistas

A quién	Ejemplos de preguntas
Dirección	¿Cuáles son los objetivos de seguridad? ¿Qué recursos se asignaron al SGSI? ¿Qué se decidió en la última revisión por la dirección?
Responsable del SGSI	¿Cómo se evalúan los riesgos? ¿Por qué se excluyó este control? ¿Qué pasó con los hallazgos de la auditoría interna?
IT o ingeniería	¿Cómo se dan de baja los accesos cuando alguien se va? ¿Cuándo se probó por última vez restaurar una copia de seguridad?
Cualquier persona del equipo	¿Dónde está la política de seguridad? ¿Qué harías si sospecharas un incidente?

Ejemplos ilustrativos. Cada auditor arma sus preguntas según el alcance y los riesgos de la organización.

Las auditorías de seguimiento

Se hacen al menos una vez por año calendario durante la vigencia del certificado, y la primera, dentro de los 12 meses posteriores a la decisión de certificación. No revisan todo el sistema: el auditor elige una parte de los controles y procesos, y en el ciclo de 3 años termina cubriendo el conjunto. Siempre suele revisar:

Qué se hizo con las no conformidades menores de la auditoría anterior.
Los cambios en la organización, el alcance, los riesgos o la Declaración de Aplicabilidad.
La auditoría interna y la revisión por la dirección del último período.
Los incidentes de seguridad y las quejas recibidas.
El uso correcto del certificado y de la marca del organismo.

Son más cortas que la auditoría inicial y, en muchos casos, pueden hacerse de forma remota. El riesgo más común es llegar con un sistema que se dejó de operar después de certificar.

La recertificación

Antes de que venza el certificado, el organismo hace una auditoría completa para renovarlo por otros 3 años. Revisa el sistema entero, como en la Etapa 2, pero con la ventaja de conocer a la organización: se concentra en cómo evolucionó el SGSI durante el ciclo y si sigue siendo eficaz.

Conviene programarla con varios meses de anticipación. Si la auditoría y la decisión no se completan antes del vencimiento, el certificado expira y la organización queda sin él hasta que se regularice, con las consecuencias que eso tiene frente a clientes y licitaciones. Según ISO/IEC 17021-1, el organismo puede restablecerlo dentro de los 6 meses siguientes si se completa la recertificación; pasado ese plazo, hay que hacer al menos una nueva Etapa 2.

Cómo se evalúan los hallazgos

Cada hallazgo que registra el auditor tiene tres partes: el requisito que no se cumple, la evidencia que lo muestra y una descripción de la diferencia entre ambos. Según su gravedad, se clasifica como no conformidad mayor, no conformidad menor u observación (la tabla completa está en la guía del proceso).

En la certificación
Una no conformidad mayor impide emitir el certificado hasta que se corrija y se demuestre la acción correctiva.
En un seguimiento
Las no conformidades mayores no resueltas a tiempo pueden llevar a suspender el certificado.
En la recertificación
Si hay no conformidades mayores, la renovación queda en suspenso hasta resolverlas.
Las menores
Requieren un plan de acción aceptado por el organismo, que se verifica en la siguiente auditoría.

Auditorías remotas

Las reglas del IAF (documento MD 4:2025, de aplicación obligatoria desde enero de 2026) permiten que el organismo certificador use herramientas remotas para auditar, en forma total o parcial, siempre que lo acuerde con la organización, que haya controles de seguridad y protección de datos, y que pueda obtener evidencia suficiente. Es habitual en empresas de software con equipos distribuidos e infraestructura en la nube, y reduce viáticos.

Para que funcione, conviene preparar una conexión estable, una persona que comparta pantalla para mostrar sistemas y registros en vivo, y la evidencia ordenada en un lugar al que se pueda acceder rápido. El auditor puede pedir ver configuraciones o consolas en tiempo real, no solo capturas.

Cómo preparar al equipo para una auditoría

Designar un coordinador. Una persona que acompañe al auditor, organice la agenda y consiga la evidencia que se pida.
Ordenar la evidencia por control. Que cada control de la Declaración de Aplicabilidad tenga sus registros a mano.
Preparar a los entrevistados. Explicarles el objetivo: describir lo que hacen, mostrar evidencia y no inventar respuestas. "No lo sé, pero puedo averiguarlo" es mejor que improvisar.
Repasar los hallazgos anteriores. El auditor va a preguntar qué se hizo con ellos.
Registrar los cambios del período. Nuevos productos, proveedores o incidentes, con su análisis de riesgos.
Confirmar la logística. Salas o enlaces, disponibilidad de las personas y accesos para mostrar sistemas.

Si la organización ya tiene otro estándar, como SOC 2, puede reutilizar controles y evidencia. Conviene tener documentado cómo se relacionan para mostrárselo al auditor.

Cómo ayuda Certenza a llegar preparado a cada auditoría

La diferencia entre una auditoría tranquila y una estresante suele estar en la semana previa: buscar registros, perseguir a responsables y armar carpetas a último momento. Con Certenza, esa preparación se va haciendo durante todo el año:

Evidencia lista antes de que la pidan
Los registros que se recolectan desde las herramientas conectadas están disponibles cuando el auditor pide una muestra, sin buscarla en distintos sistemas.
El estado del sistema en una sola vista
El avance de cada control y su responsable ayudan al coordinador a anticipar qué va a revisar el auditor y a preparar a cada área.
Continuidad entre auditorías
Como la evidencia se sigue reuniendo después de certificar, cada seguimiento y la recertificación encuentran el sistema al día, no reconstruido.

Las auditorías externas las realiza un organismo certificador acreditado, que se contrata por separado.

¿Querés llegar tranquilo a tu próxima auditoría?

Te mostramos cómo mantener la evidencia al día durante todo el ciclo.

Solicitar una demo

Seguí leyendo

← Ver todos los recursos sobre ISO 27001

Auditorías de ISO 27001: qué pasa en cada una y cómo prepararse