Contratar una consultora fue durante años el camino por defecto para certificar ISO 27001. Sigue siendo una buena opción en muchos casos, pero ya no la única. Esta guía explica qué hace un consultor y qué no puede hacer, cuánto cuesta en la región, cuándo conviene contratarlo y cómo elegir uno sin caer en promesas que la norma no permite cumplir.
Resumen rápido
- Qué hace: análisis de brechas, alcance, evaluación de riesgos, políticas, capacitación y preparación para la auditoría.
- Qué no puede hacer: emitir el certificado, garantizarlo ni hacer la auditoría interna de lo que él mismo implementó.
- Cuánto cuesta: en Chile, de USD 3.000 a 8.000 para microempresas y de 8.000 a 20.000 para empresas de 11 a 49 personas. En Argentina, como referencia, unos USD 42,5 por hora.
- Modalidades: proyecto llave en mano, horas mensuales o servicios puntuales, solo o combinado con una plataforma.
- Señal de alerta: cualquier consultor que garantice el certificado o que ofrezca emitirlo.
Qué hace un consultor ISO 27001
El alcance del trabajo lo define la organización: puede cubrir todo el camino o solo algunas etapas.
| Servicio | En qué consiste |
|---|---|
| Análisis de brechas | Compara lo que la empresa ya tiene con lo que exige la norma y arma un plan |
| Alcance y contexto | Ayuda a definir qué se certifica y a documentar las partes interesadas |
| Evaluación de riesgos | Propone la metodología y guía la identificación y el tratamiento de riesgos |
| Políticas y procedimientos | Redacta o revisa la documentación del SGSI y la Declaración de Aplicabilidad |
| Capacitación | Prepara o dicta la concientización del personal |
| Auditoría interna | La realiza con independencia, siempre que no haya implementado lo que audita |
| Preparación para la auditoría | Revisa la evidencia, simula entrevistas y acompaña durante la auditoría externa |
Lo que un consultor no puede hacer
- Emitir el certificado
Solo un organismo certificador acreditado puede hacerlo, después de su propia auditoría.
- Garantizar el resultado
La decisión de certificar es del organismo, en función de la evidencia que encuentre.
- Auditar su propio trabajo
Si implementó el sistema, no puede hacer la auditoría interna de esas mismas partes.
- Decidir por la organización
El alcance, la aceptación de riesgos y los recursos son decisiones de la dirección.
La regla también funciona al revés: el organismo certificador no puede asesorar sobre cómo implementar el sistema que después va a auditar, porque perdería su imparcialidad. Si una misma empresa ofrece consultoría y certificación juntas, conviene verificar que sean entidades realmente separadas: ISO/IEC 17021-1 impide que un organismo certifique un sistema que asesoró una entidad vinculada, y toma como referencia un plazo de dos años desde el fin de esa consultoría.
Modalidades de contratación
| Modalidad | Cómo funciona | A favor | En contra |
|---|---|---|---|
| Llave en mano | La consultora lleva el proyecto completo hasta la auditoría | Menos carga para el equipo | El costo más alto; el conocimiento puede quedar afuera |
| Horas mensuales | Un paquete fijo de horas por mes, por ejemplo 20 | Costo previsible y flexible | Requiere que el equipo interno empuje el proyecto |
| Servicios puntuales | Solo el análisis de brechas, la evaluación de riesgos o la auditoría interna | Se paga solo lo que hace falta | Alguien tiene que coordinar el resto |
| Consultor + plataforma | La plataforma organiza y recolecta evidencia; el consultor aporta criterio | Menos horas de consultoría | Dos proveedores para coordinar |
Cuánto cuesta un consultor ISO 27001 en Latinoamérica
Un consultor ISO 27001 cuesta, como referencia en Chile, entre USD 3.000 y 8.000 para una microempresa, entre USD 8.000 y 20.000 para una pequeña y entre USD 20.000 y 50.000 para una mediana, sin impuestos. En Argentina, una propuesta típica ronda los USD 850 por mes. El detalle por tamaño de empresa:
| Tamaño de la empresa | Costo de consultoría | Plazo habitual |
|---|---|---|
| Micro (1 a 10 empleados) | USD 3.000 – 8.000 | 4 a 6 meses |
| Pequeña (11 a 49) | USD 8.000 – 20.000 | 6 a 9 meses |
| Mediana (50 a 200) | USD 20.000 – 50.000 | 9 a 14 meses |
Fuente: GRC360. Valores sin impuestos.
En Argentina, una propuesta de acompañamiento ronda los USD 850 por mes por 20 horas de trabajo (unos USD 42,5 por hora, más impuestos). En una implementación de 6 a 9 meses, eso equivale a entre USD 5.100 y 7.650.
La consultoría suele representar entre el 50% y el 70% del costo total de implementación. A eso hay que sumarle la auditoría del organismo certificador, la auditoría interna y la capacitación, que se pagan aparte. El detalle completo está en la guía de costos.
¿Conviene contratar un consultor?
Contratar un consultor ISO 27001 suele convenir cuando nadie en la organización conoce la norma, cuando el alcance es complejo (varias sedes, entidades legales o procesos críticos) o cuando hay una fecha cercana comprometida con un cliente. Puede no hacer falta, o alcanzar con horas puntuales, si el equipo tiene tiempo asignado y la infraestructura está en la nube.
Suele convenir si…
- Nadie en la organización conoce la norma ni tiene experiencia con sistemas de gestión.
- El alcance es complejo: varias sedes, entidades legales o procesos críticos.
- Hay una fecha muy cercana comprometida con un cliente y poco tiempo interno.
Puede no hacer falta, o alcanzar con horas puntuales, si…
- El equipo tiene tiempo asignado y está dispuesto a aprender la norma.
- La infraestructura está en la nube y las herramientas se pueden conectar a una plataforma.
- Lo que falta es criterio en momentos concretos (riesgos, auditoría interna), no ejecución diaria.
Cómo elegir un consultor
- Experiencia comprobable. Organizaciones que ya certificaron con su acompañamiento, idealmente del mismo sector y tamaño.
- Formación en la norma. Credenciales como implementador líder o auditor líder de ISO 27001 son una buena señal, aunque no reemplazan la experiencia.
- Entregables claros. Qué documentos, talleres y horas incluye la propuesta, y qué queda fuera.
- Transferencia de conocimiento. Que el equipo interno pueda mantener el sistema cuando el consultor ya no esté.
- Independencia. Que no tenga vínculos con el organismo certificador que va a auditar.
- Referencias. Hablar con uno o dos clientes anteriores antes de firmar.
Señales de alerta
Conviene desconfiar de cualquier propuesta que garantice el certificado, prometa certificar en pocas semanas sin conocer a la empresa u ofrezca "incluir" el certificado en el precio.
- Ofrece un certificado emitido por una entidad sin acreditación para ISO 27001.
- Entrega plantillas genéricas sin adaptarlas a la organización.
- No involucra a la dirección ni al equipo: el auditor va a entrevistarlos igual.
- Propone hacer también la auditoría interna de lo que implementó.
- No deja claro qué pasa con la documentación y el conocimiento al terminar el proyecto.
Cómo encaja Certenza con un consultor
Certenza no reemplaza el criterio de un especialista, pero sí buena parte del trabajo operativo que suele llevarse las horas de consultoría: organizar controles, redactar documentos y reunir evidencia. Así, la empresa puede contratar menos horas, o ninguna, según su punto de partida:
- Las horas de consultoría, donde aportan más
Con los controles organizados y la evidencia reunida en la plataforma, un consultor puede concentrarse en el alcance, los riesgos o la auditoría interna, en lugar de armar planillas.
- El conocimiento queda en la empresa
Las políticas, los controles y la evidencia viven en Certenza, no en los archivos de un proveedor, y siguen disponibles cuando termina cualquier contrato.
- Soporte de especialistas por email
Para resolver dudas sobre la norma sin contratar horas adicionales. Si la empresa necesita acompañamiento de consultores, se cotiza por separado.
El certificado lo emite un organismo acreditado que se contrata por separado.
¿Querés saber cuántas horas de consultoría podés ahorrar?
Te mostramos qué parte del trabajo puede hacer tu equipo con Certenza.