Auditoría interna ISO 27001: cómo hacerla y checklist por cláusulas
La auditoría interna es el punto en el que un SGSI deja de ser un conjunto de documentos y se pone a prueba. En ISO 27001 tiene una dificultad que no tienen la 9001 ni la 14001: además de las cláusulas 4 a 10, hay que comprobar los controles del Anexo A que tu Declaración de Aplicabilidad da por aplicables, y muchos son técnicos. Esta guía explica qué pide la norma, cómo repartir el trabajo y qué preguntar en cada punto.
Versión de referencia: ISO/IEC 27001:2022 con su enmienda de 2024 (Amd 1, sobre cambio climático), que según la ficha de ISO es la edición vigente a 31 de octubre de 2026. El plazo para pasar los certificados de la edición 2013 a la 2022 terminó el 31 de octubre de 2025.
Qué exige la cláusula 9.2
En la edición 2022 la cláusula se divide en dos apartados. El 9.2.1 pide hacer auditorías internas a intervalos planificados para saber si el sistema cumple los requisitos de la propia organización y los de la norma, y si está implantado y se mantiene de forma eficaz. El 9.2.2 pide un programa de auditoría que fije frecuencia, métodos, responsabilidades, planificación e informes, teniendo en cuenta la importancia de los procesos y los resultados de auditorías anteriores. Para cada auditoría hay que definir criterios y alcance, elegir auditores que garanticen objetividad e imparcialidad e informar de los resultados a la dirección que corresponda.
Lo que hay que conservar como información documentada es la prueba de que el programa se ha ejecutado y sus resultados. La lista completa de lo que la norma exige documentar está en documentos obligatorios de ISO 27001:2022.
Paso 1: el programa, a partir de los riesgos
El programa es la vista de todo el ciclo: qué se audita, cuándo y quién. En un SGSI la forma más defendible de priorizar es la propia evaluación de riesgos: los procesos y controles que tratan los riesgos más altos se auditan con más frecuencia. Un ejemplo para una empresa de software de 40 personas:
| Área | Frecuencia | Por qué |
|---|---|---|
| Cláusulas 4 a 10 (contexto, riesgos, objetivos, revisión, mejora) | Anual | Es el núcleo del sistema y lo que la certificadora mira en cada visita |
| Control de accesos, gestión de identidades, copias de seguridad | Anual | Tratan los riesgos más altos de la evaluación |
| Desarrollo seguro y gestión de cambios | Anual | Es la actividad principal de la empresa |
| Proveedores y servicios en la nube | Anual | Los datos de clientes están alojados fuera |
| Seguridad física de la oficina | Una vez en el ciclo de tres años | Riesgo bajo: no hay servidores propios en la oficina |
| Resto de controles aplicables de la SoA | Repartidos en el ciclo | Cobertura completa en tres años |
La norma no obliga a revisar los 93 controles cada año; obliga a que el programa sea coherente con la importancia de lo que se audita. Si se reparten, el programa tiene que decir por qué.
Paso 2: el auditor, objetivo e imparcial
Nadie audita su propio trabajo. En seguridad de la información esto pesa más que en otras normas, porque quien administra los sistemas suele ser también quien configura los controles. En una empresa pequeña hay tres salidas: contratar un auditor externo solo para la interna, hacer auditorías cruzadas entre áreas, o formar a una segunda persona. La guía de referencia para auditar un SGSI es la ISO/IEC 27007:2020, que se apoya en la ISO 19011; ISO anuncia en su ficha que la sustituirá una edición nueva, ya en preparación.
Paso 3: el checklist por cláusulas
Un buen checklist no copia la norma con casillas: para cada punto dice qué evidencia se va a pedir. Estas son preguntas de partida para adaptar:
| Cláusula | Qué preguntar | Evidencia que pedir |
|---|---|---|
| 4. Contexto | ¿Están identificadas las cuestiones internas y externas y las partes interesadas? ¿Se ha valorado si el cambio climático es relevante, como añade la enmienda de 2024? ¿El alcance dice qué queda dentro y qué fuera? | Análisis de contexto, documento de alcance |
| 5. Liderazgo | ¿La política está aprobada y comunicada? ¿Están asignados los roles de seguridad? | Política firmada, organigrama de seguridad, actas |
| 6. Planificación | ¿La evaluación de riesgos sigue el método documentado y está al día? ¿Cada riesgo tiene propietario y decisión de tratamiento? ¿La SoA cuadra con el plan de tratamiento? | Metodología, registro de riesgos, plan de tratamiento, SoA, objetivos |
| 7. Soporte | ¿El personal sabe qué hacer ante un incidente? ¿Hay registros de formación? ¿Los documentos tienen versión y aprobación? | Entrevistas, registros de formación, control documental |
| 8. Operación | ¿Se ha repetido la evaluación de riesgos tras los cambios importantes? ¿Se aplica el plan de tratamiento? | Evaluaciones fechadas, seguimiento del plan |
| 9. Evaluación | ¿Se miden los indicadores definidos? ¿Hubo auditoría interna y revisión por la dirección con todas sus entradas? | Cuadro de indicadores, informe de la auditoría anterior, acta de revisión |
| 10. Mejora | ¿Las no conformidades tienen análisis de causa y acción correctiva con eficacia verificada? | Registro de no conformidades y acciones |
Paso 4: el Anexo A, comprobando el control y no el documento
El Anexo A de la edición 2022 tiene 93 controles en cuatro temas: organizativos (37), de personas (8), físicos (14) y tecnológicos (34). Los criterios de auditoría son los que tu SoA declara aplicables, y el error más común es comprobar que existe la política del control en vez de comprobar que el control funciona. Algunos ejemplos de cómo se prueba un control:
- Altas y bajas de accesos. Pedir la lista de personas que salieron de la empresa en los últimos seis meses y comprobar en el directorio y en las aplicaciones principales que sus cuentas están desactivadas, y en qué fecha.
- Copias de seguridad. No basta el registro de que la copia se hizo: pedir la última prueba de restauración y quién la hizo.
- Proveedores. Elegir dos proveedores críticos y ver su contrato o acuerdo de tratamiento de datos, y cómo se ha revisado su servicio.
- Incidentes. Tomar un incidente del registro y seguirlo de principio a fin: detección, clasificación, respuesta, lecciones aprendidas.
- Concienciación. Preguntar a dos o tres personas al azar qué harían si reciben un correo sospechoso y si saben a quién avisar.
Para que la SoA sirva de criterio de auditoría tiene que estar bien construida; cómo hacerla y justificar las exclusiones está en la Declaración de Aplicabilidad (SoA) de ISO 27001.
Paso 5: el informe y cómo se redacta un hallazgo
Una no conformidad tiene tres partes: el requisito que se incumple, la evidencia concreta y por qué esa evidencia demuestra el incumplimiento. Comparar:
- Mal redactado: «La gestión de accesos no funciona bien».
- Bien redactado: «El procedimiento de bajas exige desactivar las cuentas el último día de trabajo. De las seis bajas del primer semestre, dos personas conservaban la cuenta activa en el CRM a fecha de auditoría (3 de octubre). No se cumple el control de derechos de acceso declarado aplicable en la SoA».
El informe separa no conformidades, observaciones y oportunidades de mejora. Las no conformidades pasan al circuito de acción correctiva, que se explica en no conformidades y acciones correctivas, y los resultados entran en la revisión por la dirección.
Los errores que el auditor de certificación detecta enseguida
- Auditar documentos, no sistemas: ver que hay política de copias sin pedir una restauración.
- Que el administrador de sistemas audite sus propios controles.
- Una SoA y un programa que no cuadran: controles declarados aplicables que nunca entran en el programa.
- Hacer la interna dos semanas antes de la certificación, sin tiempo para cerrar acciones.
- Cero hallazgos año tras año, que suele indicar que no se está buscando.
Auditoría interna y de certificación
La de certificación la hace una entidad acreditada (en España, por ENAC) siguiendo la ISO/IEC 17021-1 y la ISO/IEC 27006-1:2024, la norma específica para quienes certifican sistemas de seguridad de la información. Se hace en dos fases, documental y de campo, y el certificado dura tres años con auditorías de seguimiento. Antes de la fase 2 el auditor querrá ver la auditoría interna y la revisión por la dirección hechas. El presupuesto de todo el proceso está desglosado en cuánto cuesta certificarse en ISO 27001.
Si la empresa audita también otros sistemas, los equivalentes están en el checklist de auditoría interna ISO 9001, en auditoría interna ISO 14001: cómo hacerla y checklist por cláusulas y en auditoría interna ISO 45001: guía paso a paso.
Fórmate para implantarlo tú: en el curso Gestor ISO 27001 + 27701 el módulo 11 trata la auditoría interna (programa, técnicas de auditoría del SGSI e informe) y el 12, la certificación por fases.
Preguntas frecuentes
¿Es obligatoria la auditoría interna en ISO 27001?
Sí. La cláusula 9.2 exige auditorías internas a intervalos planificados y conservar como información documentada el programa y los resultados. La norma no fija la frecuencia: la decide tu programa según la importancia de los procesos y los resultados de auditorías anteriores. En la práctica, la entidad de certificación espera ver al menos una auditoría interna completa antes de la fase 2 y una por año de ciclo.
¿Hay que auditar los 93 controles del Anexo A cada año?
La norma no lo dice. Lo que exige es que el programa cubra el sistema, y los controles que tu Declaración de Aplicabilidad declara aplicables forman parte de él. Lo habitual es repartirlos en el ciclo de tres años, con más frecuencia para los que tratan los riesgos más altos, y dejar escrito en el programa por qué se reparten así.
¿Quién puede hacer la auditoría interna de ISO 27001?
Alguien competente que no audite su propio trabajo: la norma pide objetividad e imparcialidad. El responsable de sistemas no debería auditar los controles técnicos que él mismo administra. En una empresa pequeña se resuelve con un auditor externo solo para la interna, con auditorías cruzadas o formando a una segunda persona.
¿Qué norma explica cómo auditar un SGSI?
La ISO/IEC 27007:2020, que da directrices para auditar sistemas de gestión de seguridad de la información y se apoya en la ISO 19011. ISO indica en su ficha que será sustituida por una nueva edición en preparación. No es certificable ni obligatoria: es una guía.
¿En qué se diferencia de la auditoría de certificación?
La interna la hace la organización para sí misma y es un requisito de la norma. La de certificación la hace una entidad acreditada, siguiendo la ISO/IEC 17021-1 y la ISO/IEC 27006-1:2024, que es la específica para certificar sistemas de seguridad de la información, y decide si se emite el certificado. El auditor externo revisa tus informes internos, así que la calidad de la interna se nota en la externa.