Auditoría Interna

1 Objeto​

Definir la sistemática de actuación para la realización de auditorías internas en la Organización.

2 Alcance​

Es de aplicación a todos los elementos, aspectos y componentes del Sistema de Gestión de la Organización.

3 Definiciones​

Auditoria

Proceso sistemático, independiente y documentado para obtener evidencias de la comprobación del cumplimiento de los requisitos y directrices del sistema.

Plan Anual de Auditorías Internas

Planificación de las fechas y áreas en las que se realizará la auditoria.

Programa de la auditoria

Documento que describe el conjunto de una o más actividades planificadas para un periodo de tiempo determinado y dirigidas hacia un propósito específico como es la realización de la auditoria.

Informe de auditoría

Documento que recoge la información relativa a la auditoría realizada y a los hallazgos encontrados durante la auditoria.

4 Responsabilidades​

5 Desarrollo​

Anualmente (al principio del año), el Responsable del SGSI elaborará un Plan anual de auditorías internas, a realizar a lo largo del año en la Organización.

Además, para la elaboración de este Plan, también se tienen en cuenta los Resultados de las auditorías internas anteriores y las posibles modificaciones generadas en el SGSI.

Para poder formar parte del equipo auditor, éstos deben de cumplir, cuando menos, alguno de los siguientes criterios:

1. Haber realizado un curso, mínimo de 8h, específico de Auditorías Internas de Sistema de Gestión de la norma a auditar (ISO 27001:2022).
2. Haber participado como observador, responsable del SGSI o auditor, al menos en dos auditorias del Sistema de Gestión de la Organización, de la norma a auditar (ISO 27001:2022).

Una vez aprobado por el CEO, el Responsable de SGSI lo pondrá en conocimiento de todo el personal de la Organización.

El Equipo Auditor realiza un análisis de la información necesaria para la realización de la auditoria, en el que se consideran:

• Fechas de auditoría.
• Norma / Documentación de referencia.
• Alcance de la Auditoría
• Documentación a aportar
• Observaciones o comentarios específicos de la auditoria.

Con toda la información recogida y analizada, el Equipo Auditor prepara el Programa de Auditoria donde se establece el calendario a seguir y las áreas de la organización a auditar.

El equipo auditor procede a realizar la auditoría interna según el programa de auditorías acordado.

La auditoría interna se desarrolla en tres fases:

1. Reunión inicial
2. Realización de la Auditoria. La auditoría, en principio, se realizará de acuerdo al Programa establecido. No obstante, cuando el equipo auditor lo considere necesario, podrá incluir nuevas verificaciones, siempre dentro del alcance de la auditoria. Las comprobaciones se basarán en evidencias objetivas y contrastadas.
3. Reunión final. Se celebrará una reunión al finalizar la ejecución de la auditoria en la que participará el equipo auditor y, por lo menos, el responsable del área auditada. En esta reunión se explicarán las desviaciones y observaciones detectadas, de forma que sean comprendidas y aceptadas por los auditados. En caso de discrepancias con las desviaciones detectadas, se intentará llegar a un consenso entre ambas partes.

Una vez finalizada la auditoría interna, el equipo auditor elabora el correspondiente Informe de auditoría interna, con todas las desviaciones, si las hubiera, y las observaciones recogidas durante la auditoria.

El Responsable del SGSI, analizará el Informe de auditoría Interna para su estudio y definición, si procede, de las Acciones Correctivas y/o Preventivas necesarias, distribuyendo el informe a quien considere oportuno. Además, elaborará un un Plan de Acciones Correctivas para solventar las No Conformidades identificadas en el Informe de Auditoría Interna.

6 Anexos​

N/A

7 Formatos​

N/A

8 Registros​

N/A

9 Documentos Relacionados​

N/A

10 Referencias Normativas​

• ISO27001:2022 4.3 Determinación del alcance del sistema de gestión de la seguridad de la información.