Cláusula 4: Principios de auditoría

Los principios de ISO 19011 convierten la auditoría en una herramienta fiable y útil: si el equipo los sigue, diferentes auditores pueden llegar a conclusiones similares ante circunstancias parecidas. Abajo tienes cada principio explicado con un ejemplo práctico pensando en auditorías de ISO 27001.

a) Integridad — el fundamento de la profesionalidad

Actuar con ética, honestidad, responsabilidad y sin sesgos; aceptar solo trabajos para los que se tiene competencia; mantenerse alerta ante influencias indebidas.

Ejemplo: En una revisión de control de accesos, el auditor detecta un desvío menor que favorece al auditado. Aun así lo registra y lo comunica en el informe, sin “maquillarlo” ni omitirlo.

b) Presentación imparcial — obligación de informar con veracidad y exactitud

Hallazgos, conclusiones e informes deben reflejar la auditoría con veracidad y precisión. Se reportan obstáculos significativos y opiniones divergentes no resueltas. Comunicación clara, objetiva, oportuna y completa.

Ejemplo. El equipo informa que solo se muestreó Q2–Q3 por un cambio de sistema en Q1, y anota la discrepancia del auditado respecto al tamaño de muestra.

c) Debido cuidado profesional — diligencia y juicio en la auditoría

Actuar con el nivel de diligencia que exige la tarea y la confianza del cliente y partes interesadas; emitir juicios razonados en cada situación.

Ejemplo. Antes de concluir sobre cifrado en nube, el auditor pide apoyo de un experto técnico para validar configuraciones KMS y no basarse solo en capturas superficiales.

d) Confidencialidad — seguridad de la información

Usar y proteger con discreción toda la información obtenida; no aprovecharla indebidamente ni perjudicar intereses legítimos del auditado.

Ejemplo. Las evidencias con datos personales se guardan en un repositorio con acceso restringido; en el informe público se anonimizan identificadores.

e) Independencia — base de la imparcialidad y la objetividad

Los auditores deben ser independientes de la actividad auditada (en la medida de lo posible) y actuar libres de sesgo y conflictos de interés. En organizaciones pequeñas, si la independencia total no es viable, se extreman medidas para preservar la objetividad.

Ejemplo. Quien diseñó el procedimiento de gestión de incidentes no audita ese mismo proceso; se asigna a otra persona del equipo.

f) Enfoque basado en la evidencia — método racional y reproducible

La evidencia debe ser verificable y, normalmente, proviene de muestras representativas (tiempo y recursos son finitos). El muestreo adecuado está ligado a la confianza en las conclusiones.

Ejemplo. Para altas/bajas, se seleccionan 25 casos del periodo, se verifica solicitud aprobada, ejecución en IAM, tiempos de baja y trazas en logs —todo con identificadores y metadatos.

g) Enfoque basado en riesgos — priorizar lo que importa

Los riesgos y oportunidades deben influir fuertemente en la planificación, ejecución e informes, enfocando la auditoría en lo más relevante para los objetivos del programa.

Ejemplo. Tras un incidente de phishing, el programa prioriza gestión de identidades, MFA y concienciación antes que temas con exposición baja.

Preguntas tipo examen

1) ¿Qué principio exige reportar obstáculos significativos y opiniones divergentes no resueltas?

A. Independencia
B. Debido cuidado profesional
C. Presentación imparcial
D. Enfoque basado en riesgos

Explicación: La presentación imparcial obliga a informar con veracidad y exactitud, incluyendo limitaciones y discrepancias.

Respuesta correcta: C

2) La selección de una muestra representativa para revisar altas/bajas responde principalmente a:

A. Integridad
B. Enfoque basado en la evidencia
C. Confidencialidad
D. Independencia

Explicación: La evidencia debe ser verificable; el muestreo adecuado aumenta la confianza en las conclusiones.

Respuesta correcta: B

3) En una pyme, el auditor interno pertenece al mismo departamento que será auditado. ¿Qué principio se ve comprometido y cómo mitigar?

A. Independencia; aplicar salvaguardas (rotación de auditor, revisión cruzada, supervisión externa)
B. Presentación imparcial; aumentar el tamaño de muestra
C. Confidencialidad; firmar más NDAs
D. Debido cuidado; pedir más tiempo

Explicación: Si no hay independencia plena, ISO 19011 permite mitigar con medidas que reduzcan el sesgo y preserven la objetividad.

Respuesta correcta: A

Cierre

Seguir estos siete principios eleva la calidad de la auditoría: conclusiones objetivas, evidencia sólida y foco en lo que realmente impacta al SGSI. En la próxima entrada pasaremos de “cómo debes comportarte” a “cómo gobernar la auditoría”: programa, alcance y plan.

¿Quieres certificarte como auditor ISO 27001?

Si tu objetivo es obtener la certificación como ISO 27001 Internal / Lead Auditor, tengo un programa de preparación mucho más completo que esta serie: incluye acceso al examen de certificación, simuladores con muchísimas preguntas reales y mi acompañamiento directo para que llegues seguro al día del examen.

👉 Aquí puedes revisar toda la información del programa:

Curso Oficial ISO 27001 Internal Auditor / Lead Auditor

Y si quieres una preparación mucho más rapida puedes adquirir directamente nuestros kits de certificación y rendir tu examen cuanto antes:

Kit oficial ISO 27001 Internal Auditor

Kit oficial ISO 27001 Lead Auditor

Nos vemos,

—
Fernando Conislla
Instructor Oficial ISO 27001 | Todos los niveles