Clausula 7: Competencia y evaluación de los auditores

La Cláusula 7 define qué significa “ser competente” para auditar, cómo evaluar esa competencia y cómo mantenerla y mejorarla con el tiempo. Aterrizamos cada subcláusula con ejemplos orientados a auditorías de ISO 27001.

7.1 Generalidades

La organización establece, implementa y mantiene un proceso para asegurar la competencia de auditores y líderes de equipo, acorde al alcance, criterios y riesgo de las auditorías.
Ejemplo (ISO 27001): Para auditar controles en nube y gestión de incidentes, se requieren auditores con experiencia en cloud, IAM y respuesta a incidentes.

7.2 Determinación de la competencia del auditor

7.2.1 Generalidades

La competencia combina comportamiento personal, conocimientos, habilidades y experiencia demostrable. Se determina antes de asignar a una persona a una auditoría.
Ejemplo: La organización verifica que quien audita gestión de accesos conoce IAM, MFA, segregación de funciones y evidencias típicas.

7.2.2 Comportamiento personal

El auditor demuestra integridad, imparcialidad, diligencia, comunicación efectiva, apertura mental, resiliencia y diplomacia (alineado a los principios de la Cláusula 4).
Ejemplo: En una entrevista tensa, la auditora mantiene el foco en la evidencia, evita confrontaciones y documenta con neutralidad.

7.2.3 Conocimientos y habilidades

Incluyen dos capas:

• Genéricos de auditoría: principios de auditoría, muestreo, entrevistas, trazabilidad criterio–evidencia–conclusión, redacción de hallazgos e informes.

• Específicos del criterio y del sector: para ISO 27001: SGSI, evaluación/tratamiento del riesgo, SoA, controles Anexo A, continuidad, seguridad en nube, gestión de incidentes, protección de datos.
  Ejemplo: Para revisar cifrado en tránsito y reposo, el auditor entiende TLS, KMS/HSM, gestión de claves y registros de rotación.

7.2.4 Logro de la competencia del auditor

La competencia se alcanza combinando formación, mentoría, experiencia supervisada y evaluaciones (p. ej., observación en campo, revisión de papeles de trabajo).
Ejemplo: Auditor junior acompaña tres auditorías como observador y luego cubre actividades acotadas bajo supervisión.

7.2.5 Logro de la competencia del líder del equipo auditor

Además de lo anterior, quien lidera demuestra planificación, dirección del equipo, gestión del tiempo, conducción de aperturas/cierres, calidad del informe y gestión de situaciones difíciles.
Ejemplo: La líder reprograma entrevistas cuando falta un responsable clave y protege el tiempo crítico para consolidar hallazgos.

7.3 Establecimiento de los criterios de evaluación del auditor

La organización define criterios objetivos (p. ej., matriz de competencias) que detallan comportamientos, conocimientos y habilidades requeridas para auditor y líder según el contexto y riesgo.
Ejemplo: Para “auditor de continuidad”, se requieren conocimientos en BIA, RTO/RPO, pruebas de recuperación y trazabilidad de resultados.

7.4 Selección del método apropiado de evaluación del auditor

Se eligen métodos (o combinación) adecuados al riesgo: revisión documental (CV, certificados, registros de formación), pruebas teóricas/prácticas, observación in situ, entrevistas por competencia, revisión de informes previos.
Ejemplo: Para un líder nuevo, se usa entrevista por competencias + observación en una auditoría piloto + revisión de su informe.

7.5 Realización de la evaluación del auditor

Se aplican los métodos definidos y se registran conclusiones: apto, apto con brechas (y plan de cierre) o no apto. Las decisiones se documentan y comunican.
Ejemplo: Auditor “apto con brechas” en seguridad en nube; se planifica formación y coauditoría con experto técnico.

7.6 Mantenimiento y mejora de la competencia del auditor

La competencia se mantiene con formación continua, exposición a auditorías diversas, lecciones aprendidas, lectura de actualizaciones normativas y calibración entre auditores (para coherencia de criterios).
Ejemplo: Tras cambios en el Anexo A (ISO 27001:2022), el equipo realiza una sesión de calibración sobre los nuevos 93 controles y sus evidencias típicas.

Preguntas tipo examen

1) ¿Cuál de los siguientes elementos no forma parte de la competencia del auditor según ISO 19011?

A. Conocimientos de auditoría y del criterio
B. Comportamiento personal (integridad, imparcialidad, etc.)
C. Habilidades de comunicación y muestreo
D. Capacidad para emitir sanciones disciplinarias

Explicación: El auditor no sanciona; emite hallazgos basados en evidencia.

Respuesta correcta: D

2) ¿Qué distingue la competencia de un líder del equipo auditor?

A. Solo conocer mejor la norma
B. Planificar/dirigir el equipo, gestionar tiempo y calidad, conducir apertura y cierre, asegurar coherencia del informe
C. Resolver técnicamente todos los problemas
D. Firmar el informe sin revisarlo

Explicación: Liderar implica gestión y conducción además de competencia técnica.

Respuesta correcta: B

3) ¿Cuál es una combinación adecuada para evaluar competencia en un contexto de alto riesgo?

A. Solo revisar el CV
B. Solo una prueba teórica
C. Entrevista por competencias + observación en campo + revisión de informes previos
D. Encuesta anónima

Explicación: En alto riesgo conviene combinar métodos que observen desempeño real.

Respuesta correcta: C

Cierre

La Cláusula 7 deja claro que la calidad de una auditoría depende de personas competentes, evaluadas con criterios objetivos, y en mejora continua. Con equipos bien calibrados, tus auditorías ISO 27001 serán consistentes, útiles y confiables para la dirección.

¿Quieres certificarte como auditor ISO 27001?

Si tu objetivo es obtener la certificación como ISO 27001 Internal / Lead Auditor, tengo un programa de preparación mucho más completo que esta serie: incluye acceso al examen de certificación, simuladores con muchísimas preguntas reales y mi acompañamiento directo para que llegues seguro al día del examen.

👉 Aquí puedes revisar toda la información del programa:

Curso Oficial ISO 27001 Internal Auditor / Lead Auditor

Y si quieres una preparación mucho más rapida puedes adquirir directamente nuestros kits de certificación y rendir tu examen cuanto antes:

Kit oficial ISO 27001 Internal Auditor

Kit oficial ISO 27001 Lead Auditor

Nos vemos,

—
Fernando Conislla
Instructor Oficial ISO 27001 | Todos los niveles