ISO 19011: Guía práctica para auditar ISO 27001

La norma ISO 19011 es la guía internacional para planificar, ejecutar y mejorar auditorías de sistemas de gestión. Si auditas un SGSI basado en ISO 27001, aquí encontrarás el cómo: principios que rigen la auditoría, gestión del programa, realización paso a paso y competencias del equipo auditor.

¿Qué es ISO 19011 y para qué sirve al auditor de ISO 27001?

ISO 19011 no fija requisitos del SGSI (eso lo hace ISO 27001). Proporciona recomendaciones para auditar cualquier sistema de gestión con imparcialidad, evidencia objetiva y enfoque basado en riesgo. En la práctica, te ayuda a:

• Organizar un programa de auditoría coherente con el contexto y los riesgos.

• Planificar cada auditoría individual (objetivos, alcance, criterios y plan).

• Ejecutar el trabajo de campo con métodos adecuados (entrevista, revisión documental, observación, muestreo).

• Redactar hallazgos y conclusiones, emitir informes y dar seguimiento.

Estructura de ISO 19011

A continuación se presenta la estructura oficial de ISO 19011. Las cláusulas 1–3 sientan las bases; las cláusulas 4–7 explican principios, programa, realización y competencia; y el Anexo A aporta orientación práctica.

• 1 Alcance
  Define qué cubre la guía: auditorías de sistemas de gestión (internas y de segunda parte) y recomendaciones aplicables a cualquier norma de gestión.

• 2 Referencias normativas
  Mantiene la coherencia con otras normas; suele no listar documentos obligatorios, pero ancla el uso consistente del marco.

• 3 Términos y definiciones
  Fija el lenguaje común: auditoría, criterios, evidencia, hallazgo, resultados, conclusiones, competencia, etc. Clave para el examen y para evitar ambigüedades.

• 4 Principios de auditoría
  Integridad, presentación justa, debido cuidado profesional, confidencialidad, independencia/imparcialidad y enfoque basado en evidencia y riesgo. Son la base ética y técnica de toda auditoría.

• 5 Programa de auditoría
  Cómo diseñar y gestionar el programa: objetivos, riesgos y oportunidades, criterios, calendario, recursos, seguimiento y mejora del propio programa.

• 6 Realización de la auditoría
  Flujo de una auditoría individual: definir objetivos, alcance y criterios → elaborar el plan → reunión de apertura → trabajo de campo (entrevistas, revisión documental, observación, muestreo) → hallazgos → conclusiones → informe → seguimiento.

• 7 Competencia y evaluación de los auditores
  Atributos personales, conocimientos y habilidades requeridas; métodos para evaluar la competencia del auditor y del equipo auditor.

• Anexo A (orientación)
  Guía práctica sobre métodos de auditoría, muestreo, auditorías remotas/híbridas, selección y combinación de técnicas, y consejos para entrevistas eficaces.

Relación con ISO 27001

• ISO 27001 (9.2) exige auditorías internas del SGSI.

• ISO 19011 explica cómo auditar: programa (Cl.5), ejecución (Cl.6), principios (Cl.4) y competencia (Cl.7).
  En conjunto: ISO 27001 define el qué del SGSI; ISO 19011 define el cómo auditarlo con calidad y consistencia.

Cómo aplicar ISO 19011 en una auditoría ISO 27001

1. Programa de auditoría (Cl.5): objetivos, priorización por riesgo, calendario y recursos.

2. Auditoría individual (Cl.6):

   • Objetivos, alcance y criterios (cláusulas y controles ISO 27001 aplicables, requisitos legales/contractuales, políticas internas).

   • Plan de auditoría (procesos/sitios/agenda/roles).

   • Métodos adecuados y evidencia verificable.

   • Hallazgos, conclusiones, informe y seguimiento.

3. Principios (Cl.4): garantizan imparcialidad y decisiones sustentadas en evidencia y riesgo.

4. Competencia (Cl.7): confirma atributos, conocimientos y habilidades del equipo auditor.

Preguntas tipo examen

1) ¿Qué rol cumple ISO 19011 frente a ISO 27001?

A. Define requisitos del SGSI
B. Guía el “cómo auditar” sistemas de gestión, incluido el SGSI ISO 27001
C. Sustituye la norma ISO 27001
D. Solo aplica a auditorías de certificación

Explicación: ISO 27001 define el “qué” del SGSI; ISO 19011 guía el “cómo auditarlo” (programa, realización y competencia).

Respuesta correcta: B

2) ¿Cuál es la secuencia correcta al planificar una auditoría individual según ISO 19011?

A. Plan → Alcance → Objetivos → Criterios
B. Objetivos → Alcance → Criterios → Plan de auditoría
C. Alcance → Criterios → Objetivos → Plan
D. Criterios → Objetivos → Plan → Alcance

Explicación: Primero se fijan objetivos; con base en ellos se establecen alcance y criterios; luego se prepara el plan (Cl.6).

Respuesta correcta: B

3) ¿Qué sección de ISO 19011 define atributos, conocimientos y métodos de evaluación del auditor?

A. Cláusula 4
B. Cláusula 5
C. Cláusula 7
D. Anexo A

Explicación: La Cláusula 7 trata la competencia del auditor y cómo evaluarla.

Respuesta correcta: C

Cierre

En esta entrada revisaste qué es ISO 19011, su estructura completa (Cl.1–7 y Anexo A), la relación directa con ISO 27001 y el modo de aplicación en auditorías internas: programa, auditoría individual, principios y competencia. Con esta base, en la siguiente pieza avanzaremos con Conceptos de auditoría para fijar el lenguaje que usarás en todo el proceso.

¿Quieres certificarte como auditor ISO 27001?

Si tu objetivo es obtener la certificación como ISO 27001 Internal / Lead Auditor, tengo un programa de preparación mucho más completo que esta serie: incluye acceso al examen de certificación, simuladores con muchísimas preguntas reales y mi acompañamiento directo para que llegues seguro al día del examen.

👉 Aquí puedes revisar toda la información del programa:

Curso Oficial ISO 27001 Internal Auditor / Lead Auditor

Y si quieres una preparación mucho más rapida puedes adquirir directamente nuestros kits de certificación y rendir tu examen cuanto antes:

Kit oficial ISO 27001 Internal Auditor

Kit oficial ISO 27001 Lead Auditor

Nos vemos,

—

Fernando Conislla

Instructor Oficial ISO 27001 | Todos los niveles