ISO 19011.

Qué cubre realmente la ISO 19011

La ISO 19011 es el documento de referencia para cualquier persona que planifica, realiza o gestiona auditorías de sistemas de gestión. Es deliberadamente genérica, de modo que los mismos principios se aplican tanto si audita un sistema de gestión de la seguridad de la información frente a la ISO 27001, un sistema de calidad frente a la ISO 9001 o la continuidad de negocio frente a la ISO 22301. En lugar de indicarle los requisitos que una organización debe cumplir, le explica cómo observar esos requisitos como auditor : cómo construir un programa de auditoría, cómo llevar a cabo una auditoría individual desde la reunión de apertura hasta la de cierre, y cómo juzgar si las personas que realizan la auditoría son competentes.

La norma organiza la auditoría en torno a un pequeño conjunto de principios. La integridad y la presentación imparcial mantienen la honestidad de los hallazgos. El debido cuidado profesional y la confidencialidad protegen a las personas y la información implicadas. Un enfoque basado en la evidencia significa que las conclusiones se apoyan en registros y observaciones verificables, no en impresiones ; y el pensamiento basado en el riesgo añadido en las revisiones recientes impulsa a los auditores a concentrar el esfuerzo donde más importa para los objetivos.

Programa de auditoría, ciclo de la auditoría y competencia

Una forma útil de leer la ISO 19011 es verla como tres capas anidadas. En la cima se sitúa el programa de auditoría, el conjunto de auditorías planificadas durante un periodo y la gestión de ese programa : fijar objetivos, asignar recursos, supervisar resultados y mejorar con el tiempo. En su interior se sitúa la auditoría individual y su ciclo :

• Iniciar la auditoría y confirmar su viabilidad con el auditado.
• Preparar las actividades de auditoría, incluida la revisión documental y el plan de auditoría.
• Realizar la auditoría en sitio o de forma remota : reunión de apertura, recopilación y verificación de la evidencia, generación de hallazgos.
• Informar, incluidas las conclusiones y la reunión de cierre.
• Finalizar la auditoría y realizar cualquier seguimiento de las acciones correctivas.

La tercera capa es la competencia del auditor. La ISO 19011 plantea la competencia como una combinación de comportamiento personal, conocimientos y habilidades genéricas de auditoría, y conocimientos propios de una disciplina, y a continuación describe cómo evaluarla y mantenerla. Por eso un profesional de la seguridad no puede limitarse a leer la norma una sola vez. La competencia es algo que se construye mediante la formación, la observación de auditorías y la práctica continua.

Dónde la encuentran los profesionales

En la práctica, usted se encuentra con la ISO 19011 en dos roles. Como auditado, explica lo que un auditor competente hará y no hará, lo que le ayuda a preparar la evidencia y a cuestionar hallazgos poco sólidos. Como auditor, interno o frente a proveedores, es el manual que sigue para hacer las auditorías repetibles y defendibles. El curso de Lead Auditor enseña esta norma junto con los requisitos del sistema que se audita, y los auditores externos que conoce durante la certificación se formaron con el mismo material.