Auditoría interna independiente
para sus sistemas TIC
y de seguridad física.
La auditoría interna es el mecanismo que permite a su organización saber, con certeza y evidencia objetiva, si su sistema de gestión funciona realmente o solo existe sobre el papel. Un servicio especializado, realizado por profesionales independientes, con la imparcialidad que ningún equipo interno puede garantizarse a sí mismo.
Todos los estándares TIC relevantes —ISO 27001, ENS, TISAX, ISO 22301, ISO 20000— exigen auditorías internas periódicas como parte del ciclo de mejora continua. Es un requisito formal. Pero reducir la auditoría interna a un trámite de cumplimiento es uno de los errores más frecuentes y costosos que cometen las organizaciones.
Una auditoría interna bien ejecutada permite: detectar brechas reales entre lo documentado y la práctica; identificar riesgos no contemplados que han emergido con el tiempo; verificar la eficacia real de los controles, no solo su existencia formal; anticipar hallazgos que el auditor externo va a encontrar, con tiempo para corregirlos; demostrar a la dirección el estado real con evidencia objetiva; y alimentar el ciclo de mejora continua que exigen todos los estándares.
Este es el principio fundamental y, al mismo tiempo, el más frecuentemente ignorado cuando las organizaciones intentan resolver el cumplimiento con recursos propios.
Un auditor no puede auditar su propio trabajo. No por falta de conocimiento técnico, sino porque la ausencia de independencia altera inevitablemente el proceso: qué se revisa, cómo se interpreta lo encontrado, qué se documenta como hallazgo y qué se pasa por alto. No es necesariamente consciente. Es una limitación inherente que los estándares reconocen y obligan a neutralizar.
ISO 19011 establece con claridad que los auditores deben ser objetivos e independientes de la actividad que auditan. ISO/IEC 27001, ENS, TISAX, ISO 22301 e ISO 20000 lo recogen explícitamente.
Situaciones en las que la independencia queda comprometida: el responsable del sistema audita controles que él mismo ha diseñado; el departamento de TI audita sus propios procesos; el responsable de seguridad revisa su propio plan; un consultor que participó en la implantación realiza después su auditoría interna.
Un auditor puede ser formalmente independiente —no haber participado en la actividad auditada— y aun así carecer de imparcialidad si tiene intereses en el resultado.
Un auditor imparcial: no tiene interés en que el resultado sea favorable ni desfavorable; no ajusta sus conclusiones a lo que la dirección quiere escuchar; no formula hallazgos en función de la relación personal con los auditados; documenta lo que encuentra, no lo que le resulta cómodo documentar; aplica los mismos criterios con independencia del área, cargo o antigüedad.
La imparcialidad es especialmente crítica en organizaciones pequeñas y medianas, donde las relaciones personales entre auditor interno y auditados son inevitablemente más estrechas. En ese contexto, un auditor externo independiente no es una alternativa de lujo: es la única forma de garantizar resultados fiables.
Revisión del SGSI conforme a ISO/IEC 27001 y su Anexo A. Verificación de eficacia de controles, cumplimiento de políticas, gestión de riesgos, tratamiento de incidentes y revisión por la dirección.
Revisión del grado de adecuación al ENS conforme al RD 311/2022 y guías CCN-STIC. Verificación según categoría del sistema (básica, media, alta), análisis de brechas e informe en el formato requerido.
Revisión conforme al cuestionario VDA ISA y atributos de evaluación TISAX. Preparación para la evaluación oficial por proveedor acreditado por ENX.
Revisión del SGCN. Verificación de planes de continuidad, BIA, ejercicios y pruebas, y capacidad real de respuesta ante interrupción.
Revisión del SMS conforme a ISO/IEC 20000-1. Verificación de procesos de entrega y soporte, gestión de incidentes, cambios, niveles de servicio y mejora continua.
Revisión independiente de control de accesos físico, CCTV, detección de intrusión, protección ambiental y procedimientos. La seguridad física y lógica son inseparables.
Alcance, criterios, calendario y áreas a revisar.
Análisis de políticas, procedimientos, registros, riesgos.
Entrevistas, observación directa, verificación de evidencias.
No conformidades mayores, menores, observaciones.
Documento de referencia para la dirección.
Reunión de cierre con dirección y responsables.
Verificación del cierre de no conformidades y eficacia de las acciones.
Esta es una de las decisiones estructurales que define cómo trabaja IMTS y que aplica sin excepciones, regardless del proyecto, el cliente o la urgencia.
El compromiso de IMTS no es vender un servicio puntual. Es ser un interlocutor estable y especializado en seguridad, cumplimiento e inteligencia. Quince años acompañando a empresas y organismos públicos lo respaldan.
Para acordar una primera reunión sin coste ni compromiso. Discreción absoluta desde el primer contacto.
