Iso28003 2007

www.consultoresauditores.
com
REQUISITOS DE
COMPETENCIA DE
AUDITORES DE
SEGURIDAD PARA LA
CADENA DE
SUMINISTRO NORMA
ISO 28003:2007
Sistemas de Gestion de
Seguridad para la Cadena de
Suministro - Requisitos para los
organismos que presten
servicios de auditoría y
certificación de sistemas de
gestión de seguridad de la
cadena de suministro
Ing. Miller A. Romero / gerencia@consultoresauditores.com

ISO 28003 : 2007
q  I S O 2 8 0 0 3 f u e p r e p a r a d a
conjuntamente por el Comité de ISO
para la evaluación de la conformidad
(ISO / CASCO) y la tecnología ISO / TC 8,
buques y marinos.
q  Esta primera edición anula y sustituye a

la norma ISO / PAS 28003:2006, la cual
ha sido revisada técnicamente.
q  ISO 28003 incluye los requisitos de la

norma ISO / IEC 17021, Evaluación de la
conformidad - Requisitos para los
organismos que realizan la auditoría y
certificación de sistemas de gestión.
q  Proporciona orientación armonizada

para la acreditación de organismos de
certificación ISO 28000
Ing. Miller A. Romero C. / Experto Técnico ONAC ISO 28000 e ISO 9001
ISO 28003 : 2007
PRINCIPIOS PARA LOS ORGANISMOS DE CERTIFICACION
El valor de la certificación es el grado de

confianza por parte del público que se
establece para un sistema de gestión,
proceso o producto (incluyendo
servicios) que ha sido evaluado de forma
imparcial y competente por parte de un
tercero.
4.1.3 Principios para inspirar confianza
ü  IMPARCIALIDAD
ü  LA COMPETENCIA
ü  LA RESPONSABILIDAD
ü  LA TRANSPARENCIA
ü  LA CONFIDENCIALIDAD
ü  LA CAPACIDAD DE RESPUESTA A LAS
QUEJAS.
ISO 28003 : 2007
PRINCIPIOS PARA LOS ORGANISMOS DE CERTIFICACION
4.2.4 Amenazas a la imparcialidad
q Interés propio
q Auto-revisión
q Familiaridad o confianza
q La intimidación
ISO 28003 : 2007
PERSONAL QUE INTERVIENEN EN LAS ACTIVIDADES DE
7.2
CERTIFICACION
7.2.1 COMPETENTE
EMPLEAR AUDITORES LIDERES, AUDITORES Y EXPERTOS

7.2.2
TECNICOS
DIVULGAR AL PERSONAL SUS DEBERES,

7.2.3
RESPONSABILIDADES Y AUTORIDAD.
COMPETENCIA DE EQUIPO AUDITOR EN
ANÁLISIS DE RIESGOS,
ANÁLISIS DE PUNTOS CRÍTICOS DE CONTROL,
METODOLOGÍAS DE GESTIÓN DE RIESGOS Y
LA CONFIDENCIALIDAD DE INFORMACIÓN.
7.2.3.1 ADEMAS DE :
•  COMPRENDER LOS REQUISITOS ISO 28000 PARA LA

CADENA DE SUMINISTRO
•  TODO TIPO DE AMENAZAS EN LA CADENA DE SUMINISTRO
•  EVALUACIÓN DE RIESGOS Y ANÁLISIS:
•  MINIMIZACIÓN DE RIESGOS, MITIGACIÓN Y CONTROL:
•  PLANES DE CONTINGENCIAS / CONTINUIDAD /
RECUPERACIÓN / RESILIENCIA
PLAN DE FORMACION PARA AUDITORES
REQUISITOS DEL PLAN DE FORMACION
A)  RESULTADO DE ANALISIS DE NECESIDADES

7.2.3.3 B)  SER REGISTRADO
C)  INCLUYIR ESTUDIO DE CASOS DE AUDITORIA
D)  INTERPRETACION DE NORMAS
E)  SER EVALUADO
F)  EJECUTADO POR FACILITADORES CALIFICADOS
ISO 28003 : 2007
P E R S O N A L Q U E I N T E RV I E N E N E N L A S A C T I V I D A D E S D E
7.2
CERTIFICACION
AUDITOR CON MINIMO DE CINCO ( 5 ) AÑOS DE EXPERIENCIA

7.2.3.4 RELEVANTE PARA EL ANÁLISIS Y GESTIÓN DE RIESGOS, O DE DOS
AÑOS DE AUDITORIA A PRÁCTICAS Y ESTÁNDARES DEL SECTOR.
AUDITOR REALIZAR UN MÍNIMO DE 5 AUDITORÍAS POR AÑO O LLEVAR

7.2.3.5
A CABO UN MÍNIMO DE 10 DÍAS DE AUDITORÍA EN SITIO POR AÑO
AUDITOR CON LA FORMACIÓN Y EXPERIENCIA ADECUADAS PARA LAS

7.2.3.6 DIFERENTES CATEGORÍAS PARA LAS QUE SE CONSIDERA
COMPETENTE.
P R O C E D I M I E N T O PA R A L A S E L E C C I O N A R , F O R M A C I O N ,
AUTORIZACION DE EXPERTOS TECNICOS
7.2.4 INCLUIR EN EVALUACION DE AUDITORES LA CAPACIDAD PARA

APLICAR EL CONOCIMIENTO Y LAS HABILIDADES EN AUDITORIA IN
SITU
UTILIZAR EVALUADOR COMPETENTE
PROCEDIMIENTO PARA DEMOSTRAR Y LOGRAR AUDITORIAS

7.2.5
EFICACES
CONOCIMIENTO DE PROCEDIMIENTO POR EQUIPO AUDITOR

7.2.6
ACCESO DE EQUIPO AUDITOR A PROCEDIMIENTOS DE CERTIFICACION
ISO 28003 : 2007
PERSONAL QUE INTERVIENEN EN LAS ACTIVIDADES DE
7.2
CERTIFICACION
UTILIZAR AUDITORES Y EXPERTOS TECNICOS UNICAMENTE EN LOS

7.2.7
SECTORES QUE POSEEN COMPETENCIA
SUMINISTRAR FORMACION A AUDITORES Y EXPERTOS TECNICOS
7.2.8 PROGRAMAR AUDITORES CON CONOCIMIENTOS Y EXPERIENCIA DE

SEGURIDAD EN LAS CADENAS DE SUMINISTRO DE LOS SECTORES
AUDITADOS.
EL GRUPO O LA PERSONA QUE TOMA LA DECISIÓN DE OTORGAR,

MANTENER, RENOVAR, AMPLIAR, REDUCIR, SUSPENDER O RETIRAR
LA CERTIFICACIÓN DEBE COMPRENDER LA NORMA APLICABLE Y
7.2.9 LOS REQUISITOS DE CERTIFICACIÓN, Y DEMOSTRAR COMPETENCIA
PA R A E VA L U A R L O S P R O C E S O S D E A U D I T O R Í A Y L A S
RECOMENDACIONES RELACIONADAS DEL EQUIPO AUDITOR.
EVALUAR DESEMPEÑO DE EQUIPO AUDITOR Y DEMAS PERSONAL

INTERVINIENTE EN LA CERTIFICACION
7.2.10
COMPETENCIA VERIFICABLE MEDIANTE EXAMENES ESCRITOS CON
NOTAS MINIMAS DE APROBACION.
LA EVALUACION DE DESEMPEÑO DE AUDITORES DEBE INCLURI
•  OBSERVACIÓN IN SITU,
7.2.11 •  REVISIÓN DE LOS INFORMES DE AUDITORÍA Y
•  LA RETROALIMENTACIÓN DE LOS CLIENTES O DEL MERCADO,
REQUISITOS DE EVALUACION DOCUMENTADOS.
E L O R G A N I S M O D E C E R T I F I C A C I Ó N D E B E O B S E R VA R
7.2.12
PERIÓDICAMENTE EL DESEMPEÑO DE CADA AUDITOR IN SITU.
E L O R G A N I S M O D E C E RT I F I C A C I Ó N D E B E R E V I S A R L A
7.2.15 COMPETENCIA DE SU PERSONAL, A LA LUZ DE SUS RESULTADOS
CON EL FIN DE IDENTIFICAR LAS NECESIDADES DE CAPACITACIÓN.
ISO 28003 : 2007
EMPLEO DE AUDITORES EXTERNOS Y EXPERTOS TÉCNICOS

7.3
EXTERNOS INDIVIDUALES
ACUERDO DE CONFIDENCIALIDAD POR ESCRITO CON

AUDITORES Y EXPERTOS TECNICOS.
INCLUIR REPORTE DE CONFLICTO DE INTERESES
EL ACUERDO NO CONSTITUYE CONTRATACION.
ISO 28003 : 2007
7.4 REGISTROS RELATIVOS AL PERSONAL
EL ORGANISMO DE CERTIFICACIÓN DEBE MANTENER

REGISTROS ACTUALIZADOS DEL PERSONAL QUE
INTERVIENE EN LA CERTIFICACION
APLICACIÓN DE ESTUDIOS DE SEGURIDAD EQUIPO AUDITOR
LOS CLIENTES DE AUDITORIA PUEDEN TENER ACCESO A

7.4.1 ESTUDIOS DE SEGURIDAD U OTRAS PARTES INTERESADAS
SI SE REQUIERE.
DOCUMENTAR PROCESO DE INVESTIGACION DE EQUIPO

AUDITOR
VERIFICACIÓN DE ANTECEDENTES
LOS ORGANISMOS DE CERTIFICACIÓN DEBERÁN LLEVAR A

CABO VERIFICACIONES DE ANTECEDENTES PENALES DE
TODO EL PERSONAL, AUDITORES Y EXPERTOS TÉCNICOS.
7.4.2
CUANDO NO APLIQUE SE DEBEN REALIZAR ENTREVISTAS DE

SEGURIDAD
DEBE EXISTIR UN RESPONSABLE DE LA EJECUCION DE

E N T R E V I S TA D E S E G U R I D A D , E X A M E N D E L A
7.4.3 DOCUMENTACIÓN PRESENTADA PARA DETERMINAR
CONFIABILIDAD DE LOS POSTULADOS A AUDITORES.
ISO 28003 : 2007
7.4 REGISTROS RELATIVOS AL PERSONAL
VERIFICACION DE REFERENCIAS LABORALES DE ALMENOS 5 AÑOS

7.4.4
DE TRABAJO
CARNE DE IDENTIFICACIÓN
CADA AUDITOR DE SEGURIDAD, SE LE EXPEDIRÁ UN CARNE DE

IDENTIFICACIÓN QUE INCLUYA LO SIGUIENTE:
FOTOGRAFÍA;
NOMBRE(S) Y APELLIDOS;
NACIONALIDAD;
7.4.5
NÚMERO DE IDENTIFICACIÓN DE LA TARJETA;
NOMBRE Y EL LOGOTIPO DEL ORGANISMO DE CERTIFICACIÓN;
UNA MARCA Y CARACTERÍSTICA QUE IMPIDE LA ALTERACIÓN Y

FALSIFICACIÓN.
CUANDO LAS POLÍTICAS DE CONFIDENCIALIDAD Y SEGURIDAD LO

REQUIERAN PODRÁN SER SOLICITADAS POR ORGANIZACIONES EN
PROCESO DE AUDITORÍA.
PROCEDIMIENTO PARA LA APLICACIÓN DE MEDIDAS DISCIPLINARIAS

7.4.6 EN CASO DE INCUMPLIMIENTO DE REQUISITOS POR PARTE DE
AUDITORES.
LOS AUDITORES DEBEN SER INFORMADOS POR ESCRITO Y

COMPRENDER LAS INFRACCIONES QUE PUDIERAN SOMETERSE A
7.4.7 MEDIDAS DISCIPLINARIAS, RESPONSABILIDAD CIVIL Y LOS
ENJUICIAMIENTOS PENALES.
ISO 28003 : 2007
9.1.2 PLAN DE AUDITORIA
OBJETIVO DE LA AUDITORIA
A)  LA DETERMINACIÓN DE LA CONFORMIDAD DEL SISTEMA

DE GESTIÓN DEL CLIENTE, O DE PARTES DE DICHO
SISTEMA, CON LOS CRITERIOS DE AUDITORÍA;
B)  LA EVALUACIÓN DE LA CAPACIDAD DEL SISTEMA DE

GESTIÓN PARA ASEGURAR QUE LA ORGANIZACIÓN
9.1.2.2.2 CLIENTE CUMPLE LOS REQUISITOS LEGALES,
REGLAMENTARIOS Y CONTRACTUALES APLICABLES;
C)  LA EVALUACIÓN DE LA EFICACIA DEL SISTEMA DE

GESTIÓN PARA ASEGURAR QUE LA ORGANIZACIÓN
CLIENTE CUMPLE CONTINUAMENTE SUS OBJETIVOS
ESPECIFICADOS; Y
D)  CUANDO CORRESPONDA, LA IDENTIFICACIÓN DE LAS

ÁREAS DE MEJORA POTENCIAL DEL SISTEMA DE
GESTIÓN.
EL ALCANCE DE LA AUDITORÍA DEBE DESCRIBIR LA

EXTENSIÓN Y LOS LÍMITES DE LA AUDITORÍA, TAL COMO, LAS
9.1.2.2.3 UBICACIONES FÍSICAS, LAS UNIDADES ORGANIZACIONALES,
LAS ACTIVIDADES Y LOS PROCESOS A AUDITAR.
9.1.2.2.4 CRITERIOS DE AUDITORIA
ISO 28003 : 2007
9.1.2.3 PREPARACION DEL PLAN DE AUDITORIA
EL PLAN DE AUDITORÍA DEBE AJUSTARSE A LOS OBJETIVOS Y

AL ALCANCE DE LA AUDITORÍA.
EL PLAN DE AUDITORÍA DEBE AL MENOS INCLUIR O HACER

REFERENCIA A LO SIGUIENTE:
A)  LOS OBJETIVOS DE LA AUDITORÍA;
B)  LOS CRITERIOS DE LA AUDITORÍA;
C)  E L A L C A N C E D E L A A U D I T O R Í A , I N C L U I D A L A
IDENTIFICACIÓN DE LAS UNIDADES ORGANIZACIONALES
Y FUNCIONALES O DE LOS PROCESOS A AUDITAR;
D)  LAS FECHAS Y LOS SITIOS EN LOS QUE SE VAN A

REALIZAR LAS ACTIVIDADES DE AUDITORÍA IN SITU,
INCLUIDAS LAS VISITAS A LOS SITIOS TEMPORALES,
CUANDO CORRESPONDA;
E)  EL TIEMPO Y LA DURACIÓN PREVISTOS PARA LAS

ACTIVIDADES DE AUDITORÍA IN SITU, Y
F)  LAS FUNCIONES Y LAS RESPONSABILIDADES DE LOS

MIEMBROS DEL EQUIPO AUDITOR Y DE LAS PERSONAS
QUE LOS ACOMPAÑAN.
9.1.3 SELECCIÓN DEL EQUIPO AUDITOR Y ASIGNACIÓN DE TAREAS
PROCEDIMIENTO SELECCIÓN EQUIPO AUDITOR (LIDER Y

AUDITORES)
9.1.3.1 CUANDO HAY UN SOLO AUDITOR DEBE TENER COMPETENCIA
DE AUDITOR LIDER
ISO 28003 : 2007
SELECCIÓN DEL EQUIPO AUDITOR Y ASIGNACIÓN DE
9.1.3 TAREAS
DESIGNAR EL EQUIPO TENIENDO EN CUENTA:
a)  LOS OBJETIVOS, ALCANCE Y CRITERIOS DE LA

AUDITORÍA Y, LA DURACIÓN ESTIMADA DE LA MISMA;
b)  SI LA AUDITORÍA ES UNA AUDITORÍA COMBINADA,

INTEGRADA O CONJUNTA;
c)  LA COMPETENCIA GLOBAL DEL EQUIPO AUDITOR

NECESARIA PARA LOGRAR LOS OBJETIVOS DE LA
9.1.3.2 AUDITORÍA;
d)  LOS REQUISITOS DE LA CERTIFICACIÓN (INCLUIDOS

TODOS LOS REQUISITOS LEGALES, REGLAMENTARIOS O
CONTRACTUALES APLICABLES);
e)  EL IDIOMA Y LA CULTURA; Y
f)  SI LOS MIEMBROS DEL EQUIPO AUDITOR HAN AUDITADO

PREVIAMENTE EL SISTEMA DE GESTIÓN DEL CLIENTE.
9.1.3.3 APOYO DE EXPERTOS TECNICOS
AUDITORES EN FORMACION ACOMPAÑADOS SIEMPRE DE

9.1.3.4 AUDITOR
EL AUDITOR LIDER UNICO RESPONSABLE DE ASIGNAR

9.1.3.5 FUNCIONES Y RESPONSABILIDADES
ISO 28003 : 2007
9.1.5 MUESTREO MULTISITIO
PROCEDIMIENTO MUESTREO MULTISITIO.
SE DEBE ARGUMENTAR Y DOCUMENTAR LA JUSTIFICACIÓN

DEL PLAN DE MUESTREO PARA CADA CLIENTE.
COMUNICACION DE LAS TAREAS DEL EQUIPO AUDITOR AL

CLIENTE
TODOS LOS SITIOS DEBEN SER OBJETO DE AUDITORIA, LAS

EXCLUSIONES DEBEN SOPORTARSE Y ARGUMENTARSE EN
LOS RIESGOS.
PARA DETERMINAR EL TIEMPO DE AUDITOR, EL ORGANISMO

DE CERTIFICACIÓN DEBERÍA CONSIDERAR, ENTRE OTRAS
COSAS, LOS SIGUIENTES ASPECTOS:
A) LOS REQUISITOS PERTINENTES DE LA CADENA DE

SUMINISTRO ESTÁNDAR DE SISTEMA DE GESTIÓN DE LA
9.1.6 SEGURIDAD;
B) LA COMPLEJIDAD;
C) TAMAÑO;
D) RIESGOS;
E) EL CONTEXTO TECNOLÓGICO Y NORMATIVO, Y
F) EL NÚMERO DE SITIOS Y CONSIDERACIONES MÚLTIPLES

SITIOS
LOS DÍAS DE AUDITOR SE BASA EN LA TABLA ANEXO A.
ISO 28003 : 2007
9.1.5 MUESTREO MULTISITIO
PROPORCIONAR EL NOMBRE Y, CUANDO SE SOLICITE,

PONER A DISPOSICIÓN LOS ANTECEDENTES DE CADA
MIEMBRO DEL EQUIPO AUDITOR A LA ORGANIZACIÓN
CLIENTE,
9.1.7
SE PUEDE RECORTAR TIEMPOS DE AUDITORIA O NO

AUDITAR SITIOS BAJO ARGUMENTOS DE RIESGOS QUE
NO IMPACTAN LA CADENA DE SUMINISTRO.
SE DEBE COMUNICAR AL CLIENTE EL PLAN DE

AUDITORIA
9.1.8
EL PLAN DE AUDITORIA PUEDE SER REALIZADO POR
UN AUDITOR NO LIDER PERO DEBE SER REVISADO Y
APROBADO POR EL AUDITOR LIDER.
ISO 28003 : 2007
9.1.9 REALIZACION DE LA AUDITORIA IN SITU
9.1.9.1 GENERALIDADES
PROCEDIMIENTO PARA REALIZAR LAS AUDITORÍAS IN SITU.

ESTE PROCESO DEBE INCLUIR UNA REUNIÓN DE APERTURA
AL COMIENZO DE LA AUDITORÍA Y UNA REUNIÓN DE CIERRE
A LA CONCLUSIÓN DE LA AUDITORÍA.
REALIZACIÓN DE LA REUNIÓN DE APERTURA

9.1.9.2
LISTA DE VERIFICACION REUNION DE APERTURA
9.1.9.3 COMUNICACION DURANTE LA AUDITORIA
DURANTE LA AUDITORÍA, EL EQUIPO AUDITOR DEBE

9.1.9.3.1 EVALUAR PERIÓDICAMENTE EL PROGRESO DE LA
AUDITORÍA E INTERCAMBIAR INFORMACIÓN
CUANDO LAS EVIDENCIAS DISPONIBLES DE LA AUDITORÍA

INDIQUEN QUE LOS OBJETIVOS DE LA AUDITORÍA NO SON
ALCANZABLES O SUGIERA LA PRESENCIA DE UN RIESGO
INMEDIATO Y SIGNIFICATIVO (POR EJEMPLO, EN MATERIA DE
9.1.9.3.2
SEGURIDAD), EL LÍDER DEL EQUIPO AUDITOR DEBE
INFORMAR DE ESTE HECHO AL CLIENTE Y, SI ES POSIBLE, AL
ORGANISMO DE CERTIFICACIÓN PARA DETERMINAR LAS
ACCIONES APROPIADAS.
EL LÍDER DEL EQUIPO AUDITOR DEBE REVISAR CON EL

CLIENTE CUALQUIER NECESIDAD DE MODIFICACIÓN DEL
9.1.9.3.3 ALCANCE DE LA AUDITORÍA QUE SURJA A MEDIDA QUE
AVANCEN LAS ACTIVIDADES DE LA AUDITORÍA IN SITU E
INFORMAR AL ORGANISMO DE CERTIFICACIÓN.
ISO 28003 : 2007
9.1.9.4 OBSERVADORES Y GUIAS
9.1.9.4.1 OBSERVADORES
LA PRESENCIA Y LA JUSTIFICACIÓN DE
OBSERVADORES DURANTE UNA ACTIVIDAD DE
A U D I TO R Í A D E B E A C O R D A R S E E N T R E E L
ORGANISMO DE CERTIFICACIÓN Y EL CLIENTE
ANTES DE LA REALIZACIÓN DE LA AUDITORÍA.
EL EQUIPO AUDITOR DEBE ASEGURARSE DE QUE

L O S O B S E R VA D O R E S N O I N F L U Y E N N I
INTERFIEREN EN EL PROCESO DE AUDITORÍA O EL
RESULTADO DE LA AUDITORÍA.
9.1.9.4.2 GUIAS
CADA AUDITOR DEBE ESTAR ACOMPAÑADO DE UN

GUÍA,
ISO 28003 : 2007
9.1.9.5 RECOPILACION Y VERIFICACION DE LA INFORMACION
MUESTREO APROPIADO DE INFORMACION Y VERIFICACION

9.1.9.5.1
DE EVIDENCIAS
LOS MÉTODOS PARA RECOPILAR LA INFORMACIÓN
A)  LAS ENTREVISTAS;
B)  L A O B S E R VA C I Ó N D E L O S P R O C E S O S Y L A S
9.1.9.5.2 ACTIVIDADES; Y
C)  LA REVISIÓN DE LA DOCUMENTACIÓN Y DE LOS

REGISTROS.
IDENTIFICACION Y REGISTRO DE LOS HALLAZGOS DE

9.1.9.6
AUDITORIA
9.1.9.6.1 INFORME DE REPORTE DE HALLAZGOS
SE PUEDEN IDENTIFICAR Y REGISTRAR OPORTUNIDADES DE

9.1.9.6.2
MEJORA
ISO 28003 : 2007
REPORTAR NO CONFORMIDADES CONTRA REQUISITOS DE

9.1.9.6.3
NORMA
LOGRAR CONCENSO DE LOS HALLAZGOS CON EL CLIENTE DE

9.1.9.6.4
AUDITORIA
PREPARACIÓN DE LAS CONCLUSIONES DE LA AUDITORÍA
ANTES DE LA REUNIÓN DE CIERRE, EL EQUIPO AUDITOR DEBE:
A) REVISAR LOS HALLAZGOS DE AUDITORÍA CON RESPECTO A

LOS OBJETIVOS DE LA AUDITORÍA;
B) ACORDAR LAS CONCLUSIONES DE LA AUDITORÍA,

9.1.9.7
C) IDENTIFICAR TODA ACCIÓN DE SEGUIMIENTO NECESARIA;
D) CONFIRMAR QUE EL PROGRAMA DE AUDITORÍA ES

ADECUADO O IDENTIFICAR CUALQUIER MODIFICACIÓN QUE
SEA NECESARIA (POR EJEMPLO, EL ALCANCE, LOS HORARIOS
O LAS FECHAS DE LA AUDITORÍA, LA FRECUENCIA DE LAS
ACCIONES DE SEGUIMIENTO, LAS COMPETENCIAS).
ISO 28003 : 2007
9.1.9.8 REALIZACION DE LA REUNION DE CIERRE
SE DEBE REALIZAR UNA REUNIÓN FORMAL DE CIERRE,
9.1.9.8.1
SE DEBE REGISTRAR LA ASISTENCIA A LA MISMA.
9.1.9.8.2 ELEMENTOS DE LA LA REUNIÓN DE CIERRE
LAS DIFERENCIAS DE OPINIÓN QUE NO SE RESUELVAN

9.1.9.8.3 DEBEN REGISTRARSE Y REMITIRSE AL ORGANISMO DE
CERTIFICACIÓN.
ISO 28003 : 2007
9.1.10 INFORME DE AUDITORIA
9.1.10.1 INFORME ESCRITO DE AUDITORIA
EL INFORME DE AUDITORÍA DEBE PROPORCIONAR UN REGISTRO

COMPLETO, EXACTO, CLARO Y CONCISO DE LA AUDITORÍA
QUE PERMITA TOMAR UNA DECISIÓN INFORMADA Y DEBE
INCLUIR O HACER REFERENCIA A LO SIGUIENTE:
A) LA IDENTIFICACIÓN DEL ORGANISMO DE CERTIFICACIÓN;
B) EL NOMBRE Y LA DIRECCIÓN DEL CLIENTE Y DEL

REPRESENTANTE DE LA DIRECCIÓN DEL CLIENTE;
C) EL TIPO DE AUDITORÍA (POR EJEMPLO, AUDITORÍA INICIAL, DE

SEGUIMIENTO O DE RENOVACIÓN DE LA CERTIFICACIÓN);
D) LOS CRITERIOS DE LA AUDITORÍA;
E) LOS OBJETIVOS DE LA AUDITORÍA;
F) EL ALCANCE DE LA AUDITORÍA, PARTICULARMENTE LA

9.1.10.2
IDENTIFICACIÓN DE LAS UNIDADES ORGANIZACIONALES O
FUNCIONALES O LOS PROCESOS AUDITADOS, ASÍ COMO LA
DURACIÓN DE LA AUDITORÍA;
G) LA IDENTIFICACIÓN DEL LÍDER DEL EQUIPO AUDITOR, LOS

MIEMBROS DEL EQUIPO AUDITOR Y CUALQUIER PERSONA
ACOMPAÑANTE;
H) LAS FECHAS Y LUGARES EN LOS QUE SE REALIZARON LAS

ACTIVIDADES DE AUDITORÍA (IN SITU O FUERA);
I)  LOS HALLAZGOS, LAS EVIDENCIAS, Y LAS CONCLUSIONES

DE LA AUDITORÍA, COHERENTES CON LOS REQUISITOS DEL
TIPO DE AUDITORÍA; Y
II)  J) CUALQUIER PROBLEMA NO RESUELTO, SI FUERA

IDENTIFICADO.
ESE DEBE REQUERIR AL CLIENTE APLICACIÓN DE ACCIONES

9.1.11 CORRECTIVAS
ISO 28003 : 2007
EFICACIA DE LAS CORRECCIONES Y ACCIONES CORRECTIVAS
9.1.12 REVISAR LAS CORRECCIONES, IDENTIFICAR LAS CAUSAS Y LAS

ACCIONES CORRECTIVAS ENVIADAS POR EL CLIENTE PARA
DETERMINAR SI SON ACEPTABLES.
AUDITORÍAS ADICIONALES
9.1.13
SE DEBE INFORMAR A LA ORGANIZACIÓN AUDITADA SI SERÁ
NECESARIO REALIZAR UNA AUDITORÍA COMPLETA ADICIONAL
DECISIÓN DE CERTIFICACIÓN
9.1.14
ASEGURAR IMPARCIALIDAD DE COMITÉ DE CERTIFICACION
ACCIONES PREVIAS A LA TOMA DE LA DECISIÓN
EL ORGANISMO DE CERTIFICACIÓN DEBE CONFIRMAR, ANTES

DE TOMAR UNA DECISIÓN, QUE:
A)  LA INFORMACIÓN PROPORCIONADA POR EL EQUIPO

AUDITOR ES SUFICIENTE CON RESPECTO A LOS REQUISITOS
DE CERTIFICACIÓN Y AL ALCANCE DE LA CERTIFICACIÓN;
B)  SE HA REVISADO, ACEPTADO Y VERIFICADO LA EFICACIA

DE LAS CORRECCIONES Y DE LAS ACCIONES
9.1.15 CORRECTIVAS, PARA TODAS LAS NO CONFORMIDADES
QUE REPRESENTAN:
1)  EL INCUMPLIMIENTO DE UNO O MÁS REQUISITOS DE LA

NORMA DE SISTEMAS DE GESTIÓN, O
2)  UNA SITUACIÓN QUE GENERE DUDAS SIGNIFICATIVAS

SOBRE LA CAPACIDAD DEL SISTEMA DE GESTIÓN DEL
CLIENTE PARA ALCANZAR LOS RESULTADOS PRETENDIDOS;
C) SE HA REVISADO Y ACEPTADO EL PLAN DE CORRECCIONES

Y ACCIONES CORRECTIVAS.
ISO 28003 : 2007
9.2.3.1 AUDITORIA DE LA ETAPA 1
OBJETO
a)  AUDITAR LA DOCUMENTACIÓN
b)  EVALUAR LA UBICACIÓN Y LAS CONDICIONES

ESPECÍFICAS DEL SITIO DEL CLIENTE Y DETERMINAR EL
ESTADO DE PREPARACIÓN PARA LA AUDITORÍA DE LA
ETAPA 2;
c)  REVISAR EL ESTADO DEL CLIENTE Y SU GRADO DE

COMPRENSIÓN DE LOS REQUISITOS DE LA NORMA,;
d)  RECOPILAR LA INFORMACIÓN NECESARIA

CORRESPONDIENTE AL ALCANCE DEL SISTEMA DE
GESTIÓN, A LOS PROCESOS Y A LAS UBICACIONES DE
LA ORGANIZACIÓN CLIENTE, ASÍ COMO A LOS ASPECTOS
LEGALES Y REGLAMENTARIOS RELACIONADOS Y SU
CUMPLIMIENTO
e)  REVISAR LA ASIGNACIÓN DE RECURSOS PARA LA

AUDITORÍA DE LA ETAPA 2 Y ACORDAR CON EL CLIENTE
LOS DETALLES DE LA AUDITORÍA DE LA ETAPA 2;
9.2.3.1.1
f)  PROPORCIONAR UN ENFOQUE PARA LA PLANIFICACIÓN
DE LA AUDITORÍA DE LA ETAPA 2,
g)  EVALUAR SI LAS AUDITORÍAS INTERNAS Y LA REVISIÓN

POR LA DIRECCIÓN SE PLANIFICAN Y REALIZAN
h)  SE RECOMIENDA QUE AL MENOS PARTE DE LA

AUDITORÍA DE LA ETAPA 1 SE LLEVE A CABO EN LAS
INSTALACIONES DEL CLIENTE,
EN CASOS EXCEPCIONALES ETAPA 1 PODRÍA LLEVARSE A

CABO SIN UNA VISITA. LA DECISIÓN DE NO VISITAR EL SITIO
DEBE ESTAR JUSTIFICADO Y DOCUMENTADO Y EL CLIENTE
DEBERÁ SER INFORMADO QUE CREA UN RIESGO PARA LA
ETAPA 2 DE LA AUDITORÍA. ESTA JUSTIFICACIÓN DEBE
BASARSE EN EL TAMAÑO DE LAS ORGANIZACIONES, LA
UBICACIÓN, LAS CONSIDERACIONES DE RIESGO, EL
CONOCIMIENTO PREVIO, ETC
ISO 28003 : 2007
9.2.3.1 AUDITORIA DE LA ETAPA 1
9.2.3.1.2 LOS HALLAZGOS DE LA AUDITORÍA DE LA ETAPA 1

DEBEN DOCUMENTARSE Y COMUNICARSE AL CLIENTE,
EN EL MOMENTO DE DETERMINAR EL INTERVALO ENTRE

LA AUDITORÍA DE LA ETAPA 1 Y LA AUDITORÍA DE LA
ETAPA 2, SE DEBEN CONSIDERAR LAS NECESIDADES
DEL CLIENTE PARA RESOLVER LOS PROBLEMAS
IDENTIFICADOS EN LA AUDITORÍA DE LA ETAPA 1.
9.2.3.1.3
EL ORGANISMO DE CERTIFICACIÓN PUEDE ASIMISMO

TENER QUE REVISAR SUS ACUERDOS PARA LA
AUDITORÍA DE LA ETAPA 2.
LOS PROCESOS DEL SGSCS REVISADOS EN ETAPA 1 NO

TIENEN QUE NECESARIAMENTE VOLVERSE A REVISAR
EN ETAPA 2
EL INFORME DE AUDITORIA DE LA ETAPA 2 DEBERÁ

INCLUIR LOS HALLAZGOS Y DESCRIPCION DE ESTADO
DE CIERRE DE LA ETAPA 1.
ISO 28003 : 2007
AUDITORIA DE LA ETAPA 2
EL PROPÓSITO DE LA AUDITORÍA DE LA ETAPA 2 ES EVALUAR

LA IMPLEMENTACIÓN, INCLUIDA LA EFICACIA, DEL SISTEMA
DE GESTIÓN DEL CLIENTE.
LA AUDITORÍA DE LA ETAPA 2 DEBE TENER LUGAR EN LAS

UBICACIONES DEL CLIENTE.
DEBE INCLUIR AL MENOS LO SIGUIENTE:
A)  L A I N F O R M A C I Ó N Y L A S E V I D E N C I A S D E L A
CONFORMIDAD
B)  LA REALIZACIÓN DE ACTIVIDADES DE SEGUIMIENTO,

MEDICIÓN, INFORME Y REVISIÓN CON RELACIÓN A LOS
OBJETIVOS Y METAS DE DESEMPEÑO CLAVE;
C)  EL SISTEMA DE GESTIÓN DEL CLIENTE Y SU DESEMPEÑO

9.2.3.2.
EN RELACIÓN CON EL CUMPLIMIENTO DE LA
LEGISLACIÓN;
D)  EL CONTROL OPERACIONAL DE LOS PROCESOS DEL

CLIENTE;
E)  LAS AUDITORÍAS INTERNAS Y LA REVISIÓN POR LA

DIRECCIÓN;
F)  LA RESPONSABILIDAD DE LA DIRECCIÓN EN RELACIÓN

CON LAS POLÍTICAS DEL CLIENTE;
G)  LOS VÍNCULOS ENTRE LOS REQUISITOS NORMATIVOS, LA

POLÍTICA, LOS OBJETIVOS Y METAS DE DESEMPEÑO,
CUALQUIER REQUISITO LEGAL APLICABLE, LA
RESPONSABILIDAD, LA COMPETENCIA DEL PERSONAL,
LAS OPERACIONES, LOS PROCEDIMIENTOS, LOS DATOS
DEL DESEMPEÑO Y LOS HALLAZGOS Y CONCLUSIONES
DE LAS AUDITORÍAS INTERNAS.
ISO 28003 : 2007
FASE 2
9.2.3.2.1
AUDITORÍAS DEBEN TENER UN PLAN DE AUDITORÍA
EL EQUIPO AUDITOR DEBE ANALIZAR TODA LA

INFORMACIÓN Y EVIDENCIA DE AUDITORÍA OBTENIDA
DURANTE LA ETAPA 1 Y LA ETAPA 2.
9.2.3.2.6
EL EQUIPO DE AUDITORÍA PODRÁ PROPONER
OPORTUNIDADES DE MEJORA, PERO NO
RECOMENDARÁ SOLUCIONES ESPECÍFICAS.
9.2.3.2.8 ACCIÓN QUE SE LLEVARÁ A CABO DESPUÉS

DE LA FINALIZACIÓN DE UNA ETAPA 2 DE LA AUDITORÍA
DEBERÁ INCLUIR AL MENOS LO SIGUIENTE:
9.2.3.2.7
A)  UN REGISTRO DE LAS NO CONFORMIDADES
IDENTIFICADAS Y ACORDADAS SE QUEDA CON EL
CLIENTE ANTES DE LA SALIDA DE LA AUDITORÍA IN
SITU;
B)  EL ESTABLECIMIENTO DEL INFORME DE AUDITORÍA
EL ORGANISMO DE CERTIFICACIÓN ES LIBRE DE

DEFINIR LOS TIPOS DE HALLAZGOS DE AUDITORIA.
ISO 28003 : 2007
CONCLUSIONES DE LA AUDITORIA INICIAL DE

9.2.4
CERTIFICACION
EL EQUIPO AUDITOR DEBE ANALIZAR TODA LA

INFORMACIÓN Y LAS EVIDENCIAS DE AUDITORÍA
OBTENIDAS DURANTE LAS AUDITORÍAS DE LAS

ETAPAS 1 Y 2, PARA REVISAR LOS HALLAZGOS DE
AUDITORÍAS Y ACORDAR LAS CONCLUSIONES DE LA
AUDITORÍA.
LA ETAPA 1 INFORME DE AUDITORÍA DEBERÁ

INCLUIR
•  COMENTARIOS SOBRE LA IDONEIDAD DE LA

CADENA DE SUMINISTRO
•  DE LA DOCUMENTACIÓN DEL SISTEMA DE

9.2.4.2 GESTIÓN DE LA SEGURIDAD,
•  E L A N Á L I S I S D E L D E S E M P E Ñ O D E L A
ORGANIZACIÓN EN SEGURIDAD
•  EL NIVEL DE IMPLANTACIÓN DEL SGSCS
•  INDICAR SI LA EMPRESA ESTÁ LISTA PARA LA

ETAPA 2 DE LA AUDITORÍA.
ISO 28003 : 2007
9.2.4
CERTIFICACION
A) IDENTIFICACIÓN DEL CLIENTE DE AUDITORÍA;
B) LA IDENTIFICACIÓN DE LOS REPRESENTANTES DE

LA ENTIDAD AUDITADA;
C) IDENTIFICACIÓN DEL ORGANISMO DE

CERTIFICACIÓN;
D) LA IDENTIFICACIÓN DEL LÍDER DEL EQUIPO

AUDITOR Y DE LOS MIEMBROS,
E) LOS OBJETIVOS DE LA AUDITORÍA;
F) EL ALCANCE DE LA AUDITORÍA,
PARTICULARMENTE LA IDENTIFICACIÓN DE LAS
UNIDADES ORGANIZACIONALES Y FUNCIONALES O
9.2.4.4 LOS PROCESOS AUDITADOS, EL PERÍODO DE TIEMPO
CUBIERTO Y EVALUARON LOS ELEMENTOS DE LA
CADENA DE SUMINISTRO;
G) LOS CRITERIOS DE AUDITORÍA;
H) LA REFERENCIA A LOS ESTÁNDARES DE LA

CADENA DE SUMINISTRO DE GESTIÓN DE
SEGURIDAD Y / U OTROS DOCUMENTOS
NORMATIVOS DE REFERENCIA UTILIZADO;
I) LAS FECHAS Y LUGARES EN QUE LAS ACTIVIDADES

DE AUDITORÍA IN SITU SE LLEVARON A CABO Y LA
FECHA DE LA AUDITORÍA ANTERIOR;
J A U D I T O R Í A S O B R E E L E S TA D O D E L A
CERTIFICACIÓN.
ISO 28003 : 2007
9.2.4
CERTIFICACION
J) LOS HALLAZGOS DE LA AUDITORÍA:
1) RESUMEN DE LAS OBSERVACIONES MÁS

IMPORTANTES, POSITIVOS Y NEGATIVOS,
2) APLICACIÓN Y EFICACIA DE LA METODOLOGÍA DE

EVALUACIÓN DE RIESGOS;
3) NO CONFORMIDADES
9.2.4.4
4) INFORME SOBRE EL TRATAMIENTO DE NO
CONFORMIDADES;
K) LAS CONCLUSIONES DE LA AUDITORÍA:
1) EL GRADO DE CONFIANZA DEL SGSCS Y LA

EVALUACION DE RIESGOS
2) LAS RECOMENDACIONES DEL EQUIPO DE

AUDITORÍA SOBRE EL ESTADO DE LA CERTIFICACIÓN.
LA PROPIEDAD Y EL DERECHO A MODIFICAR LOS

9.2.4.6 INFORMES CORRESPONDE AL ORGANISMO DE
CERTIFICACIÓN.
ISO 28003 : 2007
INFORMACION PARA EL OTORGAMIENTO INICIAL DE LA
9.2.5
CERTIFICACION
EL EQUIPO AUDITOR DEBE PASAR AL OC
a)  LOS INFORMES DE AUDITORÍA;
b)  LOS COMENTARIOS SOBRE LAS NO CONFORMIDADES Y,

CUANDO CORRESPONDA, LAS CORRECCIONES Y
ACCIONES CORRECTIVAS LLEVADAS A CABO POR EL
9.2.5.1 CLIENTE;
c)  LA CONFIRMACIÓN DE LA INFORMACIÓN

PROPORCIONADA AL ORGANISMO DE CERTIFICACIÓN Y
UTILIZADA PARA LA REVISIÓN DE LA SOLICITUD, Y
d)  L A R E C O M E N D A C I Ó N D E O TO R G A R O N O L A
CERTIFICACIÓN, JUNTO CON CUALQUIER CONDICIÓN U
OBSERVACIÓN.
EL OC TOMA LA DECISIÓN DE CERTIFICAR BASÁNDOSE EN

9.2.5.2 UNA EVALUACIÓN DE LOS HALLAZGOS Y CONCLUSIONES DE
LA AUDITORÍA Y CUALQUIER OTRA INFORMACIÓN
PERTINENTE
MIEMBROS DEL COMITÉ DE CERTIFICACION SIN CONFLICTO

9.2.6.3
DE INTERESES CON EL EQUIPO AUDITOR
ISO 28003 : 2007

Iso28003 2007

Cargado por

Información del documento

Descripción original:

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Iso28003 2007

Cargado por

Copyright:

Formatos disponibles

www.consultoresauditores.

Ing. Miller A. Romero / gerencia@consultoresauditores.com

q Esta primera edición anula y sustituye a

q ISO 28003 incluye los requisitos de la

q Proporciona orientación armonizada

PRINCIPIOS PARA LOS ORGANISMOS DE CERTIFICACION

El valor de la certificación es el grado de

4.1.3 Principios para inspirar confianza

PRINCIPIOS PARA LOS ORGANISMOS DE CERTIFICACION

4.2.4 Amenazas a la imparcialidad

EMPLEAR AUDITORES LIDERES, AUDITORES Y EXPERTOS

DIVULGAR AL PERSONAL SUS DEBERES,

COMPETENCIA DE EQUIPO AUDITOR EN

• COMPRENDER LOS REQUISITOS ISO 28000 PARA LA

PLAN DE FORMACION PARA AUDITORES

REQUISITOS DEL PLAN DE FORMACION

A) RESULTADO DE ANALISIS DE NECESIDADES

AUDITOR CON MINIMO DE CINCO ( 5 ) AÑOS DE EXPERIENCIA

AUDITOR REALIZAR UN MÍNIMO DE 5 AUDITORÍAS POR AÑO O LLEVAR

AUDITOR CON LA FORMACIÓN Y EXPERIENCIA ADECUADAS PARA LAS

7.2.4 INCLUIR EN EVALUACION DE AUDITORES LA CAPACIDAD PARA

UTILIZAR EVALUADOR COMPETENTE

PROCEDIMIENTO PARA DEMOSTRAR Y LOGRAR AUDITORIAS

CONOCIMIENTO DE PROCEDIMIENTO POR EQUIPO AUDITOR

UTILIZAR AUDITORES Y EXPERTOS TECNICOS UNICAMENTE EN LOS

SUMINISTRAR FORMACION A AUDITORES Y EXPERTOS TECNICOS

7.2.8 PROGRAMAR AUDITORES CON CONOCIMIENTOS Y EXPERIENCIA DE

EL GRUPO O LA PERSONA QUE TOMA LA DECISIÓN DE OTORGAR,

EVALUAR DESEMPEÑO DE EQUIPO AUDITOR Y DEMAS PERSONAL

LA EVALUACION DE DESEMPEÑO DE AUDITORES DEBE INCLURI

REQUISITOS DE EVALUACION DOCUMENTADOS.

EMPLEO DE AUDITORES EXTERNOS Y EXPERTOS TÉCNICOS

ACUERDO DE CONFIDENCIALIDAD POR ESCRITO CON

INCLUIR REPORTE DE CONFLICTO DE INTERESES

EL ACUERDO NO CONSTITUYE CONTRATACION.

EL ORGANISMO DE CERTIFICACIÓN DEBE MANTENER

APLICACIÓN DE ESTUDIOS DE SEGURIDAD EQUIPO AUDITOR

LOS CLIENTES DE AUDITORIA PUEDEN TENER ACCESO A

DOCUMENTAR PROCESO DE INVESTIGACION DE EQUIPO

LOS ORGANISMOS DE CERTIFICACIÓN DEBERÁN LLEVAR A

CUANDO NO APLIQUE SE DEBEN REALIZAR ENTREVISTAS DE

DEBE EXISTIR UN RESPONSABLE DE LA EJECUCION DE

VERIFICACION DE REFERENCIAS LABORALES DE ALMENOS 5 AÑOS

CADA AUDITOR DE SEGURIDAD, SE LE EXPEDIRÁ UN CARNE DE

NOMBRE Y EL LOGOTIPO DEL ORGANISMO DE CERTIFICACIÓN;

UNA MARCA Y CARACTERÍSTICA QUE IMPIDE LA ALTERACIÓN Y

CUANDO LAS POLÍTICAS DE CONFIDENCIALIDAD Y SEGURIDAD LO

PROCEDIMIENTO PARA LA APLICACIÓN DE MEDIDAS DISCIPLINARIAS

LOS AUDITORES DEBEN SER INFORMADOS POR ESCRITO Y

9.1.2 PLAN DE AUDITORIA

A) LA DETERMINACIÓN DE LA CONFORMIDAD DEL SISTEMA

B) LA EVALUACIÓN DE LA CAPACIDAD DEL SISTEMA DE

C) LA EVALUACIÓN DE LA EFICACIA DEL SISTEMA DE

D) CUANDO CORRESPONDA, LA IDENTIFICACIÓN DE LAS

EL ALCANCE DE LA AUDITORÍA DEBE DESCRIBIR LA

9.1.2.2.4 CRITERIOS DE AUDITORIA

EL PLAN DE AUDITORÍA DEBE AJUSTARSE A LOS OBJETIVOS Y

EL PLAN DE AUDITORÍA DEBE AL MENOS INCLUIR O HACER

A) LOS OBJETIVOS DE LA AUDITORÍA;

B) LOS CRITERIOS DE LA AUDITORÍA;

D) LAS FECHAS Y LOS SITIOS EN LOS QUE SE VAN A

E) EL TIEMPO Y LA DURACIÓN PREVISTOS PARA LAS

q  Esta primera edición anula y sustituye a

q  ISO 28003 incluye los requisitos de la

q  Proporciona orientación armonizada

•  COMPRENDER LOS REQUISITOS ISO 28000 PARA LA

A)  RESULTADO DE ANALISIS DE NECESIDADES

A)  LA DETERMINACIÓN DE LA CONFORMIDAD DEL SISTEMA

B)  LA EVALUACIÓN DE LA CAPACIDAD DEL SISTEMA DE

C)  LA EVALUACIÓN DE LA EFICACIA DEL SISTEMA DE

D)  CUANDO CORRESPONDA, LA IDENTIFICACIÓN DE LAS

A)  LOS OBJETIVOS DE LA AUDITORÍA;

B)  LOS CRITERIOS DE LA AUDITORÍA;

D)  LAS FECHAS Y LOS SITIOS EN LOS QUE SE VAN A

E)  EL TIEMPO Y LA DURACIÓN PREVISTOS PARA LAS

F)  LAS FUNCIONES Y LAS RESPONSABILIDADES DE LOS

a)  LOS OBJETIVOS, ALCANCE Y CRITERIOS DE LA

b)  SI LA AUDITORÍA ES UNA AUDITORÍA COMBINADA,

c)  LA COMPETENCIA GLOBAL DEL EQUIPO AUDITOR

d)  LOS REQUISITOS DE LA CERTIFICACIÓN (INCLUIDOS

e)  EL IDIOMA Y LA CULTURA; Y

f)  SI LOS MIEMBROS DEL EQUIPO AUDITOR HAN AUDITADO

A)  LAS ENTREVISTAS;

C)  LA REVISIÓN DE LA DOCUMENTACIÓN Y DE LOS

I)  LOS HALLAZGOS, LAS EVIDENCIAS, Y LAS CONCLUSIONES

II)  J) CUALQUIER PROBLEMA NO RESUELTO, SI FUERA

A)  LA INFORMACIÓN PROPORCIONADA POR EL EQUIPO

B)  SE HA REVISADO, ACEPTADO Y VERIFICADO LA EFICACIA

1)  EL INCUMPLIMIENTO DE UNO O MÁS REQUISITOS DE LA