Desarrollo de las auditorías internas

Factores a tener en cuenta:

• Tamaño de la organización (No. de sedes, No. de puestos de trabajo, No. de
servicios, No. de procesos)
• Naturaleza de la organización (pública, manufactura, servicios, mixta)
• Complejidad de la organización por auditar (técnica, conflicto de intereses,
trabajos estacionarios, de alta interacción con grupos de interés)
Imagine por un instante las siguientes
condiciones para una empresa:
• Presencia geográfica en 25 ciudades
• Puestos de trabajo: 12.000
• Servicios ofrecidos: 5
• No. procesos: 22 (Replicas en cada
ciudad)

Una organización puede establecer más de un programa de auditoría

111V01-AD-PROGRAMA AUDITORIA-V1 1
 Gestión del programa
• Establecer el alcance del programa de auditoría;
• Identificar y evaluar los riesgos para el programa de auditoría;
• Establecer las responsabilidades de la auditoría;
• Establecer procedimientos para programas de auditoría;
• Determinar los recursos necesarios;
• Asegurarse de la implementación del programa de auditoría,
• Establecimiento de los objetivos, el alcance y los criterios de
auditoría de las auditorías individuales,
• Determinación de los métodos de auditoría
• Selección del equipo auditor
• Evaluación de los auditores;
• Asegurarse de que se gestionan y mantienen registros del programa
de auditoría;
• Realizar seguimiento, revisión y mejora del programa de auditoría.
• Informar a la alta dirección de los contenidos del programa de
auditoría, y cuando sea necesario, solicitar su aprobación.

111V01-AD-PROGRAMA AUDITORIA-V1 2
 Ejemplos de programas de
Auditoria
• Auditorias internas para cubrir el SGSI para un ano en curso

• Auditorias de segunda parte al sistema de gestión de SI o

producto de prestadores de servicios.

• Auditorias para otorgar y/o mantener la certificacion de SGSI

por una compañía certificadora

111V01-AD-PROGRAMA AUDITORIA-V1 3
 Objetivos del programa
• Verificar el cumplimiento de los requisitos de seguridad de la
información de conformidad con la norma.

• Verificar la conformidad con requisitos contractuales

• Obtener y mantener la confianza en la capacidad de un

proveedor

• Verificar la gestión adecuada de los riesgos de seguridad de

la información.

• Contribuir a la mejora del sistema de gestión

111V01-AD-PROGRAMA AUDITORIA-V1 4
 Alcance del programa
• Sistema de Gestión de Seguridad de Información y
su alcance (procesos)

• Gestión de riesgos sobre los activos de información

de un proceso

• Confirmar Implementación y mantenimiento eficaz

del SGSI.

• Desempeño del SGSI acorde con lo esperado.

• Monitorear y revisar las actividades del SGSI.
• Evidenciar la mejora del SGSI.
• Cumplimiento de la política y las normas de
seguridad.
111V01-AD-PROGRAMA AUDITORIA-V1 5
 Criterios de Evaluación
• Norma ISO 27001 – Requisitos para certificación SGSI

• Norma ISO 27002 – Controles de SGSI

• Circulares Externas.

111V01-AD-PROGRAMA AUDITORIA-V1 6