De la declaración a la auditoría interna y la revisión

La cláusula 9.2 pide un programa de auditorías internas con criterios, alcance y frecuencia definidos, y exige que los auditores sean elegidos y las auditorías realizadas de manera que se asegure la objetividad y la imparcialidad del proceso. En la práctica, una persona no audita el área de la que es responsable: revisaría su propio trabajo y no tendría forma de decir que algo está mal.

En una empresa pequeña es el punto donde más se improvisa, porque hay pocas personas con conocimiento de seguridad. La solución habitual es cruzar a los auditores entre áreas o contratar a alguien de fuera, nunca dejar que cada responsable se audite.

El programa de auditoría interna de Cedro tiene cuatro auditorías previstas en cuatro días seguidos. En la tabla figura, para cada área, quién responde por ella y quién la audita. Un cruce de dos columnas basta para ver si el principio de imparcialidad se respeta en todas.

Abre el programa y localiza la auditoría en la que el auditor y el responsable del área son la misma persona.

La cláusula 9.3 pide que la alta dirección revise el sistema a intervalos planificados. La revisión tiene entradas obligatorias: el estado de las acciones de revisiones anteriores, los cambios en el contexto y en las necesidades de las partes interesadas, el desempeño del sistema (no conformidades, resultados de seguimiento y de auditorías, objetivos), la opinión de quienes tienen interés, los resultados de la evaluación de riesgos con el estado del plan de tratamiento y las oportunidades de mejora. Sus salidas son decisiones de mejora y cambios al sistema.

El procedimiento de Cedro enumera esas entradas con un código. El acta del 6 de mayo lista los temas que de verdad se trataron. Comprueba qué entrada se quedó sin tratar.

La auditoría interna de Cedro ya encontró dos cosas al contrastar la declaración con la evidencia. En el trabajo remoto la fila decía «implementado», pero no hay política aprobada ni evidencia de cifrado de los portátiles. Un hallazgo se levanta, pero no termina ahí: la cláusula 10 pide reaccionar, evaluar si hay que eliminar la causa para que no se repita, aplicar la acción, revisar su eficacia y, si procede, cambiar el sistema.

Corregir solo el síntoma, por ejemplo redactando de prisa la política que faltaba, deja la causa viva: el sistema permitió declarar «implementado» sin pedir evidencia. Lo que cierra el hallazgo es que la próxima declaración no pueda repetirlo.