El alcance y las cláusulas 4 a 10

Los requisitos obligatorios de la norma están en las cláusulas 4 a 10, y cada una responde a una pregunta. La 4 pregunta en qué contexto vive la organización y qué cubre su sistema. La 5, si la dirección lidera de verdad. La 6, qué riesgos y objetivos se planifican. La 7, con qué recursos, personas y documentos se cuenta. La 8 es la operación: se hace lo planificado. La 9 evalúa el desempeño: seguimiento y medición, auditoría interna y revisión por la dirección. La 10 cierra con la mejora y las acciones correctivas.

El Anexo A no es una cláusula más: es el catálogo de controles al que se llega desde la planificación de tratamiento del riesgo. Que una organización tenga todos los controles del Anexo A y no tenga las cláusulas 4 a 10 no cumple la norma, y al revés tampoco.

La cláusula 4.3 pide determinar los límites y la aplicabilidad del sistema de gestión. Para hacerlo hay que considerar tres cosas: las cuestiones internas y externas del contexto (4.1), los requisitos de las partes interesadas (4.2) y las interfaces y dependencias entre lo que hace la organización y lo que hacen otras. El resultado se conserva como información documentada, y es lo que el organismo de certificación lee primero.

Un alcance se puede acotar, pero no por comodidad: si una actividad toca los datos que el sistema dice proteger, dejarla fuera es declarar protegido algo que no lo está. Abre el expediente de Cedro y compara lo que el borrador deja fuera con el dato que toca cada sede y cada proceso.

Las dos exclusiones del borrador tienen una causa común. Una de las sedes de Cedro tiene a 22 personas que abren nóminas de clientes para diagnosticar fallos, y la dejaron fuera porque «es un equipo aparte». En una auditoría eso se lee como el hueco más grande del alcance, porque es donde más gente toca el dato y donde el sistema no llega.

Identifica esa sede en la tabla de ubicaciones y escribe el nombre de la ciudad.

La cláusula 5 es la del liderazgo y pide cosas concretas a la alta dirección. Debe asegurar que hay una política de seguridad de la información y objetivos coherentes con la estrategia, asignar y comunicar los roles y responsabilidades del sistema, y respaldar con recursos. La política la establece la dirección: no basta con que alguien la haya redactado.

En el expediente hay cinco documentos con los que Cedro arrancó. Cuatro llevan la aprobación del gerente general y uno no. Ese es el que una auditora marcaría al abrir el liderazgo.