El encargo y la solicitud de evidencia

Un auditor interno no audita lo que operó ni lo que escribió: se estaría revisando a sí mismo, y su juicio ya no es imparcial. La independencia es uno de los principios de la auditoría de sistemas de gestión que recoge ISO 19011:2018, y el procedimiento de Altamira la baja a una regla concreta. Antes de aceptar a nadie, lees qué hizo cada candidato en el periodo auditado.

Una auditoría compara lo que se encontró con un criterio, y el criterio se fija antes de mirar. Aquí los criterios son los requisitos de la política de accesos de Altamira y el control del Anexo A de ISO/IEC 27001:2022 que cada uno desarrolla. Si el área audita trabaja distinto a lo que escribió, eso no cambia el criterio: es lo que vas a encontrar.

El borrador de solicitud dice, fila por fila, qué criterio cubre cada petición. Una solicitud completa cubre todos los criterios del alcance; si uno queda sin petición, no tendrás con qué probarlo y lo descubrirás cuando ya no haya tiempo de pedir nada.

SOL-04 pide una captura de pantalla del listado de administradores. La regla de evidencia del procedimiento dice cómo debe ser lo que sostenga un hallazgo y qué no basta por sí solo. Antes de enviar, decides qué hacer con esa fila.

La solicitud se envía el día que marca el programa. El procedimiento fija en cuántos días debe entregar el auditado y cómo se cuentan; la fecha límite va en la solicitud, no se deja «para esta semana».