Hallazgos de auditoría y planes de acción

Cuando se encuentra una no conformidad, ISO/IEC 27001 pide reaccionar a ella: controlarla y corregirla, y además evaluar si hace falta eliminar su causa para que no se repita. A lo primero se le llama corrección y a lo segundo acción correctiva. Son cosas distintas. Reactivar un control que se había apagado es una corrección; averiguar por qué se apagó y cambiar el procedimiento que lo permitió es la acción correctiva.

Muchos organismos de certificación clasifican los hallazgos como no conformidades mayores, menores, observaciones y oportunidades de mejora. Los nombres cambian de un organismo a otro, y el registro de Tocuyo usa los suyos.

Toda no conformidad necesita un plan con acción, responsable y fecha. Una observación o una oportunidad de mejora pueden registrarse sin plan inmediato, pero la no conformidad no. Si un hallazgo de ese tipo no aparece en la tabla de planes, el auditor lo lee como un problema abandonado.

Abre SELECT * FROM hallazgos y SELECT * FROM planes y compara los identificadores de las no conformidades con los planes.

Un plan con fecha comprometida anterior a la de hoy y todavía abierto es una promesa incumplida. En una auditoría de seguimiento es de los primeros puntos que se pregunta: no solo si se resolvió el hallazgo, sino si se resolvió cuando se dijo.

La fecha de la revisión es el 2027-03-15.

Para el informe a la dirección no basta con decir que un plan está atrasado: hay que decir cuánto. Los días de atraso son la diferencia entre la fecha de la revisión y la fecha comprometida, contados por calendario.

Un hallazgo se cierra con evidencia de que la acción funcionó, no con la promesa de que se hará ni con la acción terminada y nada más. Si la causa era una revisión trimestral que no dejaba rastro, el cierre es el rastro de la siguiente revisión, con fecha y origen. Un estado «cerrado» sin archivo que lo respalde es una afirmación, no una prueba.