10 Ejemplos de no conformidad con la norma ISO 27001, tanto menores como mayores

En este artículo, echamos un vistazo a lo que significa no conformidad, la diferencia entre una no conformidad mayor y una no conformidad menor, cómo evitar y corregir las no conformidades, y examinamos diez ejemplos de no conformidad ISO 27001.

¿Qué es una no conformidad ISO 27001?

Es posible que se pregunte qué es exactamente una no conformidad. La respuesta es bastante sencilla. Si su SGSI (Sistema de Gestión de Seguridad de la Información) no cumple con uno de los requisitos de la norma ISO 27001, usted tiene una no conformidad

Según Wikipedia, una no conformidad ocurre generalmente como resultado de:

• Poca comunicación (o mala comunicación)
• Documentación deficiente (o falta de documentación)
• Formación deficiente o limitada del personal
• Poca motivación del personal
• Materiales de mala calidad (o falta de materiales adecuados)
• Herramientas y equipos de mala calidad (o falta de herramientas y equipos adecuados)
• Entorno operativo deficiente o disfuncional

La cosa se complica un poco más, porque no todas las no conformidades fueron creadas iguales: hay no conformidades mayores y menores. Ambas serán anotadas durante la auditoría, y una no conformidad mayor resultará en la no certificación para ISO 27001.

¿Cuál es la diferencia entre una no conformidad menor y una no conformidad mayor con la norma ISO 27001?

Una no conformidad menor es: 

• Cumplimiento parcial de uno de los requisitos de la norma ISO 27001… 
• Incumplimiento de un requisito menor, o… 
• Un incumplimiento puntual de uno de los requisitos de la norma. 

Una no conformidad mayor es:

• Un incumplimiento repetido o no tratado de uno de los requisitos, o… 
• Un problema que afectará a sus clientes si no se corrige, y/o…
• Si faltan partes esenciales del SGSI o no están implementadas.

Requisitos para ISO 27001

Veamos un resumen de lo que son los requisitos de la ISO 27001:

ISO 27001 cláusula 10.1 – no conformidad y acciones correctivas

Los errores ocurren. Incluso los auditores lo saben. Por supuesto, es vital que intentes cumplir todos y cada uno de los requisitos de la norma a la que te diriges, en este caso, la ISO 27001. Pero aún más importante es que registre y resuelva cualquier no conformidad, una vez identificada. Esto se hace mediante la adopción de medidas correctivas

La cláusula 10 (10.1 – 10.2) le ayudará a encontrar las no conformidades y a tomar dichas acciones correctivas. Deberá proporcionar pruebas de cómo está garantizando que la acción correctiva que está tomando devolverá a la empresa a un estado de conformidad. Más sobre esto más adelante.

3 pasos hacia la conformidad

¿Has identificado una no conformidad? Deberías seguir estos tres pasos:

1. El primer paso para abordar la no conformidad es identificar qué fue lo que falló en primer lugar. Esto se consigue identificando la causa de un problema preguntándose “¿Por qué?” Esto se denomina análisis de la causa raíz. 
   
   En la práctica, la respuesta al primer “¿Por qué?” debería provocar otro “¿Por qué?” y la respuesta al segundo “¿Por qué?” provocará otro, y así sucesivamente. Este método puede ayudarle a establecer la causa raíz de una falta de conformidad.
2. Por qué?

2. A continuación, debe idear la acción correctiva adecuada para detener y prevenir el problema. Las acciones preventivas son medidas para evitar que la no conformidad se repita.

3. Una vez que sus acciones correctivas estén en marcha, comience a supervisar y revisar el proceso.

Realmente es tan fácil como 1, 2, 3.

10 ejemplos de no conformidad ISO 27001, tanto menores como mayores

Puede ser complicado tratar de distinguir entre no conformidades menores y mayores, pero recuerde que depende mucho del incumplimiento y de la frecuencia del mismo, así como de si el incumplimiento se repite o no o no se trata. 

No conformidades menores

• Algunos ordenadores portátiles desatendidos encontrados en los escritorios de los empleados no asegurados con candado de cable.
• Funcionamiento incorrecto del circuito cerrado de televisión (CCTV) cuando se está realizando una auditoría.

No conformidades importantes

• Ausencia de documentación obligatoria.
• No se realiza auditoría interna en la organización.
• El líder de la organización no se involucra o no presta atención al SGSI (por ejemplo, no asiste a reuniones importantes del SGSI, no participa en las políticas principales/generales); no proporciona recursos para la implementación del SGSI.
• No se evalúa el rendimiento del SGSI.
• No hay pruebas de que la gestión de activos se mantenga adecuadamente.
• Contenido de la SOA no justificado o incoherente.
• Proceso de evaluación de riesgos no seguido o inadecuado.
• Mal uso de una marca de certificación, induciendo a error a los clientes.

¿Qué diferencia hay entre no conformidad y CAPA?

Un proceso de no conformidad y un proceso de Acción Correctiva, Acción Preventiva son vitales para su SGC (Sistema de Gestión de Calidad). 

Aunque son similares, es importante darse cuenta de que algunas no conformidades requerirán CAPA y otras no. 

CAPA es un proceso que toma acciones correctivas o preventivas cuando un cliente, la dirección o un auditor (interno o externo) identifican un problema. 

CAPA es un proceso que toma acciones correctivas o preventivas cuando un cliente, la dirección o un auditor (interno o externo) identifican un problema

El proceso CAPA sigue cinco pasos:

1. Investigación y evaluación 
2. Preinvestigación 
3. Investigación 
4. Planificación y ejecución 
5. Revisión y verificación 

Sólo tome estas medidas si la no conformidad es crítica o sistémica. 

Según Intelex, para determinar si el problema necesita progresar a CAPA, hágase tres preguntas:

1. ¿Se puede solucionar el problema en el proceso?
2. ¿El problema ha provocado desperdicios, desechos, repeticiones significativas del trabajo o insatisfacción del cliente?
3. ¿Es la no conformidad un indicio de un problema más sistémico, o es probable que vuelva a ocurrir? 

Ejemplo de informe de no conformidad ISO 27001 y escenario simulado

Guía ISO 27001 proporciona un esquema claro de la diferencia entre un informe de no conformidad y un informe de acción correctiva en ISO 27001.

Creemos nuestro propio escenario simulado de una no conformidad en acción utilizando la primera no conformidad importante mencionada anteriormente, es decir, la ausencia de documentación obligatoria.

No conformidad

Falta la declaración de alcance ISMS

Análisis de la causa (¿Por qué?)

¿Por qué? Cuando se le preguntó, el equipo mostró una falta de comprensión de qué documentos eran obligatorios.

Por qué?

¿Por qué? La dirección insistió en que el equipo intentara conseguir la certificación sin la ayuda de una herramienta en línea o de terceros.

Por qué?

¿Por qué? La dirección no quiere gastar fondos innecesarios

El problema es evidente – una falta de inversión en el proceso de certificación ISO 27001. 

Acción Correctiva Sugerida 

Ahora queda claro cuál debe ser la acción correctiva: se debe recurrir a un tercero (como Compleye) o a una herramienta o plataforma de certificación ISO 27001 online (como Compleye Online) para conocer cuál es la documentación obligatoria y cómo crear una Declaración de Alcance del SGSI.

cómo crear una Declaración de Alcance del SGSI

Así quedaría la documentación para esta no conformidad:

No deje que la no conformidad le impida hacer que el cumplimiento sea (casi) divertido!

Los ejemplos de no conformidad con la norma ISO 27001 que hemos proporcionado son sólo algunos de los muchos que pueden constituir obstáculos para las organizaciones que desean obtener la certificación ISO 27001.

Para obtener más información sobre lo que debe hacer para garantizar el éxito de su certificación ISO 27001 y descubrir cómo estamos haciendo que el cumplimiento sea (casi) divertido, consulte Compleye o reserve una demostración a continuación.