Si usted es un lector fanático – o menos fanático – de nuestros artículos, probablemente ya sabrá la importancia de garantizar la seguridad de la información y el cumplimiento de las normas. Por lo tanto, evaluar las actuaciones y gestionar los riesgos en ese ámbito es sumamente crucial para las organizaciones. ¿Estamos avanzando hacia nuestros objetivos de cumplimiento? Veamos qué está pasando con la Auditoría Interna.
¿Se está gestionando el riesgo de forma eficaz? ¿Se están aplicando correctamente las políticas y procedimientos, o podrían mejorarse? Hay una respuesta para todas las preguntas anteriores: La auditoría interna.
Las auditorías internas son una herramienta útil para empresas de todo tipo. Ayuda a una organización a definir las áreas en las que podría mejorar, al tiempo que le proporciona la información que necesita para alcanzar sus objetivos. Por lo general, alguien que no sea un responsable de cumplimiento asignado a una empresa debe realizar las auditorías internas. En otras palabras, la auditoría interna se realiza de forma independiente y objetiva, lo que garantiza que alguien pueda examinar toda la documentación y los controles con una mirada nueva. En este caso, este ojo fresco se llama Compleye. Este artículo le dirá todo lo que necesita saber sobre la forma en que realizamos las auditorías internas.
Comprobar, comprobar y volver a comprobar
Permítanos explicarle cómo realizamos internamente -¿ve lo que hemos hecho? – realizamos las auditorías internas, para que las empresas se preparen para la certificación ISO 27001. Hemos establecido criterios para cada capítulo y control, ya que cada uno de los estándares y normas ISO 27001 tienen criterios preestablecidos. Uno a uno, comprobamos cada documento, cada control y todo sobre cómo actúa o no la empresa.
Divulga – Auditoría Interna
Al igual que un detective descubre jugosos detalles y un perro trufero encuentra delicias en el bosque, una vez que repasamos todos estos criterios, identificamos hallazgos. Después, investigamos estos hallazgos y, en función de su gravedad y seriedad, pueden clasificarse como no conformidades o áreas de preocupación. La no conformidad es una designación de auditoría que indica que el sistema de seguridad de la información (o una parte del mismo) no cumple los requisitos establecidos por la norma ISO 27001. En palabras sencillas, las no conformidades significan que su empresa no las cumple. Áreas de preocupación, por otro lado, significa que su empresa sí cumple, pero todavía necesita mejorar ciertas cosas.
Soporte e informe
Más tarde, emitimos nuestro informe con todos nuestros hallazgos. Estos se definen y dividen en no conformidades y áreas de preocupación. Enviamos este informe a la Dirección y al equipo del SGSI para su revisión y aprobación. Cuando lo aprueban, registramos todos nuestros hallazgos en la sección de mejoras de nuestra plataforma Compleye Online.
¿Es obligatoria la auditoría interna?
Vamos a ser breves: sí. La auditoría interna es obligatoria para obtener la certificación ISO 27001. Si usted no tiene la auditoría interna realizada una vez al año, usted puede decir adiós a obtener la certificación.
Auditoría en tiempo real de Compleye
La auditoría interna comprende un montón de pasos y controles – y con un montón, queremos decir mucho – y por lo tanto lleva bastante tiempo. ¿No sería estupendo que hubiera algo que pudiera hacer este proceso un poco más fácil y rápido? ¡Qué casualidad! Estamos ocupados diseñando nuestro siguiente paso en Compleye Online: la auditoría en tiempo real. Esto automatiza y simplifica ciertos pasos que serán muy útiles tanto para el cliente como para el auditor interno. Aunque, siempre habrá pasos que seguiremos haciendo manualmente.
Para concluir, el objetivo principal de una auditoría interna es preparar a una empresa para la auditoría externa obligatoria. Examinamos todas y cada una de las políticas y documentos, lo que hace posible que la empresa mejore su statu quo. Se podría ver como un control adicional. El enfoque objetivo permite verlo todo desde una perspectiva diferente, por lo que contar con alguien que realice la auditoría interna y que no esté directamente implicado en la empresa ayuda. Sólo hay que verlo como una lista de control inteligente para seguir adelante con la certificación. La vida, a veces, no tiene que ser tan complicada.
