Cómo escribir un informe de auditoría interna para ISO 27001

Como parte de los requisitos del sistema de gestión, Cláusula 9.2 detalla lo que se debe hacer con respecto a las auditorías internas. Esto incluye el requisito de retener evidencia documentada de la auditoría resultados, y esto se hace a través de un informe de auditoría.

¿Cómo funcionan las auditorías internas ISO 27001?

Las auditorías internas para ISO 27001 funcionan siguiendo un programa de auditoría que identifica las auditorías que se realizarán antes de la certificación y durante cada período de certificación.

Se Requerir la selección de un auditor competente y objetivo para realizar cada auditoría interna. verificar el cumplimiento de los requisitos de la norma, los requisitos de información propios de la organización y los objetivos para el SGSI, y que las políticas, procesos y otros controles sean efectivos y eficientes.

Actividades incluidas dentro de una auditoría interna:

• Revisión de la documentación
• Muestreo evidencial
• Entrevistar al personal con llave responsabilidades de seguridad de la información
• Entrevistar a otro personal (y posiblemente a contratistas)
• Evaluación de los hallazgos
• Redacción del informe de auditoría.

¿Con qué frecuencia necesito realizar una auditoría?

Si bien no está claro en la propia ISO 27001 la frecuencia con la que se deben realizar auditorías internas. Se espera que el programa de auditoría siga los mismos requisitos que los impuestos a los organismos de certificación para realizar sus auditorías según ISO/IEC 27006:2015 – Requisitos para organismos que realizan auditorías y certificación de SGSI.

En un radio de ISO 27006 El requisito 9.1.5.2 e, establece que el programa de auditoría “cubre muestras representativas del alcance de la certificación SGSI dentro del período de tres años”.

Por lo tanto, es necesario realizar auditorías internas que cubran toda la norma, como mínimo, durante el período de certificación (3 años para los certificados acreditados por UKAS).

Podría hacer esto como una auditoría única, pero generalmente se divide en auditorías más pequeñas durante un período de 3 años.

También es importante auditar algunas áreas con mayor frecuencia si los niveles de riesgo son altos o el área está sujeta a cambios frecuentes.

Se recomienda que auditar el sistema de gestión requisitos (Cláusulas 4-10) anualmente. Esto puede vincularse a la revisión de la gestión del SGSI, que también debe realizarse anualmente.

Dentro de ISMS.online, proporcionamos un área de trabajo del Programa de Auditoría prediseñada que incluye:

• Actividades para 2 auditorías recomendadas antes de la certificación
• Un plan de auditorías internas para el primer período de certificación de 3 años.
• Marcadores de posición para su certificación externa y auditorías periódicas

¿Por qué necesito crear un informe para una auditoría interna?

La norma exige que se documenten los resultados de la auditoría; la cláusula 9.2 de la norma ISO 27001 incluye el requisito de "conservar información documentada como evidencia de los......... resultados de la auditoría".

Esto se hace dentro de un Informe de Auditoría.

¿Qué hay que hacer al preparar el informe?

Obviamente, antes de poder documentar el informe de auditoría, es necesario planificar y llevar a cabo la auditoría. Luego podrá documentar los hallazgos en el informe.

Comience con su plan de auditoría ISO 27001

Para cada auditoría, deberá planificar:

• Qué cubrirá la auditoría: qué sección(es) de la norma, ubicaciones, procesos comerciales, etc.
• Quién será el auditor: debe ser competente y objetivo.
• Cuando se realiza la auditoría, no debe tener un impacto adverso significativo en el funcionamiento de la organización.
• Los métodos de auditoría: revisión de documentación, muestreo, entrevistas, etc.
• ¿Quién deberá participar en la auditoría?

Revisión de la documentación

Cada auditoría requerirá la revisión de la documentación relevante, incluidas políticas, procedimientos, estándares y guías relevantes para el área o áreas de la norma que se está auditando. Es una buena práctica informar a quienes están siendo auditados sobre las áreas que deben cubrirse para garantizar un acceso fácil y oportuno a la documentación relevante.

En ISMS.online, esto se hace fácil ya sea teniendo la documentación dentro del sistema o vinculándola dentro de la sección correspondiente del estándar.

Muestreo probatorio y entrevistas

La mayoría de las auditorías requerirán el muestreo de evidencia en mayor o menor grado. Esto puede incluir entrevistar al personal clave relevante, a los usuarios finales y, a veces, incluso al personal temporal y a los contratistas.

Las fuentes de muestreo pueden incluir, por ejemplo:

• Entrevistas con empleados y otras personas.
• Observaciones de las actividades y del entorno y condiciones de trabajo circundantes.
• Documentos, como políticas, objetivos, planes, procedimientos, normas, instrucciones, licencias y permisos, especificaciones, planos, contratos y pedidos.
• Registros, como registros de inspección, actas de reuniones, informes de auditoría, registros del programa de seguimiento y resultados de las mediciones.
• Resúmenes de datos, análisis e indicadores de desempeño.
• Información sobre los planes de muestreo del auditado y los procedimientos para el control de los procesos de muestreo y medición.
• Informes de otras fuentes, por ejemplo, comentarios de clientes, encuestas y mediciones externas, información adicional relevante. información de terceros y proveedores Calificaciones
• Bases de datos y sitios web
• Simulación y modelado

Analisis

Una vez realizada la recopilación de datos para la auditoría, será necesario que el auditor evalúe y analice los hallazgos para determinar cualquier no conformidad u oportunidad de mejora.

Los hallazgos normalmente se clasifican como uno de los siguientes:

• No conformidad mayor
• No conformidad menor
• Oportunidad para mejora

Algunos organismos de certificación también utilizan:

• Observación: cuando hay indicios tempranos, puede existir o desarrollarse una no conformidad menor si no se toman medidas.
• Punto positivo: otorgado cuando una organización ha ido más allá de las buenas prácticas reconocidas o cuando ha habido una mejora significativa en un área desde la auditoría anterior.

Informes

Una vez analizados los hallazgos, ahora se puede preparar el informe de auditoría y presentarlo a la persona o al equipo. responsable del SGSI para revisión y seguimiento.

¿Cómo se prepara un informe de auditoría interna?

El informe de auditoría debe prepararse como información documentada, pero esto no significa que tenga que ser un documento de Word o PDF independiente. Dentro de Plataforma en línea ISMS, intentamos fomentar que se evite la creación de dichos documentos, sino que proporcionamos un área de trabajo en la que el informe se puede documentar directamente. Esta área ofrece funcionalidad adicional, incluida la capacidad de vincularse fácilmente a otras áreas de trabajo, políticas, controles, riesgos, acciones correctivas y “tickets” de mejora, y más.

Crear un resumen ejecutivo

El resumen ejecutivo es útil para que la alta dirección pueda ver rápida y fácilmente una descripción general de los hallazgos, incluidos los posibles problemas críticos, tendencias y oportunidades de mejora. Esto luego puede vincularse fácilmente a la Revisión de la gestión del SGSI siguiendo la Cláusula 9.3.

Esto generalmente incluirá:

• Una visión general del funcionamiento de las áreas del SGSI cubiertas en la auditoría.
• Un resumen numérico de las categorías de hallazgos.
• Destacar cualquier hallazgo urgente/crítico.
• Una breve descripción de los próximos pasos a seguir para abordar cualquier hallazgo.

Introducir la terminología utilizada.

Para garantizar una comprensión común de los hallazgos del informe, es necesario incluir las definiciones de alguna terminología utilizada que sea específica de la organización, el proceso de auditoría o la norma. Recuerde, no todos los que necesiten leer, evaluar y comprender el informe comprenderán necesariamente toda la terminología utilizada.

Describir el plan de auditoría

Esto incluirá:

• El alcance de la auditoría: áreas a cubrir, ubicaciones, personal, procesos comerciales, etc.
• El nombre del auditor(es)
• Las fechas, horas y lugares de la auditoría.

Describir los hechos encontrados

Para cada sección de la auditoría, debe documentar los hallazgos, incluidas notas de las muestras de evidencia tomadas.*

Es una buena práctica registrar el cumplimiento y los puntos positivos y documentar cualquier no conformidad u oportunidad de mejora.

Los hallazgos deben registrar los hechos encontrados relevantes para el SGSI y el estándar y no deben incluir opiniones o conjeturas más allá de una extrapolación razonable.

*Nota: si se trata de muestras probatorias contener información de identificación personal, es una práctica habitual seudonimizar o anonimizar los datos de acuerdo con los requisitos de la legislación de privacidad como el RGPD.

Documentar no conformidades y oportunidades de mejora.

Cuando se identifiquen no conformidades y oportunidades de mejora, estas deben documentarse claramente para que las acciones correctivas y los elementos de mejora puedan registrarse y gestionarse a través de los procesos reconocidos de la organización según lo documentado de acuerdo con la Cláusula 10.1 No conformidades y acciones correctivas; y 10.2 Mejoras continuas.

Describir recomendaciones

Como se trata de un informe de auditoría interna, un auditor puede hacer recomendaciones sobre cómo una organización podría abordar los hallazgos. En última instancia, las decisiones relacionadas con acciones correctivas y mejoras deben ser tomadas por las personas o equipos relevantes responsables del SGSI y la seguridad de la información.