¿Qué es una auditoría de IA?
Una auditoría de IA es una revisión sistemática, independiente y documentada de cómo una organización gobierna, desarrolla, implementa y utiliza sistemas de IA. En el contexto de ISO 42001,Es el mecanismo mediante el cual usted verifica que su Sistema de Gestión de IA (AIMS) se ajusta al estándar, a sus propios requisitos documentados y que se implementa y mantiene de manera efectiva.
Las auditorías de IA se diferencian de las auditorías tradicionales de seguridad de la información en tres aspectos importantes. Primero, abarcan elementos específicos de la IA que no existen en un programa ISO 27001, como las evaluaciones de impacto de los sistemas de IA, las tarjetas de modelos, los registros de procedencia de los datos de entrenamiento y los informes de validación del ciclo de vida. Segundo, evalúan consideraciones éticas y sociales, incluyendo la equidad, la transparencia y la rendición de cuentas, y no solo la confidencialidad, la integridad y la disponibilidad. Tercero, siguen el ciclo de vida de los sistemas de IA individuales, desde la definición de objetivos hasta su desmantelamiento, en lugar de auditar controles estáticos de forma aislada.
Una auditoría de IA puede ser interna (de primera parte), orientada al proveedor (de segunda parte) o de certificación o vigilancia (de tercera parte, realizada por un organismo acreditado). Esta página se centra en la auditoría interna, ya que es donde la mayoría de los equipos operan a diario y donde una lista de verificación estructurada aporta mayor valor. Para obtener un contexto más amplio sobre el ciclo de auditoría, consulte nuestra guía sobre el Auditoría ISO 42001 .
¿Por qué utilizar una lista de verificación de auditoría de IA?
Auditar un sistema de gestión de IA sin una lista de verificación es la forma en que se pasan por alto hallazgos, se olvidan pruebas y las revisiones de gestión se convierten en discusiones sobre el alcance. Una lista de verificación práctica le brinda cuatro elementos:
- Alcance consistente. Todas las auditorías abarcan las mismas áreas en el mismo orden, por lo que la comparación interanual resulta significativa y los auditores de vigilancia observan un programa consolidado.
- Pruebas defendibles. Para cada área de control, usted sabe de antemano qué evidencia solicitar, lo que significa que los auditados pueden prepararse y usted puede dedicar tiempo a evaluar en lugar de estar persiguiendo información.
- Procedimientos de prueba reproducibles. Un recorrido, una inspección de las pruebas y una prueba de muestra producen resultados que otro auditor puede reproducir. Eso es lo que un auditor externo espera ver.
- Criterios claros para aprobar o reprobar. Sin criterios, los hallazgos se convierten en opiniones. Una lista de verificación transforma cada elemento en una pregunta de sí o no respaldada por evidencia.
La lista de verificación de esta guía se ajusta a los requisitos de auditoría interna de la cláusula 9.2 y recorre los nueve puntos. Controles del anexo A áreas (A.2 a A.10). Está diseñado para imprimirse, completarse y adjuntarse al informe de auditoría como evidencia de que la auditoría se planificó y ejecutó dentro de un alcance definido.
¿Cómo define la norma ISO 42001 los requisitos de auditoría interna?
La cláusula 9.2 de la norma ISO 42001 exige que las organizaciones realicen auditorías internas a intervalos planificados para determinar si el Sistema de Gestión de Información (SGI) cumple con los requisitos propios de la organización y con los de la norma, y si se implementa y mantiene de manera efectiva. Esta redacción es crucial. Los auditores no solo verifican la existencia de las políticas, sino que comprueban que el sistema de gestión funcione en la práctica.
La cláusula también le exige lo siguiente:
- Planificar, establecer, implementar y mantener un programa de auditoría, incluyendo frecuencia, métodos, responsabilidades, requisitos de planificación e informes.
- Definir los criterios y el alcance de la auditoría para cada auditoría.
- Seleccionar auditores y realizar auditorías para garantizar la objetividad y la imparcialidad.
- Informar los resultados de las auditorías a la gerencia correspondiente.
- Conservar la información documentada como evidencia del programa de auditoría y sus resultados.
La guía de implementación normativa en Guía del Anexo B Esto lo explica con más detalle. Al combinar la cláusula 9.2 con las áreas de control del Anexo A, se obtiene la estructura de la lista de verificación que aparece a continuación.
Todo lo que necesitas para ISO 42001
Contenido estructurado, riesgos mapeados y flujos de trabajo integrados para ayudarlo a gobernar la IA de manera responsable y con confianza.
Lista de verificación de auditoría de IA: Las 9 áreas a cubrir
El Anexo A de la norma ISO 42001 se organiza en nueve áreas de control. La tabla que aparece a continuación resume los elementos de la lista de verificación, la evidencia típica y los procedimientos de prueba para cada una. Úsela como base para su auditoría interna. Para cada fila, el criterio de aprobación es que la evidencia esté disponible, actualizada, aprobada y sea coherente con el control previsto.
| Área del Anexo A | Elementos de la lista de verificación | evidencia típica | Procedimiento de prueba |
|---|---|---|---|
| A.2 Políticas relacionadas con la IA | Existe una política de IA aprobada; alineada con las políticas organizativas; revisada a intervalos definidos; comunicada al personal; y que abarca los objetivos para una IA responsable. | Política de IA aprobada, registro de revisiones, registros de comunicación, registro de acuse de recibo o certificación | Recorrido con el responsable de la póliza, inspección del historial de aprobación y revisión, ejemplos de certificaciones de una muestra representativa de roles. |
| A.3 Organización interna | Se documentan y asignan las funciones y responsabilidades de la IA; se definen las líneas de comunicación para los asuntos relacionados con la IA; el foro de gobernanza se reúne y se levanta acta. | Organigrama, matriz RACI para decisiones de IA, términos de referencia para foro de gobernanza de la IAActas de reuniones, registro de informes de inquietudes | Entrevista al responsable de gobernanza de IA, actas de reuniones de muestra de los últimos 12 meses, seguimiento de una preocupación reportada de principio a fin. |
| A.4 Recursos para sistemas de IA | Se identifican y documentan los recursos para los sistemas de IA (datos, herramientas, computación, experiencia humana); se revisa su adecuación; y se mantiene actualizada la documentación. | Registro de recursos, registros de competencias, inventario de herramientas y equipos informáticos, resultados de la revisión de la adecuación de los recursos. | Seleccione un sistema de IA, rastree su documentación de recursos, verifique que existan registros de competencias para roles clave, confirme la evidencia de revisión. |
| A.5 Evaluación del impacto de los sistemas de IA | Proceso de evaluación de impacto definido; aplicado a todos los sistemas de IA dentro del alcance; abarca individuos, grupos y la sociedad; documentado y revisado. | Registro de evaluación del impacto de los sistemas de IA, evaluaciones completadas, registros de revisión y aprobación, evidencia de acciones sobre impactos materiales. | Seleccionar dos sistemas de IA, inspeccionar sus evaluaciones de impacto completadas, confirmar que el alcance abarca el impacto social y realizar un seguimiento de las acciones hasta su finalización. |
| A.6 Ciclo de vida del sistema de IA | Objetivos, diseño, desarrollo, verificación, validación, despliegue, operación, monitoreo y controles de retiro establecidos; evidencia recopilada en cada etapa. | Documentación del ciclo de vida, registros de diseño, planes de prueba, informes de validación, aprobaciones de implementación, registros de monitoreo, registros de retiro | Seleccione un sistema de IA y recorra todo su ciclo de vida, inspeccionando la evidencia en cada etapa; confirme que la validación fue independiente del desarrollo. |
| A.7 Datos para sistemas de IA | Se definieron y aplicaron controles de adquisición, calidad, preparación y procedencia de los datos; se documentaron las fuentes de datos; se midió la calidad; se conservó la procedencia. | Inventario de fuentes de datos, criterios de calidad, registros de preparación de datos, documentación de procedencia, registros de base legal cuando corresponda. | Seleccione un conjunto de datos de entrenamiento para un sistema dentro del alcance, inspeccione la procedencia, verifique que se hayan realizado y documentado los controles de calidad. |
| A.8 Información para las partes interesadas | Documentación del sistema proporcionada a los usuarios; mecanismos de notificación externos definidos; planes de comunicación de incidentes implementados. | Documentación para el usuario, notas de la versión, registros de informes externos, plantillas de comunicación de incidentes y registros. | Inspeccione la documentación del usuario de un sistema implementado, analice cualquier comunicación sobre incidentes y verifique que se cumplan las obligaciones de notificación externas. |
| A.9 Uso de sistemas de IA | Se definieron los procesos para un uso responsable; se documentó el uso previsto; se revisaron los objetivos de uso; se previno o detectó el uso fuera del alcance. | Registro de casos de uso, declaraciones de uso previsto, política de uso aceptable, registros de seguimiento, resultados de la revisión. | Seleccione dos casos de uso, compare el uso real con el uso previsto, inspeccione el monitoreo y revise la evidencia. |
| A.10 Relaciones con terceros y clientes | Se evaluaron los proveedores de sistemas y componentes de IA; se asignaron las responsabilidades entre las partes; se documentaron las obligaciones del cliente. | Registro de proveedores con debida diligencia específica para IA, contratos, matriz de asignación de responsabilidades, documentación de obligaciones con el cliente | Seleccione dos proveedores de IA, inspeccione los registros de diligencia debida y los contratos, y verifique que las responsabilidades estén claramente asignadas por escrito. |
A.2 Políticas relacionadas con la IA
Comience por la parte superior de la casa. Confirme que existe una política de IA, que está aprobada en el nivel correcto, que se revisa en un ciclo definido y que es comunicada y reconocida por el personal en funciones relevantes. La política debe establecer la dirección para IA responsable y debe ser coherente con otras políticas organizativas, en particular la seguridad de la información y la protección de datos. Los hallazgos aquí a menudo se relacionan con revisiones vencidas, registros de acuse de recibo incompletos o la política no aborda un área clave como IA de terceros tools.
A.3 Organización interna
Audite la estructura de gobernanza. ¿Quién toma las decisiones sobre IA? ¿Dónde se reportan las inquietudes sobre IA y cómo se priorizan? ¿Existe un foro de gobernanza con términos de referencia claros y quórum? Consulte las actas de las reuniones para evaluar el contenido, no solo la asistencia. Un hallazgo común es una matriz RACI completa que no se refleja en la toma de decisiones real, lo cual es fácil de detectar al analizar una decisión real de principio a fin.
A.4 Recursos para sistemas de IA
Confirme que los recursos necesarios para desarrollar, operar y gestionar sistemas de IA estén identificados, documentados y sean suficientes. Estos recursos incluyen datos, herramientas, infraestructura informática y experiencia humana. El aspecto de la competencia suele ser el más débil. Busque criterios de competencia específicos para cada puesto y evidencia de que las personas que desempeñan esos roles los cumplen, en lugar de registros de capacitación genéricos.
A.5 Evaluación del impacto de los sistemas de IA
Las evaluaciones de impacto de los sistemas de IA son una de las características definitorias de la norma ISO 42001 y una fuente habitual de hallazgos. La evaluación debe abarcar los impactos en individuos, grupos y la sociedad, y debe completarse antes de la implementación y revisarse en caso de cambios. Consulte nuestra guía más detallada sobre Evaluaciones del impacto de la IA Para ejemplos prácticos, seleccione dos sistemas de IA dentro del alcance del estudio y realice un seguimiento de la evaluación de impacto completa hasta su aprobación y cierre de la acción.
A.6 Ciclo de vida del sistema de IA
Esta es la mayor área de control y recompensa un recorrido del ciclo de vida. Elija un sistema de IA de producción y sígalo desde la definición de objetivos hasta el diseño, desarrollo, verificación, validación, implementación, operación, monitoreo y retiro. La prueba crítica es si la validación fue independiente del desarrollo y si el monitoreo ha detectado alguna desviación, incidentes o uso fuera del alcance. Ciclo de vida de un sistema de IA La guía detalla la lista completa de controles.
A.7 Datos para sistemas de IA
Los datos son clave para el éxito o el fracaso de los sistemas de IA. Es fundamental auditar la adquisición, la calidad, la preparación y los controles de procedencia. Se debe tomar una muestra de un conjunto de datos de entrenamiento y verificar que sus fuentes, licencias, controles de calidad y base legal (cuando se trate de datos personales) estén documentados. Es probable que se encuentren problemas relacionados con la procedencia de los datos en sistemas antiguos y con la informalidad en la medición de la calidad de los datos, en lugar de su registro formal.
A.8 Información para las partes interesadas
Confirme que los usuarios, clientes, reguladores y demás partes interesadas reciban la información que necesitan. Esto incluye la documentación del sistema durante la implementación, las comunicaciones sobre incidentes y cualquier obligación de informar a terceros. Analice un incidente reciente o un cambio significativo e inspeccione las comunicaciones posteriores.
A.9 Uso de sistemas de IA
El uso previsto de cada sistema de IA debe estar documentado, y su uso real debe supervisarse en función de dicho uso. Tanto las organizaciones que se dedican exclusivamente al desarrollo de IA como las que solo implementan IA de terceros necesitan este control. Analice dos casos de uso, compare el uso real con el previsto e inspeccione el sistema de monitorización que detecta las discrepancias.
A.10 Relaciones con terceros y clientes
Audite cómo se evalúa a los proveedores de IA, cómo se distribuyen las responsabilidades entre usted y ellos, y cómo se documentan las obligaciones con el cliente. En el caso específico de los proveedores de modelos base y de API de IA, verifique que la debida diligencia haya incluido la procedencia del modelo, los datos de evaluación y los compromisos de notificación de incidentes. Los hallazgos en este ámbito suelen estar relacionados con contratos anteriores al programa de IA que no se han actualizado para reflejar las responsabilidades asignadas.
¿Qué pruebas se deben recopilar durante una auditoría de IA?
La evidencia es lo que convierte una opinión en un hallazgo. Para cada elemento de la lista de verificación, recopile al menos uno de los siguientes y adjúntelo a los papeles de trabajo de la auditoría:
- Evidencia documentada. Políticas, procedimientos, registros, registros de evaluación, actas de reuniones, registros de aprobación y registros de capacitación.
- Evidencia generada por el sistema. Registros de acceso, resultados de monitorización, paneles de rendimiento del modelo, alertas de detección de desviaciones e incidencias.
- Notas de la entrevista. Recorridos guiados con los responsables de los controles, los miembros del foro de gobernanza, los científicos de datos y los gerentes de producto, registrándose la fecha, los asistentes y los puntos clave.
- Evidencia observacional. Capturas de pantalla, grabaciones de pantalla o extractos anotados que muestren el control en funcionamiento, como por ejemplo un flujo de trabajo de aprobación que rechaza un cambio no aprobado.
- Resultados de la prueba de muestra. Cuando haya probado una muestra (por ejemplo, diez evaluaciones de impacto de sistemas de IA de un total de quince), registre el tamaño de la muestra, el método de selección y el resultado (aprobado o reprobado) de cada elemento.
Vincule cada pieza de evidencia con el control que respalda y con el hallazgo de auditoría (o la falta de hallazgo) que genera. Esta trazabilidad es precisamente lo que un auditor externo querrá ver en sus registros y es uno de los errores más comunes en las auditorías basadas en papel. Para obtener una visión completa de lo que exige la norma por escrito, consulte nuestra guía sobre Documentación requerida según la norma ISO 42001..
Comienza tu prueba gratuita
¿Quieres explorar?
Regístrese hoy para su prueba gratuita y pruebe todas las funciones de cumplimiento que ISMS.online tiene para ofrecer
¿Cómo se documentan los hallazgos y las acciones correctivas?
Un hallazgo es una declaración documentada de un hecho, respaldada por evidencia, evaluada según un criterio. Los buenos hallazgos constan de cuatro partes: condición (lo que se observó), criterio (lo que se requería, por ejemplo, la cláusula o el control), causa (por qué ocurrió) y consecuencia (qué significa para los objetivos). Los hallazgos se clasifican, generalmente, de la siguiente manera:
- No conformidad importante. Un fallo total de un control obligatorio, o múltiples no conformidades menores relacionadas que indiquen un problema sistémico. Si un auditor externo las detecta, impedirán la certificación.
- No conformidad menor. Un único fallo en un control que, por lo demás, funciona correctamente. Debe corregirse, pero rara vez impide la certificación por sí solo.
- Observación u oportunidad de mejora. No se trata de un incumplimiento de los requisitos, pero es algo que conviene abordar antes de que se convierta en una conclusión.
Cada no conformidad debe desencadenar una acción correctiva que siga la Cláusula 10. Esto significa corregir la no conformidad, determinar la causa, determinar si existen problemas similares en otros lugares, implementar la acción, verificar la efectividad y conservar la información documentada. Los registros de acciones correctivas deben vincularse con el hallazgo de la auditoría y remitir a cualquier actualización de riesgos, controles, políticas o la Declaración de aplicabilidad.
Una plantilla útil para el informe de hallazgos incluye columnas para: ID del hallazgo, referencia de auditoría, control o cláusula del Anexo A, condición, criterio, causa, consecuencia, clasificación, responsable, fecha de vencimiento, acción correctiva, verificación de efectividad y fecha de cierre. Incorpórela a sus documentos de trabajo o, mejor aún, a una plataforma que realice el seguimiento automáticamente.
Cómo ISMS.online simplifica las auditorías de IA
SGSI.online Le proporciona la lista de verificación de auditoría, la biblioteca de evidencias, el registro de hallazgos y el flujo de trabajo de acciones correctivas en un solo lugar, preconfigurado según la norma ISO 42001.
- Programa de auditoría preconfigurado. Planes de auditoría interna alineados con la Cláusula 9.2, con cronogramas de auditoría, definición del alcance y asignación de auditor incorporados.
- Plantillas de listas de verificación por área del Anexo A. Cada elemento de la lista de verificación ya está vinculado al control correspondiente, por lo que los auditores dedican su tiempo a evaluar en lugar de redactar plantillas.
- Evidencia vinculada a nivel de control. Las evidencias recopiladas en relación con los controles del Anexo A son visibles directamente en la lista de verificación de auditoría, lo que elimina la necesidad de realizar una búsqueda exhaustiva.
- Hallazgos y acciones correctivas en un mismo flujo de trabajo. Las no conformidades detectadas durante la auditoría generan automáticamente acciones correctivas con responsables, fechas de vencimiento, pasos de verificación y seguimiento del cierre según la Cláusula 10.
- Los datos de la revisión de gestión se generan automáticamente. Los resultados de la auditoría, las no conformidades y las acciones se incorporan directamente al paquete de revisión de la dirección de la cláusula 9.3.
- Reutilización multiestándar. Las evidencias recopiladas para las auditorías internas ISO 27001 se pueden reutilizar con los controles ISO 42001 pertinentes, ya que residen en la misma plataforma.
El resultado es que una auditoría que habría requerido dos semanas de trabajo con hojas de cálculo y seguimiento de correos electrónicos se ejecuta como un flujo de trabajo gestionado dentro de una sola herramienta, con el registro de evidencias listo para su auditor externo.
¿Por qué elegir ISMS.online para la gestión de auditorías de IA?
SGSI.online Está diseñada desde cero para cumplir con la norma ISO 42001, incluyendo el ciclo completo de auditoría interna. Esto es lo que obtendrá al ejecutar auditorías de IA en la plataforma:
- Una lista de verificación de auditoría de IA lista para usar. Preconfigurado según la cláusula 9.2 y cada área de control del Anexo A, para que su primera auditoría no comience con una plantilla en blanco.
- Biblioteca integrada de evidencias. Las políticas, los riesgos, las evaluaciones de impacto y las pruebas de control están vinculados a los controles que respaldan, por lo que los auditores abren un elemento y ven la prueba.
- Hallazgos y acciones, todo en un mismo lugar. Las no conformidades detectadas durante la auditoría dan lugar a acciones correctivas con los propietarios, fechas límite y comprobaciones de la eficacia, de conformidad con la Cláusula 10.
- Revisión de la gerencia lista. Los resultados de la auditoría, las no conformidades y las acciones correctivas se incorporan directamente al paquete de revisión de la dirección de la cláusula 9.3, eliminando la necesidad de recopilar datos al final del año.
- Compartido con ISO 27001. Un único programa de auditoría que abarca las normas ISO 42001 e ISO 27001, utilizando un único conjunto de evidencias, un único registro de riesgos y un único generador de declaraciones de aplicabilidad.
- Método de resultados garantizados. Método de implementación y auditoría de eficacia probada que ha ayudado a cientos de organizaciones a obtener la certificación a la primera, con asistencia humana en directo durante todo el proceso.
Ya sea que esté realizando su primera auditoría interna, preparándose para una auditoría de certificación de Etapa 2 o gestionando la vigilancia anual, SGSI.online Mantiene el programa estructurado y la evidencia defendible. Para una verificación de preparación más amplia, ejecute un análisis de las deficiencias Primero, o trabaje a través de nuestro completo Lista de verificación de cumplimiento de la norma ISO 42001.
¿Listo para ver la plataforma en acción? Agendar demo para ver como SGSI.online puede potenciar su programa de auditoría con IA.
Preguntas Frecuentes
¿Qué es una lista de verificación para auditorías de IA?
Una lista de verificación de auditoría de IA es una lista estructurada de elementos que un auditor interno revisa para evaluar si el Sistema de Gestión de IA de una organización cumple con la norma ISO 42001 y si se implementa de manera efectiva. Una buena lista de verificación abarca los requisitos de auditoría de la Cláusula 9.2 y las nueve áreas de control del Anexo A (A.2 a A.10), con expectativas de evidencia y procedimientos de prueba definidos para cada elemento, de modo que los hallazgos sean consistentes y justificables.
¿Con qué frecuencia debo realizar una auditoría interna de IA?
La cláusula 9.2 de la norma ISO 42001 exige auditorías internas a intervalos planificados, sin especificar una frecuencia concreta. En la práctica, la mayoría de las organizaciones realizan una auditoría completa del sistema de gestión de inteligencia artificial (AIMS) anualmente, con auditorías adicionales específicas para sistemas de IA o áreas de control de mayor riesgo al menos cada seis meses. La frecuencia de las auditorías debe basarse en el riesgo, por lo que un sistema de IA generativa de alto impacto en producción requiere una revisión más frecuente que una herramienta interna de productividad.
¿Quién puede realizar una auditoría interna según la norma ISO 42001?
Los auditores internos deben ser objetivos e imparciales, lo que significa que no pueden auditar el trabajo del que son responsables. Muchas organizaciones utilizan una combinación de personal interno capacitado ajeno al área de IA, un equipo central de aseguramiento o un tercero independiente que actúa como auditor externo en su nombre. Lo importante es que el auditor sea competente para evaluar los controles específicos de IA y que no tenga conflictos de interés con respecto a las áreas que se auditan.
¿Cuál es la diferencia entre una auditoría de IA y una evaluación del impacto de la IA?
Una evaluación de impacto de un sistema de IA (Anexo A.5) evalúa los posibles impactos de dicho sistema en individuos, grupos y la sociedad antes de su implementación y durante el proceso de cambio. Una auditoría de IA (Cláusula 9.2) evalúa si el sistema de gestión que rige la IA, incluido el propio proceso de evaluación de impacto, cumple con los requisitos y funciona correctamente en la práctica. Una auditoría generalmente toma como referencia las evaluaciones de impacto, pero también abarca las políticas, los controles del ciclo de vida, la gobernanza de datos, los proveedores y todas las demás áreas del Sistema de Gestión de IA (AIMS).
¿Es necesario que la auditoría interna abarque todos los sistemas de IA en cada ocasión?
No. El programa de auditoría debe garantizar que, durante un ciclo definido (normalmente de uno a tres años), se audite cada componente del AIMS y cada sistema de IA incluido en su alcance. Sin embargo, las auditorías individuales pueden limitarse a un subconjunto. En la mayoría de las organizaciones, la auditoría anual selecciona sistemas de IA en función del riesgo y la importancia, de modo que los sistemas de mayor impacto se auditan con mayor frecuencia y los de menor riesgo se cubren de forma rotativa. El propio programa de auditoría constituye la documentación que respalda dicho plan.
¿Cómo se relacionan los resultados de las auditorías de IA con las acciones correctivas?
Cada no conformidad detectada durante una auditoría debe dar lugar a una acción correctiva según la Cláusula 10. Esto significa corregir el problema, determinar la causa raíz, considerar si el mismo problema existe en otro lugar, implementar la acción, verificar su efectividad y conservar la información documentada. SGSI.onlineLos hallazgos detectados durante la auditoría generan automáticamente acciones correctivas con los responsables y fechas límite, y se realiza un seguimiento de la verificación de la eficacia hasta su cierre para que nada quede pendiente.
¿Puede una misma auditoría abarcar las normas ISO 42001 e ISO 27001?
Sí. Ambas normas siguen la estructura de alto nivel del Anexo SL y comparten cláusulas sobre liderazgo, planificación, apoyo, operación, evaluación y mejora. El Anexo D de la ISO 42001 proporciona una correspondencia explícita con la ISO 27001. Un programa de auditoría combinado es más eficiente, evita la duplicación de la recopilación de evidencia y está respaldado por plataformas multiestándar como SGSI.online que utilizan un único registro de riesgos, una biblioteca de evidencias y un flujo de trabajo de auditoría aplicable a ambos estándares.
