La auditoría interna que nunca encuentra nada

El escenario se repite en las organizaciones certificadas con pequeñas variaciones. La auditoría interna se realiza en primavera. El auditor, que en muchos SGSI pequeños es también la persona que escribió las políticas, trabaja con una lista de verificación derivada de esas mismas políticas. El informe registra cero no conformidades. La revisión por la dirección anota "sin hallazgos significativos", y el año avanza. Cuando se acumula una racha de estas características, se interpreta como madurez: el SGSI funciona, las auditorías son silenciosas, y el certificado se mantiene vigente tras otra supervisión.

El 27 de mayo de 2026, ISO publicó ISO 19011:2026, la cuarta edición de las directrices para la auditoría de sistemas de gestión, y retiró la edición de 2018 que reemplazaba (publicada el 3 de julio de 2018, retirada el mismo día en que llegó la nueva edición). Durante uno o dos años, muchos programas de auditoría seguirán apuntando a la edición de 2018, y nada en un certificado depende de ello, porque el texto certificable de ISO/IEC 27001:2022 exige un programa de auditoría, no una edición concreta de las directrices de auditoría. El cambio de edición es simplemente un momento conveniente para plantear la pregunta alrededor de la cual siempre se ha construido la guía, y que una racha de cero hallazgos rara vez se hace: ¿fue eso una auditoría o una revisión de los propios deberes?

Nuestra postura es un argumento, no una verdad evidente: cuando un programa de auditoría interna no ha arrojado hallazgos durante dos o tres ciclos consecutivos, la hipótesis más razonable no es que el SGSI sea excelente. Es que el programa ha derivado hacia la conformidad con la organización que audita. La postura contraria, según la cual las auditorías limpias son simplemente lo que produce un SGSI maduro, es respetable y a veces cierta, por lo que en lugar de pedirte que aceptes nuestra palabra, te daremos el discriminador entre ambas.

Qué pide realmente la cláusula 9.2

ISO/IEC 27001:2022 (tercera edición, publicada el 25 de octubre de 2022; la enmienda de acción climática Amd 1:2024, publicada el 23 de febrero de 2024, no modifica la cláusula 9.2) exige que la organización realice auditorías internas "en intervalos planificados" para proporcionar información sobre si el SGSI cumple con los requisitos propios de la organización para el mismo y con los requisitos de la norma, y si se "implementa y mantiene de manera efectiva" (9.2.1). La cláusula 9.2.2 exige, a su vez, un programa de auditoría que esté planificado, establecido, implementado y mantenido, cubriendo frecuencia, métodos, responsabilidades, requisitos de planificación y presentación de informes; que defina criterios y alcance para cada auditoría; que seleccione auditores y realice auditorías de manera que el proceso sea objetivo e imparcial; que reporte los resultados a la dirección relevante; y que mantenga información documentada como evidencia del programa y sus resultados. Un requisito de la cláusula 9.2.2 hace gran parte del trabajo silencioso: el programa debe tener en cuenta la importancia de los procesos en cuestión y los resultados de auditorías anteriores.

Fíjate en lo que la cláusula no exige: un número concreto de hallazgos. Un informe limpio no está prohibido; la auditoría debe proporcionar información, y cero hallazgos es una respuesta posible. Lo que un informe limpio no puede hacer, por sí solo, es demostrar que el proceso de auditoría cumplió su función. Y la cláusula carga a la auditoría con dos cosas que un programa cómodo tiende a descartar: la independencia, en forma de objetividad e imparcialidad, y la efectividad, en el sentido de que la auditoría existe para producir información sobre si el sistema funciona, no solo sobre si existen documentos.

El programa es un instrumento, y los instrumentos se desvían

La contribución de ISO 19011, en ambas ediciones, consiste en tratar el programa de auditoría como un sistema gestionado en sí mismo: objetivos, alcance, métodos y frecuencia elegidos deliberadamente, resultados retroalimentados, el programa mismo monitorizado y mejorado. La propia descripción de la norma por parte de ISO la define como una guía para la auditoría de sistemas de gestión, que abarca los principios de auditoría, la gestión de programas de auditoría y la realización de auditorías de sistemas de gestión, y señala que es una guía que no conduce por sí misma a la certificación. Los principios de auditoría han incluido durante mucho tiempo la independencia: los auditores deben ser independientes de la actividad auditada cuando sea factible, y cuando no lo sea, se debe hacer todo lo posible para eliminar sesgos y fomentar la objetividad. La imparcialidad es la fuente de las conclusiones de auditoría. Esa disciplina existe por la misma razón que existe la calibración de instrumentos: un programa de auditoría es un dispositivo de medición, y un dispositivo de medición que arroja la misma lectura independientemente de la entrada ha dejado de medir.

En nuestra experiencia, la deriva hacia la auditoría complaciente adopta cuatro formas reconocibles. Dos de ellas incumplen requisitos explícitos de la cláusula 9.2, una incumplen el objetivo requerido de la auditoría, y una explota un vacío que el texto deja abierto:

El auditor audita su propio trabajo. En SGSI pequeños, la persona que escribió las políticas, implementó los controles y ejecuta la lista de verificación suele ser la misma, porque la superposición entre "entiende los controles" y "tiene tiempo" es casi total. La cláusula 9.2.2 exige objetividad e imparcialidad en el proceso de auditoría, y el principio de independencia de ISO 19011 está escrito precisamente para esta situación: sé independiente de la actividad que auditaste cuando sea factible, y cuando no lo sea, trata el sesgo como un riesgo que debe eliminarse, no ignorarse. Calificar tu propio trabajo no hace imposible una auditoría; omitir la mitigación sí lo hace. En nuestra experiencia, esta es la deriva que comienza antes, precisamente porque ningún artefacto único prueba que ocurrió.

Los criterios son los propios documentos del SGSI. Las políticas de una organización son criterios legítimos de auditoría, y contrastar la evidencia operativa con ellas es exactamente lo que debe hacer una auditoría. El fallo comienza cuando las políticas son la totalidad de los criterios. Entonces, la auditoría plantea una sola pregunta: ¿la práctica coincide con la política?, y nunca pregunta si la política cumple con los requisitos de la norma o si el sistema es efectivo. Esa auditoría puede realizarse durante años sin hallazgos mientras el SGSI no cumple con la norma y es ineficaz en la práctica, porque el único acusado era el documento, y el documento también era el juez. La cláusula 9.2.1 pide información sobre la conformidad con los requisitos propios de la organización y con los de la norma, además de la efectividad. Auditar únicamente contra los artefactos del SGSI es la forma en que una auditoría regresa limpia mientras descarta dos de los tres requisitos.

El alcance se congeló en el primer año. El programa visita los mismos dominios, con la misma profundidad y la misma lista de verificación cada ciclo. Un alcance que nunca cambia no es automáticamente no conforme: lo que exige la cláusula 9.2.2 es que el programa tenga en cuenta la importancia de los procesos en cuestión y los resultados de auditorías anteriores, y esa consideración puede legítimamente arrojar la misma respuesta año tras año. Nuestra objeción es contra el programa que se mantiene sin esa reconsideración, mientras la organización cambia debajo de él: nuevos productos, una nueva región, un incidente, proveedores reemplazados. Una racha de cero hallazgos producida por un plan no reconsiderado es un hecho sobre el plan, no sobre el sistema.

Los hallazgos se negocian a la baja. Las no conformidades se convierten en observaciones, las observaciones en "oportunidades de consideración", y el registro sigue en verde. La norma deja las etiquetas de severidad a la organización: nada en el texto prescribe cómo se gradúa un hallazgo, y ese margen es el vacío en el que vive este fallo. Las etiquetas son libres; el resultado subyacente no lo es. Sea como se llame en el registro, la auditoría sigue obligada a producir información precisa sobre la conformidad y reportarla a la dirección relevante, y un registro en verde que oculta silenciosamente un problema rojo incumple ambas cosas. En nuestra experiencia, la negociación rara vez ocurre en una sola reunión. Se acumula, una "llamémoslo observación" cada vez.

La postura honesta en contra, y la prueba que propondríamos

La concesión, primero: un buen SGSI puede generar realmente pocos hallazgos. Los equipos que implementaron de manera deliberada, verificaron sus controles y corrigieron lo que encontraron durante la implementación pueden realizar auditorías silenciosas porque el sistema es silencioso. Cero hallazgos no es prueba de un programa roto, y tratar cada informe limpio como una bandera roja sería, en sí mismo, un tipo de ruido.

Nada en la norma resuelve el disputa por ti, así que aquí tienes la prueba que propondríamos, y es nuestra, no del texto. Una auditoría limpia es evidencia cuando se sitúa dentro de un programa que puede mostrar su trabajo cuando se le pide: el plan de auditoría responde a resultados anteriores, incidentes y cambios en la organización (el requisito de consideración de la cláusula 9.2.2 cubre la importancia de los procesos y los resultados de auditorías previas; los incidentes y los cambios organizativos son entradas que un programa reflexivo pondera al decidir qué importa); las asignaciones de auditores son trazables, de modo que la organización pueda demostrar objetividad e imparcialidad en lugar de simplemente afirmarlas; y los resultados llegan a la revisión por la dirección, que incluye los resultados de auditoría entre sus entradas (9.3.2), en una forma que permite a la revisión razonar sobre ellos. El programa no necesita cambiar de rumbo cada ciclo, ni necesita producir un hallazgo: una revisión puede concluir legítimamente que no se necesita ningún cambio. La objetividad y la imparcialidad, en cambio, no son opcionales en ningún ciclo. El punto es que el programa puede producir su razonamiento, no que deba producir un problema.

Una auditoría limpia que se sitúa dentro de un programa sin nada de esto no es evidencia. Es un piloto automático con la bombilla fundida: el silencio es real, pero no transmite la información que parece transmitir.

Por qué esta es la auditoría más costosa de falsificar

Compara las otras auditorías del ciclo. La auditoría del organismo de certificación está acotada: el esfuerzo de auditoría requerido según ISO/IEC 27006-1:2024 (publicada el 1 de marzo de 2024, Anexo C) parte del número de personas que realizan trabajo bajo el control de la organización dentro del alcance y se ajusta según factores de complejidad, y normalmente el organismo de certificación se basa en muestreos, porque una visita acotada no puede probar todo; su independencia está regulada, y su acreditación depende de ello. La auditoría interna tiene el perfil opuesto: no hay una fórmula de duración prescrita externamente ni un organismo de acreditación que la supervise, aunque sigue un calendario planificado. Es la única auditoría del ciclo en la que la organización auditada elige al auditor, establece los criterios, define el alcance y controla la evidencia, lo que es precisamente la razón por la que la cláusula 9.2 sitúa allí sus requisitos de objetividad e imparcialidad.

Esa es también la razón por la que una auditoría interna hueca es la más costosa. La auditoría del organismo de certificación es una inspección periódica y acotada desde el exterior, y la monitorización, la gestión de incidentes y la revisión de riesgos vigilan de manera continua. La auditoría interna es el mecanismo cuya única función es buscar activamente tus problemas frente a requisitos definidos. Una auditoría interna que nunca discrepa con la dirección se ha reconvertido en un ritual que certifica la ausencia de noticias.

La edición de 2026 de ISO 19011 llegará a los programas de auditoría en el próximo año o dos, y actualizar el número de edición en la línea de referencia del programa es la parte más barata del ejercicio. Si eso es todo lo que implica la actualización, la organización ha realizado la deriva que este artículo describe, según lo programado. Si tu racha de cero hallazgos se sitúa dentro de un programa que reconsidera su objetivo, gestiona el riesgo de sesgo cuando los auditores están cerca de su propio trabajo y audita según la norma en lugar de según sí mismo, mantén la racha. En nuestra experiencia, las rachas que pueden demostrar tanto son la excepción, y es precisamente por eso que la excepción merece la pena conservarla.