La declaración de alcance es el certificado

"Estamos certificados en ISO 27001" se trata como un valor booleano, tanto por los vendedores que lo afirman como por la mayoría de los compradores que lo escuchan. Pero no lo es. Un certificado no certifica a una empresa; certifica un sistema de gestión cuyas fronteras la propia empresa definió, y la declaración autorizada de esas fronteras que un comprador verá alguna vez es el alcance declarado en los documentos de certificación, esa oración que, en nuestra experiencia, pocos compradores se detienen a leer. Dos organizaciones pueden tener certificados del mismo organismo de acreditación, mostrar la misma insignia y estar haciendo afirmaciones completamente diferentes: una tiene certificado el sistema que desarrolla y ejecuta el producto que sus clientes compran, la otra tiene certificado la función de TI corporativa en una dirección que el cliente nunca interactuará. Ambas son "certificadas en ISO 27001". Solo uno de esos certificados establece directamente que el producto que se vende está dentro del alcance.

Nuestra postura: la declaración de alcance es el certificado, en el sentido de que lleva la afirmación sustantiva que el documento hace, y los equipos que definen el alcance preguntando "¿cuál es el sistema más pequeño que podemos defender ante un auditor?" están optimizando la variable equivocada. El alcance es una decisión de confianza del cliente que, por casualidad, tiene una auditoría adjunta, no una decisión de costos de auditoría que, por casualidad, es visible para los clientes.

El estándar es permisivo por diseño

ISO/IEC 27001:2022 (tercera edición, publicada el 2022-10-25; la enmienda de acción climática Amd 1:2024, publicada el 2024-02-23, no modifica la cláusula) aborda el alcance en la cláusula 4.3. La organización determina "los límites y la aplicabilidad" del SGSI para establecer su alcance, y al hacerlo debe considerar los problemas externos e internos de la cláusula 4.1, los requisitos de las partes interesadas de la cláusula 4.2 y "las interfaces y dependencias entre las actividades realizadas por la organización y aquellas realizadas por otras organizaciones". El alcance debe estar disponible como información documentada. Eso es toda la cláusula.

Fíjese en lo que no dice. Nada exige que el alcance cubra la entidad legal completa, todas las oficinas o el producto estrella. El estándar permite deliberadamente que un hospital certifique su departamento de registros, un conglomerado certifique una subsidiaria o una empresa de software certifique una plataforma. Esta permisividad es una característica: hace que la certificación sea alcanzable en fases y permite a las organizaciones poner la garantía donde realmente reside el riesgo.

El lado de la certificación del sistema luego hace algo importante con esa libertad. ISO/IEC 17021-1:2015 (publicada el 2015-06-08), el estándar al que los organismos de certificación acreditados deben ajustarse, exige en la cláusula 8.2.2(f) que los documentos de certificación identifiquen "el alcance de la certificación con respecto al tipo de actividades, productos y servicios aplicables en cada sitio sin ser engañoso ni ambiguo". ISO/IEC 27006-1:2024 (primera edición, publicada el 2024-03-01) añade las reglas específicas para el SGSI de esos organismos. La intención de diseño es clara: la organización puede delimitar la frontera donde pueda justificarla, y a cambio los documentos de certificación deben decir, de manera precisa y legible, dónde está esa frontera.

La integridad de ese acuerdo depende de que la afirmación viaje con la frontera adjunta, y la maquinaria lo intenta: la cláusula 8.3 de ISO/IEC 17021-1 exige que los organismos de certificación regulen cómo sus clientes se refieren a su certificación y usan las marcas, y un organismo de certificación puede actuar contra un uso engañoso. Pero la declaración de alcance vive en los documentos de certificación, mientras que la afirmación operativa vive en presentaciones comerciales, páginas de confianza y campos de cuestionarios de una palabra, donde a menudo se abrevia como "certificado". En nuestra experiencia, esa brecha se supervisa de manera desigual, y la parte más propensa a notarla primero es el comprador que realmente lee el certificado.

Por qué delimitar el alcance para aprobar es racional, y dónde realmente falla

La tentación de delimitar el alcance de manera estrecha no es pereza; es aritmética. El modelo de tiempo de auditoría en ISO/IEC 27006-1:2024 (Anexo C) comienza con el número de personas que realizan trabajo bajo el control de la organización y luego ajusta factores como complejidad, ubicaciones y externalización, por lo que un alcance más estrecho puede reducir el esfuerzo de auditoría, aunque no garantiza una reducción particular en días o costos de auditoría. Menos personas y procesos en el alcance generalmente significan menos entrevistas, menos documentos y una factura de implementación más pequeña, y las partes complicadas de la organización —el grupo de ingeniería con sus propias herramientas, la subsidiaria recientemente adquirida, el equipo de soporte en otra jurisdicción— son precisamente las más costosas de incluir. En nuestra experiencia, el alcance es uno de los mecanismos de reducción de costos más efectivos en todo el proyecto, y a menudo se utiliza exactamente por esa razón.

Y puede funcionar, en el sentido estricto: un SGSI con un alcance estrecho puede aprobar su auditoría en sus propios términos. El organismo de certificación evalúa la conformidad del sistema que definió, no la ambición de la definición. Un certificado para "el SGSI que respalda la función de TI corporativa" puede emitirse de buena fe por un auditor competente, porque es una afirmación verdadera sobre un sistema real.

Sin embargo, la cláusula presiona con más fuerza de lo que los equipos esperan. La cláusula 4.3 no le permite delimitar la frontera en el vacío. Según la cláusula 4.2, los clientes suelen ser partes interesadas relevantes, y sus requisitos de seguridad aplicables pueden influir directamente en dónde debe estar la frontera; el punto (c) luego le obliga a tener en cuenta las interfaces y dependencias, por lo que una función certificada que depende de una organización de ingeniería excluida tiene una interfaz que la documentación debe abordar. Un alcance que excluye el producto que los clientes realmente compran no es automáticamente ilegítimo. Pero es una posición que necesita defensa: el análisis de partes interesadas debe establecer, con la base documentada, que los requisitos de los clientes no son aplicables o se abordan fuera del SGSI, y, en nuestra experiencia, la presión que los auditores ejercen sobre las cláusulas 4.3(b) y (c) varía. La defensa se pone a prueba en el momento en que alguien lee la oración.

La oración ahora es verificable

Leer la oración se está volviendo más fácil. La base de datos IAF CertSearch, desarrollada y operada por Quality Trade como socio conjunto de ISO e IAF, permite la verificación de certificados acreditados participantes, incluido su estado y alcance, sujeto a limitaciones de cobertura y confidencialidad: no todos los certificados se suben, y los registros pueden marcarse como confidenciales. (Por separado, IAF e ILAC fueron reemplazados por una sola organización, Global Accreditation Cooperation Incorporated, que inició operaciones completas el 2026-01-01). No obstante, los datos de certificación se están consolidando: la Encuesta ISO, que compila anualmente el número de certificados de ISO, pasó a compilar sus resultados a partir de los datos de CertSearch en su edición 2024 (publicada en 2025), que reportó 96,709 certificados válidos de ISO/IEC 27001 frente a los 48,671 de la edición 2023. Esas dos cifras no son directamente comparables, y la diferencia no es evidencia de que las certificaciones se duplicaron: el resultado de 2023 se vio afectado por la falta de participación del organismo de acreditación de China, y el método de recolección cambió entre ediciones. La consolidación es el propio cambio metodológico, una base de datos compartida cada vez más detrás de la verificación y el recuento oficial.

Mientras tanto, el lado de la demanda se está profesionalizando. En nuestra experiencia, los cuestionarios de seguridad preguntan cada vez más por el certificado en sí en lugar de una atestación de sí/no, y la declaración de alcance está en él. Un analista de compras que lo lee no necesita mucho tiempo para notar que la plataforma SaaS bajo evaluación no está razonablemente cubierta por las actividades, servicios y fronteras declarados.

Aquí está la asimetría que convierte esto en una decisión de confianza más que de cumplimiento. Un proveedor sin certificado y con un "estamos trabajando para certificar la plataforma" honesto está en una posición recuperable. Un proveedor que ha dicho "estamos certificados en ISO 27001" y cuyo certificado, tras la inspección, cubre una función administrativa en otro edificio, está en una posición mucho más débil, porque los compradores rara vez clasifican ese descubrimiento como una sutileza. Puede leerse como una garantía prestada, un intento de que la insignia cubra más de lo que los documentos de certificación respaldan, y una vez que un comprador lo lee así, cada otra respuesta en el cuestionario hereda la duda. El alcance estrecho fue legítimo. La impresión general de la empresa construida sobre él fue la parte que no pudo sobrevivir a un lector, y acaba de conocerlo.

Delimitar el alcance para que signifique algo

La solución es invertir la dirección del ejercicio. Delimitar el alcance para aprobar comienza con el organigrama y pregunta qué se puede recortar. Delimitar el alcance para que signifique algo comienza con la oración que necesita poder entregarle a un cliente, algo como "el SGSI que cubre el desarrollo, operación y soporte de [el producto que están comprando]", y trabaja hacia atrás hasta las personas, procesos, ubicaciones y proveedores que esa oración le compromete a incluir. La cláusula 4.3(c) entonces hace un trabajo útil para usted en lugar de en su contra: rastrear interfaces y dependencias desde el servicio orientado al cliente es exactamente cómo descubre qué pertenece dentro de la frontera.

Esto no es un argumento de que todo alcance deba abarcar toda la empresa. Líneas de negocio genuinamente separadas, con segregación organizativa y técnica real, son exclusiones legítimas, y la certificación por fases sigue siendo sensata. La prueba que propondríamos para cualquier exclusión es simétrica con el problema de confianza: ¿podría explicar la exclusión, en un párrafo, al cliente cuyo dato está más cerca de la frontera, y sobreviviría a su pregunta de seguimiento? Una exclusión que pase esa prueba ("la división de productos industriales no comparte sistemas, personal ni datos con la plataforma") se delimitó por razones estructurales. Una exclusión que falle ("la ingeniería quedó fuera de alcance este ciclo") apunta a un alcance impulsado por la aprobación, y el párrafo que no puede escribirse le está diciendo para qué se usó realmente la exclusión.

La fase, hecha con honestidad, obedece la misma regla: la fase uno ya debería cubrir el servicio orientado al cliente, porque esa es la afirmación que el mercado escuchará. En nuestra experiencia, ampliar un alcance significativo en ciclos posteriores es la dirección de viaje menos disruptiva, y se lee como madurez. Reparar uno vacío es más difícil: según ISO/IEC 17021-1:2015 (cláusula 9.6.4.1), el organismo de certificación revisa la solicitud y determina qué actividad de auditoría requiere la extensión, que puede combinarse con una auditoría de vigilancia, y la documentación de certificación se actualiza solo si se concede la extensión. El período intermedio, en el que el certificado dice una cosa y los clientes creían otra, es el más costoso.

La regla que vale la pena mantener

Un certificado certifica su alcance y nada más. El estándar otorga libertad real sobre dónde delimitar la frontera, y la maquinaria de certificación tiene un requisito no negociable que importa aquí, de la cláusula 8.2.2 de ISO/IEC 17021-1: que la frontera se declare sin ser engañosa ni ambigua. Someter sus propias afirmaciones sobre el certificado a esa misma prueba no es una obligación regulatoria. Es simplemente la única estrategia de delimitación que sigue luciendo bien después de que un prospecto lea el certificado, y la lectura solo se está volviendo más fácil.

Delimitar una frontera que pueda defenderse en ambas salas, la auditoría y la llamada de ventas, es trabajo de la cláusula 4.3: partes interesadas, dependencias y la oración documentada que sobrevive a ambas lecturas. Ese es el tipo de pregunta de delimitación para el que ISMS Copilot está diseñado para trabajar con usted, requisito por requisito. La insignia es idéntica en todos los certificados. La oración debajo de ella es el producto.