¿Para qué me sirve esta actividad? 📚
Esta actividad te permitirá dejar un registro formal sobre el desempeño y nivel de cumplimiento de tu Sistema de Gestión de Continuidad del Negocio (SGCN) tras someterlo a una revisión objetiva que incluye los requisitos, controles, políticas, procedimientos y registros que se encuentran implementados, para asegurar que funcionan en la práctica.
La Auditoría Interna del SGCN permite identificar hallazgos antes de una auditoría externa de certificación. Su objetivo no es demostrar que la empresa es perfecta, sino detectar oportunidades de corrección a tiempo y verificar que la gestión de la continuidad del negocio sea coherente con las operaciones reales de la organización.
¿Qué tengo que hacer? 🚀
💡Antes de comenzar, repasemos el concepto de auditoría interna y auditoría externa:
La auditoría interna es la evaluación de la implementación del sistema de gestión con el objetivo de identificar hallazgos a tiempo para resolverlos y así asegurar que la organización está bien preparada para ir a una auditoría externa.
Esta auditoría la realiza Hackmetrix, y es lo que te permite terminar esta actividad. Para mayor información sobre cómo se solicita y conocer todas las consideraciones importantes, te pedimos que leas el siguiente artículo: Todo lo que necesitas saber sobre una auditoría interna y cómo hacerla con Hackmetrix.
Ahora bien, la auditoría externa es la validación de la implementación del sistema de gestión, pero ahora con el objetivo de obtener una certificación.
Esta auditoría la realiza una entidad o casa certificadora externa que puede emitir el certificado de tu SGPI. Nosotros podemos ayudarte a coordinar este ejercicio, y para que conozcas más detalle sobre cómo se lleva a cabo te recomendamos leer el siguiente artículo: ¿Cómo entender y atender una auditoría externa?
Ahora bien, si ya llegaste a esta actividad es porque seguramente ya pasaste por la planificación e incluso la ejecución del ejercicio de auditoría interna, por lo que solo para repasar, recordemos las consideraciones más importantes:
Planificación de la auditoría interna del SGCN.
Con ayuda de tu Customer Success Manager, coordina las fechas y horarios de la auditoría y documéntalos en tu Plan y Programa de Auditoría Interna.
Involucra a los responsables clave: Alta Dirección, Comité de Continuidad del Negocio, Tecnología, Recursos Humanos, Legal, Operaciones, áreas alcanzadas por el SGCN.
Preparación para la auditoría.
Revisa que las políticas, procedimientos y registros estén actualizados y reflejen la operación real de tu empresa.
Verifica que el alcance del SGCN, los objetivos de continuidad, los roles y los procesos estén claros para los participantes.
Mantén siempre disponible la evidencia de cumplimiento.
💡Para enfrentar cualquier tipo de auditoría es muy importante que conozcas tu documentación, dónde encontrarla y conocer bien su contenido. Así como también tener toda la evidencia de cumplimiento a la mano, y estar listo para mostrarla en vivo, si el auditor lo solicita. Ya que recuerda que el auditor no sólo revisará documentos; buscará comprobar que la empresa hace en la práctica lo que declara.
Reservación del tiempo adecuado.
Las sesiones de auditoría pueden requerir entrevistas, revisión documental y validación de evidencias técnicas.
Informa con anticipación a las personas convocadas y reserva el tiempo necesario en sus agendas.
Coordina para que cada área participe en los bloques relacionados con sus responsabilidades, evitando involucrar a colaboradores en sesiones que no les correspondan.
💡Puedes consultar con el auditor si es posible que alguno de tus colaboradores solo atienda los requisitos asociados a su área y posteriormente se retire, si ya no se requiere su participación.
Participación activa durante la auditoría.
Asiste puntualmente, presenta la evidencia solicitada y responde con claridad sobre cómo opera cada proceso.
Si una evidencia no se encuentra disponible durante la sesión, verifica con el auditor si es posible entregarlo en la próxima sesión o más tarde, y de ser el caso, pacta el plazo para entregarla.
Mantén una actitud receptiva frente a los hallazgos: su objetivo es fortalecer el SGCN antes de una auditoría externa o de un eventual requerimiento de autoridad.
Comprensión de los tipos de hallazgos.
Los tipos de hallazgos que te pueden levantar durante auditorías son:
No conformidad mayor
No conformidad menor
Observación
Oportunidad de mejora
Recomendamos ampliamente leer el siguiente artículo para conocer aún más sobre cómo funcionan las auditorías y sus hallazgos: Lo que puede convertirse en un hallazgo en tu auditoría ISO 27001 (si bien se menciona "ISO 27001", la información aplica para cualquier normativa ISO, incluida la 22301).
💡Detectar una no conformidad durante la auditoría interna no perjudica a la empresa. Por el contrario, permite corregirla antes de que genere una queja, una brecha de seguridad o una observación de una entidad certificadora o reguladora.
Revisión del reporte de resultados.
Una vez terminadas las sesiones, el auditor interno genera un reporte con los hallazgos identificados y toda la información relevante sobre la auditoría. Este reporte se te enviará por correo electrónico, y con él, podrás terminar esta actividad.
Comunica el reporte al Comité de Continuidad y la Alta Dirección, y de ser posible, revísenlo en conjunto.
Analiza por qué ocurrió cada hallazgo, evitando limitarte al error visible.
Definición de acciones correctivas y de mejora.
Establece acciones concretas para corregir cada no conformidad, asignando responsables y fechas de cumplimiento.
Registra las acciones en el Plan de Tratamiento de Acciones Correctivas y de Mejora y realiza seguimiento hasta verificar su eficacia.
💡 Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable). El reporte de resultados que te entrega nuestro auditor interno puede ser directamente este documento final.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
Recomendaciones ✅
No veas este documento como un castigo; un informe de auditoría sin ningún hallazgo suele parecer irreal ante auditores externos. Los hallazgos demuestran que el sistema de mejora continua está vivo.
Asegúrate de que la Alta Dirección esté al tanto de estos resultados antes de recibir la auditoría externa.
Conserva los reportes de auditoría, evidencias y planes de acción en un repositorio seguro y con accesos restringidos, ya que pueden contener información sensible sobre riesgos, vulnerabilidades o incumplimientos internos. Además, siguen siendo evidencia de cumplimiento que puede ser solicitada en auditorías futuras.
Durante las sesiones, presenta los documentos en su versión final y aprobada. Evita utilizar borradores, documentos con comentarios abiertos o información que no refleje la operación actual de la empresa.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos y te brindaremos la atención que necesites.