Cómo preparar una auditoría de cumplimiento (sin estrés)
Una auditoría de cumplimiento sale bien cuando las evidencias existen antes de que llegue el auditor, no cuando se fabrican la semana anterior. Por eso esta guía repasa los tipos de auditoría, las pruebas, las no conformidades y el calendario.
En 30 segundos: identifica qué auditoría de cumplimiento tienes delante (interna, certificación ISO 27001, ENS o supervisión DORA/NIS2) y qué criterio aplica. Después, haz una auditoría interna con antelación, cierra sus hallazgos y celebra la revisión por la dirección. También necesitas las evidencias ordenadas por requisito y con fecha. Por último, si aparece una no conformidad mayor, corrígela y demuestra la eficacia antes de la certificación; las menores se resuelven con un plan de acción.
Tipos de auditoría de cumplimiento que te pueden tocar
No todas las auditorías persiguen lo mismo. Por eso el primer paso de cualquier auditoría de cumplimiento es saber quién audita, con qué criterio y qué consecuencias tiene el resultado.
Auditoría interna
ISO 27001 exige auditorías internas a intervalos planificados (cláusula 9.2), con auditores que garanticen objetividad e imparcialidad. DORA, por su parte, pide que auditores internos revisen el marco de gestión del riesgo TIC de forma periódica (artículo 6.6). En la práctica, es el ensayo general de cualquier auditoría de cumplimiento. Así encuentras los fallos cuando todavía no cuestan nada.
Certificación ISO 27001: etapa 1 y etapa 2
Primero, necesitas una entidad de certificación acreditada, en España normalmente por ENAC. En la etapa 1, el auditor revisa la documentación y comprueba si estás preparado: alcance, evaluación de riesgos, Declaración de Aplicabilidad, auditoría interna y revisión por la dirección. Después, en la etapa 2, verifica que todo eso funciona con entrevistas, muestreo y registros. Por último, llegan auditorías de seguimiento anuales y una de renovación al tercer año. Recuerda, además, que desde el 1 de noviembre de 2025 solo valen certificados conforme a la versión 2022, como explicamos en los cambios del Anexo A de ISO 27001:2022.
Auditoría del ENS cada dos años
El artículo 31 del Real Decreto 311/2022 obliga a una auditoría ordinaria al menos cada dos años. También exige una extraordinaria si el sistema cambia de forma sustancial, y esa fecha reinicia el plazo. Según el artículo 38, los sistemas de categoría MEDIA o ALTA necesitan una auditoría de certificación, mientras que en BÁSICA basta una autoevaluación. Luego, el informe va al responsable del sistema y al de seguridad. Si estás empezando, repasa cómo adecuarte al ENS paso a paso.
Supervisión de DORA y NIS2
Aquí no hay certificado: quien revisa es el supervisor. Para DORA (Reglamento (UE) 2022/2554), el supervisor es el Banco de España, la CNMV o la DGSFP. Así, pueden pedirte el informe de revisión anual del marco TIC y pruebas como las pruebas de resiliencia y TLPT. Por su parte, la Directiva NIS2 permite en su artículo 32 inspecciones, auditorías periódicas y específicas a las entidades esenciales. En cambio, para las importantes, el artículo 33 prevé una supervisión a posteriori. Además, en España la NIS2 sigue pendiente de transposición, como contamos en el estado de NIS2 en España.
ISO 19011: cómo se plantea una auditoría de cumplimiento
ISO 19011 es la guía de referencia para auditar sistemas de gestión. Su cuarta edición, ISO 19011:2026, se publicó en mayo de 2026 y sustituye a la de 2018. No es certificable, pero marca cómo trabajan los auditores en cualquier auditoría de cumplimiento, interna o externa. Además, la nueva edición amplía la orientación sobre auditorías en remoto y herramientas digitales.
Conviene conocer su lógica, porque explica qué te van a pedir. Primero, el auditor parte de un plan, abre con una reunión inicial y recoge evidencias por muestreo. Luego contrasta esas evidencias con los criterios y redacta hallazgos. Por último, presenta conclusiones en la reunión de cierre. Los principios que guían su trabajo incluyen la imparcialidad, la confidencialidad y el enfoque basado en evidencias y en riesgos. Para sistemas de seguridad de la información, ISO/IEC 27007 aplica esa misma guía.
Checklist de evidencias para la auditoría de cumplimiento
Un auditor no se conforma con políticas: quiere registros fechados que demuestren que los controles funcionan. Antes de cualquier auditoría de cumplimiento, comprueba que tienes a mano lo siguiente:
- Alcance y contexto: alcance aprobado, partes interesadas y Declaración de Aplicabilidad vigente.
- Riesgos: análisis y plan de tratamiento firmados, con fecha de la última revisión.
- Políticas: aprobadas por la dirección, con versión y difusión a la plantilla.
- Registros operativos: altas y bajas de accesos, copias y restauraciones, parches e incidentes.
- Formación: asistencia y contenidos de concienciación del último año.
- Proveedores: contratos, evaluaciones y, si aplica DORA, el registro de información.
- Ciclo de mejora: auditoría interna, revisión por la dirección y no conformidades cerradas con evidencia de eficacia.
Si estas pruebas viven repartidas en correos y carpetas, preparar la auditoría de cumplimiento te llevará semanas. En cambio, con evidencias recogidas de forma automática, solo tendrás que revisarlas.
No conformidades mayores y menores: qué hacer con ellas
En una auditoría de cumplimiento, una no conformidad mayor indica que falta un requisito o que falla de forma que compromete el sistema. Por ejemplo, no haber hecho nunca una auditoría interna o no tener análisis de riesgos. Una menor, en cambio, es un fallo puntual que no pone en duda el conjunto. Por otro lado, las observaciones no son incumplimientos, aunque conviene atenderlas.
Sin embargo, las consecuencias cambian mucho. Según ISO/IEC 17021-1, la entidad debe verificar la corrección de cada no conformidad mayor antes de certificar. Si no puede hacerlo en los seis meses siguientes al último día de la etapa 2, tendrá que repetir esa etapa. En cambio, para las menores basta con que acepte tu plan de acción y lo compruebe en el siguiente seguimiento.
Por eso un buen plan de acción sigue la cláusula 10.2 de ISO 27001:
- Corrige el problema concreto de inmediato.
- Analiza la causa raíz, no solo el síntoma.
- Define la acción correctiva, con responsable y fecha.
- Verifica después que la acción ha funcionado y guarda la prueba.
Calendario para preparar la auditoría de cumplimiento
Este calendario orientativo sirve para una auditoría de cumplimiento de certificación o del ENS. Aun así, ajústalo a tu tamaño y a lo que ya tengas.
| Cuándo | Qué hacer | Resultado |
|---|---|---|
| 12 semanas antes | Confirmar alcance, norma, fechas y equipo auditor | Plan de auditoría acordado |
| 10 semanas antes | Revisar documentos y Declaración de Aplicabilidad | Documentación vigente y aprobada |
| 8 semanas antes | Hacer la auditoría interna completa | Informe con hallazgos |
| 6 semanas antes | Corregir hallazgos y analizar causas | Acciones cerradas o en curso |
| 4 semanas antes | Celebrar la revisión por la dirección | Acta firmada |
| 2 semanas antes | Ensayar entrevistas y repasar evidencias | Responsables preparados |
| Semana de la auditoría | Preparar sala, accesos, agenda y una persona de enlace | Auditoría sin esperas |
| Después | Redactar el plan para las no conformidades | Propuesta enviada en plazo |
Además, muchas entidades de certificación piden completar al menos un ciclo de auditoría interna y revisión por la dirección antes de la etapa 2.
Errores que convierten una auditoría de cumplimiento en un susto
Por lo general, los sustos de una auditoría de cumplimiento no vienen de grandes fallos, sino de detalles evitables:
- Documentos sin aprobar o con fechas posteriores a lo que describen.
- Una Declaración de Aplicabilidad que no coincide con lo que de verdad haces.
- Responsables que no saben explicar su propio proceso.
- Hallazgos antiguos sin cerrar o cerrados sin prueba de eficacia.
- Respuestas improvisadas: mejor anotar la petición y volver con la evidencia.
Preguntas frecuentes
¿Cuánto se tarda en preparar una auditoría de cumplimiento?
Si el sistema ya funciona, preparar la auditoría de cumplimiento lleva unas ocho a doce semanas. En cambio, si partes de cero, primero necesitas implantar los controles y generar varios meses de registros.
¿Qué pasa si el auditor encuentra una no conformidad mayor?
No se emite el certificado hasta que la entidad verifica la corrección. Por eso tienes como máximo seis meses desde el último día de la etapa 2; si no, deberás repetirla.
¿Puede hacer la auditoría interna alguien de la propia empresa?
Sí, siempre que sea objetivo e imparcial. Es decir, nadie debe auditar su propio trabajo. Por eso, en empresas pequeñas suele ser más práctico contratar a un auditor externo.
¿Cada cuánto hay que repetir la auditoría del ENS?
Al menos cada dos años, y también tras cambios sustanciales. Además, el plazo puede ampliarse tres meses por fuerza mayor no imputable a la entidad.
¿Una auditoría de cumplimiento sirve para varias normas?
Puede servir si integras los sistemas. Por ejemplo, ISO 27001 e ISO 22301 admiten auditorías combinadas. Además, muchas evidencias valen a la vez para ENS, NIS2 y DORA.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC con tu auditoría de cumplimiento
Atalaya GRC organiza tus requisitos servicio por servicio y aplica «un control, varias normas», así que una misma evidencia cubre ISO 27001, ENS, NIS2 y DORA. Además, las evidencias quedan fechadas y enlazadas a cada control. Asimismo, el reloj regulatorio te avisa de auditorías, revisiones y plazos de acciones correctivas. Consulta nuestra ficha sobre ISO 27001 e ISO 22301 o pide una demo.
