Tras varios años desarrollando mi carrera en distintas áreas de la ciberseguridad, desde la gestión de vulnerabilidades y el Threat Hunting, hasta la auditoría, el cumplimiento normativo y los procesos de certificación, recientemente me he incorporado al ámbito de Gobernanza, Riesgo y Cumplimiento en Sopra Steria. Esta transición me ha permitido ampliar mi visión de la seguridad de la información, incorporando un enfoque más estratégico orientado al gobierno de los procesos, la gestión de riesgos y el cumplimiento regulatorio.
La relevancia que ha adquirido esta disciplina en los últimos años no es casual. La transformación digital, la creciente sofisticación de las amenazas y la aparición de nuevas exigencias regulatorias han hecho que las organizaciones necesiten cada vez más modelos de gestión estructurados y sostenibles. Normativas como NIS2, DORA, el RGPD o estándares internacionales como la ISO 27001 son claros ejemplos de esta tendencia.
Dentro de este escenario, las auditorías ocupan un lugar fundamental. No solo permiten verificar el cumplimiento, sino que también ayudan a identificar oportunidades de mejora, detectar desviaciones y evaluar la eficacia real de los sistemas de gestión implantados.
Actualmente existen numerosas normas certificables que las organizaciones pueden adoptar. Pero, sobre todo, es necesario disponer de una metodología sólida que garantice la consistencia y objetividad del proceso. Precisamente ahí reside la importancia de la ISO 19011, que no es una norma certificable ni un conjunto de requisitos obligatorios. Se trata de la principal guía internacional para la auditoría de sistemas de gestión y recoge buenas prácticas aplicables a ámbitos tan diversos como la calidad, el medio ambiente, la seguridad y salud laboral o la seguridad de la información.
Auditar en remoto, confiar en los resultados
La ISO 19011, que este año ha publicado su cuarta edición, dejando obsoleta a la de 2018, se apoya en una serie de principios que constituyen la base de cualquier proceso auditor fiable. Entre ellos destacan la integridad, la imparcialidad en la presentación de los resultados, el debido cuidado profesional, la confidencialidad, la independencia, el enfoque basado en evidencias y el enfoque basado en riesgos. Gracias a estos principios, las conclusiones obtenidas pueden generar confianza y aportar valor real a las organizaciones.
Precisamente, el enfoque basado en riesgos constituye uno de los aspectos más relevantes de la norma. La filosofía es sencilla: dedicar más atención a aquellos procesos, activos o actividades cuya materialización puede tener un mayor impacto sobre la organización. De esta forma se optimizan los recursos disponibles y se incrementa el valor añadido de la auditoría.
Pero uno de los cambios conceptuales más interesantes es que la atención deja de centrarse en la ubicación física de las partes involucradas y pasa a enfocarse en la disponibilidad y verificabilidad de la evidencia. Dicho de otro modo, la validez de una auditoría en remoto ya no depende de dónde se encuentre cada participante, sino de la capacidad de obtener evidencias objetivas, suficientes y verificables.
La nueva versión incorpora terminología específica, amplía su contenido mediante la inclusión de cláusulas dedicadas a los métodos de auditoría remota y añade nuevas orientaciones relacionadas con aspectos como la protección de la información, los planes de contingencia, las verificaciones técnicas previas o la gestión de entornos virtuales.
Por ejemplo, una organización con personal en teletrabajo distribuido en distintas ciudades podría auditar el cumplimiento de sus políticas de seguridad sin necesidad de desplazamientos. Mediante reuniones virtuales, acceso controlado a la documentación corporativa y la revisión remota de evidencias, el equipo auditor puede obtener información suficiente para evaluar el sistema de gestión con el mismo nivel de rigor que en una auditoría presencial.
Más flexibilidad, mismas exigencias
Naturalmente, este tipo de auditorías también presenta desafíos específicos que deben gestionarse adecuadamente. Aspectos como la conectividad, los permisos de acceso, la plataforma utilizada, la protección de la información o la fiabilidad de las evidencias obtenidas a través de terceros adquieren una importancia especial. La norma insiste precisamente en la necesidad de evaluar estos factores con carácter previo para garantizar la calidad y credibilidad del proceso.
La incorporación de estas prácticas responde a una realidad cada vez más habitual. Muchas organizaciones operan actualmente en entornos distribuidos, cuentan con personal en modalidad de teletrabajo o gestionan servicios completamente digitales. En este contexto, la auditoría remota se convierte en una herramienta especialmente útil para evaluar procesos, servicios y sistemas sin las limitaciones que tradicionalmente imponía la presencialidad.
La ISO 19011:2026 representa una evolución lógica y necesaria. Mantiene intactos los principios que históricamente han dado valor a las auditorías (rigor, independencia y objetividad), pero los adapta a una realidad en la que los procesos, las personas y la información ya no están necesariamente concentrados en un único espacio físico.
En Sopra Steria contamos con profesionales especializados en auditoría, gobierno de la seguridad, gestión de riesgos y cumplimiento normativo que aplican estos principios en su trabajo diario. Gracias a ello, ayudamos a nuestros clientes a evaluar y mejorar sus sistemas de gestión de forma objetiva, estructurada y alineada con los estándares y marcos de referencia más relevantes.