Curso Máster: ISO 27001 - Cómo abordar No Conformidades Inválidas en tus Auditorías de Certificación

De BMB Consultores a IBIZA Consultores: ¿por qué el cambio? La historia detrás del nombre Hace casi tres años consolidamos el cambio de nombre de BMB Consultores a IBIZA Consultores. La razón fue sencilla y directa: nuestros propios clientes ya nos llamaban así. IBIZA nació de comprimir la frase "Internet Business Approach" — o "Biz" en la web —, que define exactamente la manera en que trabajamos: acompañamos a las organizaciones en sus procesos de certificación y mejora utilizando herramientas digitales como eje principal. La plataforma donde impartimos nuestros programas se llama IBIZA Online, y con el tiempo nuestros clientes empezaron a identificarnos más por ese nombre que por BMB. Escucharlos fue la decisión correcta.

137 lecciones22 estudiantes

Profesor

IBIZA Consultores

Contenido del Curso

12 modulos · 137 lecciones

Introducción

1 leccion

Descripción del Curso

0. Bienvenida y Nivelación

11 lecciones

0.1. Bienvenida y Nivelación
0.2. ¿Por qué existe este curso?
0.3. Lo que vas a lograr al terminar
0.4. El caso real: Lumina Digital
0.5. Los protagonstas de la auditoría
0.6. Nivelación Express: ISO 27001 y el SGSI
0.7. La Declaración de Aplicabilidad (SoA)
0.8. Conceptos claves que usaremos en el curso
0.9. Estructura del Curso-Máster
0.10. Diagnóstico inicial: ¿dónde estás parado?
0.11. Lo que cubriste en este módulo

1. Marco Normativo

12 lecciones

1.1. Las reglas del juego en auditorías de certificación ISO 27001
1.2. Lección 1.1. ¿Qué es una auditoría de certificación?
1.2.1. El caso de referencia
1.3. Lección 1.2. Taxonomía formal de hallazgos según ISO 17021-1
1.3.1. Lección 1.2. Comparativa
1.4. Lección 1.3 La trinidad de una No Conformidad válida
1.4.1. Lección 1.3 Profundización
1.5. Lección 1.4 La línea delgada entre una No Conformidad y una Oportunidad de Mejora
1.6. Lección 1.5. El Grupo de Práticas de Auditoría ISO (APG)
1.7. Lección 1.6. ISO 27006-1: Los requisitos específicos para certificadores de SGSI
1.8. Resumen del Módulo 1
Evaluación

2. Caso real Lumina Digital

12 lecciones

2.1. El caso real Lumina Digital
2.2. ¿Qué cubre este módulo?
2.3. ¿Quién es Lumina Digital?
2.4. El SGSI de Lumina Digital: antecedentes y transición
2.5. Documentaciónnclave del SGSI revisada en auditoría
2.6. Lección 2.2. La auditoría de renovación
2.7. ¿Qué áreas se auditaron y cómo se cerró?
2.8. Lección 2.3. Panorama general de hallazgos
2.9. Las 11 No Conformidades Menores: mapa panorámico
2.10. Lección 2.4. ¿Cómo lee un experto un informe de auditoría?
2.11. Primera lectura crítica: NC #1 y NC # 2
2.13. Resumen del módulo 2

3. No Conformidades Definidas

34 lecciones

3.1.1. Análisis DAFO sin fecha verificable y sin evidencia de participación gerencial
1:46
3.1.2. No Conformidad #1. Contexto de la Organización y Liderazgo. Cláusulas 4.1 y 5.1
0:47
3.1.3. Veredicto NC # 1: CUESTIONABLE
8:24
3.2.1. Cambio climático y servicios cloud: determinación no evidenciada
2:08
3.2.2. No Conformidad # 2. Cláusula 4.1 / Enmienda 1:2024 - Cláusula 8.2
0:57
3.2.3. Veredicto NC #2 - CUESTIONABLE
7:07
3.3.1. Partes interesadas incompletas: los titulares de los leads no están identificados
1:29
3.3.2. No Conformidad # 3 - Partes Interesadas. Cáusula 4.2
0:33
3.3.3. Veredicto NC #3: Válida en el fondo, Deficiente en la forma
8:14
3.4.1. Matriz legal desactualizada: INAI vs. Secretaría Anticorrupción y Buen Gobierno
1:09
3.4.2. Veredicto NC #4: INVÁLIDA Tal como está conformada
7:18
3.4.3. No Conformidad # 4 - Requisitos Legales Desactualizados. Cláusula 6.13 y Control A.5.31
0:47
3.5.1. Alcance del SGSI inconsistente entre documentos del sistema
1:19
3.5.2. No Conformidad # 5 - Alcance del SGSI. Cláusula 4.3
0:45
3.5.3. Veredicto NC #5: INVÁLIDA Por tres razones acumulativas e independientes
8:05
3.6.1. Mapa de procesos genérico: el término 'real' no tiene definición normativa
1:24
3.6.2. No Conformidad # 6 - Mapa de Procesos del SGSI. Cláusula 4.4
0:36
3.6.3. VEREDICTO NC #6 : INVÁLIDA. Subjetividad disfrazada de evidencia objetiva
9:15
3.7.1. Política de claves sin evidencia de aprobación formal por parte de la gerencia
1:14
3.7.2. No Conformidad # 7: Política de Gestión de Claves. Clásula 7.5 y Control A.5.1.
0:44
3.7.3. VEREDICTO NC # 7: FONDO PROBABLE. Conformación deficiente en criterio y evidencia
7:36
3.8.1. Roles y responsabilidades: la norma no prescribe roles específicos y el argumento de la política es un boomerang
1:32
3.8.2. No Conformidad # 8: Roles y Responsabilidades. Cláusula 5.3
0:45
3.8.3. VEREDICTO NC # 8: INVÁLIDA. Cuatro razones acumulativas e independientes
7:37
3.9.1. Competencia y concienciación: muestra de uno no sustenta una conclusión sistémica
1:17
3.9.2. No Conformidad # 9: Competencia y Toma de Conciencia del Personal. Cláusulas 7.2, 7.3 y Controles A.6.1, A.6.3
0:45
3.9.3. VEREDICTO NC #9: FONDO POSIBLE. Conformación claramente deficiente
9:01
3.10.1. Enmascaramiento de datos: un control técnico auditado exclusivamente desde la perspectiva documental
1:19
3.10.2. No Conformidad # 10: Enmascaramiento de Datos. Control A.8.11
0:44
3.10.3. VEREDICTO NC #10: INVÁLIDA Tal como está conformada
9:23
3.11.1.Protección física y ambiental: controles de tercero auditados sin considerar evidencia alternativa válida
1:26
3.11.2. No Conformidad # 11: Controles Físicos y Ambientales. Control A.7.5 y Cláusula 8.1
0:40
3.11.3. VEREDICTO NC #11: INVÁLIDA Tal como está conformada
8:19
3.12.1. Simulación de la reunión de cierre de la auditoría
1:43

4. Cómo impugnar una NC cuestionable o inválida

14 lecciones

4.1. ¿Cuándo y por qué impugnar? Criterios objetivos para decidir
4.1.1. El árbol de decisión: ¿impugno o no?
4.1.1.1. Tres razones que nunca justifican impugnar
4.2. Fase amigable: cómo plantear la aclaración al auditor líder
4.2.1. Qué hacer con la respuesta del auditor
4.3. Escalamiento técnico: cuando la fase amigable no resuelve
4.3.1. Los requisitos de ISO 17021-1 más útiles para el escalamiento técnico
4.4. La apelación formal: estructura, plazos y gestión realista de expectativas
4.4.1. Gestión Realista de Expetativas
4.5. Caso práctico: ruta de impugnación para las NC #1 y #2 de Lumina Digital
4.5.1. Caso Práctico: NC #2: Cambio Climático y Servicio Cloud
4.6. Lo que la impugnación no es: evitar el enfoque adversarial
4.6.1. Los cinco errores que convienten una impugnación en conflicto
4.7. El principio que debe guiar todo el proceso

5. Cómo gestionar las NC válidas: el plan de acción correctiva

13 lecciones

5.1. La estructura de un plan de acción correctiva eficaz
5.1.1. Las cuatro capas del plan de acción correctiva
5.1.1.1. Detalle de las cuatro capas
5.2. Herramientas para el análisis de causa raíz aplicadas a SGSI
5.2.1. Cómo distinguir una causa raíz real de una causa superficial.
5.3. Plazos y compromisos con el certificador
5.3.1. Cómo gestionar los plazos con múltiples NC
5.4. Qué evidencias acepta el auditor y cuáles no
5.4.1. El error más común: presentar planes como si fueran evidencias
5.5. NC #3: Titulares de leads no identificados como parte interesada
5.5.1. NC #7: Política de claves sin evidencia de aprobación formal
5.5.2. NC #9: Competencia y concienciación del personal sin evidencia suficiente
5.3. Resumen de módulo

6. Oportunidades de Mejora y Observaciones: no las ignores

8 lecciones

6.1. ¿Qué son las OM y las Observaciones? Definiciones y base normativa
6.2. Por qué las OM importan estratégicamente
6.2.1. Una excepción: cuándo NO atender una OM
6.3. Análisis de las OM del caso Lumina Digital
6.4. Las Observaciones: qué son, qué base normativa tienen y cómo responder
6.4.1. Cómo responder a una Observación
6.5. Las Observaciones sin base normativa explícita: análisis crítico
6.5.1. La postura técnica correcta ante una Observación sin base normativa

7. El Expediente Lumina Digital

9 lecciones

7.1. El briefing del cliente: qué te entregó Lumina Digital
7.1.1. Los documentos que tienes disponibles
7.2. Tu primera tarea: el triaje del informe
7.2.1. El triaje del caso Lumina Digital
7.3. Ejercicios de decisión: tú eres el consultor
7.3.1. Repuestas de referncia: Ejercicios 1, 2 7 3
7.4. El resumen ejecutivo para la Directora General
7.5. Resumen Ejecutivo: Caso Lumina Digital
7.5.1. Proyección de resultado

8. Evaluación Final

8 lecciones

Evaluación Módulo # 3
Evaluación Módulo # 4
Evaluación Módulo # 5
Evaluación Módulo # 6
Evaluación Módulo # 7
Análisis de caso A: Auditoría de Vigilancia, cláusula 6.1.2 (Empresa de Servicios Financieros)
Análisis de caso B: NC Mayor, cláusula 9.2 (Empresa de Manufactura)
Análisis de caso C: Oportunidad de Mejora en auditoría interna (Empresa de Tecnológia)

9. Cierre de ciclo post-auditoría

7 lecciones

9.1. Qué hacer mientras el plan de acción está en curso
9.1.1. Las tres acciones de seguimiento que no pueden faltar
9.2. Cómo preparar el SGSI para la siguiente auditoría
9.2.1. La checklist de preparación para la siguiente auditoría
9.3. Cómo comunicar los resultados internamente
9.3.1. Tres mensajes distintos para tres audiencias
9.4. Construir una relación con el certificador que trabaje a tu favor

10. Recursos, glosario y plantillas descargables

8 lecciones

10.1. ¿Qué Encontrarás en este módulo?
10.2. Sección 1: Glosario Técnico
10.2.1. Glosario: Evidencia y Criterio de Auditoría
10.2.2. Glosario: Corrección, Causa Raíz y Acción Correctiva
10.2.3. Glosario: Documentos y Herramientas Clave
10.3. Sección 2: Material de Apoyo
10.4. Sección 3: Referencas Normativas
10.5. Sobre el Autor