Estás auditorías deben realizarse al menos una vez al año. El alcance de una auditoría comprenderá de la revisión del sistema completo de la empresa que se basa n la ISO 27001, como la revisión de controles que se encuentran dentro de la entidad.

La Auditoría Interna del SGSI consta de la revisión de dos partes diferenciadas:

• Sistema de Gestión: revisión de documentación, revisión del marco de gestión del SGSI, contexto, alcance, análisis y gestión del riesgo, declaración de aplicabilidad (SOA), política de seguridad, roles de Seguridad, gestión de no conformidades, cuadro de mando, etcétera.
• Pruebas de cumplimiento: en esta fase se comprueba el grado y eficacia de la implantación de controles de seguridad en la entidad. Se harán entrevistas a propietarios de activos, responsables de procesos de negocio, usuarios directos o indirectos del SGSI, se revisan áreas de riesgo, se comprueban objetivos y metas establecidos, documentación in situ del sistema, etcétera.

El responsable del SGSI será el encargado de informar de los resultados obtenidos, así como del mantenimiento de los registros derivados de la realización de auditorías internas.

El informe contendrá al menos los siguientes puntos:

• Áreas y alcance auditado, así como la fecha de auditoría.
• No conformidades y observaciones encontradas, acordadas con los auditados.
• Valoración de los puntos fuertes y las áreas susceptibles de mejora del SGSI.
• Acciones correctivas propuestas para las salvedades o no conformidades identificadas, destinadas a garantizar el cumplimiento de una determinada desviación existente actualmente.
• Recomendaciones, que no se traten de acciones correctivas de una determinada salvedad, si no de oportunidades de mejora o acciones que podrían suponer una evolución o mayor madurez del proceso auditado en cuestión, pero que en la actualidad no constituye una salvedad o no conformidad.
• Documentación auditada.
• Firma del Auditor/Auditores.

La contratación de un servicio de auditoría externo con conocimientos específicos en la materia a auditar es clave para que su compañía disponga de un informe de auditoría objetivo.