Cómo piensa un auditor de SGSI

Para cerrar esta unidad, conviene fijar una idea clave: el auditor no busca confirmar que "todo está bien" ni demostrar que "todo está mal". Su función es evaluar de forma objetiva si existen evidencias suficientes para concluir que el SGSI cumple con los criterios definidos y funciona razonablemente bien.

La mentalidad del auditor se apoya en preguntas como estas:

• ¿Qué criterio estoy evaluando?
• ¿Qué evidencia objetiva lo respalda?
• ¿La evidencia es suficiente y fiable?
• ¿Lo observado demuestra conformidad o solo una declaración verbal?
• ¿El control existe solo en el papel o también en la práctica?
• ¿El control se aplica de forma consistente?
• ¿Parece eficaz para el riesgo que pretende tratar?

Diferencias clave entre conceptos que suelen confundirse