El marco normativo de las auditorías remotas
Las auditorías remotas no son una concesión temporal. El International Accreditation Forum (IAF) ha integrado formalmente las técnicas de auditoría remota en su documentación obligatoria. El documento IAF MD 4:2022 establece las directrices para el uso de tecnologías de la información y la comunicación (TIC) en actividades de evaluación de la conformidad, incluyendo auditorías de certificación.
Paralelamente, la norma ISO 19011:2018 — la guía para la auditoría de sistemas de gestión — reconoce explícitamente las auditorías remotas como un método válido, siempre que se cumplan ciertos requisitos de viabilidad y eficacia.
Modalidades de auditoría: remota, presencial e híbrida
Es importante distinguir entre las tres modalidades:
- Auditoría presencial (in situ): El auditor se desplaza físicamente a las instalaciones de la organización. Sigue siendo necesaria cuando hay actividades que requieren observación directa, como procesos de fabricación o controles de seguridad física.
- Auditoría remota: Se realiza íntegramente mediante herramientas de videoconferencia, pantalla compartida, acceso remoto a sistemas y revisión documental digital. Adecuada para organizaciones con procesos digitales predominantes.
- Auditoría híbrida: Combina componentes presenciales y remotos. Es el modelo más utilizado actualmente, permitiendo optimizar recursos sin sacrificar la profundidad de la evaluación.
Cuándo es viable una auditoría remota
El organismo de certificación evaluará la viabilidad de realizar la auditoría de forma remota considerando varios factores:
| Factor | Consideraciones |
|---|---|
| Naturaleza de los procesos | Los procesos predominantemente digitales o administrativos son más adecuados para auditoría remota que los procesos físicos o industriales. |
| Infraestructura tecnológica | La organización debe disponer de conexión de internet estable, herramientas de videoconferencia, acceso remoto a sistemas y capacidad de compartir documentación en tiempo real. |
| Seguridad de la información | Se deben garantizar los controles de seguridad para el acceso remoto a documentación sensible del SGSI. |
| Madurez de la organización | Organizaciones con un historial de certificación y auditorías previas pueden ser más adecuadas para la modalidad remota que las que se certifican por primera vez. |
| Riesgos del sector | Sectores de alto riesgo o regulaciones específicas pueden requerir componentes presenciales obligatorios. |
Preparación técnica: lo que necesita tener listo
Una auditoría remota exitosa requiere preparación técnica específica:
- Plataforma de videoconferencia fiable: Asegúrese de disponer de una conexión estable y una plataforma que permita compartir pantalla, grabar sesiones (si es necesario) y gestionar múltiples participantes. Realice pruebas previas con el equipo auditor.
- Repositorio documental accesible: Toda la documentación del sistema de gestión debe estar organizada y ser accesible de forma remota. Considere preparar un índice digital con enlaces directos a documentos clave como la política de seguridad, la Declaración de Aplicabilidad, el informe de evaluación de riesgos y los registros de auditoría interna.
- Acceso a sistemas: Si el auditor necesita verificar configuraciones de seguridad, registros de monitorización o controles técnicos, prepare sesiones de pantalla compartida con los responsables técnicos correspondientes.
- Plan de contingencia: Establezca un plan alternativo en caso de fallos técnicos. Esto puede incluir una línea telefónica de respaldo, una plataforma de videoconferencia alternativa o la reprogramación parcial de la auditoría.
Consejos para el día de la auditoría
La experiencia acumulada en miles de auditorías remotas permite identificar las prácticas que marcan la diferencia:
- Designe un coordinador de auditoría: Una persona que gestione la logística técnica, facilite el acceso a los participantes y resuelva incidencias durante la sesión.
- Prepare a los entrevistados: Los empleados que serán entrevistados deben conocer la dinámica de una auditoría remota: cómo conectarse, compartir pantalla y presentar evidencias de forma digital.
- Organice la agenda en bloques: Las auditorías remotas son más fatigantes que las presenciales. Planifique bloques de trabajo de 60-90 minutos con pausas intermedias.
- Tenga las evidencias preparadas: A diferencia de una auditoría presencial donde el auditor puede hojear una carpeta, en remoto cada evidencia debe estar localizable en segundos. Prepare un índice con enlaces directos.
- Mantenga un registro de la auditoría: Documente qué se revisó, con quién se habló y qué evidencias se compartieron. Esto facilita el seguimiento posterior.
Las organizaciones que preparan adecuadamente sus auditorías remotas reportan tiempos de auditoría similares o incluso menores que las auditorías presenciales, con un ahorro significativo en costes de desplazamiento y logística.
Errores comunes a evitar
- No realizar pruebas técnicas previas: Los fallos de conexión o incompatibilidades de software durante la auditoría consumen tiempo valioso y generan una impresión negativa.
- Documentación desorganizada: En una auditoría remota, la incapacidad de localizar rápidamente un documento se percibe con más intensidad que en una auditoría presencial.
- Demasiados participantes simultáneos: Limite cada sesión a las personas estrictamente necesarias. Las reuniones superpobladas dificultan la comunicación.
- Ignorar la seguridad del canal: Compartir documentación sensible del SGSI a través de canales no seguros contradice los principios que la propia auditoría evalúa.
Cómo BALTUM le prepara
BALTUM acompaña a sus clientes en la preparación y ejecución de auditorías remotas:
- Simulacro de auditoría remota: Realizamos una auditoría interna completa en modalidad remota, replicando las condiciones de la auditoría de certificación para identificar y resolver problemas antes del día clave.
- Preparación documental: Organizamos su documentación del sistema de gestión en un formato óptimo para presentación remota, con índices navegables y acceso rápido a evidencias.
- Formación del equipo: Capacitamos a su personal en las particularidades de la interacción con auditores en entorno remoto.
- Soporte durante la auditoría: Nuestros consultores pueden proporcionar apoyo técnico y logístico durante la auditoría de certificación.
La auditoría remota no es una versión reducida de la auditoría presencial. Es un método diferente que exige una preparación específica, pero que, bien ejecutado, ofrece resultados igualmente rigurosos con mayor eficiencia operativa.