Escuela del Arca · Glosario

Las palabras que usa el auditor.

Orden alfabético. Cada definición es nuestra; ninguna copia el texto de la norma.

Acción correctiva: Lo que cambias para que una no conformidad no se repita. Distinta de la corrección, que solo arregla el caso concreto.
Acreditación: El reconocimiento que recibe un organismo de certificación por parte de un acreditador (en Colombia, el ONAC) de que audita con competencia. Sin acreditación, el certificado no tiene valor de mercado.
Alcance: Qué productos, procesos y sedes cubre tu sistema de gestión. Se escribe en el certificado.
Anexo A: La lista de controles de referencia de ISO 27001 (93) y de ISO 42001 (38). Se eligen según tus riesgos y se justifican en la Declaración de Aplicabilidad.
Auditoría interna: La que hace la propia empresa (o alguien contratado por ella) para comprobar que el sistema funciona, antes de la auditoría de certificación. Es obligatoria al menos una vez por ciclo.
Brecha: La distancia entre lo que exige un requisito y lo que tu empresa hace hoy. En TAoI cada brecha tiene dueño, estado y fecha.
Certificado: El documento que emite un organismo de certificación acreditado tras auditar tu sistema. Dura tres años, con seguimientos anuales.
Conforme: Estado de un requisito que se cumple y tiene evidencia. En TAoI es uno de los cuatro estados, junto con en proceso, brecha y observación.
Contexto de la organización: El numeral 4: asuntos externos e internos, partes interesadas y alcance. Es lo primero que se construye.
Declaración de Aplicabilidad (SoA): El documento de ISO 27001 y 42001 que dice, control por control, si aplica, por qué y cómo está implementado. Es lo primero que abre el auditor.
Días-auditor: La unidad en que los organismos cotizan la auditoría. Dependen del tamaño, el riesgo y las sedes de la empresa.
Dueño del riesgo: La persona con autoridad para decidir sobre un riesgo: aprueba su plan de tratamiento y acepta lo que queda. Es un cargo concreto, no un área.
Encargado del tratamiento: Quien trata datos personales por cuenta de otro (un responsable). Un mismo negocio suele ser responsable de unos datos y encargado de otros.
Estructura armonizada (HLS): El esqueleto común de todas las normas de sistemas de gestión de ISO: numerales 4 a 10. Antes se llamaba estructura de alto nivel.
Etapa 1 / Etapa 2: Las dos partes de la auditoría de certificación inicial: revisión de preparación (documental) y auditoría en sitio de la operación.
Evaluación de impacto: En ISO 42001 (numeral 6.1.4) y en ISO 27701, el análisis de las consecuencias de un sistema de IA o de un tratamiento de datos para las personas. Distinta de la evaluación de riesgos, que mira a la organización.
Evidencia: Registros, documentos o hechos observables que demuestran que algo se hizo. Sin evidencia, para el auditor no pasó.
Hallazgo: Lo que el auditor concluye al comparar evidencia con criterio: conformidad, no conformidad u observación.
ICONTEC: El organismo nacional de normalización de Colombia. Adopta las normas ISO como NTC y además actúa como organismo de certificación.
Información documentada: El nombre que las normas dan a documentos y registros. El numeral 7.5 regula cómo se crean, aprueban, controlan y protegen.
No conformidad mayor / menor: Incumplimiento de un requisito. La mayor bloquea el certificado hasta su cierre; la menor permite emitirlo con un plan de acción.
Numeral: Cada apartado numerado de la norma (4.1, 7.5.3, 8.3). En otros países se dice cláusula o capítulo.
Observación: Aviso del auditor sobre algo que no es incumplimiento todavía, pero puede llegar a serlo.
ONAC: Organismo Nacional de Acreditación de Colombia. Acredita a los organismos de certificación; su directorio es donde verificas si un certificado vale.
Parte interesada: Cualquiera que afecte o pueda verse afectado por tu sistema: clientes, empleados, proveedores, reguladores, vecinos.
Recertificación: La auditoría completa que se hace al final de los tres años del certificado para renovarlo.
Responsable del tratamiento: Quien decide para qué y cómo se tratan datos personales. En Colombia, quien responde ante la SIC y ante los titulares.
Revisión por la dirección: La reunión periódica, con acta, en que la gerencia mira los resultados del sistema y toma decisiones. Obligatoria antes de la Etapa 1.
Riesgo inherente y residual: El inherente es el riesgo antes de contar los controles que ya existen; el residual, el que queda después. El residual se calcula a partir de los controles, no se escribe a mano.
Seguimiento: La auditoría anual, más corta, que mantiene vigente el certificado entre la certificación y la recertificación.
Simulacro de auditoría: Una auditoría interna que imita a la de certificación, etapa por etapa. En TAoI se repite hasta que la Etapa 1 sea un trámite.
Sistema de gestión: El conjunto de procesos, documentos, responsables e indicadores con que una empresa dirige una parte de su actividad: la calidad (SGC), la seguridad de la información (SGSI), la privacidad (PIMS) o la IA (AIMS).
Transición: El periodo que dan los organismos para migrar de una edición de la norma a la siguiente (por ejemplo, 27701:2019 a 2025 antes de octubre de 2028).

¿Zarpamos?