Cómo trabajar con un borrador
Una plantilla es un punto de partida, no un resultado. Lea primero el borrador completo antes de cambiar frases sueltas. Así verá si la estructura y la extensión encajan con su empresa. Una empresa de cuarenta empleados no necesita una política que describa tres comités y cinco niveles de aprobación.
Después, avance apartado por apartado. Elimine lo que no se da en su caso y añada lo que falta. Donde solo tenga notas, por ejemplo de una conversación con el departamento de TI, deje que la IA le ayude a redactar. Compruebe si cada propuesta es correcta. Una formulación que suena bien pero no se practica es un riesgo en la auditoría.
Los puntos marcados los trabaja al final y de forma consciente. Allí encontrará preguntas guía que ayudan a decidir. Implique a las personas que realmente deciden, normalmente la dirección. Deje constancia de cuándo y quién tomó la decisión.
Por último, aprueba el documento y lo vincula como evidencia a los controles correspondientes. A partir de ese momento es de obligado cumplimiento, y la fecha de validez le recuerda la próxima revisión.
Qué hace que un documento sea apto para la auditoría
Los auditores no leen las políticas por su estilo, sino por su sustancia. Comprueban si el documento encaja con su organización, si está aprobado y si se aplica. Algunas características ayudan.
Todo documento necesita un propósito y un alcance claros, un responsable, una fecha de aprobación y una indicación de versión. Los términos deben usarse igual que en el resto de su documentación. Si la política habla del responsable de seguridad de la información y la descripción de roles del responsable de seguridad TI, el auditor preguntará.
Los requisitos deben poder verificarse. «Las contraseñas deben ser seguras» no se puede comprobar. Un requisito sobre longitud mínima, autenticación multifactor y tratamiento de contraseñas comprometidas, sí. Al mismo tiempo, un documento no debe prometer nada que usted no cumpla. Quien establece una revisión trimestral tiene que poder presentar cuatro actas al año.
Por último, cuenta la conexión con la práctica. En la auditoría, una política casi siempre se examina junto con una prueba: un registro de formación, un acta, una captura de pantalla. Por eso, vincule la política y las evidencias al mismo control.
Por qué ciertos puntos quedan abiertos
Las normas de sistemas de gestión exigen decisiones que solo la propia organización puede tomar. Entre ellas están los objetivos, los criterios de aceptación de riesgos, la asignación de responsabilidades y el alcance. Esas decisiones son el núcleo del sistema. Si se copian de una plantilla, falta la base para todo lo demás.
En la auditoría esto se nota enseguida. El auditor pregunta a la dirección por qué se eligió un objetivo o a partir de qué umbral se acepta un riesgo. Si el documento contiene una formulación que nadie en la empresa sabe explicar, eso es un hallazgo. Por eso, la IA no rellena estos puntos a propósito.
En su lugar, están marcados y acompañados de preguntas guía. Las preguntas ayudan a preparar la decisión: ¿qué activos son decisivos para el negocio? ¿Qué tiempo de inactividad es asumible? ¿Quién puede aceptar un riesgo residual? Si cuesta responder, no es un fallo de la plantilla, sino justo el punto en el que ayuda un asesoramiento real. En Sightadel puede contratar consultores como paquete adicional, e invitar a la cuenta a sus propios consultores externos con un rol propio.
Errores frecuentes con las plantillas
El error más frecuente es aprobar una plantilla sin cambios. Puede estar bien redactada, pero en caso de duda describe procesos que en su empresa no existen. El auditor encuentra la carencia a más tardar en la segunda fase, cuando pregunta por el proceso real.
Un segundo error es la sobrerregulación. Las plantillas suelen contener más de lo que necesita una empresa pequeña. Cada requisito adicional es una obligación más que tiene que demostrar. Pocas reglas, pero cumplidas, son mejores que una obra extensa que nadie lee.
En tercer lugar, los documentos se escriben y se olvidan. Una política debe revisarse al menos una vez al año y siempre que cambien la organización, los sistemas o los requisitos. Indique una fecha de validez en la evidencia y Sightadel le avisará a tiempo.
En cuarto lugar, los textos de las normas no deben figurar en sus documentos. Las normas ISO están protegidas por derechos de autor. Describa lo que usted hace en lugar de copiar la norma. Eso es justo lo que quiere ver el auditor.
