Proceso de auditoría

Esta página describe cómo se organiza una auditoría ENS en la plataforma, de principio a fin: las etapas del proceso, las responsabilidades de cada participante y los hitos necesarios para pasar de un paso al siguiente.

La auditoría avanza por hechos, no por fechas: cada paso termina cuando se cumple un hito concreto (todos los documentos aprobados, la Encuesta finalizada, el Plan firmado por ambas partes…). Las fechas límite (plazos) sirven para controlar el ritmo y avisar de los retrasos; su vencimiento no hace avanzar la auditoría por sí solo.

1 · Quién interviene 2 · Mapa del proceso 3 · Puesta en marcha 4 · Fase interna 5 · Fase externa 6 · Tras el Veredicto 7 · Nuevo ciclo y suspensión 8 · Documentos 9 · Plazos y seguimiento 10 · Después del cierre
1 · Quién interviene
Seis roles, dos equipos y una regla: cada uno actúa solo en su parte
Consultor gestión comercial
  • Invita al Cliente y abre la auditoría.
  • Designa al Implementador jefe y al Certificador.
  • Fija las cuatro fechas límite, el precio y el plan de pagos, y registra los cobros.
  • En el resto del proceso supervisa la auditoría en modo de consulta; puede corregir las fechas límite y gestiona los pagos.
Implementador jefe + Ayudante y Técnico
  • Dirige la fase interna: prepara la documentación ENS con el Cliente, realiza la Encuesta de cumplimiento y revisa las correcciones.
  • Cierra la fase interna y entrega la auditoría a los auditores.
  • Si la auditoría se detiene en la fase interna, la suspende y la reanuda.
  • Invita a su Ayudante y a su Técnico; el reparto de tareas entre ellos lo decide él.
Cliente la organización auditada
  • Aporta datos, archivos y evidencias, y mantiene su lista de Empleados.
  • Aprueba las versiones de sus documentos y corrige los incumplimientos.
  • Firma el Plan de Auditoría, recibe el Documento final y, si hace falta, presenta el PAC.
  • Varias personas de la empresa pueden trabajar con cuentas propias: el titular de la cuenta gestiona los datos de la empresa y sus usuarios; firman y envían las que tienen permiso de firma («Firmante»).
Certificador Entidad de Certificación
  • Acepta la auditoría y designa al Auditor jefe.
  • Sigue todo el proceso en lectura y recibe los hitos de la fase externa.
Auditor jefe + Ayudante y Técnico
  • Dirige la fase externa, la verificación independiente: Plan de Auditoría, Veredicto, Documento final (que incluye el Veredicto) y revisión del PAC.
  • Si el Veredicto es desfavorable y el PAC se aprueba, abre un nuevo ciclo.
  • Si el Cliente no presenta el PAC en plazo tras un Veredicto desfavorable, cierra la auditoría como Desfavorable.
  • Si la auditoría se detiene en la fase externa, la suspende y la reanuda.
Administrador de la plataforma
  • Crea las cuentas del personal y mantiene la instalación.
  • No forma parte del flujo de una auditoría, aunque puede verlas todas. Puede suspender o reanudar cualquier auditoría y es el único que puede revertir un Veredicto.
  • No puede bloquear ni eliminar a quien participa en una auditoría activa: antes hay que sustituirlo.
El Implementador y el Auditor son equipos distintos e independientes: quien prepara al Cliente no lo audita. En cada auditoría, cada persona ve y hace solo lo que corresponde a su rol. Cada cuenta tiene un solo rol: una invitación por correo electrónico solo puede llegar a quien aún no tiene cuenta o tiene ese mismo rol.
2 · Mapa del proceso
Quién hace qué en cada paso

La escala de seis pasos que se ve en cada auditoría corresponde a las columnas de esta tabla. Las filas representan los roles. La tabla se lee de izquierda a derecha: una celda vacía indica que ese rol no tiene acciones asignadas en ese paso.

Puesta en marchaantes del paso 1 1 · Documentaciónfase interna 2 · Encuestafase interna 3 · Cierre de la fase internafase interna 4 · Plan de Auditoríafase externa 5 · Documento final y Veredictofase externa 6 · PACfase externa
Consultor Invita al Cliente · elige Implementador jefe y Certificador · fija plazos, precio y plan de pagos SupervisaSupervisaSupervisa Supervisa · cobrosSupervisa · cobrosSupervisa · cobros
Certificador Acepta · designa al Auditor jefe ——— Sigue en lecturaRecibe el Veredicto y el Documento finalSigue en lectura
Implementador jefe Acepta · invita a su equipo Prepara los documentos: pide datos al Cliente, genera, revisa los archivos del Cliente Responde la Encuesta · revisa evidencias · finaliza Revisa las correcciones del Cliente · cierra la fase interna ———
Cliente Se registra con la invitación · completa sus Empleados Cumplimenta formularios · sube archivos · confirma versiones Aporta evidencias Corrige incumplimientos Firma el Plan Puede firmarlo o registrar un acuse de recibo (opcional) Prepara y envía el PAC
Auditor jefe Acepta · invita a su equipo ——— Prepara, firma y envía el Plan Confirma el Veredicto · prepara y envía el Documento final con el Veredicto Aprueba o rechaza el PAC · abre un nuevo ciclo o cierra

La cadena de acontecimientos, en una línea

Invitación aceptada → se crea la auditoría; Implementador jefe, Certificador y Auditor jefe aceptan su rol.
↓
Todos los documentos aprobados y vigentes → el Implementador puede iniciar la Encuesta.
↓
Encuesta finalizada → los incumplimientos se convierten en hallazgos que el Cliente corrige.
↓
Fase interna cerrada (con Certificador y Auditor jefe ya aceptados) → los datos del Cliente quedan bloqueados y empieza la fase externa.
↓
Plan firmado por ambas partes → el Auditor jefe puede preparar el Documento final.
↓
Veredicto confirmado y Documento final enviado con él → con Veredicto favorable, la auditoría se cierra en ese momento; con no conformidades o desfavorable, pasa al PAC.
↓
PAC aprobado → se cierra la auditoría, o empieza un nuevo ciclo si el Veredicto fue desfavorable.
PAC no presentado en plazo (Veredicto desfavorable) → el Auditor jefe o un Administrador de la plataforma puede cerrar la auditoría como Desfavorable. Con favorable con no conformidades el PAC es obligatorio.
Auditoría abandonada o detenida → el rol autorizado puede suspenderla: solo lectura y plazos detenidos hasta que se reanude.
3 · Puesta en marcha
De la invitación a un equipo completo

0 Se forma la auditoría antes del paso 1

Qué ocurre, en orden
  • Consultor envía la invitación al Cliente; puede proponer ya al Implementador jefe y al Certificador.
  • Cliente se registra con el enlace recibido: se crea su cuenta y la auditoría.
  • Implementador jefe y Certificador aceptan (o rechazan) la invitación. Si alguno rechaza, el Consultor propone a otra persona.
  • Certificador designa al Auditor jefe; Auditor jefe acepta.
  • Cada jefe invita, si lo necesita, a su Ayudante y a su Técnico.
  • Consultor fija las fechas límite, el precio y el plan de pagos.
Qué hay que tener en cuenta
  • La documentación puede empezar en cuanto el Implementador jefe acepta; no hace falta esperar a los auditores.
  • El Certificador y el Auditor jefe sí deben estar aceptados antes de cerrar la fase interna.
  • Una invitación al Cliente sin respuesta caduca; el Consultor la reenvía o la cancela.
  • El Implementador jefe se puede sustituir solo hasta cerrar la fase interna; con él salen su Ayudante y su Técnico, y el Certificador y el Auditor jefe no cambian.
  • El Cliente completa su lista de Empleados (nombre y cargo): de ella salen los Responsables de los documentos y quien firma el compromiso del PAC.
Resultado: una auditoría con Cliente, Implementador jefe, Certificador y Auditor jefe, sus fechas y su precio.
4 · Fase interna
El Implementador prepara al Cliente para la auditoría

1 Documentación plazo 1 · «Documentación»

La categoría ENS (Básica, Media o Alta) determina qué documentos del catálogo de la plataforma hacen falta: entre 20 y 24, como la política de seguridad, el análisis de riesgos, la normativa de uso o el plan de continuidad. Cada documento llega a estar aprobado y vigente por uno de dos caminos:

Camino A · el documento se genera
  • Implementador jefe cumplimenta el formulario del documento; los datos comunes (organización, responsables, sector…) se escriben una vez y sirven para todos.
  • Para los datos que debe aportar el Cliente, el Implementador le solicita datos; Cliente completa el formulario.
  • Si el Cliente cambia un valor, el Implementador lo acepta o lo rechaza; si el Implementador propone un valor, el Cliente lo confirma o lo rechaza.
  • Implementador jefe genera el documento.
  • Cliente lo revisa y confirma la versión (o la rechaza, y vuelve al Implementador).
Camino B · el Cliente ya lo tiene
  • Cliente sube su propio archivo.
  • Implementador jefe lo revisa: lo aprueba o lo rechaza con un motivo.
  • Si lo rechaza, el Cliente sube una nueva versión.
  • Si el Cliente le envía el archivo por otra vía (por ejemplo, por correo electrónico), puede subirlo el Implementador: sigue siendo un documento del Cliente y pasa la misma revisión.
En los dos casos
  • La versión aprobada queda en la «Documentación» del Cliente y sirve también para sus auditorías futuras.
Termina cuando: todos los documentos están aprobados y vigentes y el Implementador jefe pulsa «Iniciar la Encuesta».

2 Encuesta de cumplimiento plazo 2 · «Encuesta»

Es la evaluación, medida por medida, de las medidas de seguridad del anexo II del ENS aplicables a la categoría del sistema según la tabla de selección de medidas del Real Decreto 311/2022. Las medidas que dependen del nivel de una dimensión de seguridad (C, I, T, A, D) se incluyen siempre: si la dimensión no es relevante para el sistema, se responden «no aplica» con su justificación. La relación definitiva de medidas seleccionadas y su justificación se formalizan en la Declaración de Aplicabilidad.

Qué ocurre
  • Implementador jefe registra el resultado de cada medida: cumple, cumple parcialmente, no cumple o no aplica, con su nivel de madurez (L0–L5).
  • Para lo que lo requiere, pide evidencias; Cliente las aporta y el Implementador las revisa.
  • Si el Cliente ya tuvo una auditoría, se pueden copiar sus respuestas anteriores; el Implementador las confirma una a una.
  • Hasta finalizar la Encuesta, los documentos se pueden seguir corrigiendo. Después, la Encuesta es de solo lectura: cambiar una respuesta o un documento la vuelve a abrir.
  • Cuando todo está respondido, Implementador jefe pulsa «Finalizar la Encuesta».
Qué produce
  • Cada «no cumple» o «cumple parcialmente» se convierte en un hallazgo (incumplimiento), con la fecha límite de corrección que fija el Implementador.
  • El índice de madurez y el análisis de resultados.
  • La base para la Declaración de Aplicabilidad (SoA).
Termina cuando: la Encuesta está finalizada.

3 Cierre de la fase interna plazo 3 · «Cierre de la fase interna»

Corrección de los incumplimientos
  • Cliente corrige cada incumplimiento y lo comunica, con su explicación y, si procede, una evidencia.
  • Implementador jefe acepta o rechaza la corrección; si la rechaza, el Cliente la revisa y la comunica de nuevo, con su evidencia si procede.
  • Mientras se revisa, el incumplimiento está «En progreso»; al aceptar la corrección se cierra y la Encuesta queda actualizada.
El cierre
  • Implementador jefe pulsa «Cerrar la fase interna» cuando el Cliente está preparado. Requisito: el Certificador y el Auditor jefe han aceptado.
  • La plataforma genera la Declaración de Aplicabilidad (SoA); los datos y Empleados del Cliente quedan bloqueados, y los documentos y la Encuesta pasan a solo lectura.
  • La SoA generada no equivale a su aprobación: la aprueba y la firma el Responsable de la Seguridad de la organización (art. 28.2 del Real Decreto 311/2022), fuera de la plataforma; el documento incluye el espacio para la firma.
  • Antes de cerrar, la plataforma avisa de lo que siga sin decidir entre el Cliente y el equipo.
  • Los incumplimientos que sigan abiertos pasan a la valoración del Auditor jefe.
  • El Implementador jefe puede deshacer el cierre mientras el Auditor jefe no haya enviado el Plan.
Termina cuando: la fase interna está cerrada. A partir de aquí trabaja el equipo auditor.
5 · Fase externa
El Auditor verifica de forma independiente

4 Plan de Auditoría

Qué ocurre, en orden
  • Auditor jefe prepara el Plan: metodología, periodo cubierto, puntos que va a revisar y fecha y hora de la reunión con el Cliente. Puede redactarlo en la plataforma o subir su propio archivo.
  • Auditor jefe lo firma electrónicamente en PDF con firma PAdES (por ejemplo, con AutoFirma y su DNIe o un certificado cualificado) y sube su copia firmada.
  • Solo entonces lo envía al Cliente.
  • Cliente descarga el Plan, lo firma y sube su copia.
Reglas
  • La plataforma comprueba cada firma; una copia sin firma válida no cuenta y debe subirse de nuevo.
  • Si el Plan se redacta en la plataforma, cualquier cambio en él anula las copias firmadas: hay que firmarlo de nuevo. Si se subió como archivo, cambiar los datos que no forman parte del archivo (como la fecha y hora de la reunión) no afecta a las firmas.
  • Una vez enviado, el Plan no se puede modificar. Si hay que corregir algo, el Auditor jefe lo devuelve a borrador mientras el Cliente no haya firmado; las copias firmadas se eliminan.
Termina cuando: las dos firmas son válidas; el Plan queda firmado.

5 Documento final y Veredicto

Veredicto (primero)
  • Auditor jefe prepara el Documento final con las no conformidades y confirma el Veredicto antes de enviarlo, porque el Veredicto forma parte del documento:
    — Favorable;
    — Favorable con no conformidades;
    — Desfavorable.
  • Con no conformidades o desfavorable, fija el plazo para presentar el PAC (de 1 a 24 meses).
  • Confirmado, el Veredicto ya no se puede cambiar; solo el Administrador de la plataforma puede revertirlo.
  • El Veredicto es el resultado de la auditoría; no sustituye la decisión de certificación, que corresponde a la Entidad de Certificación.
Documento final (después)
  • Auditor jefe envía al Cliente el Documento final con el Veredicto (puede firmarlo antes). Desde ese momento el documento queda fijo.
  • Puede enviarlo en el mismo paso en que confirma el Veredicto: la casilla «Enviar también el Documento final al Cliente» viene marcada. Si quiere firmarlo antes, la desmarca, sube su copia firmada y lo envía después.
  • Cliente recibe a la vez el Documento final y el Veredicto. Mientras la auditoría sigue abierta puede, si lo desea, responder de una de dos formas (no es obligatorio):
    — lo firma y sube su copia;
    — registra un acuse de recibo: deja constancia de que lo ha recibido (con la versión exacta del documento), sin firmarlo.
  • El Certificador recibe el aviso del Veredicto.
Termina cuando: el Veredicto está confirmado, y el Documento final enviado. Con Veredicto favorable, la auditoría queda cerrada en ese momento.

6 PAC · Plan de Acciones Correctivas

Solo cuando el Veredicto es con no conformidades o desfavorable. Con Veredicto Favorable este paso no aplica.

Qué ocurre
  • Cliente prepara el PAC: qué acciones hará, quién y cuándo.
  • Indica, de entre sus Empleados, la persona que firma el compromiso (puede añadir firma electrónica) y lo envía.
  • Auditor jefe lo aprueba o lo rechaza con un comentario; si lo rechaza, el Cliente lo corrige y lo envía otra vez.
Plazo del PAC
  • Se cuenta desde el envío del Documento final.
  • Con favorable con no conformidades, el PAC es obligatorio: sin él la auditoría no se cierra.
  • Con desfavorable, si el plazo vence sin que el Cliente haya enviado el PAC, el Auditor jefe o un Administrador de la plataforma puede cerrar la auditoría como Desfavorable.
  • Desde que el Cliente inicia el PAC, la lista de no conformidades del Documento final queda fija.
Termina cuando: el PAC está aprobado (o, con Veredicto desfavorable, la auditoría se cierra sin PAC).
6 · Tras el Veredicto
Tres caminos posibles

Favorable

  1. El Auditor jefe envía el Documento final con el Veredicto.
  2. Auditoría cerrada en ese momento: no hace falta la respuesta del Cliente.

Favorable con no conformidades

  1. El Cliente presenta el PAC.
  2. El Auditor jefe lo aprueba (si lo rechaza, el Cliente lo corrige).
  3. Auditoría cerrada.
  4. El PAC es obligatorio: si el Cliente no lo presenta, la auditoría no se cierra y puede suspenderse (ver punto 7).

Desfavorable

  1. El Cliente presenta el PAC dentro del plazo.
  2. El Auditor jefe lo aprueba.
  3. El Auditor jefe abre un nuevo ciclo (ver punto 7).
  4. Si el PAC no llega a tiempo: el Auditor jefe cierra la auditoría como Desfavorable.
7 · Nuevo ciclo
Cuando el Veredicto es desfavorable y el PAC se aprueba

La misma auditoría vuelve a la fase interna para que la organización ejecute las acciones correctivas del PAC y se evalúe de nuevo su cumplimiento. No se empieza de cero:

Qué se conserva
  • Los documentos aprobados y vigentes.
  • Todo el historial del ciclo anterior: Encuesta, Plan, Documento final, Veredicto y PAC, en lectura.
Qué se repite
  • La Encuesta: el Implementador revisa las respuestas, corrige las que han cambiado y la finaliza.
  • El cierre de la fase interna, el Plan, el Documento final, el Veredicto y, si procede, el PAC.
  • La fecha límite de cierre de la auditoría se amplía con el plazo del PAC.
Cuando la auditoría se detiene: suspensión

Una auditoría abandonada o detenida —el Cliente deja de responder, no presenta el PAC obligatorio o no continúa tras un Veredicto desfavorable— puede suspenderse en lugar de quedar abierta indefinidamente. La suspensión no es automática: la decide el rol autorizado.

Quién y cómo
  • En la fase interna, Implementador jefe; en la fase externa, Auditor jefe; el Administrador, siempre.
  • Hay que indicar el motivo. Se avisa al Cliente y a todo el equipo.
  • Los mismos pueden reanudarla en cualquier momento: la auditoría vuelve exactamente al punto en que se suspendió.
Mientras está suspendida
  • Solo lectura para todos, salvo el precio y los pagos.
  • Los plazos se detienen: sin tareas pendientes, sin avisos de plazos y sin contar como estancada. Al reanudarla, los plazos pendientes (también los del PAC y de respuesta al Documento final) se desplazan el tiempo de la suspensión.
  • No cuenta entre las auditorías activas; tiene su propio indicador.
  • Se conserva como una auditoría cerrada, desde la fecha de suspensión.
8 · Documentos del proceso
Quién prepara cada documento y quién lo valida
DocumentoLo preparaLo valida o lo firmaCuándo
Documentos ENS (catálogo de la plataforma, 20–24)Implementador (con datos del Cliente) o el propio ClienteCliente confirma la versión generada / Implementador aprueba el archivo del ClientePaso 1
Encuesta de cumplimiento y evidenciasImplementador; evidencias, el ClienteImplementador (revisa evidencias y finaliza)Paso 2
Correcciones de incumplimientosClienteImplementador (acepta o rechaza)Paso 3
Declaración de Aplicabilidad (SoA)La plataforma, a partir de la EncuestaResponsable de la Seguridad de la organización: aprobación y firma, fuera de la plataformaAl cerrar la fase interna
Plan de AuditoríaAuditor jefeFirma electrónica del Auditor jefe y después del ClientePaso 4
Documento final (con el Veredicto)Auditor jefeCliente (opcional): firma o acuse de reciboPaso 5
VeredictoAuditor jefe— (se confirma antes de enviar el Documento final)Paso 5
PACCliente (compromiso firmado por un empleado)Auditor jefe: aprueba o rechazaPaso 6
Informe de estadoSe genera a petición—En cualquier momento
9 · Plazos y seguimiento
Cómo se controla el ritmo
Las cuatro fechas límite (las fija el Consultor)
  • 1 · Documentación — terminar los documentos e iniciar la Encuesta.
  • 2 · Encuesta — finalizar la Encuesta.
  • 3 · Cierre de la fase interna.
  • 4 · Cierre de la auditoría.
  • Cada plazo se da por cumplido cuando ocurre el hecho, no cuando llega la fecha.
  • Las corrige el Consultor (las cuatro), el Implementador jefe (las de la fase interna, 1–3) y el Auditor jefe (la de la fase externa, 4), siempre indicando el motivo, que queda en el historial de plazos.
Herramientas de seguimiento
  • Escala de seis pasos en cada auditoría: igual para todos los participantes.
  • «Pendiente de usted»: las acciones que corresponden ahora a cada persona; y «En espera de otros», las que dependen de los demás.
  • Avisos en la plataforma, por correo electrónico y por Telegram cuando ocurre algo que le afecta, vence un plazo o la auditoría se queda estancada (varios días sin actividad del equipo ni del Cliente).
  • Pagos: el plan de pagos avanza en paralelo; el Cliente ve sus plazos y recibe avisos de próximos y vencidos.
10 · Después del cierre
La auditoría cerrada

Las instrucciones detalladas de cada rol están en la «Ayuda» de su menú, en el apartado «¿Qué tengo que hacer?».