1. Describe la organización antes de abrir el cuestionario
Reúne las unidades, procesos, ubicaciones, sistemas, terceros y responsables que forman parte de la revisión. El contexto general se puede reutilizar en nuevas auditorías, así que conviene escribirlo con lenguaje operativo y no como una descripción comercial.
- Qué entidad o unidad queda dentro del alcance
- Qué procesos soportan el servicio y dónde se ejecutan
- Quién responde, quién revisa y quién aprueba excepciones
2. Separa aplicable, no aplicable y fuera de alcance
Revisa el framework antes de responderlo y clasifica cada control. Un control fuera de alcance no es una evidencia pendiente: es una decisión que debe tener una razón concreta, como el tipo de servicio, la ubicación o la ausencia de una tecnología.
- Aplicable: se evaluará y necesitará respuesta o evidencia
- No aplicable: la organización puede justificar por qué no corresponde
- Fuera de alcance: se excluye por los límites definidos para esta auditoría
3. Escribe la justificación de cada exclusión
Evita motivos genéricos como ‘no aplica’. Explica qué hecho del negocio sustenta la exclusión y quién la ha validado. La justificación acompaña al resultado y a la exportación, de modo que no se pierde cuando cambia el responsable de la auditoría.
4. Confirma el alcance con las personas adecuadas
Antes de pedir documentos, comparte la lista de controles con las personas que conocen las operaciones, seguridad y requisitos legales. Esta revisión temprana evita que el equipo empiece a recopilar pruebas para un control que después se eliminará o que falte un proceso crítico.
5. Usa el alcance como línea base de la reauditoría
Cuando vuelvas a evaluar, conserva el contexto utilizado y compara los mismos límites. Si la organización, el servicio o el framework han cambiado, registra el cambio antes de interpretar la evolución de la puntuación.
- El alcance no se modifica para maquillar el resultado
- Las exclusiones siguen siendo auditables
- La revisión humana decide si una respuesta pasa a ser conforme