Checklist de auditoría interna ISO 27001: plantilla Excel gratis

Por el Equipo NexoDocs · cómo hacemos y revisamos el contenido

La auditoría interna es obligatoria en ISO/IEC 27001:2022 (cláusula 9.2): la organización debe auditar su SGSI a intervalos planificados, con un programa, criterios y alcance definidos, auditores objetivos e imparciales, resultados informados a la dirección y evidencia conservada. Un checklist ordena ese trabajo: una fila por requisito de las cláusulas 4 a 10 y por control del Anexo A que aplique, con qué verificar, la evidencia revisada, el resultado (conforme, no conformidad mayor o menor, observación u oportunidad de mejora) y el hallazgo. Abajo puede descargar gratis una versión reducida del checklist de nuestro kit.

Qué pide la norma sobre la auditoría interna

La cláusula 9.2 de ISO/IEC 27001:2022 se divide en dos partes. La 9.2.1 pide auditar para comprobar que el SGSI cumple los requisitos propios de la organización y los de la norma, y que está implementado y mantenido de forma eficaz. La 9.2.2 pide un programa de auditoría (frecuencia, métodos, responsabilidades, requisitos de planificación e informe) que tenga en cuenta la importancia de los procesos y los resultados de auditorías anteriores.

Definir criterios y alcance de cada auditoría.
Elegir auditores que aseguren objetividad e imparcialidad (nadie audita su propio trabajo).
Informar los resultados a la dirección pertinente.
Conservar información documentada como evidencia del programa y de los resultados.

La norma ISO 19011 da directrices generales para auditar sistemas de gestión y es una buena referencia para el método (muestreo, entrevistas, redacción de hallazgos).

Programa, plan, checklist e informe: qué es cada uno

Documento	Para qué sirve	Cuándo se usa
Programa de auditoría	Calendario anual o plurianual: qué procesos se auditan, cuándo y con qué prioridad.	Al inicio del ciclo; se revisa cada año.
Plan de auditoría	Detalle de una auditoría concreta: alcance, criterios, agenda, auditores y entrevistados.	Antes de cada auditoría.
Checklist (lista de verificación)	Guía de trabajo del auditor: requisito por requisito, qué revisar y qué encontró.	Durante la auditoría.
Informe de auditoría	Resultado formal: hallazgos, conclusiones y no conformidades para tratar.	Al cerrar la auditoría.

La plantilla, lista para usar

Checklist de auditoría interna en Excel (muestra gratis)

Cláusulas 4 a 10 completas y 10 controles del Anexo A, con resultado por lista y resumen automático. Descarga directa, sin correo. El kit completo trae los 93 controles, el programa, el plan y el informe.

Descargar el checklist gratis (Excel)

Qué columnas debe tener el checklist

Columna	Qué se escribe	Ejemplo
ID	Cláusula o control	6.1.3
Requisito a verificar	La pregunta que se responde	¿La Declaración de Aplicabilidad justifica las inclusiones y exclusiones?
Qué verificar	Sugerencia de muestreo	Revisar la SoA vigente y 3 controles excluidos
Evidencia revisada	Documentos, registros, entrevistas o muestras, con su identificación	SoA v2.1 aprobada el 12-03; entrevista al responsable del SGSI
Resultado	Lista cerrada	Conforme / NC mayor / NC menor / Observación / Oportunidad de mejora / No auditado
Hallazgo	Requisito, evidencia y declaración	La exclusión de 8.28 no tiene justificación (SoA v2.1)

Con una lista cerrada en la columna de resultado, una hoja de resumen puede contar automáticamente cuántos hallazgos hay de cada tipo, que es lo que pide ver la dirección.

Cómo clasificar los hallazgos

No conformidad mayor: falta un requisito completo o hay una falla que pone en duda la eficacia del SGSI (por ejemplo, nunca se hizo la evaluación de riesgos).
No conformidad menor: incumplimiento puntual que no compromete el sistema (por ejemplo, un registro de capacitación sin firma).
Observación: algo que todavía cumple pero puede terminar en no conformidad si no se atiende.
Oportunidad de mejora: sugerencia para hacerlo mejor, sin incumplimiento.

Cada no conformidad pasa al registro de no conformidades y acciones correctivas (cláusula 10.2) con su causa, acción, responsable y fecha.

Errores frecuentes en la auditoría interna

Auditar con un checklist genérico sin mirar los riesgos y los cambios del año.
Escribir «conforme» sin anotar qué evidencia se revisó: el auditor de certificación no podrá confiar en la auditoría.
Que el responsable del SGSI audite sus propios documentos.
Revisar solo documentos y no muestras reales (registros de accesos, cambios, incidentes).
No llevar los resultados a la revisión por la dirección (cláusula 9.3).

Siguiente paso

Pruebe gratis o vaya directo a la solución completa.

Kit de documentación SGSI ISO 27001

84 plantillas Word y Excel para documentar su SGSI según ISO/IEC 27001:2022.

Ver el kit completo

Muestra gratis

Descargue gratis una versión reducida de la matriz de riesgos del kit (Excel, 10 escenarios, mapa de calor). Vea cómo calcula el nivel y la categoría antes de decidir.

Descargar la muestra gratis

Preguntas frecuentes

¿Cada cuánto hay que hacer la auditoría interna de ISO 27001?

La norma pide intervalos planificados, sin fijar un plazo. En la práctica, la mayoría audita todo el SGSI al menos una vez al año, antes de la revisión por la dirección y de la auditoría de certificación o de seguimiento.

¿Puede hacerla alguien de la propia empresa?

Sí, siempre que sea objetivo e imparcial: no puede auditar su propio trabajo. Las organizaciones pequeñas suelen cruzar áreas o contratar a un auditor externo solo para esta tarea.

¿Hay que auditar los 93 controles del Anexo A?

Hay que cubrir, a lo largo del programa, los controles que la Declaración de Aplicabilidad declara aplicables. Se pueden repartir en varias auditorías del ciclo según su riesgo.

¿La muestra gratis sirve para una auditoría real?

Sirve para las cláusulas 4 a 10, que vienen completas, y para probar el formato. Para el Anexo A trae 10 controles; el kit completo trae los 93.

Actualizado: 2026-10-25