Excel o software para gestionar el cumplimiento: cuándo cambiar

Cuándo te basta una hoja de cálculo

La ISO 27001 no exige ninguna herramienta. La propia ISO la presenta como una norma para montar el sistema de gestión con un proceso de riesgos adaptado al tamaño y a las necesidades de cada organización, y su cláusula 7.5 admite la información documentada en papel o en formato electrónico. Lo que pide es que esté controlada: identificada, revisada y aprobada, disponible para quien la necesite, protegida, con los cambios bajo control (por ejemplo, con versiones) y guardada el tiempo que hayas decidido.

Con una norma, un alcance pequeño y estable y una o dos personas que lo mantienen, eso se puede llevar en un Excel y una carpeta compartida. Funciona si respetas unas pocas reglas:

• Una pestaña de control de cambios con la fecha, qué cambió, quién lo cambió y quién lo aprobó.
• La versión aprobada guardada aparte, en PDF y con su fecha, y el borrador en otro sitio.
• Una columna con el enlace a la evidencia de cada control, en lugar de copiar el fichero en varias carpetas.
• Un calendario con las revisiones que tocan: políticas, análisis de riesgos, auditoría interna y revisión por la dirección.

Si ya trabajas así y en las auditorías lo encuentras todo a la primera, todavía no necesitas una herramienta.

Las señales de que se te ha quedado pequeña

Estas son las que yo miraría:

• Llevas más de una norma. La ISO 27001, el ENS y NIS2 piden muchas cosas parecidas, y con una hoja por norma acabas manteniendo el mismo control en varios sitios que nunca están al día a la vez. Lo explico en cómo reutilizar controles entre ISO 27001, ENS y NIS2.
• La misma evidencia está en varias carpetas. Hay un informe de copias de seguridad en la carpeta de la ISO y otro en la del ENS, cada uno de un mes distinto, y en la auditoría se enseña el que no era.
• Editáis varias personas. Aparecen el «final_v2.xlsx», el «final_v2_bueno.xlsx» y celdas sobrescritas sin querer, y nadie sabe ya cuál es la versión buena.
• No puedes enseñar quién cambió qué y cuándo. El auditor pregunta quién aprobó esta versión de la Declaración de Aplicabilidad, y la respuesta está en un correo o en la memoria de alguien. Si la carpeta guarda versiones, sabrás quién subió el fichero, pero no quién aprobó cada cambio.
• Se te pasan los plazos. Caduca el certificado de un proveedor o se queda sin hacer la revisión de una política, y te enteras en la auditoría, porque la hoja no avisa.
• Llevas el cumplimiento de varios clientes. Es el caso de las consultoras: copias la plantilla para cada cliente, la mejoras con el siguiente y las anteriores se quedan como estaban, así que cada cliente acaba con una versión distinta del mismo método.

Con una señal suelta, a veces basta con ordenar la hoja. Cuando se juntan varias, yo ya miraría herramientas.

Qué mira un auditor

Cuando audito los controles, parto de la Declaración de Aplicabilidad, cojo una muestra y pido la evidencia de cada uno. Lo primero que miro es la fecha. Una captura sin fecha o un informe del año pasado no demuestra que el control funcione hoy.

Después miro quién aprobó cada documento y cuándo, que es parte del control de la información documentada de la cláusula 7.5 de la ISO 27001. En el ENS, además, la Declaración de Aplicabilidad va firmada por el responsable de la seguridad (artículo 28 del Real Decreto 311/2022). Si la aprobación vive en un correo, toca buscarlo en plena auditoría.

También compruebo que todo cuente lo mismo: si la Declaración de Aplicabilidad da un control por implantado, tiene que haber evidencia, y si el plan de tratamiento de riesgos lo cita, el control tiene que existir. Con varias hojas, cada una se actualiza en un momento distinto y las incoherencias salen solas.

Y miro el calendario. La ISO 27001 pide auditorías internas a intervalos planificados, con un programa y con sus resultados documentados (cláusula 9.2). La ISO/IEC 42001 está escrita sobre la misma estructura común de las normas ISO de sistemas de gestión, así que sus cláusulas 7.5 y 9.2 piden lo mismo. En el ENS, el artículo 31 pide una auditoría al menos cada dos años y otra extraordinaria cuando hay cambios sustanciales en el sistema; en categoría BÁSICA, la conformidad se declara con una autoevaluación (artículo 38).

Nada de esto exige un software. Con una hoja se puede contestar a todo, pero cada respuesta sale de buscar a mano, y como auditor quiero ver que el sistema funciona sin que nadie lo reconstruya la víspera.

Qué pedirle a una herramienta antes de pagarla

Sea cual sea la herramienta, yo comprobaría esto durante la prueba, con un par de controles y evidencias de verdad y no con los datos de ejemplo:

• Que puedas llevarte tus datos. Controles, evidencias y Declaración de Aplicabilidad, en CSV o en los ficheros originales. ¿Qué pasa con todo eso si un día dejas de pagar?
• Que guarde la historia. Quién cambió cada cosa, cuándo y quién lo aprobó, sin que nadie tenga que acordarse de apuntarlo.
• Que una evidencia sirva para varios requisitos. Se sube una vez, se enlaza a todo lo que demuestra y se ve, norma a norma, qué está cubierto y qué falta.
• Que traiga las versiones vigentes. La ISO/IEC 27001:2022 y el ENS del Real Decreto 311/2022, con referencias que puedas cotejar con el texto oficial.
• Que la Declaración de Aplicabilidad salga de los datos. Si es un documento aparte que alguien mantiene a mano, vuelves a tener dos versiones de lo mismo.
• Que avise de lo que caduca. Evidencias que vencen y revisiones pendientes, con tiempo para prepararlas.
• Que tenga permisos por persona. No todo el mundo tiene que poder editar, y el auditor debería poder consultar sin tocar nada.
• Que firme contigo el contrato de encargado del tratamiento. Las evidencias suelen llevar datos personales, como quién hizo una formación o quién revisó los accesos, y el artículo 28 del RGPD exige un contrato con quien los trata por tu cuenta. Pregunta también dónde se guardan.
• Que deje claro quién certifica. El certificado lo emite una entidad de certificación después de auditarte, y esa auditoría no la hace ninguna herramienta por ti.

Cómo migrar sin perder nada

1. Guarda una copia fechada de lo que tienes hoy, hojas y carpetas, en solo lectura. Es tu histórico, y el auditor puede pedirte evidencias de antes del cambio.
2. Haz inventario de controles, evidencias, responsables y fechas. Si una evidencia está en dos carpetas, decide cuál vale antes de moverla.
3. Empieza por una norma, con margen antes de su próxima auditoría, y añade las demás cuando esa esté completa.
4. No empieces de cero: parte del catálogo de la herramienta, adáptalo a tus controles y conserva tus códigos si el auditor ya los conoce.
5. Sube cada evidencia una sola vez, con su fecha original, y enlázala a todo lo que demuestra.
6. Pasa a la herramienta las fechas que hoy llevas de memoria: caducidades, revisiones de políticas, la auditoría interna y la revisión por la dirección.
7. Antes de jubilar la hoja, saca la Declaración de Aplicabilidad desde la herramienta y compárala con la última aprobada. Cada diferencia necesita una explicación, y la versión nueva se aprueba como cualquier otra.

Dónde encaja Salvik

Salvik es mío, así que lee esta parte sabiendo quién la escribe. Trae 26 controles ya mapeados a los requisitos de la ISO 27001, el ENS, NIS2 y la ISO 42001, que adaptas a tu caso. Te avisa antes de que caduque una evidencia, y la Declaración de Aplicabilidad se exporta en CSV.

El plan Base sigue una norma y es para una sola persona. Si lleváis varias normas o sois varios, el Pro lleva las cuatro a la vez, con cada evidencia subida una vez para todas, y admite hasta 10 personas. La auditoría interna de la cláusula 9.2 de la ISO 27001 y la ISO 42001, firmada por un auditor certificado, va en el plan Auditado. Salvik te prepara para la auditoría de certificación, y el certificado lo decide la entidad que te audita.

Si tu caso es el de la primera sección, la hoja te sirve. Para compararlo con tus datos, la prueba dura 7 días, sin tarjeta y con el plan Base, y al terminar no se borra nada. Antes puedes verlo en la demo sin registrarte, comparar los planes en precios o leer qué trae para la ISO 27001, el ENS, NIS2 y la ISO 42001.

Las consultoras que llevan varios clientes tienen el programa de partners, en el que la consultora implanta y yo firmo la auditoría interna. Y si te queda la duda de si te compensa cambiar, reserva una llamada conmigo y lo vemos con tu caso.