ISO 42001 para auditores internos: del sistema de gestión a la evidencia
Una organización puede tener una política de inteligencia artificial, un comité de IA y decenas de controles documentados y, aun así, no tener un sistema de gestión que funcione. Para un auditor interno, esa diferencia es decisiva.
ISO/IEC 42001:2023 no está diseñada como una lista aislada de controles técnicos ni como una norma para validar modelos uno por uno. Es una norma de sistemas de gestión: conecta contexto, liderazgo, planificación, operación, evaluación del desempeño y mejora continua. ISO describe esta lógica mediante el ciclo Planificar-Hacer-Verificar-Actuar.
La consecuencia práctica es importante: el auditor no debería empezar preguntando si existe un control, sino si la organización puede demostrar una cadena coherente desde sus objetivos y riesgos de IA hasta las decisiones, controles, resultados y acciones de mejora.
ISO 42001 es un sistema de gestión, no un checklist de modelos
La norma se aplica a organizaciones que desarrollan, proporcionan o utilizan productos o servicios que emplean sistemas de IA. Su estructura sigue la lógica común de las normas ISO de sistemas de gestión.
En términos de auditoría, puede leerse como cuatro preguntas:
- Planificar: ¿la organización entiende su contexto, las partes interesadas, el alcance del sistema de gestión de IA, sus objetivos, riesgos e impactos?
- Hacer: ¿ha asignado responsabilidades, recursos y competencias, y opera procesos y controles coherentes con esas decisiones?
- Verificar: ¿mide el desempeño, evalúa la eficacia, realiza auditorías internas y revisiones por la dirección?
- Actuar: ¿corrige no conformidades y mejora el sistema cuando la evidencia muestra que algo no funciona?
Esta lectura evita un error frecuente: tratar ISO 42001 como si fuera una biblioteca de controles de IA. La norma exige un sistema que produzca decisiones trazables y pueda demostrar que los controles seleccionados responden a riesgos reales.
La cadena de evidencia que Auditoría Interna debería seguir
Para Auditoría Interna, el valor de ISO 42001 está en convertir conceptos amplios de gobernanza en artefactos auditables. La evidencia no debe evaluarse como documentos independientes, sino como una secuencia que se puede reconciliar de principio a fin.
| Elemento del SGIA | Evidencia que puede solicitarse | Qué debería comprobar el auditor |
|---|---|---|
| Contexto y alcance | análisis de contexto, partes interesadas, requisitos aplicables, alcance formal del SGIA | que el alcance corresponda con el uso real de IA y no excluya procesos materiales sin fundamento |
| Liderazgo y dirección | política de IA, roles y responsabilidades, objetivos de IA, decisiones de la alta dirección | que la política se traduzca en autoridad, recursos, prioridades y responsabilidades operativas |
| Riesgos e impactos | metodología y resultados de evaluación de riesgos, criterios de riesgo, evaluaciones de impacto | que los riesgos sean consistentes, comparables y consideren consecuencias para la organización, personas y sociedad cuando corresponda |
| Tratamiento y controles | plan de tratamiento, declaración de aplicabilidad, controles seleccionados, aprobaciones de riesgo residual | que cada control tenga una razón vinculada al riesgo y que las exclusiones estén justificadas |
| Operación y desempeño | procedimientos, registros de ciclo de vida, controles sobre terceros, métricas, resultados de seguimiento | que los procesos operen como fueron diseñados y que la eficacia se mida con información válida |
| Revisión y mejora | resultados de auditorías internas, revisión por la dirección, no conformidades, acciones correctivas | que las debilidades generen decisiones, causas identificadas, correcciones y verificación de eficacia |
La prueba más potente suele ser la reconciliación. Por ejemplo, un riesgo calificado como alto debería poder rastrearse hacia un tratamiento aprobado, controles concretos, responsables, evidencia de operación, métricas y, cuando existan desviaciones, acciones correctivas.
El Anexo A no convierte todos los controles en obligatorios
Aquí aparece una de las distinciones más importantes de la norma.
El Anexo A contiene objetivos de control y controles de referencia sobre temas como política de IA, organización interna, recursos, evaluaciones de impacto, ciclo de vida, datos, información para partes interesadas, uso responsable y relaciones con terceros. Sin embargo, no todos esos controles deben aplicarse automáticamente.
La cláusula 6.1.3 exige que la organización determine los controles necesarios a partir del tratamiento de riesgos, los compare con el Anexo A para verificar que no haya omitido controles necesarios y prepare una declaración de aplicabilidad que justifique inclusiones y exclusiones. También puede definir controles adicionales.
Esto cambia la forma de auditar. Un auditor que simplemente marca “cumple/no cumple” frente a cada control del Anexo A puede llegar a conclusiones equivocadas. La pregunta correcta es si la selección de controles es razonable frente al contexto, los riesgos, los impactos y los requisitos aplicables.
El Anexo B requiere otra cautela. Aunque forma parte de la estructura normativa del documento, su función es proporcionar orientación de implementación para los controles. La propia norma aclara que esa guía puede adaptarse y que la organización no tiene que justificar cada elemento de la orientación en su declaración de aplicabilidad. No debe transformarse en una lista de requisitos que la norma no impone.
La cláusula 9.2 y el papel de Auditoría Interna
ISO/IEC 42001 exige auditorías internas a intervalos planificados para determinar si el SGIA cumple tanto los requisitos propios de la organización como los de la norma, y si está implementado y mantenido eficazmente. El programa debe contemplar frecuencia, métodos, responsabilidades, planificación y reporte; cada auditoría debe definir objetivos, criterios y alcance y preservar la objetividad e imparcialidad.
Pero “auditoría interna” en una norma ISO de sistemas de gestión no es sinónimo automático de la función corporativa de Auditoría Interna. La auditoría de primera parte requerida por el SGIA puede ser realizada por la propia organización o por un tercero en su nombre, siempre que se preserve la imparcialidad. La función de Auditoría Interna, por su parte, tiene un mandato profesional más amplio bajo las Normas Globales de Auditoría Interna.
En la práctica, hay tres modelos razonables: que Auditoría Interna ejecute parte del programa ISO 42001; que evalúe de forma independiente un programa de auditoría del SGIA administrado por otra función; o que utilice ISO 42001 como criterio dentro de una auditoría más amplia de gobernanza de IA.
La decisión debe proteger la independencia y evitar que Auditoría Interna asuma responsabilidad de gestión por el propio SGIA.
Para la metodología de auditoría de sistemas de gestión, la referencia vigente es ISO 19011:2026, publicada en mayo de 2026. Esto es relevante porque ISO 19011:2018 fue retirada y sustituida por la edición de 2026. ISO 19011 aporta orientación sobre principios de auditoría, programas de auditoría, ejecución y competencia; no es, por sí misma, una norma de certificación.
Un programa de auditoría útil empieza por la trazabilidad
Un enfoque práctico para una primera revisión interna de ISO 42001 puede seguir cinco movimientos.
- Definir el criterio y el alcance. Determinar qué parte del SGIA se evaluará y contra qué cláusulas, políticas internas y requisitos externos.
- Seleccionar procesos por riesgo. Priorizar áreas donde la IA afecta decisiones relevantes, personas, datos sensibles, terceros o procesos críticos.
- Construir la cadena de evidencia. Rastrear una muestra de riesgos desde su identificación hasta tratamiento, control, operación, seguimiento y mejora.
- Probar diseño y funcionamiento. No basta con políticas o matrices. Inspeccionar registros, observar procesos, entrevistar responsables, revisar excepciones y comprobar que las métricas reflejan la realidad.
- Concluir sobre el sistema, no solo sobre documentos. Una no conformidad aislada importa; un patrón de decisiones incoherentes importa más. El objetivo es determinar si el sistema mantiene control sobre la IA a medida que cambian los casos de uso, los proveedores y los riesgos.
La mejor evidencia de un SGIA maduro no es una carpeta completa. Es un ciclo cerrado en el que los riesgos cambian decisiones, los controles producen resultados y los resultados cambian el sistema.
ISO 42001 ofrece a Auditoría Interna algo especialmente valioso: un puente entre la gobernanza de IA y evidencia verificable. Usada correctamente, la norma no reduce la auditoría a revisar cláusulas. Hace posible preguntar si la organización sabe qué IA gobierna, por qué acepta determinados riesgos, cómo controla esos riesgos y qué hace cuando la evidencia demuestra que sus supuestos ya no son válidos.