La auditoría ISO 22301 comprueba que tu sistema de continuidad de negocio cumple la norma y funciona de verdad, antes de que lo revise la certificadora, un cliente o un supervisor.
En Soluciones QES hacemos auditorías internas, preauditorías antes de la certificación y auditorías de continuidad a proveedores, siguiendo las directrices de la ISO 19011:2026. Te entregamos un informe con evidencias y un plan claro para cerrar cada hallazgo.
Cláusula 9.2
La ISO 22301 exige auditorías internas a intervalos planificados
Art. 32.1.d RGPD
Obliga a verificar y evaluar con regularidad la eficacia de tus medidas de seguridad
Cada año
La certificadora vuelve a auditarte para mantener el certificado
¿Qué es una auditoría ISO 22301 y cuándo la necesitas?
Es una evaluación sistemática, independiente y documentada de tu sistema de gestión de la continuidad del negocio. Se contrasta con tres referencias: los requisitos de la ISO 22301, tus propios planes y procedimientos y las obligaciones legales y contractuales que hayas asumido. Su objetivo es encontrar desviaciones antes de que lo haga una crisis real, no buscar culpables.
La norma pide auditorías internas en su ISO 22301 (cláusula 9.2), y la forma de hacerlas está descrita en la ISO 19011:2026, la guía internacional para auditar sistemas de gestión, publicada en mayo de 2026. Fuera de la norma, el RGPD exige en su artículo 32.1.d verificar con regularidad la eficacia de las medidas de seguridad, y el reglamento DORA obliga a las entidades financieras a probar sus planes de continuidad TIC al menos una vez al año.
Estos son los momentos en que más se necesita una auditoría:
- Antes de la auditoría de certificación, para llegar sabiendo qué te falta.
- Cada año, como auditoría interna, antes de la visita de seguimiento o de renovación.
- Cuando un cliente, un pliego o un supervisor te pide evidencias de que tu continuidad funciona.
- Después de un incidente real o de un cambio importante: una nueva sede, un proveedor crítico distinto o una migración a la nube.
Nuestros servicios extra para ayudarte
Estos son los servicios más destacados que ofrecemos en relación a la auditoría ISO 22301.
Te ayudamos con tus dudas de la auditoria ISO 22301
Tipos de auditorías de continuidad del negocio ISO 22301
Auditoría interna ISO 22301
Es la que exige la propia norma. Debe seguir un programa, cubrir todo el alcance del sistema en un plazo razonable y hacerla alguien objetivo e imparcial, que no audite su propio trabajo. Muchas empresas la externalizan porque no tienen a nadie con esa independencia o con experiencia en continuidad. Sus resultados alimentan la revisión por la dirección y son una de las primeras evidencias que pide la certificadora.
Preauditoría antes de la certificación
Reproduce la auditoría de certificación con los mismos criterios, pero sin consecuencias. Te dice si el sistema está listo, qué no conformidades encontraría la certificadora y cuánto tiempo necesitas para corregirlas. Conviene hacerla con margen suficiente antes de la auditoría externa.
Auditoría de continuidad a proveedores críticos
Tu continuidad depende también de la de tus proveedores. Esta auditoría, llamada de segunda parte, revisa si un proveedor crítico es capaz de seguir prestándote servicio ante una interrupción: su BIA, sus planes, sus pruebas y sus compromisos contractuales. La especificación técnica ISO/TS 22318 orienta este análisis. Es especialmente útil si estás sujeto a DORA, que exige controlar el riesgo de los proveedores tecnológicos, o si eres tú el proveedor y tu cliente te pide demostrarlo.
Auditoría de certificación: qué esperar
La hace la entidad de certificación acreditada, no una consultora. Se desarrolla en dos etapas, primero documental y después práctica, y se repite cada año para mantener el certificado. Te explicamos el proceso de certificación ISO 22301 en nuestra página sobre la norma. En Soluciones QES te acompañamos durante esas visitas.
Qué revisamos: checklist de la auditoría ISO 22301
Estos son los puntos que revisamos en cada auditoría y las evidencias que pedimos. Si quieres adelantar trabajo, es una buena lista para comprobar tu sistema por tu cuenta.
| Qué revisamos | Qué evidencias pedimos |
|---|---|
| Contexto y alcance | Alcance documentado, partes interesadas, requisitos legales y contractuales y análisis de la relevancia del cambio climático (enmienda de 2024) |
| Liderazgo | Política aprobada por la dirección, responsables asignados y recursos disponibles |
| Análisis de impacto (BIA) | BIA actualizado, con tiempos de recuperación (RTO, RPO) coherentes y aprobados |
| Evaluación de riesgos | Riesgos de interrupción identificados, valorados y con tratamiento decidido |
| Estrategias y soluciones | Alternativas reales y disponibles que permiten cumplir los tiempos de recuperación |
| Planes y procedimientos | Planes vigentes, equipo de crisis definido, contactos actualizados y protocolo de comunicación |
| Proveedores críticos | Proveedores identificados, capacidad de continuidad evaluada y compromisos en contrato |
| Ejercicios y pruebas | Programa de pruebas, informes de resultados y lecciones aprendidas aplicadas |
| Competencia y concienciación | Formación de las personas con funciones en los planes y conocimiento de su papel |
| Evaluación y mejora | Indicadores, auditorías anteriores, revisión por la dirección y acciones correctivas cerradas |
Cómo trabajamos la auditoría en 4 fases
- Planificación. Acordamos el alcance, los criterios, las personas que entrevistaremos y el calendario, y te enviamos el plan de auditoría.
- Ejecución. Revisamos documentos y registros, entrevistamos a los responsables y comprobamos los planes en la práctica. Puede hacerse de forma presencial, en remoto o combinando ambas, como prevé la ISO 19011:2026.
- Informe. Clasificamos cada hallazgo en no conformidad mayor, no conformidad menor, observación u oportunidad de mejora, siempre con su evidencia. Así sabes qué es urgente y qué puede esperar.
- Seguimiento. Te ayudamos a definir las acciones correctivas y comprobamos que se han cerrado antes de la siguiente auditoría externa.
Si la auditoría revela carencias de fondo, como un BIA inexistente o planes sin probar, te ayudamos a resolverlas con nuestra consultoría ISO 22301.
Por qué externalizar la auditoría con Soluciones QES
- Independencia real. El auditor nunca es la persona que diseñó o implantó tu sistema, como exige la norma.
- Criterio técnico. Más de 15 años auditando sistemas de gestión en construcción, IT, medicina, industria y servicios.
- Informes que se pueden aplicar. Cada hallazgo lleva su evidencia, su prioridad y una propuesta de solución.
- Visión conjunta. Si tienes la ISO 27001, el ENS o la ISO 9001, revisamos cómo encaja la continuidad con el resto de tu sistema.
- Cerca de ti. Auditamos de forma presencial en Madrid y en remoto en toda España.
Si prefieres que la auditoría interna la haga alguien de tu equipo, formamos a tus auditores internos con formación bonificable por FUNDAE. Puedes ver el resto de normas que auditamos en nuestra página de auditoría ISO.
Preguntas frecuentes sobre la auditoría ISO 22301
La norma pide hacerla a intervalos planificados, sin fijar una frecuencia exacta. Lo habitual es auditar todo el alcance al menos una vez al año, antes de la auditoría de seguimiento de la certificadora, y con más frecuencia las áreas de mayor riesgo o las que hayan cambiado.
Puede ser la misma empresa, pero no la misma persona. La norma exige que el auditor sea objetivo e imparcial, lo que significa que nadie debe auditar su propio trabajo. Si quieres una mirada totalmente externa, lo más claro es que audite una empresa distinta de la que te ayudó a implantarlo.
En una auditoría interna es lo esperable: para eso sirve. Se analizan las causas, se definen acciones correctivas y se comprueba que funcionan. En la auditoría de certificación, una no conformidad mayor impide emitir o mantener el certificado hasta que se resuelva; por eso compensa detectarlas antes.
No. La auditoría interna es un requisito de la norma y una herramienta de mejora, pero solo una entidad de certificación acreditada puede emitir el certificado ISO 22301.
Te ayudamos con tus dudas de la auditoria ISO 22301