Hablamos de
- ¿Qué significa mantener una certificación ISO 27001?
- Lo que ocurre después de la auditoría
- Cuando el Excel se queda pequeño para gestionar la ISO 27001
- La pregunta que casi nadie se hace al certificarse
- Lo que hemos aprendido tras muchas implantaciones
- Por qué desarrollamos IARVIS
- Preguntas frecuentes
Hay un momento muy curioso en casi todos los proyectos de certificación.
La auditoría termina. La certificación llega. Todo el mundo respira. Y aparece una sensación bastante habitual:
“Ya está. Lo hemos conseguido.”
Y durante unas semanas parece que sí. La documentación está preparada. Las evidencias están ordenadas. Los riesgos están identificados. Todo parece bajo control.
Hasta que vuelve la realidad.
¿Qué significa mantener una certificación ISO 27001?
Mantener la certificación ISO 27001 significa sostener en el tiempo el Sistema de Gestión de Seguridad de la Información (SGSI) que se certificó: actualizar documentación, revisar riesgos, recopilar evidencias, gestionar acciones correctivas y preparar las auditorías de seguimiento anuales que exige la norma para no perder la certificación entre ciclos de recertificación.
No es un trámite puntual. Es una obligación continua, y es precisamente ahí donde la mayoría de empresas certificadas empiezan a tener problemas.
La certificación no es el final
Probablemente esta sea una de las mayores sorpresas para muchas empresas: conseguir una ISO es difícil, pero mantenerla suele ser más difícil todavía.
Porque el trabajo no termina cuando llega el certificado. En realidad, ahí es donde empieza.
Lo que ocurre después de la auditoría
Empiezan a pasar cosas muy normales. Una política deja de actualizarse. Un responsable cambia de puesto. Una evidencia se queda sin recopilar. Aparece un nuevo proveedor. Se incorpora una nueva herramienta. Alguien modifica un proceso.
Y, poco a poco, el sistema empieza a perder trazabilidad. Nada grave. Simplemente la vida normal de una empresa.
El problema rara vez es la norma: es falta de tiempo
Cuando analizamos sistemas ya certificados, casi nunca encontramos empresas que no sepan qué hacer. Lo que encontramos es algo mucho más habitual: falta de tiempo.
Porque alguien tiene que:
- mantener documentación
- actualizar evidencias
- revisar riesgos
- preparar auditorías
- gestionar acciones pendientes
- coordinar equipos
Y normalmente esa responsabilidad acaba cayendo siempre sobre las mismas personas: el CTO, la responsable de calidad, la persona de compliance, quien lideró la implantación. Y llega un momento en que el sistema depende demasiado de ellas.
Cuando el Excel se queda pequeño para gestionar la ISO 27001
Aquí suele aparecer otro patrón bastante repetido. Al principio todo funciona: un Excel, una carpeta compartida, algunos documentos, unas cuantas evidencias. Y listo.
Hasta que aparecen:
- nuevas certificaciones
- auditorías de seguimiento
- requisitos de clientes enterprise
- evaluaciones de proveedores
- nuevas obligaciones regulatorias
Y entonces la gestión empieza a complicarse. No porque la norma sea más difícil, sino porque el volumen de información ya no cabe en una gestión artesanal.
La pregunta que casi nadie se hace al certificarse
Cuando una empresa busca certificarse suele preguntar: ¿qué necesito para conseguir la ISO?
Pero la pregunta realmente importante es otra: ¿cómo voy a mantener esto dentro de seis meses? O dentro de dos años.
Porque las certificaciones no se ganan una vez. Se mantienen todos los días.
Lo que hemos aprendido tras muchas implantaciones
Después de acompañar a organizaciones en procesos de certificación, auditoría y mantenimiento, hay una conclusión bastante clara: las empresas no suelen tener problemas para implantar. Los problemas aparecen después, cuando hay que coordinar documentación, controles, riesgos, evidencias, auditorías y acciones de mejora de forma continua.
Por qué desarrollamos IARVIS
Y precisamente ahí nació IARVIS. No como una herramienta tecnológica más, ni como un software genérico de gestión documental.
IARVIS surge de algo mucho más simple: los problemas reales que veíamos una y otra vez en las organizaciones. La necesidad de tener en un único lugar documentación, evidencias, riesgos, controles, auditorías y acciones, con trazabilidad y visibilidad completa.
El cumplimiento no debería depender de la memoria de nadie
Uno de los mayores riesgos que vemos es que el sistema dependa de personas concretas. Que alguien sepa dónde está todo. Que alguien recuerde cuándo toca revisar algo. Que alguien tenga en su cabeza la situación real del sistema.
Eso funciona. Hasta que deja de funcionar.
Mantenimiento manual vs. software de gestión ISO 27001
Gestión manual (Excel, carpetas compartidas)
Funciona en los primeros meses, con volumen bajo. Pero pierde trazabilidad en cuanto aparecen varias certificaciones, proveedores o auditorías simultáneas, y depende por completo de que una persona concreta recuerde cada tarea pendiente.
Software de gestión (como IARVIS)
Centraliza documentación, evidencias, riesgos y controles en un único lugar, con recordatorios automáticos de revisión, trazabilidad de quién hizo qué y cuándo, y visibilidad en tiempo real del estado real del sistema, esté quien esté de vacaciones o haya cambiado de puesto.
La diferencia no es tecnológica por sí misma. Es que el mantenimiento deja de depender de que alguien se acuerde.
La certificación es importante, la continuidad lo es más
Conseguir una ISO sigue siendo un hito importante. Sin duda. Pero cada vez vemos más empresas que entienden algo fundamental: el verdadero valor no está en el certificado, está en mantener un sistema vivo que funcione cuando llega una auditoría, un cliente exigente o una nueva exigencia regulatoria.
Y eso requiere algo más que documentación. Requiere método, requiere seguimiento y, muchas veces, requiere herramientas diseñadas específicamente para ese trabajo.
Cómo lo vemos desde Valia Legal
Después de años implantando y manteniendo certificaciones, hay una idea que se repite constantemente: la mayoría de empresas no tienen problemas para conseguir la ISO. Los problemas aparecen cuando tienen que mantenerla.
Y esa diferencia, aunque parezca pequeña, es la que suele determinar si una certificación se convierte en una ventaja competitiva… o en una carga administrativa más.
Si quieres ver cómo IARVIS puede simplificar el mantenimiento de tu ISO 27001, podemos enseñártelo en una demo.
Preguntas frecuentes
¿Qué implica mantener la certificación ISO 27001 una vez obtenida?
Implica mantener actualizada la documentación del SGSI, revisar y actualizar el análisis de riesgos, recopilar evidencias de los controles aplicados, gestionar acciones correctivas y preparar las auditorías de seguimiento periódicas que exige la certificación.
¿Cada cuánto hay que auditar un SGSI certificado en ISO 27001?
Habitualmente se realizan auditorías de seguimiento anuales durante el ciclo de certificación (normalmente de tres años), además de la auditoría de recertificación al final de ese ciclo.
¿Qué pasa si no se mantiene correctamente la ISO 27001?
El sistema pierde trazabilidad y puede no superar la auditoría de seguimiento, lo que pone en riesgo la validez de la certificación. También debilita la capacidad de la empresa para responder con evidencias sólidas ante clientes o auditorías de terceros.
¿Qué es IARVIS y cómo ayuda a mantener la ISO 27001?
IARVIS es la plataforma de Valia Legal que centraliza documentación, evidencias, riesgos, controles y auditorías en un único lugar, con trazabilidad y visibilidad completa, para que el mantenimiento de la certificación no dependa de la memoria de una sola persona.
¿Se puede perder la certificación ISO 27001?
Sí. Si las auditorías de seguimiento detectan no conformidades graves no resueltas, o si la empresa no supera la auditoría de recertificación, el organismo certificador puede suspender o retirar la certificación.
