Una revisión independiente de cómo está montado vuestro sistema de gestión de IA frente a la norma: antes de certificaros, cuando toca la auditoría interna o cuando un cliente os pide pruebas. La hace un auditor líder ISO 42001 formado por AENOR.
ISO/IEC 42001 obliga a auditar el sistema de gestión de IA a intervalos planificados (cláusula 9.2) y a que la dirección revise los resultados. Si además queréis certificaros, una entidad acreditada hará su propia auditoría externa. En los dos casos conviene que alguien con criterio de auditor haya revisado antes las evidencias.
Este servicio es esa revisión: qué requisitos se cumplen y con qué pruebas, qué se queda en la intención y qué hay que resolver primero.
Queréis llegar a la auditoría de la entidad de certificación sabiendo ya qué hallazgos va a encontrar y con tiempo para cerrarlos.
El sistema funciona desde hace meses y hay que cumplir el programa de auditoría interna y la revisión por la dirección sin improvisar.
Un cliente pregunta por vuestro gobierno de la IA, o necesitáis revisar a un proveedor de IA crítico frente a la norma antes de firmar.
Se audita contra los requisitos de los capítulos 4 a 10 y contra el Anexo A tal como lo habéis aplicado, no contra una lista de 38 casillas. Manda la declaración de aplicabilidad: cada control incluido tiene que estar implantado y con evidencias, y cada exclusión tiene que estar justificada.
No hay que implantar los 38. Se auditan los que figuran en vuestra declaración de aplicabilidad, junto con la justificación de los que se han dejado fuera.
Se contratan por separado. La interna y la previa a certificación comparten método; cambia el momento y el uso que se da al informe.
La que exige la norma a intervalos planificados.
Un ensayo completo con el planteamiento de una auditoría de certificación, siguiendo ISO 19011.
Revisar a un proveedor de IA antes de depender de él, o a uno que ya os presta servicio.
Cuatro fases, con el alcance y las jornadas cerrados antes de empezar.
Qué sistemas y sedes entran, contra qué se audita (la norma, la declaración de aplicabilidad, requisitos de clientes) y quién interviene.
Política, evaluación de riesgos y de impacto, declaración de aplicabilidad, procedimientos y registros. Con ello se prepara el plan de auditoría.
Entrevistas y muestreo de evidencias en operación, en remoto o en vuestras instalaciones, siguiendo las directrices de ISO 19011.
Reunión de cierre con dirección, informe con hallazgos y plan de acciones. En la auditoría interna, seguimiento hasta cerrar las no conformidades.
Un informe que se puede enseñar a dirección, a un cliente o a la entidad de certificación, y un plan para resolver lo que falta.
Alcance y límitesNo emito certificados ISO/IEC 42001 ni hago auditorías de certificación: las llevan a cabo entidades de certificación acreditadas. La titulación de AENOR es propia y acredita el programa y su examen; no es un registro de auditor de certificación. Por independencia, no audito un sistema que haya diseñado o implantado yo. El trabajo es técnico y de cumplimiento: no sustituye al asesoramiento jurídico ni equivale a una evaluación de conformidad con el Reglamento de IA.
Soy Antonio Cebreiro Bernárdez. Tengo la titulación de Auditor/a líder ISO 42001 de AENOR: un programa de 35 horas, del 14 al 22 de octubre de 2026, con examen superado, sobre la auditoría interna de sistemas de gestión de IA según ISO/IEC 42001 e ISO 19011.
A ella se suman las formaciones de AENOR en implantación de ISO/IEC 42001 (14 horas) y en auditoría interna (21 horas), y la titulación de Auditor Líder ISO/IEC 27001. El resto de credenciales están en mi perfil profesional.
Auditor/a líder ISO 42001
Titulación propia de AENOR: acredita haber realizado el programa y superado su examen.
La interna la exige la norma (cláusula 9.2) y la hace la propia organización o alguien por su encargo, a intervalos planificados. La previa a certificación es un ensayo con el planteamiento de la auditoría externa, pero sin valor de certificado. La de certificación la hace una entidad acreditada y es la única que acaba en un certificado. Las dos primeras las hago yo; la tercera no.
No debería. Una auditoría necesita independencia respecto de lo que se audita (es uno de los principios de ISO 19011), y quien ha diseñado o implantado un sistema acabaría revisándose a sí mismo. Por eso separo los encargos: si trabajamos juntos en el gobierno de la IA, la auditoría la hace otra persona; si prefieres que audite yo, el sistema lo ha montado otro. Lo dejo claro en la propuesta.
Sí, o al menos documentado y funcionando durante un tiempo, porque una auditoría revisa evidencias de que las cosas se hacen. Si todavía no existe, el punto de partida es un análisis de brechas: puedes medirlo con la checklist ISO 42001 o con el servicio de consultoría de ciberseguridad en IA.
Directamente, no. ISO/IEC 42001 ordena el gobierno de la IA y ayuda a reunir evidencias, pero superar una auditoría o certificarse no acredita el cumplimiento del Reglamento de IA. Para saber qué os exige a vosotros, sistema a sistema, está la revisión de aplicabilidad. La relación entre ambos la tienes explicada en el artículo sobre ISO/IEC 42001.
Depende del número de sistemas de IA, de las sedes y de lo maduro que esté el sistema de gestión. El alcance y las jornadas se cierran antes de empezar, así que conocerás el coste completo desde el principio. Si estáis al inicio, el diagnóstico inicial de la página de auditoría de ciberseguridad permite elegir ISO/IEC 42001 entre los marcos.
Las dos cosas. La revisión documental y buena parte de las entrevistas se hacen en remoto; si el alcance lo pide, la auditoría se completa en vuestras instalaciones. Voy en persona a Santiago de Compostela, A Coruña y Vigo, como cuento en la página de ciberseguridad para pymes en Galicia.
Cuéntame en qué punto está el sistema, si hay certificación en el horizonte y quién os pide pruebas. En una conversación se ve qué tipo de auditoría encaja y si el sistema ya está listo para ser auditado.
Te respondo personalmente en menos de 24 h laborables · Sin compromiso