En el contexto de ISO 27001, tanto la auditoría interna como la auditoría anual (o de seguimiento) son componentes fundamentales para asegurar el cumplimiento y la mejora continua del Sistema de Gestión de la Seguridad de la Información (SGSI). Sin embargo, existen diferencias clave entre ambas:

1. Quién realiza la auditoría
   • Auditoría anual (externa o de seguimiento): La lleva a cabo un organismo de certificación externo acreditado. Es una auditoría formal obligatoria para mantener la certificación ISO 27001.
   • Auditoría interna: La realiza la propia organización (un equipo interno o consultores externos contratados por la organización, pero que no sean el organismo certificador). Forma parte de los requisitos de ISO 27001 para la mejora continua.
2. Objetivo principal
   • Auditoría anual: Verificar, desde una perspectiva independiente, que el SGSI de la organización sigue cumpliendo con los requisitos de la norma y que se mantiene de manera eficaz. En esta auditoría se decide si la organización retiene su certificación.
   • Auditoría interna: Evaluar internamente la eficacia del SGSI, identificar no conformidades y oportunidades de mejora antes de la auditoría anual o de certificación. Permite a la organización corregir problemas y prepararse para la auditoría externa.
3. Frecuencia y alcance
   • Auditoría anual: Se lleva a cabo, como mínimo, una vez al año (o según el plan de auditoría establecido por el organismo de certificación) en el período de validez de la certificación. El alcance generalmente abarca los controles y procesos más críticos, aunque a lo largo de los tres años de vigencia de la certificación se revisa el SGSI en su totalidad.
   • Auditoría interna: Se realiza con la periodicidad que la propia organización establezca (muchas veces es anual, pero puede ser con mayor frecuencia o segmentada por áreas). Su alcance puede abarcar todo el SGSI o bien enfocarse en áreas específicas según la planificación interna.
4. Nivel de formalidad y consecuencias
   • Auditoría anual: Tiene un carácter formal y el resultado influye directamente en la mantención de la certificación. Las no conformidades detectadas deben resolverse en plazos estrictos, pues de lo contrario se podría suspender o retirar la certificación.
   • Auditoría interna: Aunque también sigue un proceso documentado, es un ejercicio más flexible y de aprendizaje para la organización. Sus hallazgos sirven para hacer ajustes internos y prepararse para la auditoría externa. No afecta inmediatamente la certificación, pero sí es un requisito normativo.
5. Responsabilidad y control de hallazgos
   • Auditoría anual: Los hallazgos y no conformidades los notifica el organismo certificador, y la organización debe demostrar que ha aplicado acciones correctivas efectivas antes de la siguiente auditoría.
   • Auditoría interna: Los hallazgos se registran internamente; la misma organización define planes de acción y plazos, facilitando la corrección anticipada de problemas.

En resumen, la auditoría interna es una herramienta que la organización usa para autoevaluarse y prepararse, mientras que la auditoría anual (o de seguimiento) es un proceso formal realizado por el organismo de certificación para confirmar que la organización sigue cumpliendo la norma y puede mantener su certificación.