La forma más barata de obtener ISO 27001 es mantener el alcance estrecho y veraz, contar bien a su gente y hacer ustedes mismos el trabajo recurrente, porque los honorarios de auditoría están casi fijados antes de que nadie le pase un presupuesto: el Anexo B de ISO/IEC 27006 fija los días de auditor según la plantilla, 7 días para una empresa de 20 personas, y los organismos europeos acreditados cobran aproximadamente de 1.200 a 1.800 EUR al día, así que unos 8.400 a 12.600 EUR por la certificación inicial. El software es una partida pequeña frente a eso. El tiempo de su propia gente es la grande.
Los honorarios de auditoría son aritmética, no una negociación
Los organismos de certificación no ponen precios libremente. La acreditación los sujeta a la tabla de tiempos de auditoría del Anexo B de ISO/IEC 27006, que convierte su plantilla en un número de días de auditor para las fases 1 y 2 juntas:
| Personas | Días de auditor |
|---|---|
| hasta 10 | 5 |
| 16 a 25 | 7 |
| 46 a 65 | 10 |
| 86 a 125 | 12 |
Las tarifas diarias de los organismos acreditados en Europa van de unos 1.200 a 1.800 EUR. Ningún organismo acreditado publica un precio, así que esa banda es la dispersión entre fuentes profesionales publicadas, no un presupuesto. Una empresa de 20 personas está por tanto ante algo así como 8.400 a 12.600 EUR por la auditoría inicial, antes de cualquier otra cosa.
Puede comparar entre organismos. No puede escapar del número de días comparando, y un organismo que ofrece sustancialmente menos días que la tabla es un organismo cuyo certificado vale menos.
Calcule su propia cifra en la página de costes, que hace la misma aritmética.
Después vuelve a pasar, dos veces
La certificación es un ciclo de tres años. Las auditorías de seguimiento son aproximadamente un tercio del tiempo de auditoría inicial, una vez al año, y la recertificación al final unos dos tercios. Presupuestar solo la primera auditoría es la forma más común de que el total sorprenda.
Lo que mueve la cifra de verdad
Tres cosas, por orden de importancia.
Alcance. La auditoría cubre lo que usted dice que cubre. Un alcance que incluye oficinas, productos y procesos que el certificado no necesita añade días. Escriba el alcance de forma estrecha y veraz, y defiéndalo en la fase 1.
Preparación en la fase 1. Una fase 1 que encuentra el sistema de gestión a medio construir se convierte en una fase 2 más larga, o en una segunda visita. Este es el único lugar donde la preparación se convierte directamente en dinero.
Si la evidencia existe ese día. Los auditores piden registros que cubran el periodo, no políticas escritas la semana pasada. Reunir doce meses de evidencia la semana anterior a una auditoría es donde se va de verdad la mayor parte del coste interno, y es invisible en todos los presupuestos porque es el salario de alguien y no una factura.
Dónde no está el dinero
El software es una partida pequeña al lado de la auditoría, elija lo que elija. Escoger una herramienta principalmente por precio optimiza la cifra equivocada: si no le deja registros fechados y completos en la auditoría, le ha costado lo caro para ahorrar lo barato.
Si quiere la versión honesta de lo que cubre cualquier herramienta, pida al proveedor una lista cláusula por cláusula que incluya las brechas. La nuestra está publicada, brechas incluidas.