← Volver al listado de tecnologías ← Índice de ISO/IEC 42001 Auditor Interno

Evaluación del Desempeño, Mejora y Preparación para el Examen I42001IA

2 de julio de 2026 Por: Artiko

ISO 42001SGIAauditoría internaIAgestión de riesgos

Cerrar el ciclo

Hemos recorrido un largo camino: establecimos el contexto, definimos el liderazgo y las responsabilidades, planificamos riesgos y oportunidades, aseguramos el soporte, implementamos controles, documentamos la aplicabilidad en la SoA y operamos el sistema. Llega ahora la etapa en la que el SGIA demuestra sus resultados.

Las cláusulas 9. Evaluación del desempeño y 10. Mejora cierran el ciclo del sistema de gestión. En esta etapa la organización recopila información, analiza resultados, realiza auditorías internas, revisa el sistema desde la dirección y toma acciones para corregir desviaciones o fortalecer su desempeño. Es el momento en que el ciclo PHVA completa su vuelta: Verificar y Actuar.

flowchart LR
    P[Planificar] --> H[Hacer]
    H --> V[Verificar<br/>Cláusula 9]
    V --> A[Actuar<br/>Cláusula 10]
    A -.retroalimenta.-> P

Cláusula 9 — Evaluación del desempeño

La cláusula 9 establece los requisitos para evaluar el desempeño y la eficacia del SGIA. Esta evaluación permite determinar si el sistema funciona de acuerdo con lo planificado y si proporciona información suficiente para tomar decisiones, identificar desviaciones y promover la mejora.

La evaluación no se hace en el vacío: se apoya en los elementos que la organización ya definió a lo largo del sistema —objetivos de IA, riesgos, controles, procesos operativos, información documentada, resultados de seguimiento, auditorías internas y revisión por la dirección—. Todo lo construido antes se pone ahora a prueba.

La cláusula se compone de tres apartados que responden a tres preguntas distintas:

flowchart TD
    C9[Cláusula 9<br/>Evaluación del desempeño] --> A[9.1 Seguimiento, medición,<br/>análisis y evaluación]
    C9 --> B[9.2 Auditoría interna]
    C9 --> C[9.3 Revisión por<br/>la dirección]
    A -.pregunta.-> A1[¿Qué dicen los datos?]
    B -.pregunta.-> B1[¿Se cumplen los<br/>requisitos?]
    C -.pregunta.-> C1[¿Qué decide la<br/>dirección?]

Apartado	Qué exige	Foco
9.1 Seguimiento, medición, análisis y evaluación	Definir qué medir, cómo, cuándo y quién analiza los resultados	Los datos objetivos del desempeño
9.2 Auditoría interna	Realizar auditorías planificadas para verificar conformidad y eficacia	La conformidad frente a los requisitos
9.3 Revisión por la dirección	Que la alta dirección revise el sistema y tome decisiones	La dirección estratégica del SGIA

En conjunto, estos tres apartados permiten verificar que el SGIA se mide, se audita y se revisa de manera planificada. Y no solo eso: proporcionan la información necesaria para determinar si el sistema requiere ajustes, acciones correctivas o mejoras. Sin la cláusula 9, la organización operaría a ciegas, sin saber si su SGIA realmente funciona.

Como auditores internos, el apartado 9.2 es nuestro terreno directo: es la auditoría interna la que estamos aprendiendo a realizar. Pero un buen auditor también verifica que existan el 9.1 (¿hay indicadores y análisis?) y el 9.3 (¿la dirección revisa el sistema y deja evidencia de sus decisiones?).

Cláusula 10 — Mejora

La cláusula 10 cierra la norma con dos subcláusulas que garantizan que el SGIA no se estanque.

10.1 — Mejora continua

La subcláusula 10.1 establece que la organización debe mejorar continuamente la conveniencia, adecuación y eficacia del SGIA. No basta con mantener el sistema; hay que hacerlo mejor con el tiempo.

Esta mejora se alimenta de múltiples fuentes:

mindmap
  root((Mejora<br/>continua))
    Entradas
      Seguimiento y medición
      Auditorías internas
      Revisión por la dirección
      Cambios en el contexto
      Desempeño de controles
      Evaluaciones de riesgos
      Evaluaciones de impacto
    Salidas
      Actualización de procesos
      Ajustes a controles
      Cambios en objetivos
      Revisión de la SoA
      Fortalecimiento de competencias
      Actualización de documentación

En el SGIA, la mejora se refleja de forma concreta: actualización de procesos, ajustes a controles, cambios en objetivos, revisión de la SoA, fortalecimiento de competencias o actualización de información documentada. La mejora continua conecta así con todos los elementos que hemos estudiado.

10.2 — No conformidad y acción correctiva

La subcláusula 10.2 aborda qué hacer cuando algo sale mal. Cuando ocurre una no conformidad, la organización debe:

Reaccionar ante ella: controlarla, corregirla y abordar sus consecuencias.
Evaluar la necesidad de acción correctiva para eliminar la causa de la no conformidad y evitar que se repita —aquí o en otra parte del SGIA—.
Implementar las acciones correctivas necesarias.
Revisar la eficacia de esas acciones.
Actualizar el SGIA si corresponde.

La distinción entre corrección y acción correctiva es fundamental y suele aparecer en el examen:

	Corrección	Acción correctiva
Qué ataca	El síntoma (el problema inmediato)	La causa raíz
Objetivo	Contener el problema ahora	Evitar que vuelva a ocurrir
Ejemplo	Desactivar el modelo que discrimina	Corregir el sesgo en los datos de entrenamiento y el proceso que lo permitió

La organización debe conservar información documentada sobre la naturaleza de la no conformidad, las acciones tomadas y sus resultados. Ejemplos de esa evidencia:

Registro de no conformidad.
Análisis de causa.
Plan de acción correctiva.
Evidencia de implementación.
Verificación de eficacia.

flowchart LR
    NC[No conformidad<br/>detectada] --> R[Reaccionar y<br/>corregir]
    R --> AC{¿Necesita acción<br/>correctiva?}
    AC -->|Sí| CA[Analizar causa raíz]
    CA --> IM[Implementar<br/>acción correctiva]
    IM --> EF[Verificar eficacia]
    EF --> UP[Actualizar SGIA<br/>si corresponde]
    AC -->|No| DOC[Documentar<br/>y cerrar]
    EF --> DOC

Integración final del SGIA

Aquí conviene detenerse y mirar el bosque, no los árboles. La integración final del SGIA permite comprender cómo todos los elementos de la norma se conectan entre sí para formar un sistema de gestión completo. El SGIA no debe operar como un conjunto de actividades aisladas, sino como una estructura integrada que relaciona contexto, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora.

Repasemos cómo encaja cada pieza:

El contexto identifica las condiciones internas y externas, las partes interesadas y el alcance del SGIA.
El liderazgo proporciona dirección, política, responsabilidades y recursos.
La planificación define riesgos, oportunidades, objetivos, tratamientos y cambios.
El soporte asegura recursos, competencia, comunicación e información documentada.
La operación implementa procesos, controles, evaluaciones de riesgos y evaluaciones de impacto.
La evaluación del desempeño mide, audita y revisa el sistema.
La mejora corrige desviaciones y fortalece la eficacia.

Esta integración también se observa en la cadena que hemos seguido a lo largo del curso: los riesgos de IA identificados conducen a tratamientos adecuados; los tratamientos se reflejan en controles; los controles aplicables se justifican en la SoA; y la implementación se demuestra mediante información documentada.

flowchart TD
    Ctx[Contexto y alcance] --> Lid[Liderazgo y política de IA]
    Lid --> Plan[Riesgos, impactos y objetivos]
    Plan --> Soa[Controles y SoA]
    Soa --> Ope[Soporte y operación]
    Ope --> Eval[Evaluación del desempeño]
    Eval --> Mej[Mejora]
    Mej -.retroalimenta.-> Ctx

Podemos resumir la función de cada elemento dentro del sistema:

Elemento del SGIA	Función dentro del sistema
Contexto y alcance	Define la realidad organizacional y los límites del SGIA.
Liderazgo y política de IA	Establece dirección, compromiso y responsabilidades.
Riesgos, impactos y objetivos	Orientan la planificación y priorización del sistema.
Controles y SoA	Documentan las decisiones de tratamiento y aplicabilidad.
Soporte y operación	Permiten implementar y mantener el SGIA.
Evaluación del desempeño	Verifica resultados, conformidad y eficacia.
Mejora	Corrige desviaciones y mantiene la evolución del sistema.

La idea central es que cada cláusula cumple una función dentro del ciclo de gestión y ningún requisito debe verse de forma aislada. La eficacia del SGIA depende de la coherencia entre lo que la organización define, implementa, mide, revisa y mejora.

Qué significa esto para el cierre de una auditoría

La visión de sistema es la que permite cerrar bien una auditoría. Un hallazgo puede originarse en una falla documental, operativa o de control, pero normalmente se relaciona con más de una parte del sistema. Por ejemplo, una debilidad en la implementación de controles puede estar conectada con una evaluación de riesgos incompleta, una SoA desactualizada, falta de competencia o un seguimiento insuficiente.

Por eso, al revisar un SGIA, es imprescindible mantener una visión de sistema. La conformidad no se demuestra únicamente por la existencia de documentos, sino por la coherencia entre requisitos, decisiones, controles, evidencias y resultados. Un auditor que solo comprueba que “el documento existe” se queda en la superficie; el auditor competente rastrea la coherencia de extremo a extremo.

Preparación para el examen I42001IA

Has llegado al final del recorrido de conocimiento. Estas recomendaciones prácticas te ayudarán a afrontar el examen I42001IA de CertiProf con confianza:

Domina la estructura de alto nivel (HLS) y las cláusulas 4 a 10. El examen evalúa que comprendas cómo se organiza la norma. Ten claro qué cubre cada cláusula y en qué orden se relacionan. Repasa el capítulo de integración final tantas veces como haga falta.
Interioriza las distinciones conceptuales clave. Riesgo vs. impacto, corrección vs. acción correctiva, implementación vs. eficacia, inclusión vs. exclusión en la SoA, uso previsto vs. uso indebido previsible. Estos pares son terreno fértil para las preguntas.
Conoce los cuatro anexos y su naturaleza. Recuerda: Anexo A = controles (qué), Anexo B = guía de implementación (cómo), Anexo C = objetivos y fuentes de riesgo, Anexo D = aplicación por sectores e integración con otras normas. No confundas el rol de cada uno.
Memoriza los nueve grupos de controles del Anexo A (A.2 a A.10). Asocia cada grupo con su tema: políticas, organización interna, recursos, impactos, ciclo de vida, datos, información a partes interesadas, uso y terceros. Un mapa mental te ayudará más que la memoria bruta.
Estudia ISO 19011 para la parte de auditoría. Términos como auditoría interna (primera parte), criterios, evidencia, hallazgo, conformidad y no conformidad, alcance, plan y programa de auditoría son de examen seguro. Distingue los tipos de auditoría (primera, segunda y tercera parte).
Piensa siempre en trazabilidad y evidencia. Ante una pregunta de caso, pregúntate: ¿existe evidencia?, ¿es coherente con los riesgos, los controles y la SoA? El pensamiento de auditor —buscar coherencia y evidencia objetiva— resuelve muchas preguntas de aplicación.
Practica con escenarios reales de IA. Traduce cada concepto a un ejemplo concreto (un modelo de scoring, un chatbot, un sistema de recomendación). El examen premia comprender, no recitar.
Gestiona tu tiempo y lee cada pregunta completa. Las preguntas de opción múltiple suelen incluir distractores plausibles. Descarta las opciones que confunden conceptos que ya dominas y elige la que mejor refleja el espíritu de la norma.

Resumen mental del curso

Antes de presentarte, deja que este mapa consolide en tu mente todo el recorrido de los 14 capítulos:

mindmap
  root((ISO/IEC 42001<br/>Auditor Interno))
    Fundamentos
      Qué es la IA y el SGIA
      Por qué una norma de gestión de IA
      Estructura HLS y ciclo PHVA
    Contexto y liderazgo
      Cláusula 4 Contexto y alcance
      Cláusula 5 Liderazgo y política
      Partes interesadas
    Planificación
      Cláusula 6 Riesgos y oportunidades
      Objetivos del SGIA
    Soporte y operación
      Cláusula 7 Recursos y competencia
      Cláusula 8 Operación
    Riesgo e impacto
      Gestión de riesgos de IA
      Evaluación de impacto
      Tratamiento del riesgo
      Declaración de Aplicabilidad SoA
    Controles
      Anexo A grupos A.2 a A.10
      Anexo B guía de implementación
      Anexo C objetivos y fuentes
      Anexo D sectores e integración
    Evaluación y mejora
      Cláusula 9 Desempeño
      Cláusula 10 Mejora
      Integración final del SGIA
    Auditoría
      ISO 19011
      Principios y competencias
      Realización y cierre

Cierre

Has completado un recorrido que va desde entender qué es un Sistema de Gestión de Inteligencia Artificial hasta ser capaz de auditarlo con criterio. En el camino aprendiste a pensar como un auditor: a buscar coherencia donde otros ven documentos, a distinguir la eficacia de la mera existencia, y a mantener siempre una visión de sistema donde cada pieza se conecta con las demás.

La inteligencia artificial está transformando organizaciones y sociedades a una velocidad sin precedentes, y con ese poder llega la responsabilidad de gestionarla de forma segura, transparente y justa. Como auditor interno de un SGIA, tu papel no es burocrático: eres una de las personas que ayuda a que la IA se desarrolle y se use de manera confiable, protegiendo a las personas y fortaleciendo a las organizaciones. Ese es un rol que importa, y ahora estás preparado para ejercerlo. Mucho éxito en tu examen I42001IA, y más aún en el ejercicio profesional que viene después.