La revisión por la dirección: el management review sin carácter de trámite
La revisión por la dirección es obligatoria en todas las normas ISO y suele ser el documento más formal del sistema: un acta escrita a posteriori la víspera de la auditoría. Pero fue concebida como la reunión del año sobre el sistema. Así se le devuelve el sentido.
Qué es en realidad
Una vez al año (mejor semestralmente), la alta dirección mira el sistema como un activo del negocio: qué aportó, dónde duele, dónde invertir. No es un informe de seguridad «para el director» — son las decisiones del director sobre la seguridad.
Las entradas (agenda)
- Estado de las decisiones de la revisión anterior;
- cambios del contexto: nuevos mercados, clientes, regulación (NIS2, DORA, AI Act);
- métricas y cumplimiento de objetivos;
- resultados de auditorías, incidentes, estado de las acciones correctivas;
- riesgos y oportunidades, feedback de clientes;
- suficiencia de recursos.
La salida: decisiones, no «tomamos nota»
Un buen acta es concreta: «asignar presupuesto para MDM antes del Q2», «contratar auditor freelance para las internas», «revisar el objetivo X». Cada decisión con responsable y plazo. Eso busco en el acta durante la auditoría: si la dirección decide con datos.
El formato para una empresa pequeña
90 minutos, un dashboard de métricas preparado, 5–7 diapositivas, un acta viva de una página. Puede unirse a la revisión trimestral del negocio — siempre que los puntos de la norma queden cubiertos y las decisiones registradas.
Lea también
- Métricas de seguridad de la información
- Acciones correctivas y no conformidades
- Auditorías de seguimiento
Autor — Kyrylo Proskurnya, Auditor Jefe ISO y experto internacional en sistemas de gestión. Realizo auditorías de certificación y auditorías internas ISO 27001, ISO 9001, ISO 27701 e ISO 42001 para empresas de España, Europa y EE. UU. Sobre mí · Solicitar una consulta