V.

NO CONFORMIDADES Y
ACCIONES CORRECTIVAS
Pág. 1 de 3

NO CONFORMIDADES
Y
ACCIONES CORRECTIVAS

Elaborado y/o revisado Aprobado:

Responsable de seguridad Dirección.

01/04/2015 v3 1/06/2012
 V. 3

NO CONFORMIDADES Y
ACCIONES CORRECTIVAS
Pág. 2 de 3

Objetivo

El objeto del presente documento es definir la sistemática para la gestión de

las no conformidades y acciones correctivas del sistema de gestión de
seguridad de la información (SGSI) de la organización.

Responsabilidades

Cualquier empleado puede notificar una no conformidad al responsable del

SGSI a través de cualquier canal de comunicación. Éste es el encargado de
registrarlas. Serán revisadas por el comité de seguridad.

No conformidades

Las no conformidades del sistema son causadas por

incumplimientos de los requisitos dispuestos en el estándar ISO
27001 o por incumplimiento de los procedimientos implantados y
operados en el SGSI. Pueden ser halladas bien en las auditorías internas
y/o externas o durante el ciclo de vida del SGSI.
Cualquier persona, tanto interna como externa, podrá notificar no
conformidades, que deberán ser evaluadas por el responsable del SGSI para
establecer si realmente se trata de una no conformidad del sistema.
Una vez establecido el hallazgo de una no conformidad se deberán
documentar las acciones correctivas a tomar para solucionarla y activar el
procedimiento de gestión de cambios en el caso que sea necesario.

Las acciones a tomar, serán:

 Registrar la no conformidad.
 Analizar la causa raíz y ver si realmente se trata de una no
conformidad.
 Proveer una solución.
 Activar el proceso de gestión de acciones correctivas y seguirlo hasta
el final.

Acciones correctivas
 V. 3

NO CONFORMIDADES Y
ACCIONES CORRECTIVAS
Pág. 3 de 3

La organización debe determinar la acción para eliminar la causa de las no

conformidades del SGSI para evitar su repetición. Las acciones correctivas
tomadas deben ser apropiadas para mitigar el impacto de los problemas
detectados. El procedimiento documentado de la acción correctiva debe
definir los requerimientos para:
 Identificar las no conformidades ocurridas.
 Analizar sus causas.
 Evaluar la necesidad para la acción correctiva para evitar la
repetición de las no conformidades.
 Determinar e implementar la acción correctiva necesaria.
 Registrar los resultados de la acción tomada.
 Revisar la acción correctiva tomada.

Registro de no conformidades y acciones correctivas.

Las no conformidades y acciones correctivas se registrarán mediante el

gestor documental de la organización, Redmine, a través de la URL:
http://192.168.2.3:888/redmine/projects/iso27001
Será por tanto necesario autenticarse en el gestor documental para poder
registrar una acción correctiva (y para modificarla, pero no para su
consulta).
Las no conformidades y acciones correctivas se darán de alta mediante la
pestaña “Nueva petición”. Para ello crearemos una nueva petición de “tipo”
“Acción correctiva | No conformidad” e introduciremos los campos:
 Tipo* = “Acción correctiva | No conformidad”
 Asunto*
 Descripción*
 Estado *
 Prioridad *
 Tarea padre* (Si la acción c proviene de una No conformidad)
 Fecha de inicio
 Fecha fin
 Tiempo estimado Horas
 % Realizado
(Los campos con * son obligatorios)
Es usual que una “Acción correctiva” provenga de una “No conformidad”.