Auditoría informática: tipos, fases y cómo preparar el inventario de activos de TI
¡De la teoría a la práctica – conoce Timly ahora!
Una auditoría informática, también llamada auditoría de TI o IT audit, comprueba si los sistemas, los datos y los controles tecnológicos de una empresa funcionan como deben. Antes de contratarla conviene saber qué tipo necesitas, si te la exige alguna norma en España y qué datos tienes que tener listos, empezando por el inventario de activos de TI.
Qué es una auditoría informática y para qué sirve
Una auditoría informática es una revisión sistemática de los sistemas, los procesos y los controles tecnológicos de una organización. Su enfoque depende del objetivo y del alcance, pero suele contrastar lo que la empresa declara en sus políticas y su documentación con lo que sucede realmente en equipos, redes, aplicaciones y accesos.
El resultado suele ser un informe con hallazgos, conclusiones y, cuando corresponde, recomendaciones o acciones correctivas; su contenido depende del tipo de auditoría y de los criterios aplicables. Sirve para detectar riesgos antes de que se conviertan en incidentes, aportar evidencias sobre la eficacia de los controles y ayudar a clientes, auditores o administraciones a valorar su cumplimiento. También permite decidir con datos dónde invertir.
No conviene confundirla con un inventario ni con una consultoría. El inventario responde a qué hay, la auditoría a si lo que hay está controlado y es fiable, y la consultoría a cómo mejorarlo. Por eso una auditoría informática suele apoyarse en el inventario, no sustituirlo.
Tipos de auditoría informática
No hay una única forma de auditar un entorno tecnológico. Las auditorías se distinguen por su objetivo y por quién las realiza.
| Tipo | Qué revisa | Quién suele realizarla |
|---|---|---|
| Sistemas y aplicaciones (auditoría de sistemas) | Funcionamiento, accesos y calidad de los datos de aplicaciones o sistemas concretos | Especialistas de TI o auditores de sistemas |
| Cumplimiento | Adecuación a normas, contratos y políticas, como el RGPD o el ENS | Auditores internos o externos |
| Controles y riesgos | Eficacia de los controles generales: accesos, copias de seguridad y cambios | Auditoría interna o externa, según el alcance |
| Operativa | Eficiencia y uso real de los recursos tecnológicos | Equipo de TI o auditoría interna |
| Activos y licencias | Hardware, software y contratos frente al inventario, los registros de uso y las condiciones de licencia aplicables | TI, con apoyo de compras y finanzas |
Según quién la realiza
La auditoría interna la realiza personal de la propia organización o personas que actúan en su nombre, con la objetividad necesaria respecto de lo que revisan. La externa la lleva a cabo una entidad ajena, por ejemplo un cliente, una firma auditora o un organismo de certificación, según el objetivo.
En TI, la auditoría interna suele servir para prepararse y detectar desviaciones a tiempo. La externa se contrata cuando lo exige un contrato, una certificación o una administración, o para obtener una opinión independiente. Qué distingue a ambas en independencia, informe y obligatoriedad está en la guía de auditoría interna.
Auditoría de seguridad: qué revisa y qué papel tiene el inventario
La auditoría de seguridad informática, o de ciberseguridad, analiza vulnerabilidades, configuraciones, accesos y medidas de protección. Puede incluir pruebas técnicas como el escaneo de vulnerabilidades o el hacking ético. La realizan especialistas y queda fuera del alcance de esta guía.
Depende, sin embargo, del inventario: un equipo que no figura en el inventario puede quedar fuera de los procesos de actualización, supervisión y copia de seguridad, lo que dificulta comprobar si está protegido. Para el marco de gestión de la seguridad de la información, la guía de ISO 27001 explica la norma de referencia.
Fases de una auditoría informática
Un proceso de auditoría suele incluir planificación, recopilación de evidencias, evaluación de los hallazgos, informe y, cuando corresponde, seguimiento, como describen las fases del proceso de auditoría interna. Su denominación depende del tipo de auditoría y del marco utilizado, y algunas actividades, como la recopilación y las pruebas, pueden solaparse. En una auditoría informática lo específico es qué se comprueba en cada etapa.
| Fase | Qué se hace en TI | Evidencia habitual |
|---|---|---|
| Planificación | Delimitar sistemas, sedes y tipos de activos, revisar informes anteriores y fijar los criterios de referencia | Inventario existente, contratos, esquema de red |
| Recopilación | Contrastar el inventario con lo que hay: descubrimiento en red, documentos de compra y muestreo físico | Exportaciones de consolas, facturas, número de serie y etiqueta |
| Pruebas de controles | Revisar accesos, copias de seguridad, actualizaciones y gestión de cambios | Registros (logs), capturas y entrevistas |
| Informe | Clasificar los hallazgos y proponer acciones | Informe con recomendaciones |
| Seguimiento (si procede) | Verificar el avance y el cierre de las acciones acordadas | Plan de acción actualizado |
El alcance se decide por riesgo: se empieza por los sistemas, las sedes y los activos más críticos y se amplía después. Una revisión parcial, limitada a los equipos o a las licencias, puede ser adecuada si tiene un objetivo y un alcance definidos. Si forma parte de una auditoría exigida por una norma o un contrato, debe cumplir además los requisitos aplicables.
Ejemplo hipotético: el inventario de una empresa lista 120 portátiles y el descubrimiento en red detecta 131 equipos activos. Esas 11 diferencias ya son un hallazgo: equipos sin ficha, préstamos sin registrar o dispositivos ajenos conectados.
¿Es obligatoria una auditoría informática? Marco normativo en España
Ninguna de las normas siguientes impone una auditoría informática a todas las empresas. Cada una se aplica en supuestos concretos, y conviene saber cuál te afecta.
| Norma | Qué establece | A quién afecta |
|---|---|---|
| Real Decreto 311/2022 (ENS), artículos 31 y 38 | Como regla general, auditoría ordinaria al menos cada dos años y extraordinaria si hay modificaciones sustanciales que puedan afectar a las medidas de seguridad (art. 31). En los sistemas de categoría BÁSICA, el anexo III prevé una autoevaluación documentada en lugar de una auditoría obligatoria. La conformidad de los de categoría MEDIA o ALTA requiere una auditoría de certificación, y los BÁSICOS también pueden someterse a ella (art. 38) | Al sector público y a las empresas privadas que, por contrato, prestan servicios o proveen soluciones a entidades públicas, en los sistemas y servicios afectados (artículo 2) |
| RGPD, artículo 32.1.d | Exige un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas de seguridad | A responsables y encargados del tratamiento de datos personales; no habla de una «auditoría informática» con ese nombre |
| ISO/IEC 27001 | Norma voluntaria para establecer y mejorar un sistema de gestión de la seguridad de la información. La organización puede solicitar una certificación independiente mediante una auditoría de certificación | A quien decide adoptarla o a quien un cliente se la exige |
| Código de Comercio, artículos 25 y 28 | Exige llevar una contabilidad ordenada y un libro de Inventarios y Cuentas anuales, en el que se transcriben el inventario de cierre del ejercicio y las cuentas anuales | A los empresarios sujetos a estas obligaciones contables. Un inventario operativo de activos de TI puede ayudar a identificar los equipos, pero no sustituye al inventario contable |
Consejo práctico
La auditoría del ENS no equivale a una auditoría informática general: verifica los requisitos del propio ENS. Si tu empresa presta servicios a la Administración, confirma con quien lleve vuestro cumplimiento si el ENS os aplica y con qué categoría de sistema, porque de eso depende que corresponda una auditoría o una autoevaluación.
Auditoría de activos de TI: qué se revisa y cómo preparar el inventario
Es la parte de la auditoría que la propia empresa puede ordenar de antemano: qué se comprueba en equipos y licencias y cómo dejar listo el inventario.
Qué se revisa en una auditoría de activos de TI
Dentro de la gestión de activos TI (ITAM), se comprueban cuatro áreas.
| Área | Qué se comprueba |
|---|---|
| Hardware y equipos | Ordenadores, servidores, móviles y equipos de red del parque informático: estado, garantía, usuario y ubicación |
| Software y licencias | Versiones instaladas, número de licencias adquiridas frente al número de instalaciones y usuarios cubiertos por ellas, y aplicaciones o servicios de TI utilizados sin la autorización o supervisión correspondiente (shadow IT) |
| Accesos | Cuentas de personas que ya no están en la empresa y permisos que no corresponden |
| Contratos y costes | Mantenimiento, alquileres, suscripciones y fechas de renovación |
La revisión de licencias tiene su propia guía de licencias de software (SLM).
Cómo preparar el inventario antes de la auditoría
- Unifica las fuentes en un único registro: listas sueltas, facturas y datos de consolas. Cómo estructurarlo está en la guía de registro de activos.
- Identifica cada equipo con un número de inventario y una etiqueta, para poder cotejarlo con el registro.
- Asigna un responsable a cada equipo y a cada licencia.
- Concilia con la realidad mediante descubrimiento en red o muestreo físico, y corrige las diferencias antes de que las encuentre el auditor.
- Registra altas, bajas y traslados desde ese momento, no solo cuando llega la auditoría.
- Da de baja con trazabilidad lo obsoleto. La guía de ITAD explica el borrado seguro y la baja documentada.
Del inventario a la evidencia de auditoría con Timly
Una auditoría pide demostrar qué hay, quién responde de ello y qué ha cambiado. En Timly, cada equipo tiene una ficha con su responsable, su ubicación y un historial de cambios, y los contratos y documentos se guardan junto a cada activo. Al escanear la etiqueta con el móvil se abre la ficha, lo que permite cotejar un equipo físico con su registro en el momento.
Para la fase de recopilación, Timly permite importar los dispositivos que Lansweeper descubre al escanear la red y vincularlos con los activos ya registrados por número de serie o dirección MAC, cuando esos datos están disponibles. Esto facilita contrastar lo detectado con el inventario y revisar las diferencias.
Timly no realiza la auditoría ni sustituye el criterio del auditor: aporta datos centralizados y trazables sobre los que trabajar. Comprueba cómo quedaría tu inventario preparado para una auditoría:
Conclusión: por dónde empezar según tu situación
La auditoría que te conviene depende de lo que te obligan a cumplir, de lo que te piden y de lo que sabes de tus equipos:
- Si no tienes un inventario fiable de equipos y licencias, empieza por revisar y conciliar los activos registrados: sin esa base, otras comprobaciones pueden partir de información incompleta.
- Si prestas servicios al sector público, confirma cuanto antes si te aplica el ENS.
- Si tratas datos personales, comprueba que existe un proceso regular para verificar tus medidas de seguridad y valora, según el riesgo y las obligaciones aplicables, una auditoría de seguridad a cargo de especialistas.
- Si un cliente o una certificación te la exige, contrata la auditoría externa que pidan y prepárala antes con una revisión interna.
Preguntas frecuentes sobre la auditoría informática
La norma ISO 19011 proporciona directrices para auditar sistemas de gestión. La edición vigente es ISO 19011:2026, que mantiene los siete principios de auditoría: integridad, presentación imparcial, debido cuidado profesional, confidencialidad, independencia, enfoque basado en la evidencia y enfoque basado en el riesgo. No son específicos de las auditorías de TI, pero sirven de referencia para revisar con objetividad y documentar los hallazgos: por ejemplo, cada hallazgo debería apoyarse en registros verificables.
Muchas guías las usan como sinónimos. Cuando se distinguen, la auditoría informática abarca el conjunto de la infraestructura tecnológica (equipos, redes, software y políticas), y la de sistemas se centra en aplicaciones y sistemas concretos y en cómo circula la información por ellos.
En buena parte, sí. Los documentos, las exportaciones de consolas, los registros y las demostraciones en directo se revisan por pantalla. Lo que no se ve así es el estado físico: etiquetas, equipos guardados en un armario o préstamos sin devolver. Para comprobar esos aspectos puede ser necesaria una visita o una verificación física en el sitio, por ejemplo escaneando las etiquetas de los equipos. La edición de 2026 de ISO 19011 amplía precisamente la guía sobre auditoría remota.
Un criterio práctico es ordenarlos por impacto y probabilidad: primero lo que expone datos personales o accesos, después los riesgos económicos, como licencias y contratos, y por último las mejoras de eficiencia. Cada acción debería tener un responsable y un plazo, y el seguimiento comprueba que se cierra.
Depende del riesgo y de los cambios, más que del calendario. Tiene sentido repetirla o ampliarla tras una migración, un incidente de seguridad, un cambio de proveedor, una fusión o la apertura de una sede. Entre auditorías completas, conciliar el inventario con regularidad mantiene la base al día.
