¿Qué exige este criterio?
El CAB realiza primero una revisión documental del paquete antes de la fase in situ. Si el paquete está incompleto, el CAB no puede comenzar la revisión documental y la fecha de la auditoría in situ puede retrasarse. El paquete debe incluir: (1) DPC/ERDS-PS vigente; (2) análisis de riesgos actualizado; (3) política de seguridad; (4) procedimientos operativos clave; (5) evidencias de conformidad técnica (configuraciones, logs, certificados); (6) plan de continuidad; (7) plan de terminación; (8) resultados de revisiones internas.

¿Qué hay que revisar al cliente?

• Índice del paquete documental previsto para el CAB.
• Completitud: ¿están todos los documentos listados disponibles y actualizados?
• Fecha de entrega al CAB: ¿30-45 días antes de la auditoría in situ?
• Acuse de recibo del CAB.
• Comentarios del CAB sobre la revisión documental previa.

Preguntas clave para las entrevistas

• ¿Está preparado el paquete documental completo para entregar al CAB?
• ¿Todos los documentos del paquete están actualizados (versión vigente)?
• ¿Se ha estimado el tiempo necesario para preparar y revisar el paquete?
• ¿Hay documentos críticos que aún no existen o están en borrador?

¿Por qué es esencial para QERDS y TSA?
Una documentación incompleta al inicio de la auditoría tiene dos consecuencias: retrasa la fecha de auditoría in situ (el CAB necesita el paquete completo para prepararla) y puede indicar al auditor que el sistema de gestión no está maduro. La preparación del paquete documental es el trabajo más crítico de la fase de preparación para la auditoría.

Evidencia que demostraría conformidad

• Índice del paquete documental.
• Estado de completitud: ¿qué documentos están listos y cuáles en proceso?
• Fecha de entrega prevista al CAB.