Definición de Criterios y Alcance de la Evaluación

Antes de iniciar el trabajo de campo, el equipo auditor debe definir con precisión los criterios contra los cuales se va a evaluar, es decir, la norma, política interna o marco de control que servirá como vara de medición, junto con el alcance concreto de sistemas, procesos y periodos que cubrirá la evaluación. Sin criterios explícitos, dos auditores pueden llegar a conclusiones distintas frente a la misma evidencia, simplemente porque cada uno aplicó un estándar diferente de forma implícita. En la práctica, esta definición se documenta en un plan de auditoría que las partes interesadas revisan y aprueban antes de comenzar, evitando así discusiones posteriores sobre si un hallazgo es válido o si un área quedaba realmente dentro del alcance acordado. Un error común es fijar criterios demasiado generales, como cumplir con buenas prácticas de la industria, en lugar de referencias verificables y medibles.