GUÍA DE IMPLEMENTACIÓN Código: 01GUAI INTRODUCCIÓN Estimado lector, Esta guía fue creada para apoyarle en el establecimiento e implementación de lo indicado en los numerales 4.5.4.2 Auditoría interna de la norma NMX-I-20000-1-NYCE versión 2012, incluida en este KIT KWE 20000 V.2 y esta estructurada de la siguiente forma: Introducción: Se explica el objetivo, la estructura y contenido de esta guía. Guía de inicio: Guía de implementación, en ella se proporciona las actividades sugeridas para la implementación y se hace referencia a los diferentes documentos de apoyo incluidos en este kit. Diagrama de entradas y Salidas: En este diagrama se indican las entradas necesarias para la implementación y las salidas que debe generar este proceso durante su ciclo de vida; Establecimiento, Implementación, Operación y Mantenimiento. Relación entre procesos: En esta tabla se identifican las relaciones con otros procesos o áreas, así como los productos necesarios para la implementación de este proceso como sus productos de salida. Principales retos: En esta parte se mencionan algunos retos que el responsable del proceso, puede enfrentar al momento de implementar el proceso, y medidas para mitigarlos. Lista de verificación: Lista que proporciona un mapeo de los requerimientos de la norma con la documentación del proceso proporcionada en este kit para verificar su cumplimiento. Está guía está diseñada para que de manera autónoma analice los requisitos de la norma, establezca e implemente el proceso aunque es recomendable tomar capacitación con expertos en Sistemas de Gestión de Servicios para una mejor interpretación de los requisitos. Este kit cuenta con información y formatos sugeridos de manera que las etapas de establecimiento e implementación estén cubiertas en un 80%, el 20% restante corresponde a la alineación de los procesos a la operación de su organización. Mientras que las etapas de operación y mantenimiento corresponden a la generación de registros que únicamente pueden ser generados por su propia organización. Los comentarios e ideas emitidos en este Kit están basados en la experiencia y prácticas comunes de la industria, sin embargo el éxito de la implementación de un Sistema de Gestión de Servicios (SGS) depende en mayor medida, de una buena alineación con la operación de su organización, por lo que usted puede o no tomarlas en consideración e utilizar algunas otras que le permitan el cumplimiento con la norma. Esperamos que esta guía le sea de gran utilidad y agradecemos su interés en nuestros productos y servicios. Atentamente Equipo de Trabajo KWE 20000 1 GUÍA DE INCIO 1. VEA la presentación a los Sistemas de Gestión Este kit incluye una presentación de inducción y glosario general de términos a los Sistemas de Gestión de Servicios SGS, esta actividad le ayudará a entender de forma general qué es un SGS y sus beneficios, especialmente sí este es su primer acercamiento. Adicionalmente es recomendable que lea los numerales 0 Introducción, 2 Referencias Normativas y 3 Términos y Definiciones de la norma. Documentos Relacionados Presentación Introducción a los Sistemas de Gestión de Servicios 20000-1 2011 |Carpeta: 00 Documentos y Formatos generales para todo el personal Glosario General del SGS |Carpeta: 00 Documentos y Formatos generales para todo el personal Norma NMX-I-20000-1-NYCE-2012| Kit KWE 2. LEA toda la norma La norma mexicana NMX-I-20000-1-NYCE-2012 es la homóloga de la norma internacional ISO/IEC 20000-1:2011 y contienen exactamente los mismos requisitos para un Sistema de Gestión de Servicios Este kit contiene un ejemplar de la norma mexicana. Ambas normas son normativas, es decir, son las normas que utilizan los auditores internos y externos para evaluar el cumplimiento de los Sistemas de Gestión de Servicios, por lo que es importante que identifique los requisitos correspondiente al numeral 4.5.4.2 Auditoría interna algunos otros requisitos están escritos en otros numerales como los referenciados a continuación: “4.5.4.1 Generalidades Los objetivos de todas las auditorías internas y las revisiones por la dirección deben ser documentados. Las auditorías internas y las revisiones por la dirección deben demostrar la capacidad del SGS y los servicios para lograr los objetivos de la gestión del servicio y la conformidad con los requisitos del servicio.” “9.1 Gestión de la configuración El Proveedor del Servicio debe auditar los registros almacenados en la BDGC a intervalos planificados.” “6.6.1 Política de seguridad de la información e) Asegurar que se realizan auditorías internas de seguridad de la información; f) Asegurar que los resultados de las auditorias son revisados para identificar oportunidades de mejora.” 2 GUÍA DE INCIO Documentos Relacionados Norma NMX-I-20000-1-NYCE-2012| Kit KWE 3. SUBRAYE los debes de la norma Mientas realiza la actividad anterior subraye cada “debe” relacionado a este numeral, cada uno de ellos son requisitos que deberá cumplir. Adicionalmente identifique los “debes” compuestos o anidados. Ejemplo: “El Proveedor del Servicio debe llevar a cabo auditorías internas en intervalos planificados para determinar si el SGS y los servicios: a) Cumplen con los requisitos de esta norma ISO/IEC 20000-1; b) Cumplen con los requisitos del servicio y los requisitos del SGS identificados por el Proveedor del Servicio; c) Son implementados y mantenidos eficazmente. Debe existir un procedimiento documentado incluyendo las autorizaciones y responsabilidades para la planificación y realización de auditorías, informe de resultados y mantenimiento de los registros de auditoría.” Aunque en el párrafo citado solo hay un “debe”, se puede observar diferentes requisitos subrayados con líneas en zigzag Documentos Relacionados Norma NMX-I-20000-1-NYCE-2012| Kit KWE 3 GUÍA DE INCIO 4. IDENTIFIQUE relaciones con otros procesos y productos de trabajo Identifique los productos de trabajo y relaciones con otros procesos por ejemplo: “4.5.4.3 Revisión por la dirección Las entradas para las revisiones por la dirección deben incluir al menos información sobre f) Resultados y acciones de seguimiento de auditorías; 9.1 Gestión de la configuración El Proveedor del Servicio debe auditar los registros almacenados en la BDGC a intervalos planificados. 6.6.1 Política de seguridad de la información e) Asegurar que se realizan auditorías internas de seguridad de la información; f) Asegurar que los resultados de las auditorias son revisados para identificar oportunidades de mejora.” En el párrafo anterior se puede identificar una relación con los procesos de Gestión de la Configuración y Seguridad de al información y con el meta proceso de Revisión por la dirección. Esta guía contiene un diagrama de entradas y salidas y una tabla de relaciones de procesos con productos de entrada y salida basada en 4 etapas: Establecimiento, Implementación, Operación y mantenimiento para estos numerales. En la carpeta” 01 Documentos y Formatos generales para todo el personal” incluye un matriz de relaciones que puede editar para alinearla a la operación de su organización. También contiene otros formatos generales que podrá utilizar durante la operación del SGS una vez aprobados. Recuerde que el SGS es un sistema con procesos integrados, por lo que para implementar adecuadamente su proceso necesitará de información de otros procesos o áreas. Es recomendable tomar capacitación sobre la norma para una mejor interpretación de la norma y mayor entendimiento de la relación entre procesos. Documentos Relacionados Norma NMX-I-20000-1-NYCE-2012| Kit KWE Matriz de relaciones del SGS |Guía de responsabilidad de la dirección Formatos generales del SGS | 01 Documentos y Formatos generales para todo el personal 4 GUÍA DE INCIO 5. ANALICE el material de este Kit El Kit KWE 2.0 incluye una carpeta llamada “06 Auditorias internas” con formatos de los productos de trabajo descritos a continuación. PRODUCTOS DE TRABAJO AIPR01 Procedimiento de Auditorías Internas |Carpeta 06 Auditorias internas AIAX01 Calendario de Auditorías internas |Carpeta 06 Auditorias internas AIPL01 Plan de Auditoría Interna |Carpeta 06 Auditorias internas AILT01 Lista de verificación ISOIEC2000012011 |Carpeta 06 Auditorias internas AIRP01 Informe de Auditoría Interna |Carpeta 06 Auditorias internas AIRP01 Informe del Procedimiento de Auditorías Internas|Carpeta 06 Auditorias internas Mientras revisa la información del kit. Trate de contestar estas preguntas ¿Cuenta con un procedimiento? ¿Realiza esa actividad? ¿El mecanismo indicado es el mismo o cambia? ¿Tiene algún registro? Identifique al posible responsable de cada una de las actividades. Podrá observar que hay palabras marcadas en color gris. Esto indica que es necesaria información o que pueden modificarse. 5 GUÍA DE INCIO 6. ALINEE los documentos a su operación Si cuenta con documentación, no es necesario que utilice los formatos sugeridos en este kit, puede adecuar su propia documentación de manera que cumpla con los requisitos de la norma. En caso de que no cuente con documentación utilice los formatos sugeridos, pero alinee los mecanismos a las necesidades de su operación, es decir llene o modifique lo marcado en color gris. Una vez alineado elimine las marcas grises, especialmente en los archivos .xls o .ppt. Si no tiene clara alguna actividad o requisito puede encontrar ejemplos de implementación en la NMX-I-20000-2-NYCE o en otros documentos referenciados en el apartado Bibliografía del Glosario General del SGS. El kit incluye un plan general de implementación, la cual proporciona una secuencia de actividades para implementar todos los procesos identifique las actividades en las que participa su proceso con apoyo del responsable del SGS. Es importante que en esta etapa mantenga comunicación con el gestor de documentos y responsable del SGS debido a que existen requisitos referentes a la creación modificación y revisión de documentos. Finalmente revise el punto de “Principales retos” dónde se indican posibles medidas para contrarrestar problemas relacionados a este numeral. Documentos Relacionados Documentos de control de documentos | Carpeta 06 Auditorias internas NMX-I-20000-2-NYCE| Kit KWE Plan de implementación KIT KWE 20000 V.2 |Carpeta 00 Guía de inicio y estructura del Kit KWE 20000 V2 Glosario General del SGS | 01 Documentos y Formatos generales para todo el personal Principales retos |Guía del proceso 6 GUÍA DE INCIO 7. REVISE la lista de cumplimiento Una vez terminada la actividad anterior, revise la lista de verificación incluida en esta guía. La cual esta referenciada con los formatos incluidos en este Kit. Adicionalmente en la carpeta “00 Guía de inicio y estructura del Kit KWE 20000 V2” podrá encontrar Lista de verificación general, en formato editable, para que pueda revisar y referenciar su propia documentación Documentos Relacionados Lista de verificación |Guía del proceso Requisitos de la norma vs documentación | 00 Guía de inicio y estructura del Kit KWE 20000 V2 7 Procedimientos de gestión existentes Capacitación de auditores internos Calendario de auditorías internas Designación del grupo de auditor MANTENIMIENTO Mecanismos de comunicación OPERACIÓN Norma NMX-I-200001-NYCE IMPLEMENTACIÓN ENTRADAS ESTABLECIMIENTO DIAGRAMA DE ENTRADAS Y SALIDAS Informe de la auditoría interna realizada Métricas del metaproceso 1 Formato del calendario, plan, lista de verificación, informes del meta proceso de auditorías internas 2 Plan de auditoría Lista de verificación contra los requisitos de la norma Informe de la auditoría realizada 3 8 MANTENIMIENTO Procedimiento de Auditorías internas OPERACIÓN Políticas y especificaciones de auditorías internas IMPLEMENTACIÓN SALIDAS ESTABLECIMIENTO Auditorías Internas Comunicación de los resultados de la auditoría interna Informe del metaproceso de auditorías internas Planes de acciones correctivas, preventivas y de mejora 4 RELACIÓN ENTRE PROCESOS ENTRADAS Proceso Proveedor SALIDAS Producto de entrada Producto de salida NYCE Norma NMX-I-20000-1-NYCE Políticas y especificaciones de auditorías internas Área de calidad, administración Mecanismos de comunicación Procedimiento de Auditorías internas Área de calidad Procedimientos de gestión existentes Responsable de recursos humanos Capacitación de auditores internos Responsable de auditorías internas Calendario de auditorías internas Alta dirección Designación del grupo de auditor Informe de la auditoría interna realizada Auditor interno Responsable de auditorías internas Métricas del metaproceso 9 Formato del calendario, plan, lista de verificación, informes del meta proceso de auditorías internas Plan de auditoría Lista de verificación contra los requisitos de la norma Informe de la auditoría realizada Comunicación de los resultados de la auditoría interna Informe del metaproceso de auditorías internas Planes de acciones correctivas, preventivas y de mejora Proceso Cliente Gestor de Configuración Gestor de Seguridad de la información Auditores internos Gestor de Configuración Gestor de Seguridad de la información Auditores internos Auditores internos Gestor de auditorías internas Gestores y responsables del SGS Auditores internos Gestores y responsables del SGS Alta dirección, Gestores y responsables del SGS Responsable de informes del Servicio Gestor de acción correctivas, preventivas y de mejora PRINCIPALES RETOS LAS AUDITORÍAS NO LOGRAN DETECTAR DESVIACIONES LA DIRECCIÓN O GERENTES NO TIENE TIEMPO PARA ATENDER LAS NO CONFORMIDADES Medidas: Solicitar ser asgine a un responsable Explicación: En la mayoría de las ocasiones los gerentes o directores no tienen tiempo suficiente para atender las no conformidades y algunas veces no conocen realmente la causa raíz de la desviación detectada, en esos casos es preferible que se solicite a un responsable que conozca la operación para que ayude al cierre de las no conformidades siempre con el visto bueno del gerente o director. Medida: Revisar criterios y el mecanismo de evaluación Explicación: Es necesario revisar que los auditores evalúen considerando todos los criterios de auditoría es decir, que evalúe los requisitos normativos, procedimientos documentados, registros o evidencias generados, para ello se puede revisar las listas de verificación documentadas y verificar si se están registrando el documento, registro o evidencia de cumplimiento e incumplimiento de los criterios mencionados. Revise y en su caso modifique la descripción de estos criterios de forma que sean claros en el procedimiento documentado. NO SE CUENTA CON AUDITORES INTERNOS CALIFICADOS NO SE CUENTA CON EXPERENCIA EN AUDITORIAS DE CERTIFICACIÓN EXTERNAS Medidas: Entrenamiento de auditores internos y auditor externos Medidas: Capacitación al personal, Pre auditoría externa. Explicación: Solicite que una persona externa que cumpla con la competencia necesaria de acuerdo a lo establecido en el procedimiento de auditorías internas documentado realice la auditoría interna, solicite las evidencias que comprueben su competencia y pida también que personal de su organización participe en el ejercicio como auditores en entrenamiento. Capacite previamente a su personal en cursos de Formación de Auditores e interpretación de la norma NMX-I-NYCE 20000-1. Explicación: Solicite al grupo auditor y área de capacitación, se 10 lleve acabo un curso de capacitación a todo el personal que participe en el SGS de forma que conozcan los criterios, métodos de auditoria aplicables y etapas del proceso de certificación del organismo de certificación. Solicite a su organismo de certificación una pre auditoria externa uno o dos meses antes de la auditoría de certificación de forma que el personal conozca el ejercicio previamente. LISTA DE VERIFICACIÓN 4.5.4.2 Auditoría interna El Proveedor del Servicio debe llevar a cabo auditorías internas en intervalos planificados para determinar si el SGS y los servicios: a) Cumplen con los requisitos de esta norma ISO/IEC 20000-1; b) Cumplen con los requisitos del servicio y los requisitos del SGS identificados por el Proveedor del Servicio; c) Son implementados y mantenidos eficazmente. Debe existir un procedimiento documentado incluyendo las autorizaciones y responsabilidades para la planificación y realización de auditorías, informe de resultados y mantenimiento de los registros de auditoría. Debe planificarse un programa de auditoría. Este debe tomar en consideración el estatus e importancia de los procesos y áreas a ser auditadas, así como los resultados de auditorías previas. SGSMN01Manual del SGS Numeral: 4.5.4.2 Auditorías internas AIPR01 Procedimiento de Auditorías Internas Política 1. Generales AIAX01 Calendario de Auditorías internas Registro generados AILT01 Lista de verificación ISOIEC2000012011 Registro generados AIRP01 Informe de Auditoría Interna Apartado IV. Descripción de los hallazgos encontrados Elemento: Descripción Requisitos / Documento Registro generados AILT01 Lista de verificación ISOIEC2000012011 AIRP01 Informe de Auditoría Interna AIPR01 Procedimiento de Auditorías Internas Elemento: Actividad y responsable Actividad 4 Planeación, 6 Desarrollo de la auditoría,7 Elaboración del informe y 11 Resguardo de los registros AIPL01 Plan de Auditoría Interna Elemento: Proceso, Área(s) a auditar y Revisión de hallazgos de auditorías Previas (Cuando aplique) El criterio de auditoría, alcance, frecuencia y métodos deben ser documentados. AIPL01 Plan de Auditoría Interna Elemento: Criterios de auditoría, alcance Métodos AIAX01 Calendario de Auditorías internas La selección de auditores y la realización de auditorías deben asegurar la objetividad e imparcialidad de la auditoría. AIPR01 Procedimiento de Auditorías Internas Política 2. Selección del Grupo Auditor Los auditores no deben auditar su propio trabajo. Las no conformidades deben ser comunicadas, priorizadas y contar con un responsable asignado para tomar acciones. 11 AIPR01 Procedimiento de Auditorías Internas Política 2. Selección del Grupo Auditor AIRP01 Informe de Auditoría Interna Apartado IV. Descripción de los hallazgos encontrados GAPL01 Plan de acción Elemento: Prioridad, Responsable de la acción LISTA DE VERIFICACIÓN El responsable de la dirección del área que está siendo auditada debe asegurar que cualquier corrección y acción correctiva son realizadas sin retrasos indebidos para eliminar las no conformidades y sus causas. GAPR01 Procedimiento de acciones correctivas preventivas y de mejora Política 1. Generales El seguimiento de actividades debe incluir la verificación de las acciones realizadas y el informe de resultados. GAPL01 Plan de acción Apartado VII. Eficacia de la acción realizada GALT01 Listado de acciones GARP01 Informe del procedimiento de acciones correctivas preventivas y de mejora. 12
