Evidencia de auditoría y no conformidad

La norma ISO 19011 define la evidencia de auditoría como registros, declaraciones de hechos u otra información pertinente a los criterios de auditoría y verificable. Se obtiene por muestreo, mediante entrevistas, observación y revisión de documentos y registros, y su confiabilidad depende de la fuente: un registro de sistema independiente suele pesar más que una declaración verbal. Comparar la evidencia con los criterios produce los hallazgos, que pueden mostrar conformidad, no conformidad u oportunidades de mejora.

Una no conformidad es el incumplimiento de un requisito de la norma, de la ley o de la política de la propia organización. Los organismos de certificación que siguen la ISO/IEC 17021-1 suelen clasificarla como mayor, cuando compromete la capacidad del sistema de lograr sus resultados, o menor. Según la cláusula 10.2 de la ISO/IEC 42001 y de la ISO/IEC 27701, la organización debe reaccionar, analizar la causa raíz, tomar acciones correctivas y conservar información documentada de los resultados.

En auditorías de IA, la evidencia típica incluye fichas de modelo, linaje de datos, resultados de pruebas, registros de monitoreo y aprobaciones. Ejemplo: el auditor muestrea cinco sistemas de IA, encuentra dos sin evaluación de impacto documentada y registra una no conformidad.