¿Cómo elegir un consultor de ISO 27001 en México?

Al elegir un consultor de ISO 27001 en México, evalúa cinco criterios objetivos: la certificación real del consultor (Auditor Líder, no solo "especialista"), si trabajas directo con quien ejecuta o con un equipo junior, si el alcance cubre solo compliance o también áreas relacionadas como costos de nube y retención de clientes, la transparencia de precio antes de firmar, y si el acompañamiento continúa después de la certificación o termina ahí.

¿Qué certificación debe tener realmente un consultor de ISO 27001?

Busca específicamente el título "Auditor Líder" (Lead Auditor) certificado en ISO/IEC 27001:2022 — es distinto a un curso introductorio o una certificación de "especialista". El Auditor Líder está formado específicamente en cómo se ejecuta una auditoría real, no solo en la teoría del estándar. Pregunta directamente: "¿tienes la certificación de Auditor Líder vigente, y en qué año la obtuviste?"

¿Es mejor una consultora grande (con plataforma y equipo) o un consultor independiente?

Depende de tu tamaño y necesidad, pero hay una diferencia real que vale la pena entender — y una pregunta específica que pocas empresas hacen: "¿con quién voy a hablar realmente durante el proyecto — con la persona certificada que aparece en su sitio, o con un consultor junior asignado a mi cuenta?" Muchas firmas anuncian "acceso directo sin intermediarios" como diferenciador, pero siguen operando con equipos donde el experto senior vende y un consultor junior ejecuta. Pide que te lo confirmen explícitamente por escrito.

Para startups y empresas en etapa de Diagnóstico o primera implementación, el modelo boutique suele ofrecer mejor relación de atención por peso invertido — para organizaciones grandes con necesidad de monitoreo de seguridad operativa 24/7, una plataforma con más infraestructura puede justificarse.

¿El consultor debe usar inteligencia artificial en el proceso?

Es una pregunta cada vez más relevante. La IA bien aplicada acelera la generación y el mantenimiento de documentación — políticas, matrices de riesgo, borradores de la Declaración de Aplicabilidad — sin reemplazar el criterio de quien audita. Pregunta directamente si el consultor la usa y cómo, porque puede traducirse en menor costo o menor tiempo de proyecto sin sacrificar calidad — pero desconfía de cualquiera que ofrezca "certificación 100% automatizada": el criterio experto en la interpretación de hallazgos y decisiones de riesgo sigue siendo insustituible.

¿El consultor debe cubrir solo ISO 27001, o también temas relacionados?

Esto depende de qué tan aislado esté tu problema. En la práctica, las empresas que necesitan ISO 27001 casi siempre tienen, al mismo tiempo, dos problemas adicionales que rara vez se atienden juntos: gasto de nube sin control (FinOps) y falta de visibilidad sobre la salud de sus cuentas clave (Customer Success). Un consultor que cubre los tres frentes evita que contrates tres proveedores que no se coordinan entre sí — pero solo tiene sentido si de verdad necesitas los tres; si tu único problema es compliance, un especialista puro también es una opción válida.

¿Cómo debe verse la transparencia de precio antes de contratar?

Un consultor serio debe poder explicarte, antes de cotizar el proyecto completo, un desglose claro: costo de diagnóstico, costo de implementación, y si la auditoría del organismo certificador está incluida o se cotiza aparte (casi siempre es aparte, y es normal). Desconfía de cualquier cotización que no separe estos tres componentes.

¿El acompañamiento debe terminar en la certificación?

No debería. Un SGSI que se certifica y luego se abandona documentalmente falla en la siguiente auditoría de vigilancia (la mayoría de las certificaciones requieren auditorías anuales de seguimiento). Pregunta explícitamente si el consultor ofrece algún esquema de mantenimiento o verificación periódica post-certificación, y a qué costo.

Resumen — checklist de 6 preguntas antes de contratar

1. ¿Tienes certificación vigente de Auditor Líder ISO 27001:2022? 2. ¿Voy a trabajar directo contigo, o con un equipo junior bajo tu supervisión? ¿Me lo confirmas por escrito? 3. ¿Cubres solo compliance, o también costos de nube y salud de cuentas si los necesito? 4. ¿Puedes desglosarme el precio en diagnóstico, implementación, y auditoría externa por separado? 5. ¿Usas inteligencia artificial para acelerar documentación, y cómo se refleja eso en tiempo o costo? 6. ¿Qué pasa después de la certificación — hay algún acompañamiento continuo disponible?