Dos ciclos de vigilancia sin no conformidades: cómo Kata Software mantuvo ISO 9001, ISO 27001 y SOC 1 en 2025 y 2026

Kata Software, plataforma SaaS que opera para instituciones financieras en Latinoamérica, mantuvo en dos ciclos consecutivos de auditoría de vigilancia (2025 y 2026) la vigencia de los certificados emitidos en 2024 —válidos hasta 2027— de su Sistema de Gestión Integral en ISO 9001:2015 e ISO 27001:2022, con cumplimiento de ISO 27017 e ISO 27018, y obtuvo un informe SOC 1 Tipo 2 favorable sobre sus dos plataformas productivas. Ambos ciclos cerraron con la recomendación del organismo certificador de mantener la certificación, sin no conformidades.

El resultado en una tabla

El reto

Mantener una certificación es más difícil que obtenerla. Después de la auditoría inicial, el sistema depende de que decenas de personas sigan operando los controles todos los días, mientras la empresa cambia: nuevos clientes, rotación de personal, reestructuras, nuevos productos.

Además, la organización debía sostener en paralelo tres marcos (ISO 9001, ISO 27001 y SOC 1) sin duplicar esfuerzo ni evidencia, y hacerlo en un año en el que su estructura interna cambió.

Lo que hicimos

1. Un sistema integrado, no tres sistemas. Los requisitos de ISO 9001 e ISO 27001 se operaron como un solo sistema de gestión, con un mismo programa de auditoría interna, una misma revisión por la dirección y un mismo mecanismo de acciones correctivas. Eso permitió que una misma evidencia sirviera para varios marcos.

2. Auditoría interna con auditores certificados. En julio de 2025, el equipo de auditores internos obtuvo certificación como auditores (incluido un Auditor Líder en ISO 27001:2022 conforme a ISO 19011 e ISO 9001:2015). En 2025 se auditaron internamente finanzas, operaciones y soporte, y personas. En 2026 se repitió el ciclo entre julio y agosto, con Rogelio Barajas González como Auditor Líder, antes de la visita del organismo certificador.

3. Un sistema que se encuentra sus propios hallazgos. La auditoría interna de 2026 identificó no conformidades propias, entre ellas un control de revocación de accesos y la formalización del análisis de causa raíz, y cada una abrió su registro de acción correctiva con análisis de causa. Una de ellas (la planeación del control operativo) había sido señalada como oportunidad de mejora un año antes, y el sistema la escaló correctamente. Cuando llegó el organismo certificador, ya existía trazabilidad de la atención a esos hallazgos.

Esa auditoría interna fue deliberadamente exigente. El programa de 2026 dejó 34 hallazgos internos activos (14 no conformidades, 14 oportunidades de mejora y 6 observaciones), levantados por la propia organización, no por el organismo certificador, con un objetivo explícito: madurar el sistema y recuperar el nivel de eficacia "alto" que había tenido en 2025. Es la diferencia entre un sistema que espera a que alguien externo le señale lo que falla y uno que lo busca primero.

4. Gobierno de cambios y de accesos como evidencia viva. El informe SOC 1 Tipo 2 confirmó que los controles sobre cambios, accesos y operación estaban diseñados y operaron de forma efectiva durante el periodo, con observaciones puntuales sobre cómo definir excepciones para cambios urgentes y cómo evidenciar la revisión posterior a la implementación. Esas observaciones se convirtieron en acciones de mejora del procedimiento.

5. Involucramiento de la alta dirección. El organismo certificador reconoció, en su informe de 2026, el compromiso de la alta dirección y del personal entrevistado, la especialización del equipo, el cumplimiento de los objetivos del sistema y la buena comunicación para la atención y mejora.

Resultados

Cero no conformidades en dos ciclos consecutivos de vigilancia, con recomendación de mantener la certificación en ambos.

Año 1 (2025): un solo hallazgo, una oportunidad de mejora sobre los criterios para declarar una contingencia y activar el plan de recuperación. Eficacia del sistema, de la auditoría interna y de la revisión por la dirección calificada como alta. Fortalezas señaladas: competencia del personal, comunicación, mejora de procesos, asignación de personal e inversión en infraestructura tecnológica.

Año 2 (2026): observaciones de madurez sobre cómo robustecer la identificación de partes interesadas, actualizar la matriz de roles, revisar periódicamente los objetivos y documentar con más detalle las referencias a ISO 27017 e ISO 27018 en el programa de auditoría. Ninguna afectó la certificación. Se cumplieron los objetivos de la auditoría, incluso en modalidad remota, y no hubo quejas de clientes.

SOC 1 Tipo 2: informe favorable sobre las plataformas productivas para el periodo enero-octubre de 2025, útil para los auditores financieros de los clientes.

Qué aprendimos

Las observaciones de año 2 no son un retroceso, son la señal de un sistema que se está tomando en serio. Cuando el sistema madura, el organismo certificador deja de preguntar si existe el control y empieza a preguntar si está vigente y si se actualiza. Por eso el cambio de "oportunidad de mejora" a "observación" suele pedir más disciplina documental, no más controles.

Una calificación más baja no es una alarma si tienes un plan. En 2026 el organismo calificó la eficacia del sistema como "media" frente a "alta" en 2025. La respuesta fue un plan interno de 34 hallazgos con causa raíz y responsables, orientado a volver al nivel alto en la siguiente evaluación.

Auditarte tú primero cambia el resultado. Los hallazgos internos llegaron con su causa raíz y su acción correctiva antes de que el organismo certificador los viera.

La certificación se mantiene en los meses sin auditoría. Lo que sostiene un sistema entre visitas es la rutina: revisión por la dirección, seguimiento de hallazgos y mantenimiento de la documentación.

¿Qué sigue?

La próxima auditoría de renovación está prevista para octubre de 2027, y ya hay una nueva edición de ISO 9001 (publicada en septiembre de 2026) con mayor énfasis en liderazgo, cultura de calidad y comportamiento ético. Prepararse con tiempo para esa transición es parte de mantener el sistema vivo.

Nota sobre las fuentes

Publicado con autorización de Kata Software, donde Rogelio Barajas González fue Director de Operaciones hasta julio de 2026 y hoy colabora como consultor independiente a través de Barajas Advisory. Los nombres de clientes y de personas se omiten por confidencialidad. Las cifras provienen de informes de auditoría de organismos independientes (NYCE para ISO 9001 e ISO 27001; informe SOC 1 Tipo 2 para las plataformas Kata Mobile y Kata Engine).