Las auditorías internas deben estar bien planificadas (plan auditor) y aprobadas por la dirección.

El equipo auditor deben ser profesionales idóneos con experiencia y diferentes a los encargados de la implantación del SGSI en la organización.

Se debe estipular un coordinador del equipo auditor.

Las auditorías se deben orientar hacia la correcta implantación de los 14 dominios, 35 objetivos de control y 114 controles de seguridad implementados.

Toda la organización debe conocer el alcance y la agenda estipulada para la auditoría interna.

Los informes y resultados deberán ser conocidos por todo el personal de la organización involucrado dentro del alcance del SGSI.

De acuerdo al informe y/o resultados presentados en la auditoría interna, la organización debe estipular los planes para mejorar la eficacia del SGSI y realizar el procedimiento documentado de las acciones correctivas y preventivas.