ISO 31000 vs ISO 27001: diferencias y cuál implementar primero

Es una de las confusiones más frecuentes cuando una empresa empieza a ordenar su gestión de riesgos: ISO 31000 e ISO 27001 suenan parecido, pero no compiten ni son intercambiables. Una es un marco general para gestionar cualquier tipo de riesgo; la otra es una norma específica y certificable para la seguridad de la información. Entender la diferencia te evita gastar meses implementando la que no necesitabas todavía.

Qué es cada una, en una frase

ISO 31000 es una guía de principios y un proceso de referencia para gestionar riesgos de todo tipo: financieros, operativos, legales, reputacionales, tecnológicos. No es certificable — nadie te entrega un diploma por cumplirla. Es el "cómo pensar" el riesgo en la organización.

ISO 27001 es una norma certificable que define los requisitos de un Sistema de Gestión de Seguridad de la Información (SGSI). Su alcance es acotado a un dominio: proteger la confidencialidad, integridad y disponibilidad de la información. Trae un anexo (el Anexo A, con 93 controles en la versión 2022) y sí permite una auditoría externa que termina en un certificado.

Las diferencias que importan en la práctica

• Alcance. ISO 31000 cubre cualquier riesgo del negocio. ISO 27001 se ocupa solo de la información y los sistemas que la soportan.
• Certificación. ISO 31000 no se certifica; ISO 27001 sí, y ese certificado es muchas veces lo que un cliente o una licitación exige por escrito.
• Nivel de exigencia. ISO 31000 dice "qué principios seguir" con flexibilidad total. ISO 27001 impone requisitos concretos: política, alcance, evaluación de riesgos, Declaración de Aplicabilidad, auditoría interna, revisión por la dirección.
• Documentación. ISO 31000 no obliga a producir documentos formales. ISO 27001 exige un cuerpo documental mínimo que un auditor va a pedir ver.
• Motivación típica. ISO 31000 se adopta para gobernar mejor el riesgo internamente. ISO 27001 casi siempre se encara porque alguien de afuera lo pide.

La relación que casi nadie explica bien

Acá está la clave: no son rivales, son capas. ISO 27001 exige que la organización tenga un proceso de evaluación y tratamiento de riesgos de seguridad de la información — pero no te dice con qué metodología. Y la metodología natural para ese proceso es, precisamente, la que describe ISO 31000. Dicho de otro modo: podés usar el marco de ISO 31000 como el motor de gestión de riesgos que ISO 27001 requiere pero deja abierto.

Por eso muchas empresas que arrancan con una matriz de riesgos general bajo la lógica de ISO 31000 descubren, cuando llega el pedido de ISO 27001, que ya tenían buena parte del camino recorrido: el proceso de identificar, analizar, evaluar y tratar riesgos es el mismo, solo que aplicado a un dominio más acotado.

¿Cuál implementar primero?

La respuesta depende de qué te está empujando a moverte, y conviene ser honesto con eso antes de elegir.

Empezá por la lógica de ISO 31000 si todavía no tenés ninguna gestión de riesgos formal, si la dirección quiere entender su exposición de forma integral, o si te estás preparando sin una fecha límite externa encima. Es más liviana, no obliga a certificar y te construye el músculo de pensar el riesgo de manera ordenada. Es el punto de partida más barato y el que menos se desperdicia después.

Andá directo a ISO 27001 si un cliente, una licitación o un inversor te está pidiendo el certificado con una fecha concreta. En ese caso no tenés tiempo para un proyecto amplio de riesgo general: necesitás el SGSI, el Anexo A y la auditoría. Ahora bien, incluso ahí vas a apoyarte en principios de ISO 31000 para el corazón del sistema (la evaluación de riesgos), así que no estás eligiendo "una en lugar de la otra".

La secuencia que mejor funciona en PyMEs suele ser: montar primero una gestión de riesgos general con criterio ISO 31000, y cuando aparece la exigencia concreta de seguridad de la información, estrechar el foco hacia ISO 27001 reutilizando el proceso que ya está andando.

Un error común: querer certificar ISO 31000

Vale repetirlo porque genera muchas consultas: no existe una certificación de ISO 31000. Si alguien te ofrece "certificarte en ISO 31000", desconfiá. Lo que sí podés hacer es demostrar que gestionás riesgos siguiendo sus principios — con una matriz viva, responsables asignados y evidencia de revisión periódica — pero eso no equivale a un certificado auditado por un tercero acreditado como el de ISO 27001.

Cómo encararlo sin duplicar trabajo

El riesgo más caro de todos es mantener dos registros separados: una matriz de riesgos "general" por un lado y una evaluación de riesgos "de seguridad" por otro, que con el tiempo se desalinean. La forma sana es tener un único proceso de gestión de riesgos donde los riesgos de información sean una categoría más, vinculados a los controles del Anexo A cuando corresponde.

Es justamente lo que resuelve Ryskos: una misma plataforma cubre el ciclo de ISO 31000 (identificación, análisis, evaluación y tratamiento con riesgo residual) y la capa de ISO 27001 (Declaración de Aplicabilidad y controles del Anexo A), sin obligarte a llevar planillas paralelas. Podés arrancar con la gestión de riesgos general y, cuando llegue el pedido de seguridad de la información, activar la parte de ISO 27001 sobre la misma base.

En resumen

ISO 31000 es el marco amplio y no certificable; ISO 27001 es la norma acotada y certificable para seguridad de la información. No elegís una contra la otra: usás los principios de la primera como motor del proceso que exige la segunda. Si no tenés una fecha externa encima, empezá por la lógica de ISO 31000 y crecé desde ahí.

Si querés ver cómo se ve ese proceso unificado en la práctica, Ryskos ofrece 30 días gratis y sin tarjeta para probar la gestión de riesgos ISO 31000 y la cobertura de ISO 27001 en un mismo lugar, con diagnóstico guiado y reportes listos para mostrarle a un cliente o auditor.