Auditoría al SGSPI

Descripción

La República de Colombia, a través de la Dirección Nacional de Impuestos y Aduanas (DIAN), cuenta con financiación del Banco Interamericano de Desarrollo (BID) para el Programa de Apoyo a la Modernización de la DIAN. Esta convocatoria busca contratar a una empresa especializada para realizar una auditoría exhaustiva del Sistema de Gestión de Seguridad y Privacidad de la Información (SGSPI). Tras completar las fases de planificación y operación bajo la norma ISO/IEC 27001:2022, la entidad debe validar de forma independiente su nivel de madurez y eficacia, garantizando el cierre del ciclo de mejora continua y la sostenibilidad de su modelo de seguridad digital.

Ámbito de la consultoría

- Evaluación de la conformidad: Verificar el cumplimiento de los requisitos de la norma ISO/IEC 27001:2022 y de las políticas internas en los 32 procesos y 54 direcciones seccionales del DIAN.

- Planificación técnica: Determinar los riesgos y oportunidades de auditoría, diseñando listas de verificación y calendarios de ejecución específicos.

- Verificación in situ: Ejecutar técnicas de auditoría a nivel central y territorial para validar la protección de datos personales y la gestión digital de riesgos.

- Resultados y mejora: Identificar carencias y emitir recomendaciones estratégicas que sirvan como insumos para la toma de decisiones institucionales.

- Duración y presupuesto: El contrato se ejecutará en 4 meses, con un presupuesto estimado de COP 237.233.231.

Requisitos de Cualificación
La selección se realizará utilizando el método de Selección Basada en la Cualificación de Consultor (SCC) (GN-2350-15). Las firmas deben acreditar:

Experiencia específica: Mínimo 2 y hasta 4 contratos completados en los últimos 5 años relacionados con auditorías de seguridad de la información.

Normas Técnicas: Al menos una auditoría basada específicamente en ISO/IEC 27001:2022 y experiencia en auditorías bajo metodologías ISO 31000 o DAFP.

Capacidad operativa: Experiencia en organizaciones con más de 3.000 empleados y presencia en al menos 10 sedes regionales.

Legalidad: Presenta una carta de interés, documentos de constitución vigentes y, en el caso de la APCA, la documentación de cada miembro.

Nota: Las especificaciones y términos de referencia están disponibles en el idioma oficial del país.