Compensaciones documentadas

PCI DSS v4.0.1 admite controles compensatorios cuando la entidad no puede cumplir un requisito tal como está escrito por una restricción legítima, técnica o de negocio, que además está documentada. El estándar trae una hoja de trabajo para documentarlos, y quien evalúa revisa que el control sea eficaz.

La idea de fondo es que el riesgo no queda sin atender: se atiende de otra manera, con algo que protege tanto o más. Un control más barato o más cómodo no es una compensación; es un recorte. Lee los criterios K1 a K4 de la tabla criterios, que son el resumen del comercio.

El primer filtro es la restricción: sin una restricción legítima y documentada, no hay compensación posible, solo un requisito que no se cumple. La tabla compensaciones guarda la restricción en su propia columna. Una celda con «—» es un campo vacío.

Una compensación se vuelve a mirar cada cierto tiempo, porque la restricción cambia: llega el parche, se renueva la caja, el control se degrada. La política del comercio exige una fecha de revisión y que no esté vencida. El corte del ejercicio es 2026-09-30.

Aplica los cuatro criterios (restricción, control que supera lo exigido, aprobación del comité de riesgo y revisión no vencida) a las cuatro filas. Una compensación que falla uno solo no se sostiene.