El cumplimiento de plazos que se declaró

Un plazo de remediación se mide con un reloj que empieza en la detección y se detiene cuando alguien comprueba que el riesgo bajó. Si el reloj se detiene antes, el indicador mide la rapidez para cerrar tickets, no para reducir exposición. Aplica la política a la muestra y cuenta, sin olvidar los hallazgos que nunca llegaron a verificarse.

Cambiar la prioridad de un hallazgo cambia su plazo, y por eso es el lugar clásico para que un indicador «mejore» sin que nada se arregle antes. La política dice cuándo un cambio vale. Revisa el historial con ese filtro.

Entre los hallazgos que sí llegaron a verificarse, unos cumplen y otros se pasaron por pocos días. Para decirle a TI cuánto se pasó el peor, hay que usar la prioridad que la política da por válida, no la que figura en la columna vigente si el cambio no es válido.

Algunos hallazgos tienen el ticket cerrado dentro del plazo y la verificación fuera de él. TI los cuenta como cumplidos; la política los cuenta de otra manera. Decide cómo debe quedar escrito en el informe de la auditoría.

Con la medición rehecha, queda una cifra honesta para sustituir el «100 %» del informe de TI. La auditoría la expresa como porcentaje de la muestra que cumple, medido con las reglas de la política.