Las excepciones frente a la política

Aceptar un riesgo es una decisión de negocio que se toma por escrito, con nombre y con una medida que baje el riesgo mientras tanto. El auditor no decide si el riesgo es aceptable: comprueba que quien lo acepta tenía autoridad, que la medida existe y que la decisión sigue vigente. Lee la política antes de abrir el registro.

Si el dueño de una excepción es «el equipo», nadie la aceptó: no hay una persona a la que preguntarle por qué ni a la que exigirle la revisión. Mira la columna del dueño de cada excepción.

Una excepción es una decisión con fecha de vencimiento: pasada la fecha de revisión, la decisión deja de valer hasta que alguien la renueve. La fecha de la auditoría está en el acta; compárala con la fecha de revisión de cada excepción.

La compensación es lo que justifica dejar el fallo abierto. Si lo que dice el registro no coincide con lo que se encontró al mirar, la excepción se sostiene sobre algo que no existe. Contrasta cada compensación con la evidencia del 9 de julio.

Hay hallazgos para los que la política no abre la puerta de la excepción, por muy bien que se documente el resto. Cruza el registro de excepciones con el contexto de cada hallazgo: exposición y explotación conocida.