Los falsos positivos que TI declaró

Declarar que un hallazgo no existe es una afirmación que se demuestra con algo que se pueda abrir y leer. El motivo, por razonable que suene, no es la prueba: es lo que la prueba debería confirmar. Mira qué hallazgo cita una evidencia y cuál no cita ninguna.

Una evidencia adjunta no sostiene nada por el hecho de existir: hay que leer lo que dice y contrastarlo con el motivo. Compara, caso por caso, el motivo declarado con el resultado de la evidencia que lo acompaña.

Un falso positivo es un hallazgo que nunca existió. Si existió y alguien lo corrigió, el cierre es legítimo pero la etiqueta es falsa, y la diferencia importa: un hallazgo corregido cuenta en los plazos y un falso positivo, no. Cruza las fechas de la evidencia con el registro de cambios.

Volver a mirar con el mismo método que produjo el hallazgo no es una segunda opinión: es la misma opinión dos veces. Para que una comprobación valga, tiene que acudir a otra fuente. Mira cómo se detectó cada hallazgo y qué método usó la evidencia que lo descarta.

Con los seis casos revisados, queda decidir qué le pasa a cada cierre rechazado. La auditoría no castiga ni perdona: devuelve el hallazgo al estado que le corresponde según la política y los hechos que acabas de leer.