Responsabilidad del analista

Cuando un hallazgo no se puede corregir a tiempo, alguien propone una excepción y alguien distinto la aprueba. Quien corrige no aprueba su propia salvedad, y quien mide no la aprueba tampoco: así la decisión de aceptar un riesgo no queda en manos de quien más cómodo estaría con ella. Es la misma lógica que la de NIS2, que lleva la responsabilidad a la dirección, o la de DORA, que pide pruebas hechas por partes independientes.

Consulta roles.

Una evidencia sirve si se puede saber cuándo se capturó, con qué herramienta y que nadie la cambió después. Una captura sin fecha ni herramienta puede haberse tomado ayer o hace un año, y no se puede defender ante un auditor. Consulta evidencias.

El analista recibe peticiones de varias personas durante el cierre del trimestre. Algunas son legítimas, como entregar los informes sin filtrar al auditor, y otras piden cambiar el hecho para que el informe salga mejor: una fecha distinta, un activo menos en la tabla, un plazo anotado como cumplido. Lo primero se atiende; lo segundo no, venga de quien venga. Consulta peticiones.

Cuenta ahora cuántas de las peticiones de la semana alterarían un hecho, una fecha o un resultado si se atendieran tal como están pedidas.

Una de las peticiones es de la gerencia: anotar que se cumplió el plazo de siete días aunque el cierre fue al día doce. El analista no puede cambiar el plazo, pero sí puede ofrecer otra cosa: dejar el hecho tal cual, anotar el motivo del retraso y, si procede, proponer la excepción por el cauce de la tarea 1.