Cartas puente y periodos sin cubrir

Una carta puente (en inglés se la llama también bridge letter o gap letter) es un documento que la gerencia de la organización de servicio entrega a sus clientes para cubrir el hueco entre el final del periodo del informe y una fecha posterior. Suele declarar si hubo cambios significativos en los controles y si el proveedor conoce algún hecho que los afecte. Es una práctica habitual, no un informe de aseguramiento.

La diferencia que importa: la carta la escribe el propio proveedor, no el auditor de servicio, y no está sometida a pruebas. Es una declaración de la gerencia, útil para el auditor del cliente como un elemento más, y nunca sustituye a un informe cuyo periodo cubra las fechas en cuestión.

En la consola, SELECT * FROM ejercicio_e_informe da las fechas del ejercicio y del informe, y SELECT * FROM carta_puente los datos de la carta. Para decidir cuánto se apoya el auditor en cada documento, primero se mide qué parte del ejercicio queda sin nada: los días posteriores a la fecha de la carta hasta el último día del ejercicio. Cuéntalos tú, mes a mes.

Lo más valioso de una carta puente suele ser la frase de las excepciones: qué cambió. Una carta que dice «no hubo cambios» es poco informativa; una que declara un cambio da al auditor un punto donde mirar. Un cambio en el motor que concilia los pagos afecta justo a lo que el SOC 1 probó en el periodo anterior: lo que se probó era el sistema viejo.

Un cambio de sistema a mitad de ejercicio es una pregunta abierta, no un problema resuelto. El analista no puede decidir por el auditor externo, pero sí preparar la respuesta: pedir al proveedor una descripción del cambio, cómo se probó antes de pasarlo a producción y qué controles cambiaron, y avisar al auditor para que decida si necesita pruebas propias. Lo que no se hace es callarlo porque «la carta dice que no es significativo».