Compensatorios que de verdad compensan

Un control compensatorio es una medida distinta de la que exige el requisito, que se pone mientras este no se cumple para que el riesgo no quede abierto. No sirve cualquier medida: tiene que cubrir el mismo riesgo que el requisito dejaba cubierto, no uno parecido. Si el requisito evitaba que alguien lea un disco robado y el compensatorio es un compromiso de cuidado, el riesgo sigue intacto.

Tajamar escribe cuatro criterios: cubre el mismo riesgo, es adicional, deja evidencia periódica y lo ejecuta alguien distinto de quien pidió la excepción. Abre criterios_de_la_casa.

La primera pregunta sobre cualquier compensatorio es qué impide o detecta exactamente. Un compromiso firmado, una recomendación o una promesa de cuidado dejan constancia, pero no cambian lo que ocurriría si el riesgo se materializa. El examen es simple: ¿qué sucede si el evento pasa de todos modos? Si la respuesta es «lo mismo que sin compensatorio», no compensa.

Lee la columna riesgo_que_cubre de las cinco propuestas.

Un compensatorio debe ser adicional. Si el control que se ofrece ya era obligatorio por otra regla, entonces no se añade nada: se está contando dos veces el mismo control, una para cumplirlo y otra para justificar que no se cumple otro. El efecto es que el riesgo queda más desprotegido de lo que el papel sugiere.

La columna ya_era_obligatorio lo dice de cada propuesta.

El tercer criterio exige evidencia periódica. Un compensatorio que nadie puede comprobar no se distingue de uno que no existe. La revisión que se hace «cuando se pueda» no deja huella, no tiene periodo y no sirve de respaldo cuando llegue un auditor o un incidente. La evidencia puede ser un informe, un acta, una configuración exportada; lo esencial es que se genere con regularidad y que otra persona pueda revisarla.

El cuarto criterio pide independencia: lo ejecuta una persona distinta de la que pidió la excepción. Es el mismo principio que separa la firma de la solicitud. Si quien necesita el permiso es también quien comprueba que el riesgo está cubierto, la compensación depende de su buena voluntad y de su memoria, y nadie más verá que falla.

Compara dos columnas de la tabla en cada fila. Una sola de las cinco propuestas incumple este criterio y cumple los otros tres.