Controles complementarios de la entidad usuaria

Muchos informes de controles incluyen una lista de controles complementarios de la entidad usuaria: responsabilidades que el diseño de los controles del proveedor supone que cada cliente cumple. Si el proveedor aplica los pagos a la factura correcta pero da por hecho que el cliente valida el archivo de pagos que recibe, esa validación es del cliente. Si no la hace, el control del proveedor no basta para que el saldo sea correcto, y no es culpa del proveedor ni del auditor de servicio.

Al leer un informe, la lista de controles complementarios es la tarea del cliente: cada fila debe tener un control propio que opere.

La consulta SELECT * FROM cuec_de_cobranzas_rio_sur cruza cada responsabilidad del informe con el control que Quebradahonda tiene para cumplirla. Un guion en la columna del control significa que la empresa no tiene ninguno: el informe supone una tarea que nadie hace. Es el hallazgo más claro de esta lectura.

Tener un control en el registro no es lo mismo que ejecutarlo. La columna de frecuencia dice cada cuánto debería operar el control, y la de última ejecución, cuándo se hizo por última vez. Si hoy es 6 de octubre de 2026 y un control mensual se ejecutó por última vez hace casi diez meses, el control no opera, por mucho que figure en el catálogo. Para un auditor, un control que no opera equivale a no tenerlo.

Cobranzas Rio Sur subcontrata dos servicios. Un informe puede tratar a una organización de servicio subcontratada de dos maneras. En el método inclusivo, el informe describe sus controles y el auditor los prueba como parte de la auditoría. En el método de exclusión, el informe la menciona pero no incluye sus controles ni los prueba, de modo que el lector debe resolver por su cuenta qué hace con ese tramo. SELECT * FROM subcontratadas_del_informe muestra el tratamiento de cada una.

La subcontratada excluida aloja los servidores donde se aplican los pagos: si falla, falla el servicio, y el informe no dice nada de ella. El auditor externo de Quebradahonda se hará la misma pregunta, así que conviene tener la respuesta preparada: o hay un informe propio de esa subcontratada que Quebradahonda pueda leer, o el proveedor demuestra cómo vigila a su subcontratada, o se documenta como riesgo aceptado por quien tiene autoridad para hacerlo.