Criterios de calidad de la evidencia

La guía ISO 19011:2018 define la evidencia de auditoría como los registros, las declaraciones de hechos u otra información que son pertinentes a los criterios de la auditoría y verificables. De ahí salen tres pruebas que se aplican a cada pieza antes de apoyarse en ella. Relevante: la pieza tiene que ver con el objetivo de control y con el periodo que se concluye. Confiable: se puede creer, y eso depende de quién la generó, de cómo llegó a tus manos y de si se puede comprobar. Suficiente: hay la cantidad y la cobertura que hacen falta para sostener la conclusión.

Las tres se evalúan por separado. Una pieza puede ser muy confiable y no tener nada que ver con lo que se prueba, y un conjunto de piezas relevantes y confiables puede dejar un mes sin cubrir.

Mira la carpeta de Pinar Alto. El objetivo es que todo pago grande se apruebe antes de pagarse y la conclusión que se quiere sostener es que el control operó entre el 1 de enero y el 30 de septiembre de 2026. Una pieza relevante ayuda a probar el diseño del control (qué debería ocurrir) o su operación (qué ocurrió). Una pieza que no hace ni lo uno ni lo otro es ruido: ocupa espacio en la carpeta y da una falsa impresión de volumen.

Consulta SELECT * FROM objetivo y SELECT * FROM evidencias_recibidas, y pregúntate de cada fila qué parte del objetivo ayuda a probar.

La confiabilidad aumenta cuando la pieza viene de un tercero independiente del auditado, cuando la genera un sistema y no una persona, y cuando la obtiene el propio auditor en vez de recibirla ya elaborada. Baja cuando la genera quien se audita, cuando es una afirmación sobre lo que ocurre y no un registro de lo que ocurrió, o cuando pasó por manos que tenían interés en el resultado.

Esto ordena el peso de las piezas, no las descarta. El correo del tesorero sirve como indagación para entender el proceso, pero por sí solo no sostiene que los pagos se aprobaran.

La suficiencia se comprueba contra la población. La exportación del módulo de pagos es la mejor pieza de la carpeta, pero la conclusión abarca nueve meses. Comparar el número de pagos que dice el sistema con el que trae el archivo, mes por mes, es una prueba de completitud y se hace antes de usar el archivo para nada más.

Cuando la evidencia no cubre todo el periodo, la conclusión no puede cubrirlo. Hay tres salidas honestas: pedir la parte que falta por el mismo canal y comprobar su completitud, concluir solo sobre lo cubierto y declarar la limitación, o buscar otra pieza independiente que pruebe lo mismo. Lo que no se hace es extender lo visto en ocho meses a los nueve, ni dejar en silencio el que falta.