De la respuesta a la evidencia

Cuando un cliente pide «el respaldo de lo que dijeron», la respuesta debe llevar a un documento concreto: una política con su versión y fecha, un export del sistema con su fecha de corte, un informe con su periodo. Si cada vez que se contesta un cuestionario se busca la evidencia desde cero, el resultado es lento y, peor, inconsistente: la misma pregunta contestada de dos maneras a dos clientes.

La práctica sana es una biblioteca de respuestas: cada respuesta aprobada, con su evidencia, su responsable y su fecha de revisión. El cuestionario se contesta desde ahí, y lo que no está en la biblioteca se escribe una vez, se aprueba y se añade.

En la consola, SELECT * FROM respuestas_listas muestra cada respuesta con la referencia de su evidencia, y SELECT * FROM repositorio muestra los documentos del repositorio con su aprobador, su fecha y la fecha antes de la cual deben revisarse. Hoy es 5 de octubre de 2026.

Un documento pasado de su fecha de revisión no es necesariamente falso, pero ya no se puede presentar como vigente: su titular tendrá que revisarlo y reaprobarlo antes de dárselo a un cliente.

Otra forma de debilidad: el documento vigente en fecha pero sin aprobar. Un procedimiento en borrador describe lo que alguien quiere que ocurra, no lo que la empresa ha adoptado, y mostrarlo como evidencia de un control es presentar una intención como un hecho. La columna del aprobador del repositorio lo delata.

Dos respuestas del cuestionario tienen detrás una evidencia que no aguanta: una vencida y otra sin aprobar. El plazo del cliente corre, y la tentación es enviarlas igual y arreglar el documento después. El orden correcto es el inverso para lo que puede arreglarse en pocos días: renovar la revisión y aprobar el procedimiento antes de responder; y para lo que no se llega a tiempo, responder con lo que sí es verdad (el documento está en revisión, fecha prevista de aprobación).

Enviar y arreglar después deja una respuesta publicada que el cliente puede citar sobre un documento que no existe como se describe.

Grupo Andino pide una copia del informe SOC 2 tipo I. El informe contiene el detalle de los controles de Aurora, su infraestructura y los resultados de las pruebas: es información sensible de la empresa, y lo habitual es compartirlo bajo un acuerdo de confidencialidad y por un canal controlado, no adjuntarlo a un correo ni publicarlo. Existe otro informe, el SOC 3, concebido para uso general y con menos detalle, que sí puede publicarse en una página web.

Lo que no se hace es dar a un cliente una versión editada o resumida a mano del informe como si fuera el informe: el valor del informe es que lo firma el auditor, y un resumen propio no lo es.