Evidencia suficiente frente a evidencia decorativa

Para que una evidencia sostenga una determinación debe cumplir a la vez cuatro condiciones, que son criterios de trabajo habituales y no una lista de la guía:

• Relevante: habla del control y de la afirmación que se evalúa.
• Vigente: pertenece al periodo que se evalúa.
• Verificable: viene de una fuente que el evaluador puede comprobar por sí mismo, como un registro del sistema, y no solo de lo que el responsable dice.
• Suficiente: cubre la muestra pedida, no un caso escogido.

La tabla evidencia_entregada lista seis artefactos con su origen, su fecha y lo que cubren. Uno es una captura de pantalla sin fecha y sin nombre del sistema, que el evaluador no podría atribuir a ninguna fuente ni situar en el periodo. Por sí sola no demuestra ni una baja.

solicitud_de_evidencia dice desde cuándo vale la evidencia. Aunque un artefacto venga de una fuente real y cubra bastante, si describe un periodo anterior no demuestra que el control funcione ahora. Lo que ocurrió en diciembre no dice nada sobre marzo.

El evaluador pidió 25 bajas. Los tickets de la mesa de ayuda, exportados del sistema con su identificador, son evidencia verificable de una parte de ellas, y la exportación de la plataforma de identidad es otra. Esta tarea mira solo la parte que dependía de los tickets: calcula cuántas bajas de la muestra no tienen ticket que las respalde.

El jefe de TI envió un correo diciendo que las bajas se hacen siempre en el día. Es una afirmación de una persona interesada en que el control salga bien, sin detalle de bajas ni fuente. No es inútil: orienta dónde buscar. Pero no cierra la determinación.