Excepciones y compensatorios

Una excepción no es el hallazgo ignorado: es el hallazgo que alguien con autoridad decidió no corregir todavía, con la razón por escrito. Tiene cuatro rasgos. Un motivo que se entienda, un control compensatorio que reduzca el riesgo mientras tanto (por ejemplo, aislar el equipo en una red separada o vigilarlo más de cerca), una persona que la aprueba y una fecha en que caduca.

El compensatorio solo cuenta si está funcionando, y eso se comprueba con evidencia: un diagrama, una revisión de reglas, un registro. Una frase como «se vigilará» no es un control. La fecha de vencimiento obliga a volver a mirar; sin ella, la excepción se convierte en una aceptación permanente que nadie volvió a evaluar.

Una excepción vence en una fecha, y al llegar ese día el hallazgo debe reabrirse y su plazo volver a correr, a menos que se apruebe una renovación nueva con su evaluación. Si el registro sigue diciendo «vigente» después de esa fecha, el hallazgo está desprotegido sin que nadie lo vea.

Contrasta la columna de vencimiento con el corte del 30 de septiembre de 2026 en las cuatro excepciones.

La regla RE-3 pide que la aprobación la dé alguien distinto del dueño del activo: es el mismo principio de independencia de una revisión. Quien sufre el coste de corregir tiene un interés en no corregir, y no debería ser quien decide que no hace falta.

Cruza dos columnas del registro: el dueño del activo y quien aprobó la excepción.

La regla RE-2 fija un tope: ninguna excepción dura más de 180 días desde su aprobación. Pero el tope solo se puede vigilar si cada excepción trae su fecha. Una excepción sin fecha de vencimiento escapa del control por completo: no hay día en el que nadie tenga que volver a mirarla.

Busca en el registro la que no tiene fecha. Observa además qué compensatorio y qué evidencia tiene.

La excepción del controlador de la línea de envasado venció el 15 de septiembre y el gerente de planta pide extenderla tres meses porque la situación no ha cambiado. El compensatorio, la segmentación de red, tiene un diagrama firmado en junio. El director de TI quiere renovar con una firma.

La regla RE-4 dice que, al vencer, el hallazgo se reabre y su plazo corre de nuevo salvo que se apruebe una renovación nueva. Una renovación no es un trámite de firma: es una nueva decisión con evidencia actual de que el compensatorio sigue operando.