Hallazgo, informe y seguimiento

Un hallazgo bien escrito tiene cinco elementos. La condición es lo que encontraste: «tres cuentas de personas dadas de baja siguen activas». El criterio es la regla contra la que lo comparas: la política, la norma o el control declarado. La causa es por qué ocurrió. El efecto es lo que puede pasar o ya pasó por ello. La recomendación es lo que la organización puede hacer para corregir la causa, no solo el síntoma.

Sin criterio, la condición es una opinión: el auditado puede responder «a mí me parece bien». Sin causa, la recomendación trata un síntoma y el problema vuelve. Sin efecto, nadie entiende por qué le debería importar.

Cada elemento tiene su evidencia en los papeles de trabajo, y el hallazgo debe poder reconstruirse a partir de ellos sin que tú estés para explicarlo.

El borrador de Alba Verde tiene cuatro hallazgos. Antes de enviarlo al auditado, el revisor del equipo comprueba que cada uno tenga sus cinco elementos y que cada elemento diga algo concreto. Un campo vacío o un guion no es una conclusión pendiente: es un hallazgo que no puede salir.

Revisa el borrador y busca el que describe un hecho sin decir contra qué regla se compara.

El informe ordena los hallazgos por su importancia, y la importancia se define por el efecto y por si hay otro control que lo compense, no por cuántas líneas ocupa ni por cuántas cuentas afecta. El equipo de Alba Verde tiene una escala de tres niveles con su definición. Se aplica a cada hallazgo contrastando su efecto con la definición, no con la impresión del auditor.

Ten cuidado con dos sesgos: calificar por la cantidad («solo son tres cuentas») y calificar por lo fácil de arreglar («se corrige con un script»). La escala no mira ninguna de las dos cosas.

Antes de emitir el informe final, la gerencia responde a cada hallazgo. Una respuesta útil contiene tres cosas: una acción concreta, un responsable con nombre y una fecha. «Se evaluará mejorar el proceso» no contiene ninguna: es la forma educada de no comprometerse a nada.

El auditor no negocia el hallazgo a cambio de una respuesta mejor; la respuesta no cambia lo que encontró. Pero sí devuelve la que no tiene acción, responsable ni fecha y pide un compromiso, porque sin él el seguimiento no tiene nada que comprobar. Si la gerencia insiste en no comprometerse, el informe lo dice tal cual.

En Alba Verde, tres de las cuatro respuestas traen acción, responsable y fecha. La de H-02 no.

El seguimiento es la parte del trabajo que más se omite y la que más cuenta: pasado el plazo, el auditor comprueba que lo prometido se hizo y funciona. Cerrar un hallazgo es una conclusión, y como cualquier conclusión necesita su evidencia: una exportación nueva del sistema, un registro de cambios, un acta firmada.

Un estado «cerrado» sin evidencia de cierre es una promesa convertida en hecho por escrito. Si el responsable dice que lo corrigió, se comprueba con el mismo tipo de prueba que originó el hallazgo.

Tienes la revisión de octubre de Alba Verde delante.