Hallazgos y conclusiones

Según la guía, la evidencia de la auditoría es la información verificable que se recoge; los criterios son los requisitos contra los que se compara (una política, un control del Anexo A, un contrato); y un hallazgo es el resultado de evaluar la evidencia frente a los criterios, sea conforme o no. Sin criterio no hay incumplimiento que declarar, y sin evidencia verificable no hay hallazgo que defender.

No toda evidencia pesa igual. Un registro generado por el sistema o un documento firmado se puede volver a comprobar; una frase dicha en una entrevista, no, a menos que se corrobore.

La hoja de trabajo dice de cada hallazgo qué evidencia lo sostiene y de qué tipo es. Un hallazgo que descansa solo en lo que una persona afirmó, sin registro ni observación que lo respalde, no puede entrar al informe como hecho comprobado: primero hay que pedir el registro de configuración o una prueba.

El borrador cita para cada hallazgo el criterio que se incumple. Si el campo está vacío, el hecho puede ser cierto y útil, pero no es una no conformidad: es, a lo sumo, una observación o una oportunidad de mejora hasta que se identifique el requisito.

La escala de la casa (PR-AUD-01) distingue tres niveles según si el control existe, si falla de forma sistemática o puntual, si el activo es crítico y si algo lo compensa. Aplícala al hallazgo sobre las pruebas de restauración: la base de pedidos es un activo crítico, el registro de pruebas de 2026 no tiene ninguna entrada y el borrador dice que ningún control lo compensa.

El objetivo era concluir sobre los respaldos de las tres sedes. La tabla sedes_probadas muestra que una no se visitó. La presentación imparcial obliga a informar también los obstáculos y las limitaciones del alcance realmente cubierto: una conclusión sobre algo que no se probó es una suposición con formato de conclusión.