Implementar, la descripción de control que sí dice algo

Una descripción útil responde cuatro preguntas: quién opera el control, cómo lo hace en este sistema (no en general), con qué frecuencia y qué evidencia deja. Esa evidencia (un registro, una exportación, un ticket, un informe fechado) es lo que el evaluador pedirá para comprobar. Si la descripción no la nombra, el control puede funcionar perfectamente y aun así no poder demostrarse.

Lo que se escribe en este paso es también el punto de partida del siguiente: el evaluador contrasta lo prometido con lo que encuentra.

El criterio de la casa dice que una frase que solo afirma el cumplimiento no cuenta como descripción. Lee SELECT * FROM criterio_de_la_casa y luego las ocho descripciones con SELECT * FROM descripciones_del_plan.

Un control puede tener responsable, método y frecuencia y aun así carecer de lo más importante para el evaluador: algo que mostrar. Sin evidencia nombrada, la evaluación será entrevistas y declaraciones, que son la forma más débil de comprobar.

Aplica el criterio D-1 a las ocho descripciones: una pasa solo si sus cuatro celdas (quién, cómo, frecuencia y evidencia) están completas. Cuenta cuántas lo hacen. Si una celda trae un guion, esa descripción no pasa.

Ante una descripción que solo afirma, el reflejo es dejarla y esperar que la evaluación la sostenga. Pero el plan de seguridad es del sistema, no del evaluador: lo que no esté escrito con detalle se evaluará como incumplimiento o como control sin evidencia, y el hallazgo llegará al autorizador.