Población y muestreo

La población es el conjunto completo de operaciones sobre las que quieres concluir: todas las altas de usuario del semestre, todos los cambios a producción del periodo. La muestra es un subconjunto de ella. Si la población está incompleta, cualquier muestra lo está también: puedes revisar diez elementos perfectamente y no haber mirado justo los que importan.

Por eso, antes de elegir la muestra se comprueba la integridad de la población: se obtiene el listado de la fuente más cercana al sistema y se concilia con lo que entrega el auditado, comparando totales e identificadores. Lo ideal es que el listado lo extraiga el propio auditor o lo haga bajo su observación.

Si los totales no coinciden, no se sigue. Se pregunta de dónde sale la diferencia y se decide con qué población se trabaja.

En Alba Verde la exportación del sistema que tomaste tú da 212 altas en el semestre y el listado que entregó TI tiene 209. Hay tres altas que están en el sistema y no en el listado. No sabes aún por qué faltan, pero sí sabes que cualquier muestra tomada del listado ignoraba esas tres.

No todas pesan igual. Una alta con permisos de consulta y una alta con permisos de administración sobre la cartera son riesgos distintos, y el hecho de que justo ese tipo de alta falte del listado merece una pregunta directa al responsable.

Cuántos elementos se prueban depende de la frecuencia del control y del riesgo. El equipo de Alba Verde tiene una tabla de referencia por frecuencia (anual, trimestral, mensual, semanal, diaria, varias veces al día): cuanto más a menudo se ejecuta un control, más elementos se prueban. Otras metodologías usan otras tablas; lo importante es que la del equipo esté escrita y se aplique igual a todos los controles.

La muestra puede escogerse al azar (todos los elementos tienen la misma probabilidad), sistemática (uno de cada tantos desde un punto de partida) o dirigida por el juicio del auditor hacia lo más riesgoso. Y cuando la población es pequeña y el riesgo es alto, lo razonable es no muestrear: se prueba el 100 %, sobre todo si hoy es fácil extraer toda la población y revisarla con una consulta.

Hay nueve altas con perfil de administrador de cartera en el semestre; tienes la población por perfil en el sistema.

Para el control de aprobación previa del alta, el equipo ha tomado 10 altas de la exportación del sistema (la población completa), porque las altas se procesan en un lote semanal y la tabla de referencia pide entre 5 y 15. La prueba compara dos fechas por cada alta: la de aprobación debe ser igual o anterior a la del alta.

Una excepción es cada elemento que no cumple el criterio. Cuando aparece, no se cuenta y se sigue: se anota cuál es, de cuánto es la desviación y qué la explica. Las excepciones no pesan igual, y la descripción de cada una es lo que el responsable y el comité leerán después.

Con dos excepciones en diez altas, ¿qué se escribe? La regla interna del equipo es clara: en una muestra de hasta 15 elementos, una sola excepción sin explicar basta para concluir que el control no operó de forma eficaz en el periodo. Aquí hay dos, y ninguna tiene explicación documentada.

Lo que no se hace es extrapolar de forma mecánica: «20 % de 212 altas son 42 altas mal aprobadas». Una muestra de diez no permite afirmar un porcentaje de la población con esa precisión, y una cifra inventada con apariencia estadística se desmonta en la primera reunión. Se informa lo que se encontró (dos de diez, con sus identificadores y sus días) y la conclusión que la regla impone.