Probar el diseño y la operación

La prueba de diseño responde a una pregunta: si el control funcionara como está descrito, ¿evitaría o detectaría el error que le toca evitar? Se hace con un recorrido (walkthrough): sigues una sola operación de punta a punta, preguntando en cada paso quién hace qué y con qué evidencia. También comprueba que el control está implementado, no solo escrito.

La prueba de operación responde a otra: ¿funcionó el control, de forma continua, durante todo el periodo? Una sola operación no puede decirlo; hace falta una muestra o la población entera, como verás en la siguiente sala.

Un control mal diseñado ya no necesita prueba de operación: no importa cuántas veces funcione, nunca cubrirá el riesgo. Por eso el orden habitual es primero el diseño y después, solo si el diseño aguanta, la operación.

Las técnicas de prueba, de la más débil a la más fuerte, son cuatro. La indagación es preguntar. La observación es ver cómo se hace en un momento. La inspección es examinar documentos y registros. La reejecución es repetir tú el control y comparar el resultado con el del responsable.

La indagación es indispensable para entender un proceso y orientar las pruebas, pero por sí sola no sostiene una conclusión: quien responde tiene interés en que el control parezca funcionar, y su memoria es la única evidencia. Lo que dice se contrasta con algo que no dependa de él.

En el expediente de Alba Verde hay un correo del jefe de TI que afirma que las bajas se procesan el mismo día. Es una indagación por escrito: sirve para saber qué probar, no para dar la prueba por hecha.

El control que se prueba en Alba Verde dice: todo crédito sobre 20 millones lo aprueba alguien distinto de quien lo analizó y recomendó. Es una separación de funciones: nadie se aprueba a sí mismo.

Tienes el recorrido de un desembolso real, con quién hizo cada paso. No hace falta una muestra para ver si el diseño funciona: si en la única operación que recorres el control ya no se cumple, el problema no es de operación, es que el sistema permite que se salte.

La evidencia debe ser suficiente y apropiada. Suficiente es cuestión de cantidad: la que haga falta para sostener la conclusión. Apropiada es cuestión de calidad, y tiene dos componentes: que sea relevante para el control que pruebas y que sea fiable.

La fiabilidad sube cuando la evidencia la produce un sistema y no una persona, cuando la obtiene el auditor directamente y no se la entregan ya preparada, y cuando está fechada y completa. Una hoja de cálculo que te pasa el auditado puede estar bien o mal, pero no puedes saberlo con ella sola.

Abre el expediente de la prueba de accesos y mira, de cada pieza, quién la obtuvo y quién la produjo.

La pregunta final de cualquier prueba es si lo que tienes alcanza. Se contesta con los dos adjetivos a la vez: puedes tener muchísima evidencia poco fiable, o una sola pieza perfecta que no cubre todo el periodo. En ambos casos la conclusión queda floja.

Si la evidencia no alcanza, hay tres salidas honestas: conseguir más, cambiar a una técnica más fuerte, o limitar la conclusión a lo que sí está sostenido y decirlo en el informe. La salida deshonesta es redactar la conclusión que se esperaba y callar la limitación.