Resultados de evaluación y POA&M

El modelo de resultados de evaluación (assessment-results) guarda lo que encontró el evaluador: observaciones (observations), riesgos (risks) y hallazgos (findings), cada hallazgo apuntando a un control y con su estado, por ejemplo satisfied o not-satisfied. El POA&M (plan-of-action-and-milestones) guarda lo que se hará por cada deficiencia: sus elementos (poam-items) enlazan con los hallazgos y los riesgos de origen y llevan sus hitos y sus fechas.

Los dos modelos están pensados para que la información fluya de los resultados al plan de acción sin retranscribir. Pero que fluya no significa que fluya sola: alguien tiene que verificar que cada hallazgo no satisfecho llegó.

Leer los dos archivos juntos es la forma de detectar la omisión más típica: un hallazgo not-satisfied que no tiene elemento en el POA&M. Aunque no haya plan de remediación todavía, el hallazgo debería estar registrado con su decisión: corregir, aceptar o diferir.

Consulta SELECT * FROM resultados_de_evaluacion y SELECT * FROM poam.

Un elemento del POA&M sin fecha es una intención; con fecha y responsable es un compromiso. La fecha límite de cada elemento es lo que permite medir si el municipio cumple su propio plan y qué se vence primero.

El control que no llegó al POA&M tiene una explicación posible: se olvidó, se consideró menor o se está negociando con el dueño. Desde fuera no se sabe cuál. Lo profesional es registrar el hueco, preguntar al responsable y pedir que el control quede con una decisión escrita, no cerrarlo en silencio ni inventar un elemento por la organización.