Retención de la evidencia de auditoría

El plazo de retención lo fijan tres cosas: la ley y la regulación aplicables (que pueden imponer mínimos), los contratos y el interés de la propia empresa en poder defenderse. Por eso no hay un número universal: el comité de auditoría o quien la política designe lo fija por tipo de evidencia, lo documenta y lo revisa. El control 5.33 del Anexo A de ISO/IEC 27001:2022 (protección de registros) pide que los registros se protejan de pérdida, destrucción y falsificación durante todo ese plazo.

Los plazos de este laboratorio son de la empresa ficticia. En un caso real se consulta la ley de cada país y no se afirma un plazo de memoria.

Una suspensión de eliminación (litigation hold, en inglés) congela la depuración de la evidencia relacionada con un caso legal abierto, aunque su plazo haya vencido. Destruirla mientras el caso sigue abierto puede entenderse como ocultamiento de pruebas. La suspensión se levanta solo cuando el caso se cierra y la persona responsable lo comunica.

Cruza inventario_de_carpetas con casos_abiertos.

El plazo se cuenta desde el hecho que fija la política, y no desde la fecha en que alguien programa la eliminación. Los papeles de trabajo se conservan 60 meses desde el cierre del informe; para una carpeta cerrada el 1 de marzo de un año, la eliminación no puede programarse antes del 1 de marzo cinco años después. Una eliminación programada antes de ese día destruye evidencia que todavía debía conservarse.

Calcula, para cada carpeta, la fecha en que vence su plazo según su tipo y compárala con la fecha programada.

Una carpeta se puede eliminar en la depuración si cumple tres cosas a la vez: su plazo ya venció a la fecha de la depuración, no está bajo suspensión y su eliminación está programada. Contar cuántas lo cumplen es la lista de trabajo del día; las demás se dejan como están y se anota por qué.

Lee la fecha de la depuración en SELECT * FROM corte.

Eliminar evidencia es una decisión que deja huella. Antes de hacerlo se verifica contra el inventario y los casos abiertos; se autoriza por escrito quien es dueño de la política; y se deja un registro de destrucción con la carpeta, la fecha, quién la ejecutó y el método. El método importa cuando la carpeta contiene datos personales o confidenciales: borrar la referencia no es destruir el contenido.