Valorar la evidencia y escribir los hallazgos

Un hallazgo se sostiene con cuatro cosas: el criterio, la condición encontrada, la causa y el efecto. La condición ya la tienes: las tres altas sin ticket de la muestra son de mayo, y en el resto del semestre los tickets cuadran con las altas. Una causa que explica por qué empezó cuando empezó vale más que «no se siguió el proceso».

La regla de clasificación calcula el porcentaje sobre lo probado, no sobre la población. Cuatro altas defectuosas de un total de 112 parecen poca cosa; cuatro de las veinte que se probaron son otra cosa. La muestra es lo que se midió.

En las bajas se probaron las 31. Tres fallas son el 9,7 % de lo probado. El auditado dirá que son demasiadas, porque dos de esas cuentas se deshabilitaron tarde y una sigue abierta; tú aplicas la regla, no tu impresión sobre cuántas son demasiadas.

La regla de evidencia pesa lo que genera el sistema por encima de lo que dice una persona. Para concluir sobre el segundo factor tienes un export del sistema con las catorce cuentas y, de otro origen, una afirmación escrita. Cuando las dos no coinciden, no se promedian: pesa la que genera el sistema.

El cruce de la sala anterior dejó una cuenta de administración de una persona que se fue el 18 de junio y que registra un acceso el 19 de agosto. Eso puede ser un hallazgo de baja tardía, pero también puede ser alguien entrando con una cuenta que no es suya. Un auditor interno no investiga incidentes: los comunica a quien responde por ellos, sin esperar a que termine el informe.