El veredicto escrito en el ticket

Una nota de cierre que se pueda auditar responde cuatro cosas: qué saltó (la alerta y lo que decía), qué consultaste (las fuentes o consultas, para que otro las repita), qué encontraste (los valores concretos: la dirección, la cuenta, la hora, el volumen) y por qué va a ese cajón, con la acción que sigue —se afina la regla, se cierra sin tocarla, se escala y a quién—. Si alguien que no estuvo en el turno lee la nota y repite las consultas, tiene que ver lo mismo que viste tú.

«Falso positivo.» a secas no es un cierre: es una opinión sin pruebas. Si era verdad, nadie puede comprobarlo; si era mentira, tampoco.

Empieza por lo fácil. Lee las notas como si no hubieras estado en el turno de noche: algunas se pueden repetir paso a paso, con su consulta y sus valores. Una de ellas no dice nada que se pueda comprobar.

Una nota completa no es lo mismo que una nota correcta. Auditar también es repetir lo que la nota dice que se consultó y comprobar que los datos dicen lo mismo. El error más común no es inventar: es mirar la fila equivocada —la de otra hora, la del día anterior, la que se parecía— y escribir una conclusión impecable sobre un hecho que no es el de la alerta.

Fíjate sobre todo en los falsos positivos: un falso positivo mal puesto no solo cierra un caso, sino que alguien leerá la nota y afinará la regla para que no vuelva a saltar.

La nota describía con precisión una transferencia que existió: la del respaldo. Pero la alerta saltó por otra. Para reabrir el ticket hace falta el dato que la nota debió llevar: a dónde fueron los datos esa noche, a la hora de la alerta.

Tienes un ticket cerrado como falso positivo que en realidad es una subida de más de cien gigas, con una herramienta que no usa el respaldo, hacia un destino que no es el del proveedor. El compañero que lo cerró ya terminó su turno.