Alcance, criterio y población

Una auditoría compara lo que hay con lo que debería haber. Lo que debería haber se llama criterio, y no lo pone el auditor a su gusto: sale de la política escrita de la propia organización, de un contrato o de una norma que ella haya adoptado. Si el auditor mide con una vara que la empresa nunca aceptó, el resultado se discute por la vara y no por lo encontrado.

También se fija el alcance: qué aplicación, qué periodo y en qué fecha se toma la foto de las cuentas (la fecha de corte). Sin corte, dos personas cuentan la «misma» población en días distintos y no coinciden.

La población es todo aquello sobre lo que vas a concluir: aquí, todas las cuentas del Gestor de pedidos al corte. Una muestra solo vale si la población está completa, así que antes de elegir nada se comprueba. Se pide el listado a TI y, además, el auditor obtiene una exportación directa del sistema, con la persona de TI mirando. Después se comparan los totales.

La tabla totales_poblacion trae los dos. Si no coinciden, no se sigue: se averigua qué falta y por qué.

Que falten seis cuentas es un problema de integridad de la población. Pero no todas pesan igual: una cuenta de consulta que no está en el listado es un descuido; una de administración que no está en el listado es una cuenta con poder que, tal como se armó el listado, nadie iba a revisar. Cualquier muestra tomada del listado de TI la habría ignorado.

Por eso, cuando una población no cuadra, miras primero qué falta, no solo cuánto.

El plan de auditoría liga cada prueba con la cláusula del criterio que mide. Eso permite, al redactar un hallazgo, decir exactamente qué se incumple. La política de Cedrón numera sus cláusulas y cada una exige una sola cosa.

Para la prueba de las altas necesitas la cláusula que impide que una misma persona pida un acceso y lo apruebe, la separación entre quien solicita y quien autoriza.